Tokens, IDs e uso da API

Desconectar no Flow e revogar na Meta

Ao solicitar Desconectar, a HookCloud encerra o vínculo local, remove o callback aplicável quando a autorização permite e preserva o histórico. Isso não exclui o número nem a WABA na Meta. A conclusão do vínculo local e o resultado da ação remota são informações distintas.

Na desconexão voluntária, a credencial só entra em revogação remota quando o sistema comprova que a autorização não é compartilhada com outras conexões. Se houver compartilhamento, a credencial remota é mantida para proteger os demais vínculos. Se não for possível confirmar o alcance ou a revogação, o painel informa essa limitação; não trate o estado local “revogado” ou “desconectado” como prova de que o token deixou de funcionar na Meta.

Uma revogação pode continuar pendente após a conclusão local. Apenas um resultado remoto confirmado permite afirmar que a credencial foi revogada. Não há garantia de que Desconectar invalide qualquer cópia do token utilizada fora do Flow quando a autorização é compartilhada ou não pôde ser confirmada.

A suspensão por falta de pagamento de renovação cobrada pela Stripe segue outra regra: após o prazo de regularização, as credenciais aplicáveis podem ser revogadas mesmo quando compartilhadas por conexões do mesmo responsável, inclusive em outra assinatura ativa. O pagamento não reativa o token antigo; será necessária nova autorização dos ativos afetados quando a revogação tiver ocorrido. Consulte o prazo de regularização e a retomada.

Antes de retirar permissões na Meta

Solicite a desconexão pela HookCloud e aguarde o resultado antes de remover a parceria ou as permissões no portfólio empresarial. Se você já retirou o acesso, informe no atendimento para conferir a operação; não é necessário excluir o ativo ou comprar um plano para encerrar uma limpeza antiga.

A confirmação de encerramento local, remoção de callback e revogação de token são resultados separados. Uma nova assinatura não restaura uma autorização revogada e não retira uma pausa administrativa ativa. Antes de remover uma autorização compartilhada, confira os demais números e integrações que dependem dela. Consulte o procedimento de desconexão.

WABA ID, Phone Number ID e Business ID

Mostrar, copiar e ocultar token

O token é a credencial da Meta obtida pelo Embedded Signup. O Flow o mantém protegido e registra revelações. Somente papéis autorizados podem visualizar. Depois de copiar, armazene em cofre de segredos e remova de prints, histórico do terminal e workflows exportados.

Ciclo de vida do Meta Access Token

A validade depende da emissão e das decisões da Meta, não de um prazo fixo da HookCloud. O Flow audita o token, mas não promete renovação silenciosa.

O painel pode exibir as últimas permissões observadas, mas a Meta continua sendo a fonte de verdade. Um webhook já configurado pode permanecer verde mesmo quando o token perdeu capacidade para novas chamadas administrativas.

Permissões

Exemplos de envio

Destino por telefone

curl -X POST \
  "https://graph.facebook.com/v25.0/PHONE_NUMBER_ID/messages" \
  -H "Authorization: Bearer META_ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "messaging_product":"whatsapp",
    "to":"5511999999999",
    "type":"text",
    "text":{"body":"Olá!"}
  }'

Destino por BSUID

curl -X POST \
  "https://graph.facebook.com/v25.0/PHONE_NUMBER_ID/messages" \
  -H "Authorization: Bearer META_ACCESS_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "messaging_product":"whatsapp",
    "recipient":"BR.13491208655302741918",
    "type":"text",
    "text":{"body":"Olá!"}
  }'

Use to para telefone e recipient para BSUID. O valor de recipient é obtido de contacts[].user_id ou messages[].from_user_id.

Chamadas responsáveis

• não consulte templates, status ou números em loop;
• use cache, paginação, webhooks e backoff;
• trate 429 e erros temporários sem retry agressivo;
• não compartilhe um token entre clientes;
• rotacione/reautorize quando a Meta revogar acesso.

n8n e outras ferramentas

Use credenciais seguras do próprio sistema e nunca deixe o token em um node exportado. O endpoint do cliente continua responsável por LGPD, retenção e segurança dos eventos.

Usar as credenciais no Chatwoot

Na caixa de entrada manual do Chatwoot, use:

Ver configuração completa do Chatwoot.

API pública do Flow e HookCloud Partner

Os endpoints consumidos pelo painel são internos e autenticados pela sessão do usuário. Eles não constituem uma API pública ou contrato estável para um CRM externo.

Atualmente, o Flow não oferece API pública para iniciar o Embedded Signup fora do painel, listar todas as conexões ou revelar tokens programaticamente. Depois da conexão, utilize a Graph API oficial da Meta com o Phone Number ID e o token.

Ver arquitetura completa para CRM próprio →