TP41 abschließen: Google/GitHub ✅, FB abgesagt; Geli CF-seitig fertig (zt-humans-Enrollment + geli-Policy live geprüft)

- T5 durch: GitHub- und Google-Login laufen (User-bestätigt); Google via Consent-Fix External.
- Facebook/Meta für TP41 abgesagt (optional, kein CF-IdP, nichts aufzuräumen).
- Geli in WARP: CF-seitig nichts zu tun — "Warp Login App" → bf-users → zt-humans enthält
  Gelis Mails bereits; Rest = Device-Handgriff (WARP-Client, Team emsenhuber, OTP/Google).
- Permission-Frage beantwortet: keine nötig; /access/seats per Account-Token gesperrt (10405,
  Schema-Grenze, kein Scope-Fix). d47435-Revoke ✅, T3-WARP-Client-Verify ✅.
- Optionaler Security-Hinweis vermerkt: geli-Policy OR-Include CGNAT 94.154.138.0/24.

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/handoff-20260901-tp41-followup.md

@@ -8,8 +8,8 @@
 | # | Punkt | Stand |
 |---|---|---|
 | 1 | GitHub-Login | ✅ funktioniert (User bestätigt) |
-| 2 | Google „Zugriff blockiert: nur innerhalb der Organisation" | 🔴 **User-Fix** — OAuth-Consent-Screen steht auf *Internal*. Anleitung §A |
-| 3 | Meta/Facebook einbinden | ⏳ **App fehlt** — `FACEBOOK_APP_ID/SECRET` in beiden .env **leer**. Erst App anlegen (Anleitung §B), dann füge ich den CF-IdP hinzu |
+| 2 | Google „Zugriff blockiert: nur innerhalb der Organisation" | ✅ **gefixt** — User hat Consent-Screen auf *External* gestellt; Google-Login läuft (bestätigt 2026-09-01). Anleitung §A war der Weg. |
+| 3 | Meta/Facebook einbinden | ❌ **für TP41 abgesagt** (User-Entscheid 2026-09-01) — optional, kein Bedarf. Keine App, kein CF-IdP angelegt. Geli via OTP+Google voll gedeckt. §B nur noch als Anleitung, falls später gewünscht. |
 | 4 | Geli-Zugänge hinterlegen | ✅ `pillepalle670@gmail.com` in `zt-humans`. **FB-Konto-Mail = `angelikahy@outlook.de`** (schon drin → Facebook automatisch abgedeckt, sobald Meta läuft). Instagram = kein CF-IdP. |
 | 5 | App-Launcher überarbeiten | ✅ **D1 umgesetzt** — 3 Bookmark-Kacheln (Vaultwarden/Home Assistant/Terpenfinder), Bundle-/Wildcard-/Terpene-self_hosted-Kacheln aus dem Launcher genommen (Policies **unverändert** geprüft), Launcher gestylt (Titel „BF-Zugänge", Begrüßung, Buttons). |
 | 6 | `420.teilzeitladen.xyz` an dw | ✅ **Entscheidung:** Geli sofort per **WARP**; das dw-Site-DNS-Uplink-Thema → **TP43** (angelegt). |
@@ -91,9 +91,19 @@ CGNAT unkritisch) + Access-Policy auf die WARP-Identität — spart den ganzen d
 3. **dw-Ansatz:** ✅ Geli per **WARP** (sofort); Site-DNS-Uplink als **TP43** ausgelagert.
 
 ## Verbleibende offene To-Dos (User)
-- **§A Google-Consent-Screen** auf *External* + veröffentlichen (der eigentliche Grund, warum Gelis
-  Google-Login noch scheitert).
-- **§B Facebook-App anlegen** → App ID/Secret an mich (in `~/.secrets`) → ich lege den CF-IdP an.
-- **Geli in WARP** aufnehmen (dw-Zugang zu Terpenfinder ohne täglichen Login).
-- **T5 (TP41)** GitHub-Callback ✅; Google-Callback = derselbe Consent-Fix §A.
+- ~~**§A Google-Consent-Screen** auf *External*~~ ✅ **erledigt** — Google-Login läuft (2026-09-01).
+- ~~**§B Facebook-App anlegen**~~ ❌ **abgesagt für TP41** (User-Entscheid 2026-09-01) — optional; §B
+  bleibt als Anleitung stehen, falls später doch gewünscht.
+- ~~**d47435-Revoke**~~ ✅ erledigt · ~~**T3-WARP-Client-Verify**~~ ✅ ok (User, 2026-09-01).
+- **Geli in WARP:** ✅ **CF-seitig nichts zu tun** — Enrollment läuft über App „Warp Login App"
+  (`6c32fe23…`) → `bf-users` → Gruppe `zt-humans`, die Gelis Mails **schon enthält**; sie darf bereits
+  enrollen. Terpenfinder-`geli`-Policy lässt sie per E-Mail durch. **Rest = Handgriff auf Gelis Gerät:**
+  WARP installieren, Team `emsenhuber`, Login OTP `angelikahy@outlook.de` oder Google `pillepalle670@gmail.com`.
+  *Permission-Frage:* CF-seitig keine nötig; `/access/seats` per MCP nicht nutzbar (`10405`, Endpoint will
+  User-Token statt Account-Token — kein Scope-Fix, für Enroll irrelevant).
+- **T5 (TP41)** ✅ GitHub- **und** Google-Login laufen (bestätigt).
 - **TP43** (dw-Site-DNS) bei Gelegenheit.
+
+> **TP41-Auth-Kern damit abgeschlossen (2026-09-01):** T2/T3/T4/T5 ✅, FB abgesagt, d47435-Revoke ✅,
+> WARP-Verify ✅, Geli CF-seitig fertig. **Nichts mehr auf Claude-/CF-Seite offen** — verbleibt nur
+> Gelis WARP-Client auf ihrem Gerät.