ld0687

Виноват.
НЕ обратил внимание на

Обратите внимание, что некоторые права могут быть запрошены только Standalone-приложением (например, право доступа messages). Это автоматически означает необходимость использования redirect_uri по умолчанию (см. redirect_uri).

Вопрос снимается

Нужно было дополнительно запросить group_photo.*
API OK - загадка

Разобрался.
CREATED_MS/1000 и далее уже форматируем как обычную UNIX-дату.

Впечатление, что в ok.api намерено добавлено много мути, причем без официального толкования, сильнее с каждым днем :)