Kundenverwaltung 1.0.33 – einmalige Betreiber-Einrichtung

Auslieferungszustand: Keine Meta-App eingerichtet. Käufer können noch kein echtes Meta-Konto verbinden. Die Login-, Rückruf-, Speicher-, Empfangs- und Trennabläufe sind implementiert, aber bislang nur mit simulierten Anbieterantworten geprüft. Keine echte Anbieterfreigabe oder Ende-zu-Ende-Zustellung behaupten.

Zentraler Dienst
Der Standarddienst läuft auf https://seo-marketing.koeln/wp-json/smk-connect/v1 . App-Geheimnisse gehören ausschließlich auf diese Betreiberinstallation. Käufer bekommen nur eine verschlüsselt gespeicherte installationsbezogene Verbindungskennung. Die Anbieteranmeldung findet bei Meta/Instagram statt, niemals in einem Passwortformular des Plugins.

Nächster notwendiger Schritt
Im Meta-Entwicklerkonto der SEO Marketing GmbH eine eigene Business-App für die Kundenverwaltung erstellen. Der Kontoinhaber bestätigt Unternehmen, Bedingungen und erforderliche geschäftliche Erklärungen selbst. Noch keine App-Geheimnisse im Chat übermitteln. Danach die gewünschten Produkte Instagram, Messenger und WhatsApp/Tech Provider einrichten. Für externe Käufer sind die passenden Advanced-Access-Freigaben und gegebenenfalls Business-/Access-Verifikation erforderlich. Testrollen allein reichen nicht zur Käuferfreigabe.

Feste URLs (exakt eintragen, keinen abschließenden Schrägstrich hinzufügen)
Instagram OAuth: https://seo-marketing.koeln/wp-json/smk-connect/v1/callback/instagram
Facebook OAuth: https://seo-marketing.koeln/wp-json/smk-connect/v1/callback/facebook
Embedded Signup startet auf: https://seo-marketing.koeln/wp-json/smk-connect/v1/start
Erlaubte JS-SDK-Domain: https://seo-marketing.koeln
Instagram Webhook: https://seo-marketing.koeln/wp-json/smk-connect/v1/webhook/instagram
Facebook Webhook: https://seo-marketing.koeln/wp-json/smk-connect/v1/webhook/facebook
WhatsApp Webhook: https://seo-marketing.koeln/wp-json/smk-connect/v1/webhook/whatsapp
Bei WhatsApp zusätzlich das account_update-Feld abonnieren. Standard-Cloud-API-Konfiguration für Embedded Signup v4, keine Migration/Coexistence. v2/v3 werden laut Meta am 15.10.2026 eingestellt. Graph-Version laut aktueller Dokumentation v26.0.

Berechtigungen
Instagram: instagram_business_basic, instagram_business_manage_messages.
Facebook: pages_show_list, pages_manage_metadata, pages_messaging.
WhatsApp: whatsapp_business_management, whatsapp_business_messaging; passende Facebook-Login-for-Business-Konfiguration mit Cloud API und 60-Tage-Token.
Webhook-Feld für Nachrichten: messages. Die allgemeinen Anmelde- und Hostingfreigaben müssen im Meta-Dashboard zusätzlich passend aktiviert sein. Der Anbieter kann weitere Prüfungen verlangen.

Geschützte Konfiguration auf dem Betreiberhost
Außerhalb ALLER öffentlichen Webverzeichnisse eine JSON-Datei mit Dateirechten 0600 anlegen. In wp-config.php nur den absoluten Pfad definieren:
define('SMK_CONNECT_OPERATOR_CONFIG', '/ABSOLUTER_PRIVATER_PFAD/meta-connect.json');

JSON-Struktur (Platzhalter, niemals so produktiv aktivieren):
{
  "enabled": false,
  "graph_version": "v26.0",
  "providers": {"instagram": false, "facebook": false, "whatsapp": false},
  "verify_token": "ZUFÄLLIGER_VERIFIZIERUNGSCODE",
  "meta_app_id": "META_APP_ID",
  "meta_app_secret": "META_APP_SECRET",
  "instagram_app_id": "INSTAGRAM_APP_ID",
  "instagram_app_secret": "INSTAGRAM_APP_SECRET",
  "whatsapp_config_id": "EMBEDDED_SIGNUP_V4_CONFIG_ID"
}
Diese Datei gehört NICHT in das Plugin-ZIP, die Mediathek, ein Repository oder auf Käuferseiten. Providers erst nach passender Einrichtung einzeln aktivieren. Den zentralen Dienst vor öffentlicher Freigabe mit Testrollen prüfen. Separate Test-/Produktions-Apps bevorzugen.

Vor produktiver Käuferfreigabe
- Drei echte Anmeldeabläufe jeweils mit Kontoauswahl, abgelehnter Berechtigung und erneutem Login prüfen.
- Jeweils echte eingehende Testnachricht und Wiederholungszustellung prüfen; nichts ungefragt senden.
- Ablauf/Entzug der Berechtigung, Instagram-Refresh und Trennen am echten Anbieter prüfen.
- Für WhatsApp registrierte Geschäftsnummer und PIN-Einrichtung prüfen; Zahlungsmethode erledigt der Kontoinhaber direkt im WhatsApp Manager. Keine Bezahlung durch das Plugin.
- Betreiber- und Käuferzeitplan laufen mindestens minütlich; zentrale Bereinigung täglich. Ohne Zeitplan kein garantierter Hintergrundabruf/fristgerechte Bereinigung. Keine historischen Nachrichtenimporte.
- Cache/WAF für /wp-json/smk-connect/v1/* ausschließen, HTTPS verifizieren, private IP-Ziele nicht freigeben, PHP OpenSSL und geschützte WordPress-Salts erhalten. Keine Token-/Callback-Querys in Analyse- oder Fehlerprotokollen speichern. Alle Sitzungsantworten dürfen nicht zwischengespeichert werden.
- Geschäfts-/Datenschutzangaben, Löschkontakt, Plattform-Datenlöschverfahren und Auftragsverarbeitung für den zentralen Nachrichtendienst finalisieren. Vorhandene Backups nach eigenem Löschkonzept behandeln. Keine pauschale DSGVO-Zertifizierung aus den technischen Tests ableiten.
- Trennen stoppt Empfang, entfernt zentrale Tokens und das Konto-Abonnement; vorhandene lokale Nachrichten bleiben erhalten. Die weitergehende App-Berechtigung kann zusätzlich direkt beim Anbieter entfernt werden. Bei gescheitertem Trennen bleibt „Trennung noch nicht bestätigt“ sichtbar und die Aktion kann wiederholt werden.

Referenzdokumentation, geprüft am 14.10.2026
https://developers.facebook.com/documentation/instagram-platform/instagram-api-with-instagram-login/business-login
https://developers.facebook.com/documentation/instagram-platform/webhooks/setup
https://developers.facebook.com/documentation/business-messaging/whatsapp/embedded-signup/version-4
https://developers.facebook.com/documentation/business-messaging/whatsapp/embedded-signup/implementation
https://developers.facebook.com/documentation/business-messaging/whatsapp/embedded-signup/onboarding-customers-as-a-tech-provider
