Permanent WhatsApp Cloud API access token कैसे बनाएँ (system user)

Permanent WhatsApp access token kaise banaye: Meta business portfolio में किसी system user के लिए बनाया गया वह token जिसकी expiry कभी ख़त्म नहीं होती (never)। इसी token से कोई production सर्वर दिन-ब-दिन, बिना किसी इंसान के लॉगिन किए, WhatsApp Cloud API को कॉल करता है। यह गाइड Business settings में सही क्लिक, token के साथ चाहिए वाले ID, एक curl टेस्ट, और कुछ छूटने पर दिखने वाले error दिखाती है। अगर आपको सिर्फ़ कॉन्सेप्ट समझना है, तो पहले WhatsApp API access token और system user ग्लॉसरी एंट्री पढ़ें।

Temporary vs permanent token: फ़र्क़ क्या है

Meta तीन तरह के token देता है। इनमें से सिर्फ़ एक ही आपके अपने बिज़नेस के लिए चलने वाले production सर्वर पर रखने लायक़ है:

API Setup token आपके personal Facebook login से जुड़ा होता है। Meta की अपनी गाइड कहती है कि user token "जल्दी एक्सपायर होते हैं, इसलिए हर कुछ घंटे में नया बनाना पड़ता है"। System user एक non-human account है जो portfolio का होता है, इसलिए स्टाफ़ बदलने पर भी उसका token काम करता रहता है।

शुरू करने से पहले

चार चीज़ें जाँच लें, क्योंकि हर एक न होने पर आगे अलग-अलग error आता है:

1. आपके Facebook login के पास business portfolio का full control (admin) है।
2. आपके पास Connect with customers through WhatsApp use case से बना एक Meta app है, जो उसी portfolio का है।
3. वह app API Setup पैनल में आपके WhatsApp Business account से जुड़ा है।
4. कम से कम एक फ़ोन नंबर Cloud API पर रजिस्टर है, और टेस्ट के लिए एक मंज़ूर template है।

अगर अभी तक नंबर नहीं जोड़ा है, तो पहले WhatsApp Business API setup गाइड में portfolio, नंबर और display name से जुड़े फ़ैसले देखें।

Step 1: System user बनाएँ

1. Meta Business Suite खोलें, अपना business portfolio चुनें और Settings (Business settings) खोलें।
2. साइडबार में, Users के नीचे, System users पर क्लिक करें।
3. Add दबाएँ। Create system user में ऐसा नाम डालें जो बाद में पहचान सकें, जैसे whatsapp-server-prod।
4. role चुनें: Admin या Employee।

कौन सा role चुनें? admin system user को portfolio के मालिक या उसे शेयर किए हर WhatsApp account और Messaging account का access अपने-आप मिल जाता है। employee system user को सिर्फ़ वे accounts दिखते हैं जो आप असाइन करें। एक या दो नंबर वाले बिज़नेस के लिए employee system user ज़्यादा सुरक्षित है: token लीक होने पर भी सिर्फ़ assign किए accounts तक ही पहुँच होगी।

Step 2: App और WhatsApp account असाइन करें

token उतना ही काम का है जितने assets तक उसका system user पहुँच सके। system user चुनें और Assign assets दबाएँ, फिर:

• Apps: अपना Meta app चुनें और Manage app (full control) ऑन करें।
• WhatsApp accounts: अपना WhatsApp Business account चुनें और Full control के अंदर Manage WhatsApp Business accounts ऑन करें।
• पुष्टि के लिए Assign assets दबाएँ।

System users पेज रीलोड करें और देखें कि दोनों assets assigned दिख रहे हैं; Meta के अनुसार असाइन होने में कुछ मिनट लग सकते हैं। Meta पुराने WhatsApp Business account को WhatsApp account और Messaging account में बाँट रहा है। इसकी access token गाइड कहती है कि employee system user को दोनों का access चाहिए, और Meta Business Suite में आपको हर एक को अलग से असाइन करना होगा (Accounts → WhatsApp accounts और Accounts → Messaging accounts, People टैब के अंदर)। अगर आपके portfolio में Messaging account पहले से दिखता है, तो उसे भी असाइन करें।

Step 3: Token बनाएँ

1. system user चुने होने पर Generate token दबाएँ।
2. अपना app चुनें।
3. token की expiry चुनें: never, या 60 दिन।
4. नीचे दी तीन permission टिक करें। search बॉक्स में business टाइप करने से जल्दी मिल जाती हैं।
5. Generate token दबाएँ और value को सीधे अपने secret store में कॉपी करें।

token को एक opaque string जैसा मानें। Meta के अनुसार token की लंबाई अलग-अलग हो सकती है और उसका फ़ॉर्मेट बदल सकता है, इसलिए इसे बिना किसी तय अधिकतम लंबाई वाले text field में रखें और इसे कभी parse करने की कोशिश न करें। इसकी expiry और permission जाँचने के लिए इसे Meta के Access Token Debugger में पेस्ट कर सकते हैं।

Step 4: Phone number ID और WABA ID कॉपी करें

ज़्यादातर "access token" वाली सर्च असल में उन सभी values के बारे में होती है जो किसी integration को चाहिए। इन्हें अभी एक जगह इकट्ठा कर लें:

आप अभी बनाए token से API से भी phone number ID की पुष्टि कर सकते हैं:

curl "https://graph.facebook.com/v26.0/$WABA_ID/phone_numbers" \
  -H "Authorization: Bearer $WA_TOKEN"

जवाब में हर नंबर के साथ एक id (phone number ID), उसका display_phone_number और verified_name आता है। phone number ID फ़ोन नंबर नहीं है: /919876543210/messages जैसा URL फ़ेल होगा क्योंकि किसी भी नंबर का ID वह नहीं है।

Step 5: Token को curl से टेस्ट करें

अपने ही WhatsApp नंबर पर एक मंज़ूर template भेजें। template तब भी काम करता है जब आपने उस नंबर पर हाल में मैसेज न किया हो। अगर आपके account में अब भी Meta का सैंपल hello_world template en_US में है, तो उसे इस्तेमाल करें; नहीं तो अपने किसी मंज़ूर template को उसके सही नाम और language code के साथ इस्तेमाल करें।

export WA_TOKEN="paste-the-system-user-token"
export PHONE_NUMBER_ID="123456789012345"

curl -X POST "https://graph.facebook.com/v26.0/$PHONE_NUMBER_ID/messages" \
  -H "Authorization: Bearer $WA_TOKEN" \
  -H "Content-Type: application/json" \
  -d '{
    "messaging_product": "whatsapp",
    "to": "919876543210",
    "type": "template",
    "template": { "name": "hello_world", "language": { "code": "en_US" } }
  }'

काम करने वाला token एक messages array लौटाता है जिसमें ID wamid. से शुरू होती है, और मैसेज आपके फ़ोन पर पहुँच जाता है। इसे अपने टर्मिनल से चलाएँ, ब्राउज़र पेज से नहीं: ब्राउज़र में चलने वाली कोई भी चीज़ token को हर विज़िटर के सामने खोल देती है। template API tutorial में यही कॉल variables और buttons के साथ, Node.js और Python में दिखाई गई है।

Step 6: Token को स्टोर, rotate और revoke करें

जिसके पास भी यह token है, वह आपके बिज़नेस की तरफ़ से मैसेज भेज सकता है और आपके account में template बना सकता है। इसे किसी database पासवर्ड जैसा ही स्टोर करें:

• इसे सर्वर पर environment variable या secret manager में रखें। इसे कभी website के JavaScript में, किसी mobile app में, Google Sheet में, शेयर किए Postman collection में, या support chat में न डालें।
• हर सिस्टम (production सर्वर, staging, analytics script) के लिए अलग system user रखें, जिससे एक को बिना दूसरों को रोके revoke किया जा सके।
• कौन, कब कौन सा token बनाया, इसका रिकॉर्ड रखें। जिस token को ट्रेस नहीं कर सकते, उसे सुरक्षित तरीक़े से revoke भी नहीं कर सकते।

60 दिन वाले token को rotate करना। Meta oauth/access_token endpoint पर (साथ में fb_exchange_token) एक refresh कॉल बताता है, जो 60 और दिन के लिए नया token देता है। पुराना token एक्सपायर होने तक काम करता रहता है, इसलिए पहले नया deploy करें, फिर पुराना revoke करें।

Token revoke करना। Meta का oauth/revoke endpoint system user token को तुरंत invalid कर देता है, और उसे फिर इस्तेमाल नहीं किया जा सकता। अगर token कहीं सार्वजनिक जगह पेस्ट हो गया हो तो तुरंत revoke करें, फिर नया बनाएँ, जिन सिस्टम ने इसे इस्तेमाल किया उन सबको अपडेट करें, और हाल की message activity व billing में वे भेजे गए मैसेज देखें जो आपने नहीं भेजे।

आम error और उनके फ़िक्स

ज़्यादातर token की समस्याएँ पाँच codes में से एक होती हैं। सिर्फ़ HTTP status नहीं, JSON जवाब में error.code पढ़ें:

मैसेज सही से भेजे जाने के बाद दिखने वाले delivery error, जैसे 131047 (24 घंटे की विंडो के बाहर) या 131026 (undeliverable), के लिए हमारी WhatsApp API error codes चीट-शीट देखें।

अगर आपका नंबर Broadchat पर है

जब आप Embedded Signup से Broadchat पर नंबर जोड़ते हैं, तो Meta का token प्लेटफ़ॉर्म अपने पास रखता है और आपको कभी कोई token पेस्ट नहीं करना पड़ता। जो developer अपने ही कोड से API कॉल करना चाहते हैं, वे इसके बदले Broadchat का channel token इस्तेमाल करते हैं:

1. Channels → All Channels खोलें।
2. channel कार्ड पर ⋮ मेन्यू खोलें और Access Token चुनें।
3. API Details विंडो में API URL, API Version, WABA ID, Phone Number ID और Business ID दिखते हैं, हर एक के साथ copy बटन।
4. Generate new token दबाएँ और पुष्टि करें। token bc_ से शुरू होता है और सिर्फ़ एक बार दिखता है, इसलिए विंडो बंद करने से पहले कॉपी कर लें।

यह channel token सिर्फ़ आपके पैनल के अपने Graph-compatible API पर API URL (आपके पैनल के पते के साथ /api/meta) पर काम करता है, और सिर्फ़ उस channel के phone number ID और WABA ID के लिए; यह Meta का token नहीं है और graph.facebook.com पर काम नहीं करता। इससे किए गए template सेंड channel के messaging wallet से चार्ज होते हैं। पहले बनाए token उसी मेन्यू में Revoke Previously Generated Token चुनने तक काम करते रहते हैं, जो नंबर को डिस्कनेक्ट किए बिना सभी को revoke कर देता है। यह विंडो सिर्फ़ account owner ही देख सकते हैं। प्लेटफ़ॉर्म कैसे मिलकर काम करता है, इसकी बड़ी तस्वीर के लिए WhatsApp Business API क्या है पढ़ें या WhatsApp Business API overview देखें।