Meta CAPI access token: generowanie, testowanie i bezpieczne przechowywanie

Token dostępu uwierzytelnia żądania serwera wysyłane do Meta Conversions API. Integracja używa go, by przekazać zdarzenia z serwera do właściwego zestawu danych, wcześniej znanego wielu osobom jako piksel. Token nie jest identyfikatorem piksela ani zestawu danych: identyfikator wskazuje odbiorcę zdarzeń, token potwierdza, że integracja może je wysyłać.

Dla wdrożenia potrzebne są też konfiguracja serwerowa, format zdarzeń i wymagane parametry. Jeśli w witrynie działają równolegle Meta Pixel i Conversions API, integracja powinna przekazywać zgodne identyfikatory zdarzeń, aby Meta mogła je deduplikować. Wygenerowanie tokenu nie potwierdza, że zdarzenia są kompletne, zgodne ze zgodami użytkownika ani poprawnie raportowane.

Wygeneruj token dla zestawu danych, który ma otrzymywać zdarzenia z serwera. W nazwach i rozmieszczeniu opcji Meta może wprowadzać zmiany, ale punkt startu pozostaje Menedżer zdarzeń i ustawienia wybranego źródła danych.

1. Otwórz Menedżer zdarzeń Meta i wybierz firmę, która zarządza zasobem.
2. Z listy źródeł wybierz właściwy zestaw danych. Porównaj jego nazwę i identyfikator z danymi przekazanymi przez administratora witryny.
3. Otwórz Ustawienia zestawu danych, a następnie sekcję Conversions API.
4. Dla integracji serwerowej wybierz ręczną konfigurację, jeśli jest dostępna, i użyj opcji generowania tokenu dostępu.
5. Skopiuj token bezpośrednio do bezpiecznego menedżera sekretów lub przekaż go osobie wdrażającej przez zatwierdzony kanał. Nie zapisuj go w treści zadania ani publicznym dokumencie.
6. Zapisz nazwę zasobu i jego identyfikator oddzielnie od tokenu, aby wykonawca mógł potwierdzić, że konfiguracja wskazuje właściwy zestaw.

Jeśli nie widzisz sekcji lub przycisku, sprawdź rolę użytkownika i to, czy oglądasz właściwy zestaw danych. Dostępność ręcznego tokenu może zależeć od wybranej metody integracji i aktualnego układu interfejsu.

Wybierz metodę według tego, kto utrzymuje integrację i gdzie będą przetwarzane zdarzenia. Token z Menedżera zdarzeń to jedna z metod uwierzytelnienia, a nie jedyna droga do połączenia sklepu z Meta.

Nie kopiuj tokenu do narzędzia bez ustalenia, kto odpowiada za jego przechowywanie, rotację i wycofanie. Jeśli sklep łączy się z Meta przez partnera, sprawdź dokumentację integracji przed uruchomieniem drugiej, równoległej wysyłki tych samych zdarzeń.

Sprawdź token przez rzeczywiste zdarzenie testowe i potwierdź, że trafiło do oczekiwanego zestawu danych. Sam fakt, że integracja przyjęła wartość tokenu w formularzu, nie dowodzi poprawnej komunikacji z Meta.

1. W Menedżerze zdarzeń otwórz zestaw danych i wybierz Testowanie zdarzeń.
2. Skopiuj kod testowy, jeśli interfejs go wyświetla, i przekaż go osobie testującej integrację.
3. Wyślij kontrolowane zdarzenie z serwera z użyciem tokenu i kodu testowego w formacie oczekiwanym przez bieżącą dokumentację Conversions API.
4. Potwierdź, że zdarzenie pojawiło się w teście, pochodzi ze źródła serwerowego i ma oczekiwaną nazwę oraz parametry.
5. Sprawdź odpowiedź endpointu w logach aplikacji, ale usuń lub zamaskuj token i dane osobowe przed udostępnieniem logu.

Weryfikuj cztery elementy: poprawny zestaw danych, źródło zdarzenia, odpowiedź integracji oraz komunikaty diagnostyczne. Po teście usuń kod testowy z konfiguracji produkcyjnej, jeśli integracja go tam zapisała. Pamiętaj, że widoczność zdarzenia testowego nie oznacza automatycznie, że dane spełniają wymogi raportowania lub polityki prywatności.

Token przechowuj po stronie serwera jako sekret konfiguracyjny. Może nim zarządzać menedżer sekretów lub bezpieczny magazyn poświadczeń dostępny wyłącznie dla systemu i osób, które utrzymują integrację.

• Nie dodawaj tokenu do JavaScriptu strony, HTML, wtyczki dostępnej publicznie ani aplikacji mobilnej.
• Nie commituj go do Git ani nie umieszczaj w publicznym repozytorium, zrzucie ekranu lub dokumentacji dla klienta.
• Ogranicz dostęp do wykonawcy odpowiedzialnego za wdrożenie i administratora utrzymującego serwer.
• W systemach logujących żądania maskuj nagłówki i parametry, które mogą zawierać poświadczenia.
• Po przekazaniu potwierdź, że odbiorca zapisał token w konfiguracji serwera, a wiadomość z samą wartością została usunięta zgodnie z procedurą organizacji.

Właściciel firmy powinien zachować dostęp administracyjny do zasobu i wiedzieć, kto zarządza integracją. Jeżeli wdrożenie ma obsługiwać zewnętrzny wykonawca, przekaż mu także identyfikator zestawu danych, środowisko testowe i kontakt do osoby, która może zatwierdzić zdarzenia.

Diagnozę zacznij od wskazania, którego elementu dotyczy błąd: sekretu, uprawnień użytkownika, adresu endpointu czy zestawu danych. Nie wklejaj tokenu do publicznego forum ani zgłoszenia do pomocy technicznej.

Po wycieku załóż, że token mógł zostać skopiowany. Wygeneruj zastępczy token dla właściwego zestawu, podmień go w każdym aktywnym środowisku, a następnie przetestuj wysyłanie zdarzeń. Po potwierdzeniu działania usuń starą wartość z miejsc, do których masz dostęp, i sprawdź historię zmian poświadczeń, jeśli jest dostępna.

Gdy przeglądarka i serwer wysyłają tę samą konwersję, system musi rozpoznać je jako jedno zdarzenie. Meta opisuje deduplikację z użyciem zgodnej nazwy zdarzenia i wspólnego identyfikatora: Pixel przesyła `eventID`, a Conversions API przekazuje odpowiadające mu `event_id`.

Przed publikacją integracji sprawdź następujące elementy:

• Ten sam identyfikator powstaje dla jednej konwersji i trafia do zdarzenia przeglądarkowego oraz serwerowego.
• W obu kanałach nazwa zdarzenia odpowiada temu samemu działaniu, na przykład `Purchase`.
• Identyfikator nie zmienia się pomiędzy wysłaniem z przeglądarki a wysłaniem z serwera.
• Test obejmuje zakup lub inne istotne zdarzenie, a nie tylko wyświetlenie strony.
• Menedżer zdarzeń nie pokazuje ostrzeżeń o niedopasowaniu lub braku deduplikacji.

Poprawna odpowiedź serwera nie wystarczy, jeśli oba kanały wysyłają inne identyfikatory albo jeśli różnią się nazwy zdarzeń. Sposób tworzenia ID zależy od sklepu i integracji, więc sprawdź logikę w kodzie lub wtyczce, która przekazuje zdarzenie.

Token umożliwia uwierzytelnienie, ale nie zastępuje konfiguracji całego przepływu danych. Serwer musi znać docelowy zestaw danych, nazwy zdarzeń, wymagane parametry i zasady przekazywania informacji zgodne z wyborem użytkownika dotyczącym zgód.

Przed uruchomieniem przekaż administratorowi lub wykonawcy: identyfikator zestawu danych, środowisko testowe, listę zdarzeń do wysyłki, system źródłowy, sposób obsługi zgód oraz informację, czy działa już Meta Pixel lub inna integracja CAPI. Uzgodnij, kto odpowiada za deduplikację, utrzymanie sekretu i monitoring błędów.

Jeśli chcesz sprawdzić stan piksela, GA4 i Consent Mode przed zmianami, skorzystaj ze Skanera Pomiaru Konwersji. Pełną konfigurację opisuje poradnik Facebook Conversions API, a powiązane materiały wyjaśniają konfigurację Piksela Facebooka oraz zaawansowane strategie Conversions API.

• Obsługa Meta Ads: co obejmuje współpraca i jak ocenić jej efekty
• Meta learning phase i 50 konwersji: co naprawdę oznacza próg
• Reklamy Meta od podstaw: jak zaplanować pierwszą kampanię
• Kampanie w Meta Ads Library: jak analizować reklamy konkurencji