Acessar o Google Cloud Console

Abra o navegador e acesse console.cloud.google.com. Faça login com a conta Google que vai administrar as credenciais — de preferência uma conta principal de desenvolvedor, não uma conta compartilhada. A interface estará em inglês por padrão; você pode mudar o idioma no canto superior direito → ícone de engrenagem → Language.

Criar um novo Projeto

No topo da página você verá um seletor de projetos (geralmente escrito "Select a project" ou o nome do último projeto usado). Clique nele → no modal que abre, clique em "New Project" (canto superior direito do modal). Dê um nome descritivo como automacao-canalqb. A Location pode ficar como "No organization" para contas pessoais. Clique em Create e aguarde alguns segundos. Após criado, selecione-o no seletor.

Habilitar as APIs que você precisa

No menu lateral esquerdo, vá em APIs & Services → Library. Use a barra de busca para encontrar cada API. Clique no card da API → clique em Enable. Pronto — a API está ativa no projeto. Veja a lista completa de APIs populares logo abaixo neste post — fizemos o mapeamento de tudo que vale habilitar.

Configurar a Tela de Permissão OAuth (Consent Screen)

Antes de criar as credenciais, você precisa configurar a tela de consentimento — é a tela que aparece pedindo permissão quando o OAuth abre o navegador. Vá em APIs & Services → OAuth consent screen.

• User Type: Selecione "External" (disponível para todos). Para uso apenas pessoal isso basta; o app ficará em modo "Testing".
• App name: Coloque algo como AutoCanalQb.
• User support email: Seu e-mail Google.
• Developer contact information: Seu e-mail novamente.
• Clique em Save and Continue nas próximas telas (Scopes e Test Users) sem alterar nada por enquanto.
• Na aba Test users — OBRIGATÓRIO — clique em "+ Add Users" e adicione o e-mail da conta que vai autorizar o OAuth. Sem isso o fluxo retorna erro 403.

Criar a Credencial OAuth 2.0 e obter CLIENT_ID e CLIENT_SECRET

Agora o passo que todo mundo estava esperando. Vá em APIs & Services → Credentials. Clique em "+ Create Credentials" → OAuth client ID.

• Application type: Selecione "Desktop app" (ideal para scripts Python/Node rodando no seu computador).
• Name: Algo como script-local-cqb.
• Clique em Create.

Um modal vai aparecer mostrando o Client ID e o Client Secret. Copie ambos agora e guarde em local seguro — o Secret não aparece mais depois que você fechar essa tela (mas pode ser exibido novamente clicando no lápis da credencial).

# Estrutura dos valores que você vai copiar do Console:
CLIENT_ID     = "XXXXXXXXXX-xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.apps.googleusercontent.com"
CLIENT_SECRET = "GOCSPX-XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX"

# Nunca compartilhe esses valores publicamente.
# Adicione-os como Secrets no GitHub Actions ou
# use variáveis de ambiente (.env) localmente.

Instalar a dependência Python

Com as credenciais em mãos, instale a biblioteca OAuth do Google no seu ambiente Python. Abra o terminal (cmd, PowerShell ou terminal Linux/Mac) e rode:

pip install google-auth-oauthlib

Se você usa ambientes virtuais (recomendado), ative o seu venv antes. Se preferir instalar sem conflitos de pacotes:

# Cria e ativa ambiente virtual (opcional mas recomendado)
python -m venv venv
source venv/bin/activate    # Linux/Mac
venv\Scripts\activate       # Windows

pip install google-auth-oauthlib

Criar e rodar o script de geração do Refresh Token

Crie um arquivo chamado setup_oauth.py na sua máquina local com o conteúdo abaixo. Substitua os placeholders pelos seus valores reais copiados no Passo 5. Defina também os scopes — as permissões que seu app vai solicitar. Escolha apenas os escopos que você realmente precisa; pedir escopos demais aumenta a chance de rejeição na revisão do Google.

Escopos mais usados:

"""
🔑 setup_oauth.py — Gerador de Refresh Token OAuth
Rode UMA VEZ no seu computador local.
Créditos: @CanalQb — canalqb.com.br
"""

from google_auth_oauthlib.flow import InstalledAppFlow

# ─── Substitua pelos seus valores do Google Cloud Console ───
CLIENT_ID     = "SEU_CLIENT_ID_AQUI"
CLIENT_SECRET = "SEU_CLIENT_SECRET_AQUI"

# ─── Defina apenas os escopos que você precisa ───
SCOPES = [
    "https://www.googleapis.com/auth/drive",
    "https://www.googleapis.com/auth/youtube",
    # Adicione ou remova conforme necessário
    # "https://www.googleapis.com/auth/blogger",
    # "https://www.googleapis.com/auth/gmail.send",
]

client_config = {
    "installed": {
        "client_id":     CLIENT_ID,
        "client_secret": CLIENT_SECRET,
        "auth_uri":      "https://accounts.google.com/o/oauth2/auth",
        "token_uri":     "https://oauth2.googleapis.com/token",
        "redirect_uris": ["urn:ietf:wg:oauth:2.0:oob", "http://localhost"],
    }
}

flow  = InstalledAppFlow.from_client_config(client_config, SCOPES)
creds = flow.run_local_server(port=0)

print("\n" + "="*60)
print("✅ AUTENTICAÇÃO OK — Guarde estes valores com segurança:")
print("="*60)
print(f"\nOAUTH_CLIENT_ID     : {CLIENT_ID}")
print(f"\nOAUTH_CLIENT_SECRET : {CLIENT_SECRET}")
print(f"\nOAUTH_REFRESH_TOKEN : {creds.refresh_token}")
print("\n" + "="*60)
print("⚠️  Guarde o refresh_token — ele não expira (até ser revogado).")
print("    Para revogar: https://myaccount.google.com/permissions")
print("="*60)

Para rodar: python setup_oauth.py. O navegador vai abrir automaticamente pedindo que você faça login e autorize o acesso. Após confirmar, o terminal imprime os três valores. Anote o refresh_token — ele não vai aparecer novamente se você rodar o script uma segunda vez sem revogar o acesso.

Guardar os valores com segurança (GitHub Secrets ou .env)

Com os três valores em mãos, nunca os coloque direto no código. Existem duas abordagens práticas:

Opção A — GitHub Actions Secrets (para CI/CD):

• Vá no seu repositório → Settings → Secrets and variables → Actions.
• Clique em "New repository secret" e crie três secrets:
• OAUTH_CLIENT_ID · OAUTH_CLIENT_SECRET · OAUTH_REFRESH_TOKEN
• No seu workflow .yml, acesse via: ${{ secrets.OAUTH_CLIENT_ID }}

Opção B — Arquivo .env (para uso local):

# .env — NUNCA faça commit deste arquivo (adicione ao .gitignore)
OAUTH_CLIENT_ID=seu_client_id_aqui
OAUTH_CLIENT_SECRET=seu_client_secret_aqui
OAUTH_REFRESH_TOKEN=seu_refresh_token_aqui

# No Python, carregue com python-dotenv:
pip install python-dotenv

from dotenv import load_dotenv
import os
load_dotenv()
CLIENT_ID     = os.getenv("OAUTH_CLIENT_ID")
CLIENT_SECRET = os.getenv("OAUTH_CLIENT_SECRET")
REFRESH_TOKEN = os.getenv("OAUTH_REFRESH_TOKEN")