Автоматический онбординг: от оплаты до запущенной кампании

1 · Где настоящее узкое горлышко

Разобрали код монорепы (~/agents-monorepo). Факты:

• Движок рекламы — рабочий. Кампании создаются через Meta Graph API (createCampaignWithCreative.ts): нужны access_token + ad_account_id + page_id.
• TikTok, AmoCRM, Bitrix24 — OAuth есть. tiktokOAuth.ts, amocrmOAuth.ts, bitrix24OAuth.ts: клиент жмёт кнопку, редиректится, токен падает в БД сам.
• Facebook OAuth — не реализован. Токены кладутся в БД вручную, менеджер жмёт «approve FB» (fb_pending → fb_connected в onboarding.ts). Это и есть тот самый звонок.

2 · Онбординг — это два разных ведра

Бриф (ведро A) собирает Telegram-бот 16 шагами (telegramOnboarding/steps.ts). Осталось закрыть только ведро B — одной кнопкой.

3 · Официальный инструмент: Facebook Login for Business

Отдельный продукт Meta, созданный именно под SaaS, которые ведут рекламу за клиента:

• App Dashboard: создаётся configuration (System User) с правами ads_management, business_management, pages_show_list, pages_read_engagement, instagram_basic. Meta выдаёт config_id.
• Клиент жмёт «Подключить Facebook» → открывается бизнес-диалог Meta с этим config_id.
• Клиент жмёт «Разрешить» и выбирает кабинет/страницу/IG.
• Backend меняет код на BISU-токен (Business Integration System User) — не протухающий, привязанный к активам клиента.
• Backend сам читает ad_account_id, page_id, Instagram и кладёт в БД.

4 · Целевой автоматический флоу (payment → launch)

Оплата тарифа (Robokassa)
        │
        ▼
Бриф о бизнесе  ──────────────►  уже собран Telegram-ботом (ведро A)
        │
        ▼
Экран «Подключить Facebook»  ──►  клиент жмёт кнопку
        │
        ▼
Диалог Meta: «Разрешить» + выбор кабинета/страницы/IG
                    ◄── ЕДИНСТВЕННОЕ действие клиента (2–3 клика)
        │
        ▼
Backend: обмен кода на System User токен
Backend: авто-чтение ad_account_id + page_id + IG
Backend: сохранение (шифрованно)
        │
        ▼
Авто-переход fb_pending → fb_connected  (без ручного «approve»)
        │
        ▼
Генерация креативов (уже работает) + createCampaignWithCreative
        │
        ▼
Кампания запущена

Всё, что ниже «жмёт кнопку», делает backend без человека.

5 · Что неустранимо (честно)

Опустить ниже этого нельзя ни у кого — ни у Revealbot, ни у Madgicx. By design Meta:

• Клик «Разрешить» — согласие человека на доступ. Meta намеренно требует явного согласия, автоматизировать нельзя.
• Выбор актива — если у клиента несколько кабинетов/страниц, Meta покажет выбор. 1 клик.
• Разово (если применимо): связать Instagram с Facebook-страницей — если IG есть и ещё не привязан. Если IG нет — можно крутить через backed-IG на базе страницы, клиент не делает ничего.

6 · Что построить (разово, на весь продукт)

7 · Обходные пути — почему нет

• Ручной paste токена из Graph API Explorer — не обход App Review, а его отсрочка. Без App Review токен работает только пока клиент — тест-юзер приложения. На проде разваливается: короткоживущие токены = ручной ре-ввод = убитый self-serve. Годится только как внутренний костыль-мост на 1–2 своих аккаунтах, пока идёт App Review.
• Headless-браузер / скрейпинг — прямое нарушение ToS Meta. Enforcement: отзыв доступа, бан рекламного кабинета клиента (его деньги, его бизнес!), cease-and-desist. Риск не в твоём аккаунте — подставляешь кабинеты клиентов. Meta регулярно судится со скрейперами.

8 · Ты не изобретаешь нестандартное

Тот же путь у всех лидеров рынка:

• Revealbot: «Add profile» → редирект на Facebook → авторизация → список всех кабинетов профиля → тоггл нужных. Login for Business + их App Review.
• Madgicx: «Manage connected ad accounts» → popup авторизации (тот же OAuth-редирект).
• AdEspresso / Smartly и прочие — архитектурно обязаны идти так же: иного официального механизма для чужих кабинетов не существует.

9 · Что делать прямо сейчас

• Решение о курсе: официальный путь (Login for Business + App Review), обходные — вычёркиваем. Это стратегическое «да».
• Запустить Business Verification бизнеса Performante — самый долгий по календарю шаг, начинать первым, идёт в фоне.
• Построить facebookOAuth.ts по паттерну tiktokOAuth.ts (низкий риск, есть образец) + configuration в App Dashboard.
• Мост на время App Review: докрутить генерацию/запуск на 1–2 своих тест-аккаунтах через ручной токен, чтобы весь конвейер «оплата → запуск» был готов и оттестирован к моменту аппрува.
• После аппрува: снять ручной «approve FB», включить авто-переход fb_connected. Онбординг становится полностью self-serve.

10 · Обновление (2026-07-03): «нет юрлица» и обходные пути

Серые пути — две разные вещи

Серый рынок продаёт чужой аккаунт (риск на кабинетах клиентов); middleware даёт свой approved-слой (риск ноль, платишь ренту).

Ранжирование путей