TP41: T5-Anleitung (IdP-Callbacks) + TP30 Posten #7 (Terpene-Keystore-PW-Leak)

Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com>

docs/tp41-t5-idp-callback-anleitung.md

@@ -0,0 +1,38 @@
+# TP41 T5 — IdP-Callback-URLs reparieren (der Daily-OTP-Fix)
+
+**Problem:** Nach dem Team-Domain-Rename `bf4` → `emsenhuber` kennen die OAuth-Apps bei GitHub/Google
+die neue Callback-URL nicht. Login schlägt mit „redirect_uri is not associated with this application"
+fehl → Cloudflare Access fällt auf **E-Mail-OTP** zurück (das tägliche Nervthema).
+
+**Die EINE URL**, die bei beiden Providern hinterlegt sein muss:
+`https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`
+
+## GitHub  (Client ID `Ov23li2h96hAkGRPJXYV`)
+1. github.com → rechts oben aufs Profilbild → **Settings**.
+2. Linke Spalte ganz unten **Developer settings** → **OAuth Apps**.
+3. Die App mit Client ID `Ov23li2h96hAkGRPJXYV` öffnen.
+4. **Authorization callback URL** = `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
+5. (Optional **Homepage URL** = `https://emsenhuber.cloudflareaccess.com`.)
+6. **Update application** klicken.
+
+## Google  (Client ID `276709275903-b3q55lsj203v4strbhh5mub76cib867e.apps.googleusercontent.com`)
+1. console.cloud.google.com → oben das richtige **Projekt** wählen.
+2. **APIs & Services** → **Credentials**.
+3. Unter **OAuth 2.0 Client IDs** den Client `276709275903-…apps.googleusercontent.com`
+   (Typ *Web application*) öffnen.
+4. **Authorized redirect URIs** → **+ ADD URI** →
+   `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
+5. **Authorized JavaScript origins** → **+ ADD URI** → `https://emsenhuber.cloudflareaccess.com`.
+6. **SAVE**. (Google-Propagation dauert teils ein paar Minuten.)
+
+## Testen
+1. Neues **privates** Browserfenster → eine Access-geschützte Seite öffnen.
+2. Beim CF-Login **GitHub** bzw. **Google** wählen → muss ohne „redirect_uri"-Fehler durchlaufen,
+   **keine** OTP-Mail mehr.
+3. Gegenprobe (optional, kann Claude read-only): CF-Audit
+   `GET /accounts/<acc>/access/logs/access_requests` → `identity_provider` = `github`/`google`
+   statt `onetimepin`.
+
+## Hinweis
+Die Team-Domain heißt `emsenhuber.cloudflareaccess.com` (das alte Org-Label `bf4…` in CF nicht
+anfassen). Session gilt 720 h (30 Tage) — nach dem Fix sollte der Login also lange halten.