El token y el app secret se guardan cifrados y NO se pueden volver a leer desde aquí. Dejarlos vacíos significa «no los cambies».
Con relevo, este servidor JALA los mensajes por salida y NO hace falta abrirle ningún puerto a internet. La URL que va en Meta es la que devolvió el alta del buzón, no la de arriba. Vacío = webhook local, que tiene que ser pública y con HTTPS válido para que Meta la acepte.
Ese número tiene que estar en el padrón de consentimiento, o el envío se niega (es la regla de Meta, no nuestra).