Instagram через API и MCP: почему создание поста не под барьером записи, а публикация — под ним

Обзор

Instagram — витрина большинства проектов, но данные о ней обычно видны только человеку, который сам открыл приложение. Business/Creator-аккаунт отдаёт статистику, ленту, Stories, комментарии и упоминания через Instagram Graph API — токен для него можно выпустить самому, без заявок и ревью: администратор бизнеса создаёт в Meta Business Suite системного пользователя и получает долгоживущий токен доступа.

Mira подключает этот API — 36 действий в восьми разделах — и отдаёт его в Claude через MCP.

Что доступно

Публикация — не то, что вы думаете

Публикация поста в Instagram Graph API устроена в два шага: сначала создаётся контейнер (POST /media с image_url или video_url), потом отдельным вызовом (POST /media_publish) он становится постом. Это интуитивно похоже на устройство Модульбанка, который мы разбирали раньше: там создание платёжного поручения не тратит денег, тратит только подписание. Здесь напрашивается та же логика для барьера записи — но она не работает буквально.

У Модульбанка черновик платежа виден человеку в личном кабинете, пока его не удалят, — это состояние, которое существует и меняется. У Instagram контейнер публикации не виден никому и нигде: он не появляется в интерфейсе приложения, не связан с профилем ни на секунду, и Meta удаляет его сама через 24 часа, если публикация не случилась. Внешнего следа не остаётся, даже если контейнер так и не станет постом. Поэтому в Mira под барьером записи стоит только сама публикация (media_publish) — а не создание контейнера. Разница не в осторожности, а в том, чем на самом деле являются эти два состояния.

Токен — не в URL

Документация Meta показывает примеры с токеном в query-строке: ?access_token=.... Graph API поддерживает и второй способ — заголовок Authorization: Bearer — и Mira использует именно его. Разница практическая: журналы, breadcrumbs мониторинга и логи прокси эхом печатают URL запроса гораздо чаще, чем заголовки, а токен Instagram живёт неделями (для системного пользователя — бессрочно). Заголовок закрывает этот класс утечки целиком, а не только форматирование текста ошибок.

Свой аккаунт находится сам

Почти каждое действие Graph API адресовано конкретному ID Instagram-аккаунта. Узнавать и вписывать его руками не обязательно: если поле оставить пустым, Mira сама находит аккаунт, привязанный к токену, через /me/accounts — и если он ровно один, использует его прозрачно, без дополнительного шага от человека.

Единый конверт отказа, но код лимита прячется под обычным статусом

Meta документирует ошибки одной формой на всё API: {"error": {"message", "code", "error_subcode", "error_user_msg"}}. Здесь есть тонкость: лимит запросов Graph API часто сигналит тем же HTTP 400, что и обычная ошибка параметров, — отличить их можно только по числовому error.code (4, 17, 32 или 613). Без этой проверки временный лимит пометил бы источник сломанным наравне с действительно неверным токеном — и он пропал бы из чата на час без причины.

Живая проверка

Живых ключей от боевого аккаунта нет — раздел появится, когда владелец бизнеса их даст. Разбор адреса, барьер записи, заголовок авторизации и разбор конверта отказа проверены против собственного HTTP-сервера в тестах (перехват на транспорте), а не против graph.facebook.com.