Как мы прошли проверку Meta для директа Instagram и что нужно для «комментарий → директ»

Mellow Hub, наш сервис публикаций, отвечает на комментарии в Instagram по кодовым словам: человек пишет слово под постом, аккаунт отвечает публично и присылает ему одно личное сообщение со ссылкой, гайдом или промокодом. Чтобы это работало у всех клиентов, а не только на наших тестовых аккаунтах, нужна была проверка приложения Meta (App Review) для сообщений. Рассказываем, что мы подали, что узнали до подачи и что изменило одобрение.

Ситуация и цель

Instagram мы подключаем через своё приложение Meta на Instagram API с входом через Instagram (Instagram Login). Первый запрос на проверку, 4 сентября 2026 года, был на три разрешения: instagram_business_basic, instagram_business_content_publish и instagram_business_manage_comments. instagram_business_manage_insights мы из него убрали: наш вход на сайте его не запрашивал. Одно видео на 6 минут 48 секунд покрывало все три: экран согласия, публикация, пост на instagram.com, отключение. Вход через Facebook — нет.

Запрос одобрили 13 сентября. Четыре недели мы об этом не знали: уведомление лежало во «Входящих» панели разработчика, а не в почте, и нашли мы его 10 октября — в тот же день перевели приложение в рабочий режим.

Дальше цель была такой: «комментарий → директ» и ответ на кодовое слово в директе для любого профессионального аккаунта, который подключится.

Что говорила документация и что сделал Instagram

10 октября 2026 года мы проверяли на своём аккаунте @mellow_planner, подключённом через наше приложение в 15:40 UTC с разрешениями на профиль, публикации и комментарии. Тестовый комментарий пришёл в 15:44, вебхук Meta сработал, публичный ответ появился примерно через 13 секунд. А личный ответ был отклонён с ошибкой #10 — нет разрешения, хотя справка Meta о личных ответах называла только разрешения на профиль и комментарии. На 8 ноября 2026 года для входа через Instagram там по-прежнему указаны только эти два, а разрешение на сообщения названо лишь для входа через Facebook.

В 16:13 UTC, после того как аккаунт стал тестировщиком нашего приложения и вошёл заново с instagram_business_manage_messages, второй комментарий получил и публичный ответ, и личное сообщение. То же правило, те же аккаунты. Правда, в тот же момент в настройках аккаунта включили Allow access to messages (доступ к сообщениям), так что строго разделить две перемены нельзя; мы считаем разрешение обязательным, ведь именно его выдаёт проверка Meta. На практике для «комментарий → директ» нужно разрешение на сообщения, что бы ни писала справка, а в рабочем режиме дать его могут только аккаунты с ролью в приложении — пока Meta не одобрит расширенный доступ. Страница Meta о проверке приложений говорит то же с другой стороны: приложению, которым пользуются только люди с ролью в нём, проверка не нужна.

Ещё одна неожиданность того же дня: Meta возвращала список разрешений токена массивом, а не строкой, как в документации. Наше первое чтение сохранило вход с неверным набором разрешений.

Что мы подали, по шагам

1. Проверка доступа. Бизнес, который работает с данными других бизнесов, Meta просит подтвердить статус технического провайдера (Tech Provider); без этого запрос отвечает ошибкой 100 всем, у кого нет роли в приложении. Подали 10 октября в 21:25 UTC: «SaaS-платформа», абзац о том, как используются данные клиентов и что они не продаются и не передаются, других бизнес-портфолио нет, адрес сайта. Meta обещала ответ за 5 дней; 23 октября статус был всё ещё «На проверке». 26 октября в панели у двух разрешений, которые от этого зависят, стоял расширенный доступ. Чего мы в тот вечер не знали: ещё 9 октября 2026 года блог Meta для разработчиков объявил, что проверка доступа больше не нужна; подтверждение бизнеса и проверка приложения остаются.
2. Видео. 3 минуты 7 секунд из 17 настоящих снимков рабочего сайта и Instagram, по порядку, у каждого английская подпись и нарисованный указатель, чужие имена размыты. На нём экран согласия со строкой «Access and manage messages», правило с кодовым словом, комментарий со второго аккаунта, публичный ответ, личное сообщение у этого аккаунта, кодовое слово в директе и ответ, журнал и отключение. Это кадры, а не запись: ИИ-агент, который готовил видео, мог делать снимки в браузере, но не мог записывать экран.
3. Описание использования, одним абзацем. Два случая: комментарий с кодовым словом получает публичный ответ владельца и один личный ответ — в течение 7 дней, как разрешает Private Replies API; сообщение с кодовым словом получает ответ владельца один раз, в окне 24 часа, не чаще раза в час на человека и правило. Сообщения самого аккаунта не обрабатываются. Каждый ответ виден владельцу в журнале. Никому не пишем первыми.
4. Инструкция для проверяющего. Тестовый аккаунт с активным тарифом и восемь шагов: войти, подключить Instagram, включить сообщения, создать правило, написать комментарий с другого аккаунта, увидеть ответ, открыть журнал, отключиться.
5. Продление трёх сентябрьских разрешений. Изменилась одна фраза: в сентябре мы писали, что Mellow не отвечает на чужие комментарии. В новой инструкции прямо сказано, что теперь отвечает — по правилу владельца.
6. Кто что нажимал. ИИ-агент написал тексты, снял экраны и заполнил то, что ему было разрешено. «Разрешить» в согласии Instagram, «Запросить расширенный доступ» и галочки согласия нажимал основатель; он же отправил запрос 13 октября 2026 года около 13:55 UTC.

Результаты

• 26 октября 2026 года: одобрено. instagram_business_manage_messages получил расширенный доступ, три прежних разрешения продлены с расширенным доступом. От подачи — 13 дней.
• В тот же день вход в Instagram во всех профилях Hub начал запрашивать сообщения.
• 27 октября: «комментарий → директ» открылся на всех тарифах Hub с готовыми сценариями (лид-магнит в директ, промокод, цена и запись, ссылка на товар, цены в сообщениях) и ИИ-ответами в директе по желанию — только по тексту самого владельца.
• Настоящий комментатор, 26 октября: человек написал кодовое слово под каруселью в 19:41 UTC, публичный ответ и личное сообщение ушли меньше чем за 8 секунд.
• Не доказано на момент одобрения: вход аккаунта без роли в нашем приложении. Доказательством станет первый клиент, который подключится.

Что не сработало и что мы поменяли

• Ждали ответа Meta в почте. Четыре недели в режиме разработки после одобрения, которого никто не видел. Смотрите «Входящие» в панели разработчика.
• Поверили справке. Однажды мы сняли проверку разрешения на личные ответы, опираясь на справку Meta, и в тот же день вернули её по живому результату.
• Правило появилось позже поста. Рилс от 19 октября просил написать кодовое слово, которое не слушало ни одно правило. К 23 октября его написали 37 человек — и ничего не получили, а журнал хранил только совпавшие комментарии, поэтому пропуска никто не видел. Мы сделали догоняющую отправку для того, что ещё в окне 7 дней. Первый запуск ответил всем 37 за 11 минут; после этого мы задали темп всем автоответам: живой комментарий — сразу, пока за 5 минут отвечено меньше чем 3 людям; всплеск — с паузой 30–90 секунд; накопившиеся — раз в 2–4 минуты; между публичным ответом и личным сообщением — 3–8 секунд.
• Только целые слова. Кодовое слово совпадает только целиком, поэтому «Мультики» не сработали бы на правило «Мультик». Теперь в правилах перечислены все формы, которые люди реально пишут.
• Символы и байты. Messaging API Meta ограничивает личное сообщение 1 000 байтами UTF-8. Кириллическая буква занимает 2 байта, так что по-русски это около 500 букв. Hub теперь считает каждое сообщение в байтах.

Как сделать самому

1. Используйте Instagram API с входом через Instagram и запрашивайте instagram_business_basic, instagram_business_manage_comments и instagram_business_manage_messages — только то, что действительно просит ваш вход.
2. Сначала проверьте весь путь на аккаунте-тестировщике с разрешением на сообщения в токене.
3. Подтвердите бизнес. 9 октября 2026 года Meta объявила, что проверка доступа для технических провайдеров больше не нужна; подтверждение бизнеса и проверка приложения остаются.
4. Запишите видео: согласие, функция целиком, отключение.
5. Опишите использование словами Meta: один личный ответ на комментарий в течение 7 дней, ответы в окне 24 часов, никаких рассылок, журнал.
6. Дайте проверяющему тестовый аккаунт со всеми функциями и пронумерованные шаги.
7. Следите за «Входящими» в панели, затем переведите приложение в рабочий режим.
8. Или обойдитесь без своей проверки: у Mellow Hub одобренное разрешение уже есть, а правила задаются на экране автоответов или ИИ-агентом.

Цифры