Login social — IDs de terceiros

Se o ID (e o secret, quando existir) não estiver no .env / Compose da API, a integração fica desligada e o botão não aparece no login web nem no app. Segredos nunca são gravados nesta página.

Status ao vivo do ambiente atual:

Google (já no produto — F-241)

1. Abra o Google Cloud Console → Credenciais.
2. Crie um cliente OAuth Aplicativo da Web. Origens JS: https://bodyvisionia.com e http://localhost:8012.
3. Crie um cliente Android com package com.bodyvision.app e o SHA-1 do keystore EAS.
4. Cole no env: GOOGLE_OAUTH_WEB_CLIENT_ID e GOOGLE_OAUTH_ANDROID_CLIENT_ID.
5. Reinicie a API. Sem o Web client ID o botão Google some.

Apple (F-245) — destrava Google no iPhone

1. Em Apple Developer → Identifiers, abra o App ID com.bodyvision.app e marque Sign In with Apple.
2. Crie um Services ID (ex.: com.bodyvision.app.web), ligue Sign In with Apple, e configure Return URL: https://bodyvisionia.com/login e http://localhost:8012/login.
3. Env: APPLE_OAUTH_CLIENT_ID = Services ID (web) · APPLE_OAUTH_BUNDLE_ID = com.bodyvision.app (app iOS).
4. Sem um desses IDs o botão Apple some. No iOS, Google/Facebook/TikTok só aparecem se a Apple estiver ligada (regra da App Store 4.8).

Facebook (F-246)

1. Crie um app em Meta for Developers (tipo Consumidor).
2. Adicione o produto Facebook Login. Domínios: bodyvisionia.com. OAuth redirect web: https://bodyvisionia.com/login. Mobile: bodyvision://oauthredirect.
3. Em Configurações → Básico, copie o ID do app e o Chave secreta do app.
4. Env: FACEBOOK_APP_ID (público) e FACEBOOK_APP_SECRET (só servidor). Falta o secret → botão oculto, mesmo com o ID.
5. Peça o escopo email. Sem e-mail o BodyVision recusa o login (não cria conta órfã).

TikTok (F-247)

1. Registre o app em TikTok for Developers e ative o Login Kit.
2. Redirect URI web: https://bodyvisionia.com/oauth/tiktok (e o equivalente em localhost). Mobile: bodyvision://oauthredirect e com.bodyvision.app://oauthredirect.
3. Env: TIKTOK_CLIENT_KEY e TIKTOK_CLIENT_SECRET. Sem os dois o botão some.
4. Peça permissão de e-mail no console do TikTok. Se o Login Kit não devolver e-mail verificado, o servidor responde 401 e não cria conta.

Onde colar e como publicar

1. Local: backend/.env ou deploy/env/.env.development.
2. AWS: as mesmas chaves em docker-compose.aws.yml / secrets do host — depois docker compose up -d.
3. Não cole secrets no repositório nem nesta tela. Só IDs públicos podem aparecer no status.