# TP41 T5 — IdP-Callback-URLs reparieren (der Daily-OTP-Fix)

**Problem:** Nach dem Team-Domain-Rename `bf4` → `emsenhuber` kennen die OAuth-Apps bei GitHub/Google
die neue Callback-URL nicht. Login schlägt mit „redirect_uri is not associated with this application"
fehl → Cloudflare Access fällt auf **E-Mail-OTP** zurück (das tägliche Nervthema).

**Die EINE URL**, die bei beiden Providern hinterlegt sein muss:
`https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`

## GitHub  (Client ID `Ov23li2h96hAkGRPJXYV`)
1. github.com → rechts oben aufs Profilbild → **Settings**.
2. Linke Spalte ganz unten **Developer settings** → **OAuth Apps**.
3. Die App mit Client ID `Ov23li2h96hAkGRPJXYV` öffnen.
4. **Authorization callback URL** = `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
5. (Optional **Homepage URL** = `https://emsenhuber.cloudflareaccess.com`.)
6. **Update application** klicken.

## Google  (Client ID `276709275903-b3q55lsj203v4strbhh5mub76cib867e.apps.googleusercontent.com`)
1. console.cloud.google.com → oben das richtige **Projekt** wählen.
2. **APIs & Services** → **Credentials**.
3. Unter **OAuth 2.0 Client IDs** den Client `276709275903-…apps.googleusercontent.com`
   (Typ *Web application*) öffnen.
4. **Authorized redirect URIs** → **+ ADD URI** →
   `https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback`.
5. **Authorized JavaScript origins** → **+ ADD URI** → `https://emsenhuber.cloudflareaccess.com`.
6. **SAVE**. (Google-Propagation dauert teils ein paar Minuten.)

## Testen
1. Neues **privates** Browserfenster → eine Access-geschützte Seite öffnen.
2. Beim CF-Login **GitHub** bzw. **Google** wählen → muss ohne „redirect_uri"-Fehler durchlaufen,
   **keine** OTP-Mail mehr.
3. Gegenprobe (optional, kann Claude read-only): CF-Audit
   `GET /accounts/<acc>/access/logs/access_requests` → `identity_provider` = `github`/`google`
   statt `onetimepin`.

## Hinweis
Die Team-Domain heißt `emsenhuber.cloudflareaccess.com` (das alte Org-Label `bf4…` in CF nicht
anfassen). Session gilt 720 h (30 Tage) — nach dem Fix sollte der Login also lange halten.