Reacher Carmela
Guia da API do TikTok: Produtos, Acesso e Integração Segura
Entenda Display API, Content Posting, Research, webhooks e APIs do TikTok Shop, além de autorização, revisão, limites, privacidade e arquitetura.
Arquitetura e governança da API do TikTok
A API do TikTok não é uma interface irrestrita para perfis, conteúdo, comércio e analytics. O TikTok oferece produtos separados para objetivos e usuários específicos. Cada produto tem elegibilidade, revisão, escopos, consentimento, limites de dados e regras operacionais próprios. Uma integração responsável começa escolhendo o produto oficial mais restrito que atende ao caso de uso, não coletando tudo o que está visível na web.
Este guia considera a documentação oficial revisada em 16 de agosto de 2026. Produtos, escopos, limites, auditorias e disponibilidade regional podem mudar. Confirme toda decisão de produção no TikTok for Developers ou no TikTok Shop Partner Center.
Principais conclusões
- Display, Content Posting, Research, webhooks e TikTok Shop atendem a finalidades e modelos de autorização diferentes.
- Uma conta de developer não concede acesso de produção por si só; app, produto, escopo e usuário podem exigir aprovação ou consentimento.
- Tokens e segredos ficam no servidor, com privilégio mínimo, rotação, revogação e exclusão.
- Limites variam por endpoint; use filas, backoff, idempotência e monitoramento.
- A Reacher apoia operações de creators no TikTok Shop, mas não oferece uma API geral do TikTok nem contorna controles de acesso.
Mapeie os produtos da API antes de construir
Comece pela ação do usuário e pelos dados mínimos necessários. Nomes parecidos não tornam os produtos intercambiáveis.
| Produto | Finalidade | Limite de acesso | Não substitui |
|---|---|---|---|
| Display API | Exibir perfil básico e metadados elegíveis de vídeos do usuário autorizado | Login Kit, produtos e escopos aprovados e consentimento | Descoberta ampla de creators ou coleta irrestrita |
| Content Posting API | Permitir que um usuário autorizado envie rascunho ou publique por um app aprovado | Produto, escopo, autorização, UX e auditoria | Publicação em contas sem consentimento |
| Research API | Apoiar pesquisa independente e sem fins lucrativos aprovada | Elegibilidade de pesquisador, organização, projeto, região e ética | Analytics comercial ou scraping geral |
| Webhooks | Notificar eventos suportados pelos produtos conectados | Callback HTTPS, eventos disponíveis e verificação de assinatura | Acesso a dados não aprovados |
| TikTok Shop API | Integrar fluxos aprovados de seller, creator, partner, produto, pedido, fulfillment, logística, finanças ou afiliados | Partner Center, escopos, revisões, autorização por papel e assinatura | Display API ou Research API |
Display e Content Posting
O guia oficial da Display API descreve endpoints para perfil básico, vídeos recentes e metadados selecionados do usuário autorizado. Escopos comuns incluem user.info.basic e video.list. Essa autorização não permite enumerar creators não relacionados nem montar uma base paralela.
A Content Posting API inclui Direct Post e envio de rascunho. Publicação direta exige permissão aprovada para app e usuário; o rascunho usa outra permissão e deixa edição e publicação finais com o usuário. A orientação atual restringe conteúdo de clientes Direct Post não auditados à visibilidade privada. Transferir mídia por URL também exige domínio ou prefixo verificado.
Research API tem finalidade específica
As Research Tools destinam-se a pesquisadores independentes ou acadêmicos qualificados, em projetos aprovados e sem fins lucrativos. Há requisitos de organização, região, projeto e revisão ética. Uma conta comercial comum não basta; a Research API não é um feed para prospecção de influencers ou scraping irrestrito.
Planeje autorização, escopos e revisão
No TikTok for Developers, crie um app, adicione apenas os produtos e escopos necessários, configure URLs verificadas e redirects e envie a configuração de produção para revisão. As diretrizes de app review exigem experiência pública funcional, política de privacidade, termos, explicação detalhada de cada produto e escopo e demonstração do fluxo completo. Aprovação não é automática nem garantida.
O Login Kit usa OAuth 2.0. Encaminhe o usuário ao consentimento, valide state, use PKCE quando o fluxo documentado exigir, troque o código no servidor e guarde access e refresh tokens no servidor. O usuário pode aceitar apenas parte dos escopos. Projete para consentimento parcial, expiração, refresh, desautorização, exclusão de conta e mudança de permissão.
- Defina o benefício: registre a ação e os campos exatos.
- Escolha o produto oficial: não deduza acesso a partir de outro produto.
- Peça privilégio mínimo: solicite só escopos demonstrados na experiência.
- Conclua a revisão: mantenha site, políticas, redirects e demo alinhados.
- Registre consentimento: guarde titular, escopos, horário e estado sem registrar segredos.
- Teste a revogação: encerre acesso e exclua dados derivados conforme a política.
Desenhe uma arquitetura sustentável
Separe autorização, armazenamento de tokens, chamadas, entrada de webhooks e processos de negócio. Uma base prática tem callback OAuth, cofre criptografado, cliente tipado, fila para tentativas permitidas, consumidor idempotente e trilha de consentimento e exclusão. Nunca coloque client secret, refresh token ou segredo do Shop em browser, app móvel, logs, analytics ou tickets.
Armazene identificadores e campos necessários para a finalidade aprovada, não respostas inteiras por padrão. Versione o mapeamento, porque permissões e esquemas mudam. Campos ausentes, escopos revogados, métricas defasadas e recursos regionais são estados normais. Para fluxos críticos, reconcilie resultados em vez de presumir que uma chamada prova conclusão.
Trate limites, tentativas e webhooks
O TikTok documenta limites por produto ou endpoint. Não transforme um número isolado em regra global. Mantenha orçamentos por endpoint, limite concorrência, faça cache somente quando permitido e responda a throttling com backoff exponencial limitado e jitter. Erro de permissão ou request inválido não deve ser repetido como falha temporária. Monitore códigos, request IDs, latência, refresh, idade da fila e quota.
O guia atual de webhooks descreve POST por HTTPS, confirmação rápida, repetição e entrega pelo menos uma vez. Verifique TikTok-Signature com body bruto e timestamp, rejeite mensagens inválidas ou antigas, elimine duplicatas e processe trabalho pesado de forma assíncrona.
Regra de confiabilidade: uma chamada aceita nem sempre representa a ação concluída. Controle separadamente status assíncrono, webhook e reconciliação.
Proteja dados e escolha do usuário
Aplique minimização, limitação de finalidade, criptografia, acesso por função, retenção e exclusão documentada. A política pública precisa refletir campos e processadores reais. Ofereça acesso e exclusão, interrompa jobs quando o usuário desconectar e revise obrigações regionais e termos do TikTok com responsáveis jurídicos e de privacidade.
Não use automação de navegador para coletar o que a API aprovada não oferece. Um campo ausente pode representar um limite de produto, consentimento, segurança ou contrato. Se o caso mudar, atualize o produto e busque novo escopo ou revisão antes de ampliar a coleta.
Separe responsabilidades do TikTok Shop e da Reacher
O guia do TikTok Shop fica no Partner Center e possui onboarding, tipos de app, escopos, autorizações, assinatura, reviews e domínios próprios. Dados de seller exigem autorização mesmo para várias APIs de escopo público; escopos customizados sensíveis precisam de aprovação adicional. APIs de creator e partner têm outros limites. Token de Login Kit ou aprovação de Research não comprovam acesso ao Shop.
A Reacher ajuda equipes do TikTok Shop a organizar descoberta, outreach, CRM, amostras e performance de afiliados. Ela não concede escopos de Display, Content Posting, Research ou Shop, não contorna consentimento, não promete dados privados e não oferece scraping ou publicação irrestritos. Autorização e status nativos continuam sendo a fonte de verdade.
Perguntas frequentes
Existe uma única API do TikTok?
Não. TikTok for Developers e Partner Center oferecem produtos separados, com finalidades, usuários, reviews, escopos e termos diferentes.
A Display API pesquisa qualquer creator?
Não. Sua finalidade documentada é exibir perfil e vídeos elegíveis do usuário que autorizou o app com escopos aprovados.
Uma marca comercial pode usar Research API?
Não como feed geral de analytics. É preciso pesquisador, organização, região, projeto, revisão ética, aplicação e aprovação elegíveis para pesquisa sem fins lucrativos.
Um app pode publicar sem consentimento?
Não. Content Posting requer escopo aprovado e autorização do usuário da conta, além dos requisitos de UX e auditoria do Direct Post.
Os limites são fixos?
Eles variam por produto e endpoint e podem mudar. Consulte a referência atual e implemente throttling e tentativas limitadas por endpoint.
A Reacher fornece acesso às APIs do TikTok?
A Reacher atende seus fluxos documentados de operação com creators. Ela não substitui produtos, reviews, escopos, tokens, consentimento ou Partner Center.