SNSの投稿自動化を個人で組んでいて、2アカウント目に対応させようとしたときの話です。半日つぶしました。原因が分かってみると、エラーメッセージが指していた方向とまったく違うところにありました。同じハマり方をする人がいそうなので、切り分けの手順ごと残します。

■ 症状：HTTPSの問題だと言われる

やろうとしたのは、既に1アカウントで動いているAPI連携に、2つ目のアカウントを追加することです。OAuthの認可を1回通すだけの作業のはずでした。

ブラウザで認可画面を開くと、こう返ってきます。

「安全でないページからはアクセストークンを取得できません。https:// で読み込み直してください」

素直に読めばHTTPSの話です。ローカルの受け口が http://localhost なので、まずそこを疑いました。

・リダイレクトURIをHTTPSにできないか調べる

・自己署名証明書を立てる方法を調べる

・プラットフォーム側の設定でlocalhostが例外扱いになるか調べる

ここで1時間以上使っています。全部ムダでした。

■ 真因：設定ファイルのアプリIDが「存在しないID」だった

行き詰まって、前提条件そのものを疑うことにしました。使っているアプリIDとシークレットが本当に有効なのか、トークンを使わずに確認できる方法を探したところ、client_credentials で叩くだけで判定できることが分かりました。

結果はこうでした。

・設定ファイルのアプリID → 「そのアプリは存在しません」というエラー

・別のIDを試す → 「シークレットが違います」というエラー

・別のIDと別のシークレットの組み合わせ → 200 OK

つまり設定ファイルに書かれていたアプリIDは、実在しない値でした。HTTPSの話は完全に的外れだったわけです。

■ なぜ何ヶ月も気づかなかったのか

ここがいちばん怖いところでした。

投稿系のAPIは、保存済みのアクセストークンだけで動きます。アプリIDとシークレットを使うのは認可の初回だけ。長期トークンの自動更新も別のパラメータで動く仕様だったため、誤った値が入っていても日常運用は何ヶ月も正常に見えていました。

2アカウント目を追加しようとした瞬間に、初めて露見したわけです。逆に言えば、1アカウントで回している限りこの誤りは永久に発見されません。

■ さらに悪いこと：正解は既に手元にあった

調べ終わってから気づいたのですが、正しいIDは別の場所のドキュメントに明記されていました。しかも「旧記録のこのIDは実在しない誤値。設定ファイルも誤値のままなので注意」という注意書きまで付いていました。

なぜ読まなかったのか。作業していたディレクトリの中に設定ファイルがあり、そちらのほうが「近かった」からです。距離が近い情報のほうが正しく見える、という素朴なバイアスがそのまま出ていました。

■ #PR ／楽天モバイル従業員紹介プログラム

本題の前に一点だけ。こうした検証環境を回すのにデータ通信を使うので、自分の回線も見直しました。ご参考まで。

・乗り換えで最大14,000ポイント、新規契約で11,000ポイント還元

・楽天グループ従業員である私が紹介者として運営しています

・プランや条件のご相談はLINEで個別に受け付けています

付与条件は変更されることがあるため、申し込み前に公式ページで最新の条件をご確認ください。

https://xs232654.xsrv.jp/go/brain/

ここから先は、この件から持ち帰った教訓と、実際に使っている検証手順をまとめています。