bf-infra/docs/tp41-t5-idp-callback-anleitung.md

TP41 T5 — IdP-Callback-URLs reparieren (der Daily-OTP-Fix)

Problem: Nach dem Team-Domain-Rename bf4 → emsenhuber kennen die OAuth-Apps bei GitHub/Google die neue Callback-URL nicht. Login schlägt mit „redirect_uri is not associated with this application" fehl → Cloudflare Access fällt auf E-Mail-OTP zurück (das tägliche Nervthema).

Die EINE URL, die bei beiden Providern hinterlegt sein muss: https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback

GitHub (Client ID Ov23li2h96hAkGRPJXYV)

1. github.com → rechts oben aufs Profilbild → Settings.
2. Linke Spalte ganz unten Developer settings → OAuth Apps.
3. Die App mit Client ID Ov23li2h96hAkGRPJXYV öffnen.
4. Authorization callback URL = https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback.
5. (Optional Homepage URL = https://emsenhuber.cloudflareaccess.com.)
6. Update application klicken.

Google (Client ID 276709275903-b3q55lsj203v4strbhh5mub76cib867e.apps.googleusercontent.com)

1. console.cloud.google.com → oben das richtige Projekt wählen.
2. APIs & Services → Credentials.
3. Unter OAuth 2.0 Client IDs den Client 276709275903-…apps.googleusercontent.com (Typ Web application) öffnen.
4. Authorized redirect URIs → + ADD URI → https://emsenhuber.cloudflareaccess.com/cdn-cgi/access/callback.
5. Authorized JavaScript origins → + ADD URI → https://emsenhuber.cloudflareaccess.com.
6. SAVE. (Google-Propagation dauert teils ein paar Minuten.)

Testen

1. Neues privates Browserfenster → eine Access-geschützte Seite öffnen.
2. Beim CF-Login GitHub bzw. Google wählen → muss ohne „redirect_uri"-Fehler durchlaufen, keine OTP-Mail mehr.
3. Gegenprobe (optional, kann Claude read-only): CF-Audit GET /accounts/<acc>/access/logs/access_requests → identity_provider = github/google statt onetimepin.

Hinweis

Die Team-Domain heißt emsenhuber.cloudflareaccess.com (das alte Org-Label bf4… in CF nicht anfassen). Session gilt 720 h (30 Tage) — nach dem Fix sollte der Login also lange halten.