Health-Score

STORE_RELEASE.md — App Store & Play Store Çıkış Rehberi

Bu doküman, Sağlık Skoru‘nu Apple App Store ve Google Play’e çıkarmak için gereken adımları sıralar. Kod tarafı (bu PR ile) hazırlanmıştır; aşağıdaki maddeler senin hesaplarınla yapman gereken işlerdir.

0. Yapıldı (kod tarafı, bu PR)

✅ Tek analiz hattı + manuel tarama cache çakışması düzeltildi.
✅ Token/premium ekonomisi sunucu-taraflı (Cloud Functions) + Firestore kuralları kilitlendi.
✅ iOS bundleIdentifier, kamera/foto/tracking izin metinleri, usesNonExemptEncryption: false.
✅ IAP simülasyonu EXPO_PUBLIC_IAP_SIMULATION env’ine bağlandı (prod’da kapalı).
✅ “Satın Alımları Geri Yükle” (Restore Purchases) butonu eklendi (Apple zorunlu).
✅ In-app “Hesabımı Sil” akışı (deleteAccount callable) eklendi (Apple & Google zorunlu).
✅ AdMob ATT izin metni + reklam birimi env’i (EXPO_PUBLIC_ADMOB_REWARDED).
✅ Sızmış EXPO_PUBLIC_GEMINI_API_KEY eas.json‘dan kaldırıldı.

0.1 ⚠️ YAYIN ÖNCESİ: `functions/.env` içindeki `IAP_SIMULATION=1`‘i KAPAT

Şu an test için functions/.env dosyasında IAP_SIMULATION=1 var — bu, simülasyon satın almalarının token/premium kredilemesini sağlıyor. Gerçek yayından önce 0 yap (veya satırı sil) ve firebase deploy --only functions çalıştır. Aksi halde kullanıcı bu callable’ları çağırıp bedava token/premium üretebilir. Gerçek premium, RevenueCat entitlement + webhook’tan gelir.

0.2 AI modeli (Gemini ↔ Claude) — Admin panelden değiştirilebilir

Admin Paneli → Yapay Zekâ Modeli kartından sağlayıcıyı (Gemini/Claude) ve modeli canlıda değiştirebilirsin (yeniden deploy gerekmez, ~1 dk içinde etkinleşir).

Gemini için GEMINI_API_KEY secret’ı yeterli (mevcut).
Claude için ANTHROPIC_API_KEY secret’ını gerçek anahtarınla ayarla, sonra deploy et:
```
firebase functions:secrets:set ANTHROPIC_API_KEY   # $5'lık Claude anahtarını gir
firebase deploy --only functions:analyzeProduct
```
(Şu an placeholder ayarlı; Claude’a geçmeden gerçek anahtarı girmezsen Claude çağrıları hata verir, Gemini çalışmaya devam eder.)
Maliyet: Gemini Flash ≈ $0.001/tarama; Claude Sonnet ≈ $0.02/tarama (~20x). Cache tekrar taramaları bedava yapar.

1. ÖNCE: Güvenlik — Gemini anahtarını döndür (ACİL)

eas.json içinde commit edilmiş olan Gemini API anahtarı (AIzaSyB3U_...) git geçmişinde ve eski build’lerde sızmış durumda. Mutlaka:

Google AI Studio → eski anahtarı sil/iptal et, yeni anahtar oluştur.
Yeni anahtarı Firebase Functions secret’ı olarak gir:
```
firebase functions:secrets:set GEMINI_API_KEY
firebase deploy --only functions
```
(Backend analyzeProduct artık bu secret’ı kullanıyor; istemciye anahtar GÖNDERİLMİYOR.)

2. Hesaplar & SDK kurulumları

Servis	Yapılacak
Apple Developer	Hesap (99$/yıl). App Store Connect’te uygulama kaydı (`com.wyclaew.saglikskoru`).
Google Play Console	Hesap (tek seferlik 25$). Uygulama kaydı (`com.wyclaew.saglikskoru`).
RevenueCat	Proje aç, Apple/Google app’lerini bağla, API anahtarlarını al.
AdMob	Uygulama + “Rewarded” reklam birimi oluştur, App ID + Unit ID al.
Firebase	`google-services.json` (Android) zaten var. iOS için `GoogleService-Info.plist` indir/ekle.

3. Ürün (IAP) tanımları — RevenueCat + Store

src/services/revenuecat.ts içindeki ürün kimlikleriyle birebir aynı olmalı:

healthscore_premium_monthly (auto-renewable subscription)
healthscore_premium_yearly (auto-renewable subscription)
healthscore_100_tokens (consumable)

Adımlar:

App Store Connect ve Play Console’da bu ürünleri oluştur (fiyat, açıklama).
RevenueCat’te premium adında bir entitlement ve default offering oluştur; ürünleri ekle.
default offering paketleri: $rc_monthly, $rc_annual, ve token paketi.

⚠ Token paketleri (consumable): Şu an grantTokenPack callable yalnızca simülasyon/admin’de token verir. Gerçek parayla token satışından önce, satın almayı sunucuda doğrulamak gerekir (RevenueCat webhook → Firestore, veya RevenueCat REST subscribers doğrulaması). Doğrulama eklenene kadar prod’da token paketi satışını açma. Abonelik (premium) bu sorundan etkilenmez — premium RevenueCat entitlement’ından okunur.

4. Ortam değişkenleri (EAS secrets / .env)

.env (gitignore) ve EAS’te ayarla:

EXPO_PUBLIC_GOOGLE_WEB_CLIENT_ID=...
EXPO_PUBLIC_GOOGLE_ANDROID_CLIENT_ID=...
EXPO_PUBLIC_GOOGLE_IOS_CLIENT_ID=...
EXPO_PUBLIC_REVENUECAT_GOOGLE_KEY=...
EXPO_PUBLIC_REVENUECAT_APPLE_KEY=...
EXPO_PUBLIC_ADMOB_REWARDED=ca-app-pub-XXXX/YYYY   # gerçek rewarded unit id

eas.json: production profilinde EXPO_PUBLIC_IAP_SIMULATION=0 (gerçek IAP) ayarlı.
Backend IAP_SIMULATION secret’ını üretimde ayarlama (varsayılan kapalı = gerçek mod).

5. app.json — gerçek ID’leri doldur

plugins → react-native-google-mobile-ads → androidAppId / iosAppId: gerçek AdMob App ID‘leri (ca-app-pub-...~...). Şu an placeholder.
(Opsiyonel) iOS infoPlist izin metinlerini istersen yerelleştir.

6. Zorunlu yasal & mağaza gereksinimleri

Gizlilik Politikası + Kullanım Koşulları URL’leri: Barındır (örn. GitHub Pages / Notion) ve LoginScreen ve store metadata’sına ekle. App içinde kamera, AI analizi, reklam (AdMob), satın alma, hesap verisi kullanıldığı belirtilmeli.
Data Safety (Play) / App Privacy (Apple) formları: Toplanan veriler — e-posta (Auth), kullanım/teşhis, reklam tanımlayıcıları (AdMob). Doğru doldur.
Hesap silme: App içi akış eklendi (profil → “Hesabımı Sil”). Apple ayrıca web’den hesap silme bağlantısı da isteyebilir — bir destek/silme talebi sayfası hazırla.
Restore Purchases: Eklendi (Store ekranı).
Ekran görüntüleri: iPhone 6.7”/6.5” + iPad; Android telefon + tablet. Her dil için opsiyonel.
Uygulama açıklaması & anahtar kelimeler: 6 dilde hazırlanabilir (i18n zaten var).
Yaş derecelendirmesi (içerik): Sağlık bilgisi; tıbbi tavsiye olmadığına dair sorumluluk reddi ekle.

7. Build & Submit (EAS)

# İlk kez kimlik bilgileri (sertifika/keystore) — EAS yönetir
eas credentials

# Test build (internal)
eas build --profile preview --platform android   # APK
eas build --profile preview --platform ios       # internal/TestFlight

# Üretim
eas build --profile production --platform all
eas submit --profile production --platform ios
eas submit --profile production --platform android

appVersionSource: remote + production autoIncrement ile sürüm/build numaraları EAS tarafından yönetilir.

8. Çıkış öncesi son kontrol (QA — gerçek cihaz)

Kamera ve galeri taraması: 2 farklı ürün farklı sonuç veriyor (cache çakışması yok).
Barkod taraması: OpenFoodFacts bulunca gerçek analiz sonucu geliyor (boş ekran yok).
Düşük güven/ geçersiz ürün → “reddedildi” mesajı, kayıt yapılmıyor.
Token harcama: tarama başına düşüyor; bakiye yetersizse mağazaya yönlendiriyor.
Günlük ödül / reklam ödülü / streak ödülü: token ekliyor (sunucu üzerinden).
Firestore’dan istemciyle tokens yazma denemesi reddediliyor (güvenlik).
Premium satın alma (gerçek RevenueCat sandbox) → premium aktif, “Restore” çalışıyor.
Hesabımı Sil → Auth + Firestore verisi siliniyor, oturum kapanıyor.
6 dilde metinler eksiksiz; tema (açık/koyu) düzgün.