Login social — IDs de terceiros

Se o ID (e o secret, quando existir) não estiver no .env / Compose da API, a integração fica desligada e o botão não aparece no login web nem no app. Segredos nunca são gravados nesta página.

Status ao vivo do ambiente atual:

Google (já no produto — F-241)

1. Abra o Google Cloud Console → Credenciais.
2. Crie um cliente OAuth Aplicativo da Web. Origens JS: https://bodyvisionai.com, https://www.bodyvisionai.com, https://app.bodyvisionai.com e http://localhost:8012. O host app é o mesmo servidor do apex — não crie subdomínio por módulo.
3. Crie dois clientes Android com package com.bodyvision.app: um com o SHA-1 da chave de assinatura da Play e outro com o SHA-1 da chave do EAS (APK preview). Crie um cliente iOS com o bundle com.bodyvision.app.
4. Cole no env: GOOGLE_OAUTH_WEB_CLIENT_ID, GOOGLE_OAUTH_ANDROID_CLIENT_ID (o da Play) e GOOGLE_OAUTH_IOS_CLIENT_ID (o mesmo ID gravado no build do iPhone).
5. Reinicie a API. Sem o Web client ID o botão Google some.

Apple (F-245) — destrava Google no iPhone

1. Em Apple Developer → Identifiers, abra o App ID com.bodyvision.app e marque Sign In with Apple.
2. Crie um Services ID (ex.: com.bodyvision.app.web), ligue Sign In with Apple, e configure Return URL: https://bodyvisionai.com/login, https://app.bodyvisionai.com/login e http://localhost:8012/login.
3. Env: APPLE_OAUTH_CLIENT_ID = Services ID (web) · APPLE_OAUTH_BUNDLE_ID = com.bodyvision.app (app iOS).
4. Sem um desses IDs o botão Apple some. No iOS, Google/Facebook/TikTok só aparecem se a Apple estiver ligada (regra da App Store 4.8).

Facebook (F-246)

1. Crie um app em Meta for Developers (tipo Consumidor).
2. Caso de uso Login do Facebook, com as permissões email e public_profile. Em Configurações → Básico, adicione as plataformas iOS (bundle com.bodyvision.app) e Android (pacote com.bodyvision.app, classe com.bodyvision.app.MainActivity e os key hashes da Play e do EAS). O retorno do app é fb<ID do app>://authorize, e o ID vai fixo no build do app (extra.facebookAppId): ID novo pede build novo.
3. Em Configurações → Básico, copie o ID do app e o Chave secreta do app.
4. Env: FACEBOOK_APP_ID (público) e FACEBOOK_APP_SECRET (só servidor). Falta o secret → botão oculto, mesmo com o ID.
5. Peça o escopo email. Sem e-mail o BodyVisionAI recusa o login (não cria conta órfã). E-mail que já tem conta não é juntado pelo Facebook (o Facebook não informa e-mail verificado): a pessoa entra do jeito de antes.

TikTok (F-247)

1. Registre o app em TikTok for Developers e ative o Login Kit.
2. Redirect URI web: https://bodyvisionai.com/oauth/tiktok, https://app.bodyvisionai.com/oauth/tiktok e o equivalente em localhost. Mobile: bodyvision://oauthredirect e com.bodyvision.app://oauthredirect.
3. Env: TIKTOK_CLIENT_KEY e TIKTOK_CLIENT_SECRET. Sem os dois o botão some.
4. Peça permissão de e-mail no console do TikTok. Se o Login Kit não devolver e-mail verificado, o servidor responde 401 e não cria conta.

Onde colar e como publicar

1. Local: backend/.env ou deploy/env/.env.development.
2. AWS: as mesmas chaves em docker-compose.aws.yml / secrets do host — depois docker compose up -d.
3. Não cole secrets no repositório nem nesta tela. Só IDs públicos podem aparecer no status.