Cómo Rotar el Token de Acceso de WhatsApp Cloud API
Rotar el token de acceso de WhatsApp Cloud API cada cierto tiempo reduce el riesgo de que una credencial filtrada quede activa para siempre sin que nadie lo note, algo que rara vez se hace hasta que ya pasó un problema.
Qué es el token de acceso y por qué es sensible
El token de acceso es la credencial que usa cualquier sistema, un servidor propio, una plataforma de automatización como n8n, o el panel de un proveedor, para autenticarse contra la API de WhatsApp y mandar mensajes en nombre del negocio. Quien tenga ese token puede mandar mensajes, leer conversaciones y modificar configuración del número, según los permisos que tenga asociados. Si ese token se filtra, por ejemplo quedando expuesto en un repositorio de código o en un log mal configurado, cualquiera que lo consiga puede usarlo hasta que se revoque.
Tokens temporales y tokens de System User
Meta ofrece dos tipos de token bien distintos. El token temporal, pensado para pruebas, expira solo a las pocas horas de generado, y no sirve para producción porque cortaría el servicio todo el tiempo. El que se usa en producción es el token de un System User, un usuario del sistema creado dentro de Business Manager específicamente para integraciones, que se puede configurar para no expirar o para expirar en un plazo elegido.
| Tipo de token | Uso recomendado | Expiración |
|---|---|---|
| Token temporal | Pruebas y desarrollo | Pocas horas |
| Token de System User | Producción | Configurable, incluso sin vencimiento |
"Sin vencimiento" no significa "no rotar nunca": aunque el token de System User se pueda configurar para no expirar, conviene rotarlo cada cierto tiempo de todos modos, igual que se cambia una contraseña, para limitar el daño si alguna vez se filtra sin que nadie se entere de inmediato.
Cómo se rota el token en la práctica
El proceso básico es generar un token nuevo para el mismo System User desde Business Manager, actualizar ese token en todos los sistemas que lo usan, confirmar que todo sigue funcionando con la credencial nueva, y recién ahí revocar el token viejo. Hacerlo en ese orden evita un corte del servicio: si se revoca el token viejo antes de que el nuevo esté funcionando en todos lados, el agente deja de mandar mensajes hasta que se corrija.
Cuándo rotar el token, más allá de un cronograma fijo
Además de una rotación preventiva periódica, hay señales que exigen rotar el token de inmediato: si alguien con acceso al token deja el equipo, si se detecta actividad rara en la cuenta, o si el token quedó expuesto en algún lugar que no debía, como un mensaje de chat interno o un archivo subido por error a un repositorio público.
Cómo lo hace agenteala
agenteala gestiona los tokens de acceso de cada cliente sobre usuarios de sistema dedicados, con un proceso de rotación periódico y ante cualquier señal de riesgo, para que ninguna credencial quede expuesta más tiempo del necesario sin que nadie lo note.
Preguntas frecuentes
¿Cuál es la diferencia entre un token temporal y uno de System User?
El temporal expira en pocas horas y es solo para pruebas; el de System User se usa en producción y se puede configurar para durar más o no expirar.
¿Rotar el token corta el servicio de WhatsApp?
No si se hace en el orden correcto: generar el nuevo, actualizarlo en todos los sistemas, confirmar que funciona, y recién después revocar el viejo.
¿Por qué rotar un token que no tiene vencimiento configurado?
Para limitar el daño si alguna vez se filtra sin que nadie se entere de inmediato, igual que se cambia una contraseña periódicamente.
¿Cuándo conviene rotar el token fuera de un cronograma fijo?
Cuando alguien con acceso deja el equipo, se detecta actividad rara, o el token quedó expuesto en algún lugar indebido.
¿Dónde se genera un token nuevo?
Desde Business Manager, en la configuración del System User asociado a la integración de WhatsApp.
Probá el agente antes de decidir
agenteala arma y mantiene el agente a la medida de tu negocio — no es un bot genérico: atiende, gestiona y vende por tu WhatsApp. Probalo en 2 minutos o hablá con un asesor.
Seguinos en Instagram @agenteala