O que é o System User e para que serve

Problemas que o System User resolve:

• → Token expirando no meio da madrugada: automações param às 3h da manhã porque o token pessoal de 60 dias venceu. O System User Token não expira
• → Funcionário saiu da empresa: se o único admin que tinha o token foi demitido, todas as integrações quebram junto. O System User não está vinculado a nenhuma pessoa
• → Senha pessoal compartilhada para acesso à API: péssima prática de segurança que o System User elimina completamente
• → Token pessoal com acesso excessivo: o System User pode ter apenas as permissões mínimas para o que precisa fazer — princípio do menor privilégio

System User vs usuário humano vs parceiro

System User Admin vs Employee (Funcionário)

O que pode ser atribuído como ativo ao System User

// No n8n: Credentials → Add new → Facebook Graph API
{
  "Access Token": "EAABsZ..."  // cole o System User Token aqui
}

// Esse token funciona para todos os nós:
// HTTP Request, Facebook Graph API, Facebook Lead Ads, etc.

# Arquivo .env (nunca commitar no git!)
META_SYSTEM_USER_TOKEN=EAABsZ...
META_APP_ID=1234567890
META_APP_SECRET=abc123...   # também nunca expor publicamente

# No código, acesse via:
# process.env.META_SYSTEM_USER_TOKEN (Node.js)
# os.environ['META_SYSTEM_USER_TOKEN'] (Python)

Permissões certas por caso de uso

Casos de uso práticos por ferramenta

Quando o token do System User pode ser invalidado

Embora o token não tenha prazo de expiração, existem situações em que ele é invalidado:

• ! O System User é removido do Business Manager — todos os tokens gerados por ele são invalidados imediatamente. Nunca remova um System User sem antes atualizar os tokens em todos os sistemas
• ! As permissões do App são alteradas — se as permissões do app Meta Developers forem significativamente modificadas, tokens ativos podem ser invalidados
• ! O token é revogado manualmente — ao clicar em "Gerar novo token" para o mesmo System User, o token anterior é revogado automaticamente
• ! O Business Manager é comprometido — em caso de acesso não autorizado, a Meta pode invalidar tokens como medida de segurança
• ✓ Boas práticas: documente todos os sistemas que usam o token antes de fazer qualquer mudança no BM. Mantenha pelo menos um segundo admin no BM para recuperar acesso em caso de problema

Boas práticas de segurança para System User Token

• ✓ Princípio do menor privilégio: marque apenas as permissões que a automação usa de fato. Um token com ads_read que vazou causa muito menos dano que um com ads_management
• ✓ Um System User por finalidade: crie um System User para CAPI, outro para publicações de posts, outro para relatórios. Assim, se um token vazar, o impacto é limitado
• ✓ Armazene em cofre de credenciais: 1Password, HashiCorp Vault, AWS Secrets Manager, Azure Key Vault. Nunca em planilha, e-mail, Slack ou Git
• ✓ Use variáveis de ambiente nos servidores: o token nunca deve aparecer em código-fonte ou ser commitado em repositórios
• ✓ Documente onde o token está em uso: mantenha um registro de quais sistemas usam o token de cada System User. Facilita a atualização quando necessário
• ! Nunca compartilhe o token em chat ou e-mail — qualquer pessoa com o token tem o mesmo acesso que o System User
• ! Ative o 2FA no BM e na conta pessoal do admin — o BM e os System Users são tão seguros quanto as credenciais do admin que os gerencia

Erros comuns ao configurar o System User

• ✗ Criar o System User sem atribuir o App — o botão "Gerar novo token" não funciona sem o App atribuído. A sequência correta: criar o System User → atribuir o App → atribuir os demais ativos → gerar o token
• ✗ Usar System User Admin quando Employee basta — Admin tem acesso a todo o BM. Use apenas quando a automação genuinamente precisa disso (raro)
• ✗ Fechar a janela sem copiar o token — o token aparece apenas uma vez. Se fechar sem copiar, é necessário revogar e gerar um novo, atualizando em todos os sistemas
• ✗ Selecionar permissões demais ao gerar o token — cada permissão extra aumenta o risco se o token for comprometido. Selecione apenas o mínimo necessário
• ✗ Não documentar onde o token está sendo usado — quando o token precisar ser atualizado (remoção do System User, por exemplo), você não saberá quais sistemas atualizar
• ✓ Sequência correta: Criar BM → Criar App no Meta Developers → Criar System User → Atribuir App → Atribuir outros ativos → Gerar token → Copiar imediatamente → Armazenar em cofre → Configurar nas ferramentas

Perguntas frequentes (FAQ)