Instagram API Key: was du stattdessen wirklich brauchst

Es gibt keinen Instagram API Key. Meta vergibt eine App-ID und ein App-Secret, und jeder Aufruf wird über ein Access Token autorisiert, das an ein professionelles Konto gebunden ist, per OAuth geholt wird und 60 Tage gilt. Der Suchbegriff ist falsch, nicht dein Verständnis. Alles unten wurde am 13. November 2026 in Metas Entwicklerdokumentation gelesen.

Warum es das, wonach du suchst, nicht gibt

Die Verwirrung ist nachvollziehbar, denn andere Plattformen funktionieren tatsächlich so. Ein YouTube API Key ist eine Zeichenkette, die du in eine URL klebst, um öffentliche Daten zu lesen. Pinterest, Google Maps und die meisten Nur-Lese-APIs geben dir etwas Ähnliches.

Instagram macht das nie. Es gibt keinen Endpunkt, der öffentliche Instagram-Daten gegen eine projektweite Zeichenkette herausgibt. Jeder Instagram-Endpunkt handelt im Namen eines bestimmten Kontos, das deiner App die Erlaubnis gegeben hat, und das heißt Nutzer-Token, nicht Key.

Der Rest dieser Seite handelt also von den drei Dingen, die den Key ersetzen: eine App, ein professionelles Konto und ein Token.

Was du brauchst, bevor irgendetwas funktioniert

Ein professionelles Konto. Business oder Creator. Ein privates Instagram-Profil erreicht die API in keiner Konfiguration. Das Umstellen ist kostenlos und dauert eine Minute in der Instagram-App, und es ist der häufigste Grund, warum eine korrekte Integration nichts zurückgibt.

Eine Meta-App. Im Meta App Dashboard angelegt, mit hinzugefügtem Instagram-Produkt. Hier liegen die beiden Zugangsdaten, die alle Key nennen: die Instagram App ID, die als client_id mitgeschickt wird, und das Instagram App Secret. Beide stehen unter App Dashboard, Instagram, API setup with Instagram login, dann Business login settings.

Die richtigen Scopes. Vier Werte, und die alten business_*-Namen sind veraltet:

• instagram_business_basic, Pflicht für alles, auch für den Refresh.
• instagram_business_content_publish zum Veröffentlichen.
• instagram_business_manage_comments zum Lesen und Beantworten von Kommentaren.
• instagram_business_manage_messages für den DM-Posteingang.

So bekommst du ein Access Token für die Instagram API

Vier Aufrufe. Die Dokumentation zu Business Login for Instagram ist die Quelle für jeden davon.

1. Schick den Nutzer zum Autorisierungsfenster.

https://www.instagram.com/oauth/authorize
  ?client_id=INSTAGRAM_APP_ID
  &redirect_uri=https://yourapp.com/auth
  &response_type=code
  &scope=instagram_business_basic,instagram_business_content_publish
  &state=anti_csrf_value

Die redirect_uri muss exakt einer im Dashboard registrierten entsprechen. Stimmt der Nutzer zu, kommt er mit einem code zurück.

2. Tausche den Code gegen ein Kurzzeit-Token. Der Code gilt eine Stunde und nur einmal. Er kommt mit einem angehängten #_, das du vor dem Senden entfernst.

curl -X POST https://api.instagram.com/oauth/access_token \
  -F client_id=INSTAGRAM_APP_ID \
  -F client_secret=INSTAGRAM_APP_SECRET \
  -F grant_type=authorization_code \
  -F redirect_uri=https://yourapp.com/auth \
  -F code=AQBx...

Zurück kommen ein access_token, die Instagram-eigene user_id und die erteilten permissions. Dieses Token hält eine Stunde, lang genug für Schritt 3 und sonst nichts.

3. Tausche es gegen ein Langzeit-Token. Nur serverseitig, weil der Aufruf dein App-Secret trägt.

curl -G https://graph.instagram.com/access_token \
  -d grant_type=ig_exchange_token \
  -d client_secret=INSTAGRAM_APP_SECRET \
  -d access_token=SHORT_LIVED_TOKEN

Die Antwort enthält expires_in: 5183944, also 60 Tage.

4. Erneuere es vor Tag 60.

curl -G https://graph.instagram.com/refresh_access_token \
  -d grant_type=ig_refresh_token \
  -d access_token=LONG_LIVED_TOKEN

Drei Bedingungen, alle dokumentiert und alle leicht zu verfehlen: Das Token muss mindestens 24 Stunden alt sein, es darf noch nicht abgelaufen sein, und der Nutzer muss instagram_business_basic erteilt haben. Verpasst du das Fenster, gibt es keinen Rettungsweg. Ein abgelaufenes Langzeit-Token lässt sich nicht mehr erneuern, und der Nutzer muss erneut durch den Autorisierungsbildschirm.

Instagram Login oder Facebook Login: zuerst die Konfiguration wählen

Meta bietet zwei Wege zu verbinden, und sie sind nicht austauschbar. Den falschen zu wählen heißt, die OAuth-Arbeit noch einmal zu machen.

Für ein Creator-Tool ist Instagram Login der leichtere Weg: keine Seite, keine Prüfung der Admin-Rechte und Messaging ohne zusätzliche Messenger Platform. Nimm Facebook Login, wenn du Hashtag-Suche, Produktmarkierung oder Partnership Ads brauchst, die es auf der anderen Seite nicht gibt. Die Token-Laufzeiten sind in beiden Fällen identisch: Codes für eine Stunde, Kurzzeit-Token für eine Stunde, Langzeit-Token für 60 Tage.

Was dir keiner der beiden Wege gibt, ist der alte Nur-Lese-Pfad. Die Basic Display API ist weg, und der Ersatz für diesen Zweck steht in die Alternative zur Instagram Basic Display API. Das Bild Endpunkt für Endpunkt, was noch übrig ist, steht in der Instagram Graph API 2026.

Der Teil, der drei Monate später bricht

Ein Token zu bekommen ist ein Nachmittag. Token am Leben zu halten ist die eigentliche Arbeit, und daran verrotten kleine Integrationen.

Die 60-Tage-Uhr läuft pro Konto. Bei einem Konto erneuerst du es von Hand und denkst daran. Bei zwölf brauchst du einen geplanten Job, der jedes Token lange vor Ablauf erneuert, das neue speichert und dich warnt, wenn eine Erneuerung scheitert, denn ein Fehlschlag ist still: Das alte Token funktioniert weiter, bis es das eines Tages nicht mehr tut.

Drei weitere Arten, wie dasselbe System zubeißt, und keine davon liegt an deinem Code:

• Ein Nutzer ändert sein Instagram-Passwort oder entzieht der App den Zugriff, und das Token stirbt sofort, unabhängig vom Ablaufdatum.
• Ein Konto wechselt zurück auf privat, und jeder Aufruf scheitert plötzlich mit einem Berechtigungsfehler statt mit einem Fehler zum Kontotyp.
• Deine App bleibt im Entwicklungsmodus, wo sie nur für Leute mit einer Rolle darin funktioniert. Darüber hinaus heißt es: Metas App-Review für jede Berechtigung, die du nutzt.

Dasselbe Muster wiederholt sich in jedem Netzwerk mit einer anderen Uhr und einem anderen stillen Fehler, und genau darum geht es in Access Tokens für Social Media.

Wann du aufhören solltest, das selbst zu bauen

Wenn Instagram das einzige Netzwerk ist, das du anfasst, mach es selbst. Eine App, ein OAuth-Flow, ein Refresh-Job ist eine bekannte Größe, und du behältst die volle Kontrolle über die Scopes.

Mit dem zweiten Netzwerk ändert sich die Rechnung. Jedes bringt eine eigene App mit, ein eigenes Review, eine eigene Token-Laufzeit und einen eigenen Grund, sich über Nacht zu trennen. Genau das macht PlugKit stattdessen: Instagram, Facebook, LinkedIn, TikTok, YouTube, X, WhatsApp und Telegram hinter einer REST-API und einem gehosteten MCP-Server auf https://api.plugkit.co/mcp, mit OAuth, Refresh und Wiederverbindung erledigt. Es kostet 49 $ pro Monat für 5 verbundene Konten, jederzeit kündbar, oder 97 $ für 30. Sieben Tage gratis, Karte bei der Anmeldung und nichts abgebucht vor Tag 7.

Es nimmt dir Metas App-Review nicht ab, und das kann nichts, solange du unter deiner eigenen App veröffentlichst. Was wegfällt, ist die Arbeit an Zugangsdaten pro Plattform und die Refresh-Jobs. Der Vergleich der Anbieter steht in der Guide zu Social-Media-APIs, und wenn ein Agent statt eines Skripts postet, ist der Instagram-MCP-Server der kürzere Weg.

FAQ

Hat Instagram einen API Key?

Nein. Meta vergibt eine Instagram App ID und ein Instagram App Secret für deine App, und jede Anfrage wird über ein per OAuth geholtes Nutzer-Access-Token autorisiert. Es gibt keinen projektweiten Key, der öffentliche Instagram-Daten liest, weil es diesen Endpunkt nicht gibt.

Wie bekomme ich ein Access Token für die Instagram API?

Schick den Kontoinhaber zu https://www.instagram.com/oauth/authorize, tausche den zurückgegebenen Code unter https://api.instagram.com/oauth/access_token gegen ein Stunden-Token, und tausche dieses dann unter https://graph.instagram.com/access_token mit grant_type=ig_exchange_token gegen ein 60-Tage-Token. Das Konto muss ein professionelles sein.

Wie lange hält ein Instagram Access Token?

Autorisierungscodes und Kurzzeit-Token halten eine Stunde. Langzeit-Token halten 60 Tage und lassen sich erneuern, sobald sie mindestens 24 Stunden alt sind. Ein abgelaufenes Langzeit-Token lässt sich nicht mehr erneuern, der Nutzer muss also erneut autorisieren.

Kann ich die Instagram API mit einem privaten Konto nutzen?

Nein. Die API erreicht nur professionelle Konten, Business oder Creator. Ein Konto auf professionell umzustellen ist kostenlos und dauert eine Minute in der Instagram-App, und es muss vor dem OAuth-Flow passieren, nicht danach.

Brauche ich eine Facebook-Seite für die Instagram API?

Nur mit der Facebook-Login-Konfiguration. Die Instagram API mit Instagram Login läuft ohne Seite und deckt Veröffentlichen, Kommentare, Insights, Erwähnungen und Messaging ab. Den an eine Seite gebundenen Weg brauchst du für Hashtag-Suche, Produktmarkierung und Partnership Ads.

AB

Antoine BlancoGründer von PlugKit. Betreibt seine eigenen Instagram-, YouTube- und X-Accounts über die hier beschriebene API und den MCP-Server.