Utilisateur système Conversions API : comment créer le token d'accès

Un utilisateur système Conversions API est un compte non humain de Meta Business Manager qui possède le token d'accès authentifiant tes événements CAPI côté serveur. Tu le crées dans Business Settings, assignes ton pixel (désormais un dataset) et ton compte publicitaire, puis génères un token doté des scopes ads_management, business_management et pages_read_engagement. Le token n'est affiché qu'une seule fois et n'expire pas, alors stocke-le de façon sécurisée et révoque-le pour le faire tourner. Il permet à ton serveur d'envoyer des événements à Meta sans dépendre de la connexion de qui que ce soit.

Ton intégration Conversions API a besoin d'exactement une chose avant de pouvoir envoyer le moindre événement : un token d'accès lié à un utilisateur système, pas à toi. Trompe-toi sur ce token, ou génère-le sous le mauvais compte, et les événements n'arrivent jamais.

L'ennui est que la configuration cache quelques pièges. Il y a deux façons différentes de créer le token, le bouton Generate est invisible sauf si tu as le bon accès, et le token ne s'affiche jamais qu'une seule fois. Ce guide couvre la couche d'authentification de bout en bout : ce qu'est un utilisateur système, les deux voies de création, les permissions exactes à accorder, comment garder le token en sécurité et le révoquer, et comment faire tout cela pour le pixel d'un client. Pour ce qu'est réellement la Conversions API et pourquoi le suivi côté serveur compte, consulte le guide hub de la Conversions API. Ici, on se concentre sur l'identifiant.

Qu'est-ce qu'un utilisateur système Conversions API ?

Un utilisateur système est un compte dans Meta Business Manager qui représente un serveur ou un logiciel, pas une personne. Meta décrit les utilisateurs système comme des comptes qui « représentent des serveurs ou des logiciels effectuant des appels API vers des assets gérés par un portfolio business ». Vois-le comme un compte robot que tu crées pour ton backend, et le token qu'il détient est l'identifiant que ton serveur présente quand il envoie des événements à Meta.

C'est pourquoi la CAPI utilise un utilisateur système plutôt que ta connexion personnelle. Un token d'accès personnel est lié au compte Facebook d'un individu, expire régulièrement et doit être rafraîchi via un flux de connexion. Rien de tout cela ne fonctionne pour un serveur sans surveillance. Un token d'utilisateur système, en revanche, est à longue durée de vie et n'expire pas de lui-même, donc il se comporte comme une clé API permanente pour ton business.

Il en existe deux sortes. Un utilisateur système ordinaire (employé) ne peut toucher qu'aux assets que tu lui assignes. Un utilisateur système admin peut en plus créer d'autres utilisateurs système et assigner des permissions. Pour l'envoi d'événements CAPI de routine, un utilisateur système ordinaire suffit et est plus sûr. Réserve le type admin aux cas qui gèrent réellement d'autres utilisateurs, et protège son token soigneusement car il porte bien plus de pouvoir.

Avant de commencer : accès et prérequis

La raison la plus courante pour laquelle les gens restent bloqués est l'accès. Avant de pouvoir générer un token, assure-toi d'avoir tout ceci en place :

• Rôle admin du business. Tu dois être admin du Business Manager qui possède le pixel (dataset), et pas juste advertiser ou analyst. Sans droits admin, les contrôles pour créer un utilisateur système ou un token n'apparaissent pas.
• Accès développeur à une application. Le token est émis dans le contexte d'une application Meta, donc tu as besoin d'un accès développeur ou admin à une application de ce business. Si tu ne l'as pas, le contrôle Generate Access Token est masqué ou désactivé.
• Une application revendiquée. Ton business doit posséder (revendiquer) une application Meta à associer au token. Si tu n'en as pas, crée-en une dans Meta for Developers et ajoute-la sous Business Settings, puis définis le business comme propriétaire.
• Propriété du pixel. Le pixel ou dataset doit appartenir au même business où tu crées l'utilisateur système. S'il a été créé dans un autre business, bascule vers ce business ou fais partager le pixel au tien.

Si l'un de ces éléments manque, l'interface soit masque l'option Generate, soit renvoie une erreur de permissions insuffisantes. Un piège fréquent : les personnes qui sont « le propriétaire » d'un compte ne peuvent toujours pas générer de token parce qu'elles n'ont pas les droits admin sur le business spécifique qui possède le pixel. Corrige d'abord le rôle, puis poursuis.

Note le changement de libellé de 2026 : ton pixel apparaît maintenant sous Data Sources en tant que dataset dans Events Manager. Même objet, formulation plus récente.

Deux façons de créer le token d'accès

Il y a deux voies vers un token fonctionnel, et une seule est généralement montrée. La voie rapide le génère dans Events Manager en quelques clics. La voie manuelle te fait construire l'utilisateur système toi-même dans Business Settings, te donnant le contrôle sur son rôle, ses assets, son application et ses scopes.

Voie rapide : générer le token dans Events Manager

Si tu as juste besoin d'un token pour un pixel, le raccourci d'Events Manager est la voie la plus rapide :

1. Ouvre Events Manager et sélectionne ton pixel ou dataset sous Data Sources.
2. Clique sur l'onglet Settings de cette source de données.
3. Fais défiler jusqu'à la section Conversions API et clique sur Generate Access Token (parfois derrière une étape Get Started ou Set Up Manually).
4. Confirme l'invite. Le token est affiché exactement une fois. Copie-le immédiatement.

Voici la partie facile à manquer : ce raccourci crée silencieusement en arrière-plan un utilisateur système nommé « Conversions API System User » et lui accorde le contrôle du pixel. Regarde ensuite sous Business Settings, puis Users, puis System Users et tu le verras s'y trouver. Cela compte plus tard, car c'est là que tu vas pour gérer ou révoquer ce token.

Pas de lien Generate Access Token ? C'est l'endroit unique le plus courant où ce flux meurt, et c'est un problème d'accès, pas un bug : il te manque un accès développeur à une application du business. Règle d'abord les prérequis ci-dessus. L'URL directe vers les paramètres du dataset, si tu veux sauter les clics, suit le modèle business.facebook.com/events_manager2/list/dataset/<PIXEL_ID>/settings.

Voie manuelle : créer un utilisateur système dans Business Settings

La voie manuelle prend plus de temps mais te donne le contrôle complet, ce que tu veux pour les agences, les multiples assets ou une politique de rotation délibérée.

Ajoute l'utilisateur système

Va dans Business Settings, puis Users, puis System Users, et clique sur Add. Donne-lui un nom clair comme « CAPI_ServerEvents » et choisis un rôle. Choisis Employee sauf si cet utilisateur a réellement besoin de gérer d'autres utilisateurs système, auquel cas choisis Admin. Le moindre privilège l'emporte ici.

Assigne les assets

Une fois l'utilisateur système créé, clique sur Add Assets. Assigne le pixel (dataset) avec la permission Manage Pixel (contrôle complet), et assigne tout compte publicitaire dont l'intégration a besoin. Si tu sautes la permission Manage Pixel, Meta rejette les appels CAPI avec une erreur de permission même quand le token lui-même semble valide.

Génère le token et choisis les permissions

Clique maintenant sur Generate New Token. Sélectionne l'une de tes applications Meta possédées par le business, puis choisis les scopes de permission. Pour l'envoi d'événements CAPI standard, accorde :

• ads_management pour publier des événements vers le compte publicitaire et le pixel
• business_management pour l'accès général aux assets du business
• pages_read_engagement si tes événements impliquent des données de Page

Clique sur Generate Token, puis copie la chaîne immédiatement et colle-la dans un stockage sécurisé. Tu ne peux plus la voir après avoir fermé la boîte de dialogue. L'URL directe des paramètres suit le modèle business.facebook.com/settings/system-users?business_id=<BUSINESS_ID>.

Permissions et rôles du token expliqués

Trois couches de permission différentes décident si ton token fonctionne réellement. Garde-les claires :

La documentation de niveau partenaire « Conversions API as a Platform » de Meta liste aussi ads_read, mais ce scope n'est généralement nécessaire que pour lire des insights ou pour l'App Review, pas pour un token CAPI en self-service. Accorde le minimum dont l'intégration a besoin et rien de plus.

Garde le token d'accès en sécurité

Ce token est un secret, point final. Il permet à un serveur d'envoyer des événements dans tes données publicitaires et de lire des assets business, alors traite-le comme un mot de passe.

• Stocke-le uniquement côté serveur. Mets-le dans une variable d'environnement ou un gestionnaire de secrets. Ne le colle jamais dans du code côté client, un navigateur, un dépôt public ou un document partagé.
• Attention au token admin. Si tu as utilisé un utilisateur système admin, son token est particulièrement puissant. Meta avertit explicitement de « protéger soigneusement le token de l'utilisateur système admin » et de limiter où il est utilisé. Quand tu le peux, envoie plutôt les événements CAPI de routine avec un token d'utilisateur système ordinaire.
• Ajouter des assets ne nécessite pas de nouveau token. Si tu assignes plus tard un autre pixel ou compte publicitaire au même utilisateur système, le token existant gagne automatiquement ces droits. Aucune réémission nécessaire.

Comment révoquer ou faire tourner un token

Comme ces tokens sont en pratique permanents, prévois de les faire tourner. Pour en révoquer un, va dans Business Settings, puis Users, puis System Users, sélectionne l'utilisateur (pour la voie rapide c'est « Conversions API System User »), et clique sur Revoke Tokens. La révocation est immédiate, et toute intégration utilisant ce token cesse d'envoyer des données aussitôt. Pour faire tourner proprement, génère d'abord le nouveau token, mets à jour ton serveur pour l'utiliser, confirme que les événements circulent toujours, puis révoque l'ancien.

Générer un token pour le pixel d'un client (agences)

Si tu fais tourner la CAPI au nom de clients, tu as trois options viables :

• Le client partage le pixel. Le client ajoute ton Business Manager comme partenaire sur son pixel (dataset). Ton business assigne alors son propre utilisateur système à ce pixel partagé et génère un token. Tu dois quand même être admin de ton business pour le créer.
• Le client crée et remet le token. Le client construit l'utilisateur système et le token dans son propre business, assigne son pixel, et te partage la chaîne de façon sécurisée. L'avantage est que le client garde le contrôle et peut le révoquer à tout moment.
• Facebook Business Extension ou l'API de plateforme. Pour des intégrations plus poussées, le programme Conversions API as a Platform de Meta permet à ton application de récupérer les tokens des clients de façon programmatique, et tu attribues les événements avec le champ partner_agent.

Pour la plupart des agences, la voie du partage du pixel est la plus simple. Dans tous les cas, les événements sont attribués au pixel du client tant que tu envoies vers le bon Pixel ID.

Vérifie que la connexion fonctionne

Une fois le token en direct, confirme que les événements atterrissent réellement avant de faire confiance à la configuration :

• Envoie un événement de test. Fais un POST d'un événement d'exemple vers le endpoint events de la Graph API pour ton pixel avec le nouveau token. Un appel réussi renvoie une réponse 200 avec un id d'événement.
• Utilise l'outil Test Events. Dans Events Manager, ouvre Test Events pour le pixel, copie le test_event_code et inclus-le sur un événement serveur. Ton événement devrait apparaître dans le tableau de bord en temps réel, ce qui confirme que le token de l'utilisateur système authentifie correctement.
• Connais les limites de l'extension de navigateur. Le Meta Pixel Helper ne voit que les événements de pixel côté navigateur, donc il ne peut pas montrer ton trafic CAPI envoyé depuis le serveur. C'est quand même le bon outil pour confirmer que le pixel du navigateur se déclenche, ce qui compte pour la déduplication : envoie le même event_id depuis le pixel et la CAPI pour que Meta fusionne les doublons.

Si tu préfères éviter entièrement de gérer un token et un serveur, la passerelle Conversions API gérée s'occupe de la connexion pour toi comme alternative à faible code.

Conclusion

L'utilisateur système Conversions API est l'identité qui possède ton identifiant côté serveur, et bien le faire est surtout une question d'accès et de soin :

• Confirme que tu es admin du business avec un accès développeur avant de commencer, sinon le contrôle Generate reste masqué.
• Choisis la voie rapide Events Manager pour un pixel, ou la voie manuelle Business Settings quand tu veux le contrôle sur le rôle, les assets et les scopes.
• Assigne Manage Pixel sur le dataset et dote le token des scopes ads_management, business_management et pages_read_engagement.
• Copie le token une fois, stocke-le côté serveur, et révoque-le depuis System Users pour le faire tourner.

Avec le token créé et vérifié, tu es prêt à le raccorder à ton serveur ou à ton intégration et à commencer à envoyer des événements durables côté serveur à Meta.