Token API Allegro - jak go odnawiać i dlaczego integracja przestaje działać

Token API Allegro odnawia się automatycznie za pomocą tokenu odświeżającego (refresh token): integracja wymienia go na nową parę tokenów, zanim podstawowy token dostępowy straci ważność, i za każdym razem zapisuje nowy refresh token w miejsce starego. Integracja przestaje działać najczęściej dlatego, że refresh token wygasł, został użyty dwa razy albo Allegro unieważniło tokeny po zmianie hasła, wylogowaniu ze wszystkich urządzeń lub usunięciu powiązania z aplikacją.

W tym wpisie wyjaśniamy, jak działa autoryzacja w REST API Allegro, jak długo ważne są poszczególne tokeny, jak zaprojektować ich odświeżanie, żeby nie zgubić dostępu, i jak krok po kroku zdiagnozować sytuację, w której zamówienia z Allegro nagle przestają spływać do sklepu, ERP albo integratora. Opisujemy też, co zmienia się przy kilku kontach sprzedawcy obsługiwanych przez jedną aplikację.

[#wazne] W skrócie: token dostępowy Allegro jest ważny 12 godzin, a refresh token 3 miesiące i po pierwszym użyciu działa jeszcze tylko przez 60 sekund (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API). Integracja musi odświeżać tokeny automatycznie, zapisywać nowy refresh token przy każdym odświeżeniu i alarmować, gdy autoryzacja się nie powiedzie. Tokeny tracą ważność m.in. po zmianie hasła lub e-maila i po usunięciu aplikacji w zakładce „Powiązane aplikacje”. Programiści Vinson projektują i naprawiają takie integracje z Allegro.

Czym jest token API Allegro i jak działa autoryzacja OAuth

Token API Allegro to ciąg znaków, który aplikacja dołącza do każdego zapytania do REST API Allegro, żeby udowodnić, że ma prawo działać w imieniu konkretnego sprzedawcy albo korzystać z publicznych zasobów. Allegro opiera autoryzację na standardzie OAuth 2.0, więc integracja nigdy nie zna hasła sprzedawcy. Sprzedawca loguje się na stronie Allegro, wyraża zgodę na dostęp aplikacji, a aplikacja dostaje tokeny.

Dokumentacja Allegro dla deweloperów opisuje kilka sposobów uzyskania tokenu. Wybór zależy od tego, jakie dane ma pobierać integracja i czy po drugiej stronie jest przeglądarka:

Sposób autoryzacji	Kiedy się go używa	Czy daje dostęp do danych sprzedawcy
Authorization Code	Aplikacja webowa, np. moduł w sklepie, który przekierowuje sprzedawcę do logowania w Allegro	Tak, po zgodzie użytkownika
Device flow	Urządzenia i programy bez wygodnej przeglądarki, np. aplikacja na serwerze lub w magazynie	Tak, po zgodzie użytkownika na osobnym urządzeniu
Client credentials	Dostęp aplikacji do zasobów publicznych, bez kontekstu konkretnego konta	Nie
Dynamic Client Registration	Automatyczne tworzenie instancji aplikacji przez dostawców oprogramowania	Zależnie od dalszej autoryzacji

Dla integracji sklepu z kontem sprzedawcy w praktyce liczą się dwa pierwsze sposoby. Oba kończą się wydaniem dwóch tokenów: podstawowego tokenu dostępowego (access token), którym podpisuje się zapytania, i tokenu odświeżającego (refresh token), którym pobiera się nową parę, gdy pierwszy wygaśnie. Ogólne zasady działania API i autoryzacji w integracjach sklepu opisujemy we wpisie integracja API sklepu internetowego - jak to działa.

[#chart:wpr74a]

Jak długo ważny jest token Allegro - access token i refresh token

Według dokumentacji Allegro podstawowy token dostępowy jest ważny 12 godzin, a refresh token 3 miesiące. Refresh token jest jednorazowy: każde odświeżenie zwraca nowy token dostępowy i nowy refresh token, a stary refresh token po pierwszym użyciu działa jeszcze tylko przez 60 sekund. Kod autoryzacyjny z przepływu Authorization Code jest jednorazowy i ważny przez 10 sekund, więc aplikacja musi wymienić go na tokeny od razu po powrocie użytkownika (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Z tych zasad wynikają bardzo konkretne wymagania dla każdej integracji, niezależnie od tego, czy jest to moduł w sklepie, skrypt raportowy czy middleware między Allegro a ERP:

odświeżanie musi być automatyczne - nikt nie będzie ręcznie logował się co 12 godzin, a ręczna autoryzacja raz na kwartał kończy się przestojem, gdy ktoś o niej zapomni,
nowy refresh token trzeba zapisać od razu - jeśli integracja odświeży tokeny, ale nie zapisze nowego refresh tokenu, po 60 sekundach straci dostęp,
integracja nie może milczeć przez 3 miesiące - refresh token nieużyty przez cały okres ważności wygaśnie, nawet jeśli nic innego się nie zmieniło,
błąd autoryzacji musi kogoś powiadomić - bez alertu sklep dowiaduje się o problemie od klientów, którzy czekają na paczki.

Warto zwrócić uwagę na ostatni punkt z listy w kontekście sezonowości. Integracja używana tylko w części roku, np. skrypt do raportu kwartalnego albo moduł konta, z którego sprzedajesz sezonowo, może nie odświeżyć tokenu w ciągu 3 miesięcy. Rozwiązaniem jest zaplanowane zadanie, które odświeża tokeny regularnie, nawet gdy integracja nie pobiera żadnych danych.

Token API Allegro odnawia się automatycznie za pomocą tokenu odświeżającego (refresh token): integracja wymienia go na nową parę tokenów, zanim podstawowy token dostępowy straci ważność, i za każdym razem zapisuje nowy refresh token w miejsce starego. Integracja przestaje działać najczęściej dlatego, że refresh token wygasł, został użyty dwa razy albo Allegro unieważniło tokeny po zmianie hasła, wylogowaniu ze wszystkich urządzeń lub usunięciu powiązania z aplikacją.

W tym wpisie wyjaśniamy, jak działa autoryzacja w REST API Allegro, jak długo ważne są poszczególne tokeny, jak zaprojektować ich odświeżanie, żeby nie zgubić dostępu, i jak krok po kroku zdiagnozować sytuację, w której zamówienia z Allegro nagle przestają spływać do sklepu, ERP albo integratora. Opisujemy też, co zmienia się przy kilku kontach sprzedawcy obsługiwanych przez jedną aplikację.

[#wazne] W skrócie: token dostępowy Allegro jest ważny 12 godzin, a refresh token 3 miesiące i po pierwszym użyciu działa jeszcze tylko przez 60 sekund (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API). Integracja musi odświeżać tokeny automatycznie, zapisywać nowy refresh token przy każdym odświeżeniu i alarmować, gdy autoryzacja się nie powiedzie. Tokeny tracą ważność m.in. po zmianie hasła lub e-maila i po usunięciu aplikacji w zakładce „Powiązane aplikacje”. Programiści Vinson projektują i naprawiają takie integracje z Allegro.

Czym jest token API Allegro i jak działa autoryzacja OAuth

Token API Allegro to ciąg znaków, który aplikacja dołącza do każdego zapytania do REST API Allegro, żeby udowodnić, że ma prawo działać w imieniu konkretnego sprzedawcy albo korzystać z publicznych zasobów. Allegro opiera autoryzację na standardzie OAuth 2.0, więc integracja nigdy nie zna hasła sprzedawcy. Sprzedawca loguje się na stronie Allegro, wyraża zgodę na dostęp aplikacji, a aplikacja dostaje tokeny.

Dokumentacja Allegro dla deweloperów opisuje kilka sposobów uzyskania tokenu. Wybór zależy od tego, jakie dane ma pobierać integracja i czy po drugiej stronie jest przeglądarka:

Sposób autoryzacji	Kiedy się go używa	Czy daje dostęp do danych sprzedawcy
Authorization Code	Aplikacja webowa, np. moduł w sklepie, który przekierowuje sprzedawcę do logowania w Allegro	Tak, po zgodzie użytkownika
Device flow	Urządzenia i programy bez wygodnej przeglądarki, np. aplikacja na serwerze lub w magazynie	Tak, po zgodzie użytkownika na osobnym urządzeniu
Client credentials	Dostęp aplikacji do zasobów publicznych, bez kontekstu konkretnego konta	Nie
Dynamic Client Registration	Automatyczne tworzenie instancji aplikacji przez dostawców oprogramowania	Zależnie od dalszej autoryzacji

Dla integracji sklepu z kontem sprzedawcy w praktyce liczą się dwa pierwsze sposoby. Oba kończą się wydaniem dwóch tokenów: podstawowego tokenu dostępowego (access token), którym podpisuje się zapytania, i tokenu odświeżającego (refresh token), którym pobiera się nową parę, gdy pierwszy wygaśnie. Ogólne zasady działania API i autoryzacji w integracjach sklepu opisujemy we wpisie integracja API sklepu internetowego - jak to działa.

[#chart:wpr74a]

Jak długo ważny jest token Allegro - access token i refresh token

Według dokumentacji Allegro podstawowy token dostępowy jest ważny 12 godzin, a refresh token 3 miesiące. Refresh token jest jednorazowy: każde odświeżenie zwraca nowy token dostępowy i nowy refresh token, a stary refresh token po pierwszym użyciu działa jeszcze tylko przez 60 sekund. Kod autoryzacyjny z przepływu Authorization Code jest jednorazowy i ważny przez 10 sekund, więc aplikacja musi wymienić go na tokeny od razu po powrocie użytkownika (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Z tych zasad wynikają bardzo konkretne wymagania dla każdej integracji, niezależnie od tego, czy jest to moduł w sklepie, skrypt raportowy czy middleware między Allegro a ERP:

odświeżanie musi być automatyczne - nikt nie będzie ręcznie logował się co 12 godzin, a ręczna autoryzacja raz na kwartał kończy się przestojem, gdy ktoś o niej zapomni,
nowy refresh token trzeba zapisać od razu - jeśli integracja odświeży tokeny, ale nie zapisze nowego refresh tokenu, po 60 sekundach straci dostęp,
integracja nie może milczeć przez 3 miesiące - refresh token nieużyty przez cały okres ważności wygaśnie, nawet jeśli nic innego się nie zmieniło,
błąd autoryzacji musi kogoś powiadomić - bez alertu sklep dowiaduje się o problemie od klientów, którzy czekają na paczki.

Warto zwrócić uwagę na ostatni punkt z listy w kontekście sezonowości. Integracja używana tylko w części roku, np. skrypt do raportu kwartalnego albo moduł konta, z którego sprzedajesz sezonowo, może nie odświeżyć tokenu w ciągu 3 miesięcy. Rozwiązaniem jest zaplanowane zadanie, które odświeża tokeny regularnie, nawet gdy integracja nie pobiera żadnych danych.

Jak poprawnie odnawiać token API Allegro - zasady dla integracji

Samo wywołanie endpointu odświeżającego to kilka linijek kodu. Problemy pojawiają się dopiero przy zapisie, współbieżności i błędach sieci. Poniżej zasady, które stosujemy przy projektowaniu i przeglądach integracji z Allegro:

Odświeżaj z wyprzedzeniem. Zapisuj czas wygaśnięcia tokenu dostępowego i odświeżaj go np. kilkadziesiąt minut przed końcem ważności, a nie dopiero po błędzie 401.
Zapisuj parę tokenów jednocześnie. Nowy access token i nowy refresh token trzeba zapisać w jednej operacji, np. w jednej transakcji bazy danych. Zapis tylko jednego z nich to prosta droga do utraty dostępu.
Pozwól odświeżać tylko jednemu procesowi. Jeśli kilka procesów, np. pobieranie zamówień i aktualizacja stanów, odświeży token w tym samym czasie, jeden z nich użyje refresh tokenu, który chwilę wcześniej został wymieniony. Pomaga blokada (lock) na czas odświeżania albo osobna usługa, która jako jedyna zarządza tokenami.
Obsłuż zerwane połączenie. Jeśli odpowiedź z nowymi tokenami nie dotrze do integracji, stary refresh token działa jeszcze przez 60 sekund. Ponowienie w tym oknie zwykle ratuje sytuację, ponowienie po kilku minutach już nie.
Szyfruj tokeny. Refresh token daje dostęp do konta sprzedawcy przez długi czas. Przechowuj go zaszyfrowany, poza repozytorium kodu i poza logami.
Oddziel sandbox od produkcji. Każde środowisko ma osobną aplikację i osobne tokeny. Pomylenie ich daje błędy, które na pierwszy rzut oka wyglądają jak awaria Allegro.

[#tip] Najczęstszy błąd, który znajdujemy w kodzie integracji, to odświeżanie tokenu w kilku miejscach naraz: w cronie, w obsłudze błędu 401 i w ręcznym przycisku „Połącz ponownie”. Każde z tych miejsc działa poprawnie osobno, ale razem prowadzą do wyścigu, w którym wygrywa jeden proces, a reszta zapisuje nieaktualny refresh token. Jedno miejsce odpowiedzialne za tokeny eliminuje ten problem.

Dlaczego integracja z Allegro przestaje działać - najczęstsze przyczyny

Utrata ważności tokenu nie zawsze wynika z błędu w kodzie. Dokumentacja Allegro wymienia sytuacje, w których tokeny przestają działać po stronie Allegro, i dotyczy to zarówno tokenu dostępowego, jak i refresh tokenu. Poniżej zebraliśmy je razem z przyczynami, które leżą po stronie integracji:

[#chart:wpr74c]

Sytuacje po stronie sprzedawcy są szczególnie zdradliwe, bo nikt nie łączy ich z integracją. Pracownik zmienia hasło do konta po podejrzanym mailu, ktoś klika „wyloguj ze wszystkich urządzeń” albo porządkuje listę aplikacji w zakładce „Powiązane aplikacje” w Moje Allegro. Tokeny tracą wtedy ważność od razu, a integracja dowiaduje się o tym dopiero przy kolejnym zapytaniu. Dokumentacja wymienia też blokadę sprzedaży na koncie oraz przekroczenie limitu aktywnych sesji użytkownika, który wynosi 20 otwartych sesji (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Dlatego w procedurach bezpieczeństwa sklepu warto dopisać prostą zasadę: po zmianie hasła lub e-maila do konta Allegro trzeba ponownie autoryzować wszystkie integracje. Lista tych integracji powinna być spisana w jednym miejscu, razem z informacją, kto potrafi przeprowadzić autoryzację.

Błędy, które wyglądają jak problem z tokenem

Nie każdy błąd 401 lub 403 oznacza wygasły token. Dokumentacja Allegro wskazuje, że błąd może wynikać z użycia tokenu innego sprzedawcy niż właściciel zasobu, np. przy próbie pobrania zamówienia z konta B tokenem konta A, albo z użycia tokenu niewłaściwego typu, np. uzyskanego przez client credentials tam, gdzie potrzebny jest kontekst użytkownika. Komunikat o niemożności odczytania tokenu może z kolei oznaczać, że token z sandboxa trafił do środowiska produkcyjnego albo odwrotnie. Zbyt częste generowanie tokenów dla jednego użytkownika kończy się błędem 429, a na jednym koncie można mieć jednocześnie do 5 kluczy aplikacji (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Jak zdiagnozować błąd autoryzacji Allegro krok po kroku

Gdy zamówienia z Allegro przestają spływać, najpierw trzeba ustalić, czy problem dotyczy autoryzacji, czy czegoś innego, np. limitów zapytań, zmian w API albo błędów mapowania. Kolejność kroków, którą stosujemy przy diagnozie:

Sprawdź w logach integracji kod odpowiedzi i treść błędu z ostatnich zapytań do Allegro, a nie tylko komunikat wyświetlany w panelu sklepu.
Ustal, kiedy ostatni raz udało się odświeżyć token i czy nowy refresh token został zapisany.
Zapytaj osobę zarządzającą kontem, czy w tym czasie zmieniano hasło lub e-mail, wylogowano urządzenia albo usuwano aplikacje.
Sprawdź, czy token pochodzi z właściwego środowiska i należy do właściwego konta sprzedawcy.
Jeśli tokeny są nieważne, przeprowadź ponowną autoryzację i obserwuj, czy pierwsze odświeżenie po 12 godzinach przejdzie poprawnie.

[#chart:wpr74b]

Po ponownej autoryzacji integracja zwykle pobiera zaległe zamówienia sama, o ile zapamiętuje punkt, w którym skończyła. Warto jednak porównać liczbę zamówień w Allegro i w sklepie za okres przestoju, bo część integracji pobiera tylko zdarzenia z ostatnich godzin. Takie porównanie łatwo zautomatyzować w raporcie, o którym piszemy we wpisie raport sprzedaży z API Allegro i sklepu w Looker Studio.

Kilka kont Allegro w jednej integracji

Sklepy sprzedające z kilku kont Allegro mają osobną parę tokenów dla każdego konta. Integracja musi przechowywać je oddzielnie, odświeżać niezależnie i przy każdym zapytaniu używać tokenu konta, którego dotyczy zasób. Najczęstsze błędy w takich wdrożeniach to nadpisanie tokenów jednego konta tokenami drugiego przy ponownej autoryzacji oraz jeden wspólny alert, z którego nie wynika, które konto straciło dostęp. W bazie warto zapisywać przy tokenach identyfikator i login konta, a w panelu integracji pokazywać status autoryzacji każdego konta osobno.

Zmiana dostawcy integracji a tokeny Allegro

Tokeny są wydawane dla konkretnej aplikacji zarejestrowanej przez jej twórcę, a nie dla sklepu. Gdy zmieniasz programistę lub dostawcę integracji, nowa firma zwykle rejestruje własną aplikację i potrzebuje nowej autoryzacji konta. Stara aplikacja nadal ma dostęp, dopóki nie usuniesz jej z listy powiązanych aplikacji. Dlatego przy przekazaniu projektu warto ustalić, czyja jest aplikacja w portalu Allegro dla deweloperów, kto ma dostęp do jej danych, i po uruchomieniu nowej integracji usunąć powiązanie ze starą.

Monitoring tokenów i powiadomienia o błędach autoryzacji

Dobrze zaprojektowana integracja nie czeka, aż klient zapyta o paczkę. Minimalny monitoring tokenów API Allegro obejmuje kilka elementów:

alert e-mail lub na komunikatorze przy pierwszym nieudanym odświeżeniu tokenu, z nazwą konta,
alarm, gdy od ostatniego pobrania zamówień minęło więcej czasu niż zwykle w danej porze dnia,
widoczną w panelu datę ostatniego udanego odświeżenia i datę wygaśnięcia refresh tokenu,
przypomnienie dla zespołu o ponownej autoryzacji po zmianie hasła lub e-maila do konta.

Takie powiadomienia są tanie we wdrożeniu, a skracają przestój z kilku dni do kilku minut. Przy integracjach budowanych od podstaw zaczynamy od nich, zanim dodamy kolejne funkcje. Przy gotowych modułach i wtyczkach sprawdzamy, czy autor przewidział alerty, a jeśli nie, dodajemy zewnętrzny monitoring oparty na logach lub na liczbie pobranych zamówień. Podobne zasady odświeżania tokenów opisujemy na przykładzie konkretnej platformy we wpisie o tym, czy do integracji WooCommerce z Allegro wybrać wtyczkę czy własne rozwiązanie.

Jak Vinson pomaga z tokenami API Allegro i integracjami

Programiści Vinson projektują, przeglądają i naprawiają integracje z REST API Allegro: moduły sklepów, skrypty raportowe i middleware między Allegro, sklepem i ERP. Sprawdzamy, jak integracja przechowuje i odświeża tokeny, usuwamy wyścigi między procesami, dodajemy szyfrowanie, logi i alerty o błędach autoryzacji, a przy kilku kontach porządkujemy przechowywanie tokenów. Gdy integracja już stoi, diagnozujemy przyczynę, przywracamy autoryzację i sprawdzamy, czy żadne zamówienie nie zginęło po drodze. Szczegóły znajdziesz na stronie Wsparcie programistyczne dla e-commerce.

Najczęściej zadawane pytania

Jak długo ważny jest token API Allegro?

Podstawowy token dostępowy Allegro jest ważny 12 godzin, a refresh token 3 miesiące (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API). Integracja powinna odświeżać token dostępowy automatycznie, zanim wygaśnie, i przy okazji dostaje nowy refresh token, który trzeba od razu zapisać.

Dlaczego integracja z Allegro nagle przestała działać?

Najczęściej refresh token wygasł albo został unieważniony, np. po zmianie hasła lub e-maila do konta, wylogowaniu ze wszystkich urządzeń albo usunięciu aplikacji z listy powiązanych aplikacji. Częstą przyczyną jest też błąd w kodzie, przez który integracja nie zapisała nowego refresh tokenu po odświeżeniu.

Czy po zmianie hasła do Allegro trzeba ponownie połączyć integracje?

Tak. Dokumentacja Allegro wymienia zmianę hasła i zmianę adresu e-mail wśród sytuacji, w których tokeny tracą ważność. Po takiej zmianie trzeba ponownie autoryzować każdą integrację, która korzysta z konta, dlatego warto mieć ich spisaną listę.

Czy refresh token Allegro można użyć kilka razy?

Nie. Refresh token jest jednorazowy: po pierwszym użyciu działa jeszcze tylko przez 60 sekund, a odświeżenie zwraca nowy refresh token. Jeśli kilka procesów odświeża token jednocześnie, część z nich dostanie błąd, dlatego odświeżaniem powinien zarządzać jeden proces.

Gdzie sprawdzić, które aplikacje mają dostęp do konta Allegro?

W Moje Allegro, w zakładce „Powiązane aplikacje”. Widać tam aplikacje, którym udzielono dostępu, i można je usunąć. Usunięcie aplikacji unieważnia jej tokeny, więc integracja przestanie działać do czasu ponownej autoryzacji.

Token API Allegro to mały element integracji, ale gdy przestaje działać, zatrzymuje cały przepływ zamówień. Automatyczne odświeżanie, poprawny zapis nowej pary tokenów, jedno miejsce zarządzania autoryzacją i alerty przy pierwszym błędzie to fundament, który chroni sklep przed wielogodzinnym przestojem. Jeśli Twoja integracja z Allegro regularnie traci dostęp, sprawdź wsparcie programistyczne Vinson.

Jak poprawnie odnawiać token API Allegro - zasady dla integracji

Samo wywołanie endpointu odświeżającego to kilka linijek kodu. Problemy pojawiają się dopiero przy zapisie, współbieżności i błędach sieci. Poniżej zasady, które stosujemy przy projektowaniu i przeglądach integracji z Allegro:

Odświeżaj z wyprzedzeniem. Zapisuj czas wygaśnięcia tokenu dostępowego i odświeżaj go np. kilkadziesiąt minut przed końcem ważności, a nie dopiero po błędzie 401.
Zapisuj parę tokenów jednocześnie. Nowy access token i nowy refresh token trzeba zapisać w jednej operacji, np. w jednej transakcji bazy danych. Zapis tylko jednego z nich to prosta droga do utraty dostępu.
Pozwól odświeżać tylko jednemu procesowi. Jeśli kilka procesów, np. pobieranie zamówień i aktualizacja stanów, odświeży token w tym samym czasie, jeden z nich użyje refresh tokenu, który chwilę wcześniej został wymieniony. Pomaga blokada (lock) na czas odświeżania albo osobna usługa, która jako jedyna zarządza tokenami.
Obsłuż zerwane połączenie. Jeśli odpowiedź z nowymi tokenami nie dotrze do integracji, stary refresh token działa jeszcze przez 60 sekund. Ponowienie w tym oknie zwykle ratuje sytuację, ponowienie po kilku minutach już nie.
Szyfruj tokeny. Refresh token daje dostęp do konta sprzedawcy przez długi czas. Przechowuj go zaszyfrowany, poza repozytorium kodu i poza logami.
Oddziel sandbox od produkcji. Każde środowisko ma osobną aplikację i osobne tokeny. Pomylenie ich daje błędy, które na pierwszy rzut oka wyglądają jak awaria Allegro.

[#tip] Najczęstszy błąd, który znajdujemy w kodzie integracji, to odświeżanie tokenu w kilku miejscach naraz: w cronie, w obsłudze błędu 401 i w ręcznym przycisku „Połącz ponownie”. Każde z tych miejsc działa poprawnie osobno, ale razem prowadzą do wyścigu, w którym wygrywa jeden proces, a reszta zapisuje nieaktualny refresh token. Jedno miejsce odpowiedzialne za tokeny eliminuje ten problem.

Dlaczego integracja z Allegro przestaje działać - najczęstsze przyczyny

Utrata ważności tokenu nie zawsze wynika z błędu w kodzie. Dokumentacja Allegro wymienia sytuacje, w których tokeny przestają działać po stronie Allegro, i dotyczy to zarówno tokenu dostępowego, jak i refresh tokenu. Poniżej zebraliśmy je razem z przyczynami, które leżą po stronie integracji:

[#chart:wpr74c]

Sytuacje po stronie sprzedawcy są szczególnie zdradliwe, bo nikt nie łączy ich z integracją. Pracownik zmienia hasło do konta po podejrzanym mailu, ktoś klika „wyloguj ze wszystkich urządzeń” albo porządkuje listę aplikacji w zakładce „Powiązane aplikacje” w Moje Allegro. Tokeny tracą wtedy ważność od razu, a integracja dowiaduje się o tym dopiero przy kolejnym zapytaniu. Dokumentacja wymienia też blokadę sprzedaży na koncie oraz przekroczenie limitu aktywnych sesji użytkownika, który wynosi 20 otwartych sesji (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Dlatego w procedurach bezpieczeństwa sklepu warto dopisać prostą zasadę: po zmianie hasła lub e-maila do konta Allegro trzeba ponownie autoryzować wszystkie integracje. Lista tych integracji powinna być spisana w jednym miejscu, razem z informacją, kto potrafi przeprowadzić autoryzację.

Błędy, które wyglądają jak problem z tokenem

Nie każdy błąd 401 lub 403 oznacza wygasły token. Dokumentacja Allegro wskazuje, że błąd może wynikać z użycia tokenu innego sprzedawcy niż właściciel zasobu, np. przy próbie pobrania zamówienia z konta B tokenem konta A, albo z użycia tokenu niewłaściwego typu, np. uzyskanego przez client credentials tam, gdzie potrzebny jest kontekst użytkownika. Komunikat o niemożności odczytania tokenu może z kolei oznaczać, że token z sandboxa trafił do środowiska produkcyjnego albo odwrotnie. Zbyt częste generowanie tokenów dla jednego użytkownika kończy się błędem 429, a na jednym koncie można mieć jednocześnie do 5 kluczy aplikacji (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API).

Jak zdiagnozować błąd autoryzacji Allegro krok po kroku

Gdy zamówienia z Allegro przestają spływać, najpierw trzeba ustalić, czy problem dotyczy autoryzacji, czy czegoś innego, np. limitów zapytań, zmian w API albo błędów mapowania. Kolejność kroków, którą stosujemy przy diagnozie:

Sprawdź w logach integracji kod odpowiedzi i treść błędu z ostatnich zapytań do Allegro, a nie tylko komunikat wyświetlany w panelu sklepu.
Ustal, kiedy ostatni raz udało się odświeżyć token i czy nowy refresh token został zapisany.
Zapytaj osobę zarządzającą kontem, czy w tym czasie zmieniano hasło lub e-mail, wylogowano urządzenia albo usuwano aplikacje.
Sprawdź, czy token pochodzi z właściwego środowiska i należy do właściwego konta sprzedawcy.
Jeśli tokeny są nieważne, przeprowadź ponowną autoryzację i obserwuj, czy pierwsze odświeżenie po 12 godzinach przejdzie poprawnie.

[#chart:wpr74b]

Po ponownej autoryzacji integracja zwykle pobiera zaległe zamówienia sama, o ile zapamiętuje punkt, w którym skończyła. Warto jednak porównać liczbę zamówień w Allegro i w sklepie za okres przestoju, bo część integracji pobiera tylko zdarzenia z ostatnich godzin. Takie porównanie łatwo zautomatyzować w raporcie, o którym piszemy we wpisie raport sprzedaży z API Allegro i sklepu w Looker Studio.

Kilka kont Allegro w jednej integracji

Sklepy sprzedające z kilku kont Allegro mają osobną parę tokenów dla każdego konta. Integracja musi przechowywać je oddzielnie, odświeżać niezależnie i przy każdym zapytaniu używać tokenu konta, którego dotyczy zasób. Najczęstsze błędy w takich wdrożeniach to nadpisanie tokenów jednego konta tokenami drugiego przy ponownej autoryzacji oraz jeden wspólny alert, z którego nie wynika, które konto straciło dostęp. W bazie warto zapisywać przy tokenach identyfikator i login konta, a w panelu integracji pokazywać status autoryzacji każdego konta osobno.

Zmiana dostawcy integracji a tokeny Allegro

Tokeny są wydawane dla konkretnej aplikacji zarejestrowanej przez jej twórcę, a nie dla sklepu. Gdy zmieniasz programistę lub dostawcę integracji, nowa firma zwykle rejestruje własną aplikację i potrzebuje nowej autoryzacji konta. Stara aplikacja nadal ma dostęp, dopóki nie usuniesz jej z listy powiązanych aplikacji. Dlatego przy przekazaniu projektu warto ustalić, czyja jest aplikacja w portalu Allegro dla deweloperów, kto ma dostęp do jej danych, i po uruchomieniu nowej integracji usunąć powiązanie ze starą.

Monitoring tokenów i powiadomienia o błędach autoryzacji

Dobrze zaprojektowana integracja nie czeka, aż klient zapyta o paczkę. Minimalny monitoring tokenów API Allegro obejmuje kilka elementów:

alert e-mail lub na komunikatorze przy pierwszym nieudanym odświeżeniu tokenu, z nazwą konta,
alarm, gdy od ostatniego pobrania zamówień minęło więcej czasu niż zwykle w danej porze dnia,
widoczną w panelu datę ostatniego udanego odświeżenia i datę wygaśnięcia refresh tokenu,
przypomnienie dla zespołu o ponownej autoryzacji po zmianie hasła lub e-maila do konta.

Takie powiadomienia są tanie we wdrożeniu, a skracają przestój z kilku dni do kilku minut. Przy integracjach budowanych od podstaw zaczynamy od nich, zanim dodamy kolejne funkcje. Przy gotowych modułach i wtyczkach sprawdzamy, czy autor przewidział alerty, a jeśli nie, dodajemy zewnętrzny monitoring oparty na logach lub na liczbie pobranych zamówień. Podobne zasady odświeżania tokenów opisujemy na przykładzie konkretnej platformy we wpisie o tym, czy do integracji WooCommerce z Allegro wybrać wtyczkę czy własne rozwiązanie.

Jak Vinson pomaga z tokenami API Allegro i integracjami

Programiści Vinson projektują, przeglądają i naprawiają integracje z REST API Allegro: moduły sklepów, skrypty raportowe i middleware między Allegro, sklepem i ERP. Sprawdzamy, jak integracja przechowuje i odświeża tokeny, usuwamy wyścigi między procesami, dodajemy szyfrowanie, logi i alerty o błędach autoryzacji, a przy kilku kontach porządkujemy przechowywanie tokenów. Gdy integracja już stoi, diagnozujemy przyczynę, przywracamy autoryzację i sprawdzamy, czy żadne zamówienie nie zginęło po drodze. Szczegóły znajdziesz na stronie Wsparcie programistyczne dla e-commerce.

Najczęściej zadawane pytania

Jak długo ważny jest token API Allegro?

Podstawowy token dostępowy Allegro jest ważny 12 godzin, a refresh token 3 miesiące (stan na maj 2026 - sprawdź aktualną dokumentację Allegro API). Integracja powinna odświeżać token dostępowy automatycznie, zanim wygaśnie, i przy okazji dostaje nowy refresh token, który trzeba od razu zapisać.

Dlaczego integracja z Allegro nagle przestała działać?

Najczęściej refresh token wygasł albo został unieważniony, np. po zmianie hasła lub e-maila do konta, wylogowaniu ze wszystkich urządzeń albo usunięciu aplikacji z listy powiązanych aplikacji. Częstą przyczyną jest też błąd w kodzie, przez który integracja nie zapisała nowego refresh tokenu po odświeżeniu.

Czy po zmianie hasła do Allegro trzeba ponownie połączyć integracje?

Tak. Dokumentacja Allegro wymienia zmianę hasła i zmianę adresu e-mail wśród sytuacji, w których tokeny tracą ważność. Po takiej zmianie trzeba ponownie autoryzować każdą integrację, która korzysta z konta, dlatego warto mieć ich spisaną listę.

Czy refresh token Allegro można użyć kilka razy?

Nie. Refresh token jest jednorazowy: po pierwszym użyciu działa jeszcze tylko przez 60 sekund, a odświeżenie zwraca nowy refresh token. Jeśli kilka procesów odświeża token jednocześnie, część z nich dostanie błąd, dlatego odświeżaniem powinien zarządzać jeden proces.

Gdzie sprawdzić, które aplikacje mają dostęp do konta Allegro?

W Moje Allegro, w zakładce „Powiązane aplikacje”. Widać tam aplikacje, którym udzielono dostępu, i można je usunąć. Usunięcie aplikacji unieważnia jej tokeny, więc integracja przestanie działać do czasu ponownej autoryzacji.

Token API Allegro to mały element integracji, ale gdy przestaje działać, zatrzymuje cały przepływ zamówień. Automatyczne odświeżanie, poprawny zapis nowej pary tokenów, jedno miejsce zarządzania autoryzacją i alerty przy pierwszym błędzie to fundament, który chroni sklep przed wielogodzinnym przestojem. Jeśli Twoja integracja z Allegro regularnie traci dostęp, sprawdź wsparcie programistyczne Vinson.

Token API Allegro - jak go odnawiać i dlaczego integracja przestaje działać