30 · Epic K — Runbook de configuración (build 3)

Código listo en v0.18.0. Antes del build, ~15 min de consolas (una vez). A partir de este sprint, las iteraciones se llaman sprints (histórico: "rondas").

1 · Google Cloud (≈7 min)

console.cloud.google.com → proyecto nuevo "NutriSync" → APIs & Services → OAuth consent screen: External, nombre NutriSync, soporte contact@nutrisynccollective.com → Credentials → Create credentials → OAuth client ID, tipo "Web application" → Authorized redirect URI: https://nebkqncvapelrarruyqb.supabase.co/auth/v1/callback → copia Client ID y Client Secret.

2 · Supabase → Authentication (≈5 min)

• Providers → Google: ON, pega Client ID + Secret.
• Providers → Apple: ON; en "Authorized Client IDs" añade com.nutrisynccollective.app (el flujo nativo va por id-token; no hace falta Services ID para la app).
• URL Configuration → Redirect URLs: añade nutrisync://auth.
• Sign In / Providers → Email: activa Confirm email (K3).
• MFA (TOTP) ya viene disponible; el alta de cada admin se hace en hub → 🔐 MFA.

3 · SQL

backend-sql/2026-08-01-epicK-auth.sql → SQL Editor → Run. (access_log + is_admin_mfa() + las 11 funciones admin re-gateadas. Las admins sin factor siguen entrando hasta que enrolan; en cuanto enrolan, se les exige aal2.)

4 · Dependencias nativas + build 3

(desplegar zip v0.18.0 en appdev)
cd ~/SKG_AI_Tribe_Projects/NutriSync/repos/appdev
npx expo install expo-secure-store expo-local-authentication expo-apple-authentication expo-web-browser
eas build -p ios --profile production
eas submit -p ios --latest        (sin 2FA — API key)

El build 3 trae: login Google/Apple/código, contraseña plegada, biometría (oferta tras primer login), access log, y el logo nuevo 🧡. Interno "Team" lo recibe al instante.

5 · Después

• Cada founder: hub → 🔐 MFA → escanear QR → 6 cifras (2 min).
• PWA: rebuild normal (Apple button no aparece en web; Google y OTP sí funcionan).
• Web po37 ya lleva la página MFA.

Verificación rápida

Login con Google en TestFlight → entra y en Supabase → Authentication → Users aparece con provider google. Cerrar app fría → pide Face ID (si se activó). Hub sin MFA enrolado: funciona; tras enrolar: pide código al reforzar sesión.