99,95 % Uptime
API-SLO der letzten 12 Monate
Docs • API v2.4.0 Enterprise
Boostly-Dokumentation & API
Vom ersten Token bis Production in 15 Minuten: OAuth 2.0, REST-Endpoints, HMAC-SHA256-signierte Webhooks und fertige SDKs. Unten: Live-API-Konsole — Endpoint und Sprache wählen, „Ausführen“ drücken.
1. App erstellen
Registrieren, client_id und client_secret erhalten. Redirect-URI hinzufügen — Token nur via offizielles Meta* OAuth 2.0.
2. Token holen
Authorization Code gegen Access Token tauschen. Langlebige Token erneuern sich 7 Tage vor Ablauf automatisch.
3. Thread finden und antworten
GET /v1/threads/search aufrufen, Entwurf via POST /v1/replies/draft, Publish via Approve — oder in Telegram bestätigen.
API-Konsole Playground
Endpoint und Sprache wählen — der Code baut sich selbst. „Ausführen“ liefert eine Mock-Antwort mit Latenz.
Antwort
~120 ms
mediane REST-Latenz (p50)
40+ Endpoints
Threads, Replies, Ads, DMs, Analytics
15 Minuten
von Registrierung bis erstem API-Call
Plattform-Fähigkeiten
Alles für Integration — out of the box
Auth, Events, Limits und SDKs: die vier Säulen jeder Integration.
OAuth 2.0 + Scopes
Minimale Scopes pro Aktion, PKCE für Public Clients, Token-Revoke per DELETE /v1/tokens.
Signierte Webhooks
Jedes Event HMAC-SHA256-signiert (X-Hub-Signature-256). Retries mit Exponential Backoff bis 24 Stunden.
Ehrliche Rate Limits
Limits in X-RateLimit-*-Headern. Adaptiver 4–9-Min-Jitter hält Accounts fern von Meta*-Spamfiltern.
SDKs & CLI
Offizielle SDKs für Python, Go und TypeScript + OpenAPI-3.1-Spec. Client für deinen Stack in einer Minute.
Engineering Deep Dive
So arbeitet die API innen
Vier Engineering-Entscheidungen für planbare Integrationen.
OAuth-2.0-Auth
Authorization Code + PKCE. Scopes: threads.read, replies.write, ads.moderate, dm.send. Token im AES-256-GCM-Vault, Renewal transparent.
Webhooks & HMAC-SHA256
Signatur über den Raw Body mit deinem App Secret. Timing-safe vergleichen, in 10 Sekunden mit 200 antworten — sonst Retry.
Rate Limits
600 Req/Min pro Key, 35 Publishes/Tag pro Profil, 4–9 Min Jitter. Bei 429 — Retry-After-Header und Queue auf unserer Seite.
SDK-first-Ansatz
OpenAPI 3.1 → generierte Clients. SDKs retryen, refreshen Token und maskieren PII in Logs out of the box.
Endpoint-Referenz
Kern-REST-API: Methode, Pfad und Zweck.
| Methode | Pfad | Beschreibung |
|---|---|---|
| GET | /v1/threads/search | Semantische Suche heißer Threads mit Intent-Scoring. |
| POST | /v1/replies/draft | Entwurf einer Expertenantwort in deinem Ton. |
| POST | /v1/replies/approve | Freigabe: Publish oder Telegram-Queue. |
| GET | /v1/ads/comments | Kommentarstrom unter deinen Ad-Creatives. |
| POST | /v1/ads/comments/hide | Shadow-Hide von Spam: Autor merkt nichts. |
| POST | /v1/dm/send | Lead-Magnet per DM mit Qualifizierung. |
Webhook-Beispiel: neuer heißer Thread
Boostly ruft deine URL bei jedem Event. Signatur vor Verarbeitung prüfen.
POST → https://deine-domain/hooks/boostly • Header X-Hub-Signature-256
POST /hooks/boostly HTTP/1.1
X-Hub-Signature-256: sha256=9f2c…e41a
{
"event": "thread.hot",
"thread_id": "thr_8H2KQ",
"intent_score": 0.96,
"replies_18m": 48,
"lang": "ru"
}
import hmac, hashlib
sig = hmac.new(APP_SECRET, raw_body, hashlib.sha256).hexdigest()
ok = hmac.compare_digest("sha256=" + sig, request.headers["X-Hub-Signature-256"])
Fehlercodes
Alle Fehler als JSON mit code, message und retryable.
| Code | Bedeutung | Maßnahme |
|---|---|---|
| 400 invalid_scope | Scope außerhalb App Review | Überflüssigen Scope entfernen, Docs prüfen |
| 401 token_expired | Token abgelaufen | Via Refresh oder OAuth erneuern |
| 409 already_published | Antwort bereits publiziert | GET-Status statt Retry |
| 422 spam_suspect | Von Meta* als Spam abgelehnt | Jitter erhöhen, Tempo senken |
| 429 rate_limited | Limit überschritten | Retry-After beachten, Queue aktivieren |
Boostly API vs direktes Graph API vs Scraping
Warum Integrationen auf uns aufbauen statt uns zu umgehen.
| Kriterium | Boostly API | Direkt / Scraping |
|---|---|---|
| Bann-Risiko | 0 %: offizielle Quoten und Jitter | Hoch: manuelle Limits und Bans |
| Telegram-Freigabe | Eingebaut: 1-Tap-Cards | Selbst von null bauen |
| Anti-Spam-Moderation | Dark Post Shield inklusive | Nur manuelles Verstecken |
| Audit & Compliance | Log, PII-Masken, SIEM-Export | Selbst loggen |
Heute erste Integration shippen
Sandbox, OpenAPI-Spec und SDKs — gratis im Trial. Erste freigegebene Antwort in 15 Minuten.
Heute erste Integration shippenSandbox inklusive • Keine Karte nötig
v2.4.03 Tage gratis starten
API-FAQ
App im Dashboard registrieren: client_id und client_secret erhalten, OAuth 2.0 durchlaufen. Test-Sandbox im Trial inklusive — Sandbox-Keys gratis.
HMAC-SHA256 über den Raw Body mit deinem App Secret berechnen und timing-safe mit X-Hub-Signature-256 vergleichen. Beispiel in der Webhook-Sektion oben.
600 Requests/Min pro Key, bis zu 35 Publishes/Tag pro Profil, 4–9 Min Jitter. Limits in X-RateLimit-*-Headern sichtbar.
Offizielle SDKs für Python, Go und TypeScript plus OpenAPI-3.1-Spec für jede Sprache. Beispiele in den Konsolen-Tabs oben.
Retry-After beachten und Job queuen — SDKs tun das automatisch. Keine Retry-Hammer: Das ist der direkte Weg zum Meta*-Bann.
Ja: DELETE /v1/tokens/{id} widerruft sofort. Bei Login-Anomalie greift Auto-Revoke selbst, der Inhaber erhält Telegram-Alarm.