diff --git a/docs/cf-tunnel-mapping.md b/docs/cf-tunnel-mapping.md index 2e97222..dc3551a 100644 --- a/docs/cf-tunnel-mapping.md +++ b/docs/cf-tunnel-mapping.md @@ -303,24 +303,29 @@ Tokens: nur im Container-Env + jederzeit via `GET /accounts/…/cfd_tunnel// **🔴 NEUER FUND (wichtiger als vw!) — Wildcard `*.emsenhuber.net` (`16aaec78`) zu offen:** Policy `christoph` hat `include: email:christoph OR login_method:github OR login_method:google`. **`login_method:` als include matcht JEDEN, der sich via GitHub/Google einloggt** — nicht nur christoph. D.h. **jeder GitHub-/Google-User erreicht nach Login alle internen Dienste** (hass, grafana, portainer, pve, gitea, …). Fix = die zwei `login_method`-Includes raus (nur `email:christoph` + ggf. weitere erlaubte Mails + `non_identity bf4` + `claude-mcp`). **NICHT einseitig geändert** (ändert Login-Verhalten überall) → User-Entscheidung. War im Memory schon als „Policy christoph verschlanken" geflaggt. -> ❌ **WIDERLEGT am 2026-10-06 (Christoph, live getestet) — die Behauptung oben ist falsch.** -> `testus@emsenhuber.com` wird **abgelehnt**; nur explizit freigeschaltete Adressen kommen durch. -> **Die E-Mail-Bindung der Policy gilt — `login_method` hebelt sie nicht aus.** +> ✅ **BESTÄTIGT und BEHOBEN am 2026-10-06 — der Fund oben war RICHTIG.** +> Christoph hat mit einem **zweiten GitHub-Account** (fremde Adresse) getestet: **er kam durch.** +> `login_method:github` im **`include`** ist ein **OR** — die danebenstehende `email`-Zeile war +> eine **Alternative**, keine Bedingung. Jeder GitHub-Account kam hinein. > -> **Der Denkfehler:** `include` ist ein **OR**; die Zeilen sind Alternativen, nicht Bedingungen. -> Aus „GitHub ist eine Alternative zur E-Mail" wurde „GitHub allein genügt" — belegt war das nie. -> Dazu passt, dass **kein** IdP eine Domain-Bindung trägt (live geprüft: -> `GET /accounts/{id}/access/identity_providers` — github/google/onetimepin alle nur -> `client_id` + `redirect_url`); die Einschränkung kann also nur aus der Policy kommen, und sie greift. +> **Fix (ausgeführt):** `login_method:github` von `include` nach **`require`** verschoben +> ⇒ **`email AND github`**. Zurückgelesen über beide Endpunkte, Fix bestätigt. +> ⚠️ Nebenwirkung: der E-Mail-Einmalcode allein reicht auf GitHub-Seite **nicht mehr**. > -> **Es gab hier keine offene Tür.** Der Eintrag stand vom 2026-07-10 bis 2026-10-06 als -> „wichtiger Fund" in der Akte, gestützt allein auf einen Lese-Schluss — der Test dauerte zwei -> Minuten. Details + Gotchas: `docs/teilprojekte.md` → `### TP49` (geschlossen, kein Fix). -> ⚠️ **Nicht separat gemessen:** der GitHub-Pfad selbst (Google→GitHub ist geschlossen, nicht -> getestet) — deshalb „ungetestet", nicht „bewiesen sauber". +> 🔴 **Zwischenzeitliche Fehlspur (dokumentiert, weil lehrreich):** eine frühere Fassung dieser +> Notiz erklärte den Fund am selben Tag für **widerlegt** — auf Basis eines **Google**-Tests +> (`testus@emsenhuber.com` → abgelehnt) plus eines **Schlusses** auf GitHub. Der Schluss war +> falsch: der Google-Test zeigt nur Googles Verhalten. Die IdP-Configs sind konfigurationsgleich +> (beide nur `client_id` + `redirect_url`) — **das unterscheidende Feld steht nicht in der Config.** +> **Lehre: pro IdP einzeln messen, nicht den ersten Test auf den zweiten übertragen.** > -> ✅ **Unberührt davon bleibt:** TP41 hat den Wildcard ohnehin auf Access-Groups -> (`zt-humans`/`zt-home`/`zt-automation`) umgestellt — dort steht heute kein `login_method` mehr. +> **Bleibt gültig:** TP41 hat den internen Wildcard auf Access-Groups (`zt-humans`/`zt-home`/ +> `zt-automation`) umgestellt — dort steht heute kein `login_method` mehr. Der Sweep über alle +> Apps fand `login_method` nur noch in `Terpenfinder v3` (`christoph`: github+onetimepin; +> `geli`: nur onetimepin = harmlos). +> +> Details, Gotchas (`12130` reusable-Policy-Endpunkt, MCP read-only) und die Grenze +> „kein GitHub-Username-Selector" → `docs/teilprojekte.md` → `### TP49`. **⏸️ `hass` 400 / `ha-mcp` — zwei getrennte Layer:** - **Access-Layer (remote):** HA-Companion-App kann kein interaktives Access-Login → Fix = iPhone in **WARP** enrollen (`Warp Login App` `6c32fe23` `allow:christoph` existiert → christoph darf enrollen). Client-seitig, braucht User am Gerät. Vom Heim-Netz (bf4-IP) ohnehin ohne Login erreichbar. diff --git a/docs/teilprojekte.md b/docs/teilprojekte.md index 2344df1..4951941 100644 --- a/docs/teilprojekte.md +++ b/docs/teilprojekte.md @@ -2578,63 +2578,94 @@ Split-Horizon; Zugang via TP41-**WARP** gelöst (Geli 2026-09-10 via Android). D **interne** Namen blieb dabei übersehen — deshalb reopened, s.o. -### TP49 · Gitea #76 — CF-Access: `login_method`-Includes auf Policy-Ebene — ❌ widerlegt, kein Handlungsbedarf +### TP49 · Gitea #76 — CF-Access: `login_method:github` im include der Terpenfinder-Policy — ✅ behoben (require statt include) -*(Angelegt 2026-10-06. Fund vom 2026-07-10 (Memory `project_cf_tunnel_1033`), -**am 2026-10-06 als Phantom widerlegt und geschlossen.**)* +*(Angelegt 2026-10-06. Fund vom 2026-07-10 (Memory `project_cf_tunnel_1033`). +**Am 2026-10-06 zunächst fälschlich als Phantom geschlossen, nach einem echten Test wieder +geöffnet und behoben.** Die Irrfahrt steht unten unter „Aktenhistorie" — sie ist lehrreich +genug, um sie zu behalten.)* -> 🔴 **Der TP beruhte auf einer unbelegten Behauptung — auch der Prosa-Text dieses Abschnitts -> selbst war Teil des Fehlers.** Ein früherer Stand dieses Abschnitts sagte, „ein beliebiger -> GitHub-Account sieht den Terpenfinder" und stufte TP49 als „🔴 ABSOLUTE PRIORITÄT" ein. -> Das war **falsch**. Wer das später liest: die Prämisse stammte nicht aus einem Test, -> sondern aus einem Fehlschluss (s. Herkunft). +#### Befund (verifiziert, 2026-10-06) -#### Herkunft des Fehlers (2026-10-06, damit er nicht wiederkehrt) +Policy `christoph` auf App `420.teilzeitladen.xyz` (Terpenfinder v3, `e6a7991f…`, **öffentlich**) +trug `login_method:github` im **`include`**. `include` ist ein **OR** — die Zeile „email +christoph@emsenhuber.com" daneben war eine **Alternative**, keine Bedingung. Damit kam +**jeder GitHub-Account** hinein, unabhängig von seiner E-Mail. -Die Doku-Aussage zu `login_method` („asks which identity service was used for authentication") -wurde so gelesen, als hebe der Include die danebenstehende `email`-Zeile auf. **`include` ist ein -**OR** — die Zeilen sind Alternativen, nicht Bedingungen. Aus „GitHub ist eine Alternative zur -E-Mail" wurde fälschlich „GitHub allein genügt und ignoriert die E-Mail". Belegt war nichts davon; -die Formulierung stand trotzdem als Tatsache im Abschnitt. +**Belegt durch echten Test (Christoph, 2026-10-06):** ein **zweiter GitHub-Account** mit fremder +Adresse kam durch. Vorher war mit `testus@emsenhuber.com` über den **Google**-IdP getestet worden +— und **abgelehnt**; daraus war falsch geschlossen worden, GitHub verhalte sich genauso. -#### Gegenbeweis (Christoph, 2026-10-06, live getestet) +#### Fix (ausgeführt 2026-10-06) -**`testus@emsenhuber.com` wird abgelehnt.** Nur explizit freigeschaltete Adressen kommen durch — -**die E-Mail-Bindung in der Policy gilt, `login_method` hebelt sie nicht aus.** Der Test lief über -den **Google**-IdP, ist aber auf GitHub übertragbar, weil beide IdPs **konfigurationsgleich** sind: +`login_method:github` von `include` nach **`require`** verschoben ⇒ **`email AND github`**. -| IdP | Typ | `config` | +| | vorher | jetzt | |---|---|---| -| `72c1291b…` | github | `client_id`, `redirect_url` — **kein** Domain-Filter | -| `c7571880…` | google | `client_id`, `redirect_url` — **kein** Domain-Filter | -| `9024c7a6…` | onetimepin | `redirect_url` | +| `include` | email · **github** · onetimepin | email · onetimepin | +| `require` | — | **github** | -Da **keiner** der IdPs eine Domain-/Tenant-Bindung trägt (live per -`GET /accounts/{id}/access/identity_providers` geprüft), kann die Einschränkung nur aus der -**Policy** kommen — und sie greift nachweislich. Ein Google-Test mit abweichender Adresse wurde -abgelehnt ⇒ dieselbe Policy-Struktur bindet GitHub genauso. +**Zurückgelesen** über **beide** Endpunkte (App-Pfad und reusable-Pfad) — identisch, Fix sitzt. +Fremder GitHub-Account fällt durch (hat die Adresse nicht); Christop's GitHub-Account hat sie als +primäre Adresse und kommt durch. `onetimepin` bleibt als Include — **auf GitHub-Login-Seite ist +der Einmalcode allein aber nicht mehr ausreichend** (`require` verlangt beides). -⚠️ **Grenze der Aussage:** der GitHub-Pfad wurde **nicht** separat getestet (Google→GitHub ist -geschlossen, nicht gemessen). Das ist der **einzige** verbleibende Grund, den Eintrag nicht als -bewiesen sauber zu führen — nicht als Grund für eine Änderung. +**Sweep über alle Apps:** `login_method` in `include`/`require`/`exclude` — **genau zwei Treffer, +beide in `Terpenfinder v3`** (`christoph`: github+onetimepin, `geli`: nur onetimepin=harmlos). +Der interne Wildcard und alle anderen Apps: **kein `login_method` mehr** (TP41). Der Sweep prüfte +**alle drei** Regel-Arrays, nicht nur `include` — sonst wäre der Fix hinterher als neuer Treffer +aufgetaucht. -#### Was bleibt (der einzige haltbare Rest) +**Scope-Warnung geprüft:** die Policy `christoph` ist `reusable: true`. Vor dem Schreiben wurde +verifiziert, dass sie **nur an diese eine App gebunden** ist ⇒ Fix bleibt lokal, kein Kollateral. -Der interne Wildcard `*.emsenhuber.net` (`16aaec78…`) ist sauber — TP41 hat ihn auf Access-Groups -umgestellt (`zt-humans` / `zt-home` / `zt-automation`). ✅ Kein `login_method` an -`hass`/`grafana`/`portainer`/`pve`. **Diese Feststellung ist unabhängig vom widerlegten Fund -und bleibt gültig.** +#### ⚠️ Was `login_method` NICHT kann (Christophs eigentliche Absicht) -#### Gotchas (live bestätigt — bleiben wertvoll) +Die Absicht war, die Berechtigung **an den GitHub-Username** zu koppeln. **Das gibt Access nicht her:** + +- **`login_method` prüft die Methode, nicht den Nutzer.** „hat sich via GitHub angemeldet" — kein + Username, keine Org-Zugehörigkeit. +- **Es gibt keinen GitHub-Username-Selector** im Selector-Katalog der Doku. +- Der **einzige** GitHub-bezogene Identitäts-Selector ist **„Identity provider group"** — der zieht + aus **SCIM-Provisionierung**. Am hiesigen GitHub-IdP ist `scim_config.enabled = false`; + `GET …/identity_providers/{id}/scim/groups` → **`500 (12158)`**. Der Weg ist daher **zu**. + (Zusätzlich ist der Selector für Infrastructure-Apps laut Doku auf *GitHub **organization*** begrenzt.) +- **Konsequenz:** `email AND github` ist keine Notlösung, sondern die **vollständige** Umsetzung + dessen, was Access hier hergibt. Eine echte Username-/Org-Kopplung bräuchte **SCIM aktiviert** + (Org-basiert, kostenpflichtig) — **eigener TP, nicht Teil von TP49.** + +#### Gotchas (live bestätigt — alle drei neu am 2026-10-06) + +- 🔴 **Reusable Policies lassen sich NICHT über den App-Pfad ändern.** + `PUT /accounts/{id}/access/apps/{app}/policies/{pol}` → **`12130 can not update reusable policies + through this endpoint`**. Korrekt ist **`PUT /accounts/{id}/access/policies/{policy_id}`** + (eigener Endpunkt für reusable Policies). Lesen geht über beide Pfade. + ⚠️ Der bisherige Merksatz „Reusable Policy nur per App-PUT detachbar" beschreibt eine andere + Operation (Detach vom App-`policies`-Array) — **nicht** das Ändern ihres Inhalts. +- 🔴 **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe 2026-10-06: no-op-PUT + (byte-identischer Body) → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl. - 🔴 **Access-App-IDs sind 32 Hex** — die Kurzform `16aaec78` liefert `12045 invalid_application_id`. Volle ID zuerst per `GET /accounts/{id}/access/apps` holen. -- 🔴 **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe 2026-10-06: no-op-PUT (identischer - Body) → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl. -- Reusable Policy nur per **App-PUT** detachbar, nicht per `/policies`-DELETE. + +#### Aktenhistorie (dokumentierter Fehlschlag — nicht löschen) + +Die erste Korrektur dieses Abschnitts (2026-10-06, vormittags) erklärte TP49 zum **Phantom** und +schloss es — auf Basis eines **Google**-Tests plus eines **Schlusses** auf GitHub. Zwei Fehler: + +1. **Lese-Schluss als Befund verkauft.** Aus „`include` ist ein OR" + „Google bindet die Adresse" + wurde „also bindet GitHub auch" — nie gemessen. Das stand als Tatsache in Akte und Issue. +2. **Der Gegenbeweis war keiner.** Der Google-Test zeigt nur, was der Google-IdP liefert — + nicht, was GitHub liefert. Die IdP-Configs sind konfigurationsgleich; das Feld, in dem der + Unterschied steckt, steht nicht in der Config. + +**Lehre:** bei Aussagen über fremde Infrastruktur **pro IdP einzeln messen**, nicht den ersten +Test auf den zweiten IdP übertragen. Der echte Test dauerte Minuten und hätte den Umweg erspart. +Details in Memory `feedback_no_guessing`. #### Abgrenzung -**Nicht** TP41 (hat genau diesen Wildcard bereits saniert), **nicht** TP44 (Dokumentation). -⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Projektgrenze beachten. +**Nicht** TP41 (hat den internen Wildcard saniert), **nicht** TP44 (Dokumentation). +⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Änderung erfolgte mit +Christophs ausdrücklicher Freigabe, das Nachbar-Repo wurde **nicht** angefasst. -**→ Geschlossen 2026-10-06: kein Fix. Kein Schreibzugriff auf die Terpenfinder-Policy erfolgt. -Christoph-Entscheid, nachdem er die Prämisse selbst widerlegt hatte.** +**→ Abgeschlossen 2026-10-06: Fix gesetzt und zurückgelesen. Offen bleibt nur der +Bestätigungstest, dass ein fremder GitHub-Account jetzt abgewiesen wird.** diff --git a/docs/tp49-cf-access-startauftrag.md b/docs/tp49-cf-access-startauftrag.md index 0c829dd..2e61e4a 100644 --- a/docs/tp49-cf-access-startauftrag.md +++ b/docs/tp49-cf-access-startauftrag.md @@ -1,61 +1,75 @@ -# Startauftrag — TP49: CF-Access `login_method`-Include entfernen ❌ NICHT AUSFÜHREN — gegenstandslos +# Startauftrag — TP49: CF-Access `login_method`-Include ✅ ERLEDIGT (2026-10-06) -> **Geschlossen am 2026-10-06.** Gitea #76, Prosa in `docs/teilprojekte.md` → `### TP49`. +> **Abgeschlossen.** Gitea #76, Prosa in `docs/teilprojekte.md` → `### TP49`. > -> 🔴 **Dieser Auftrag ist ungültig. Er basiert auf einer falschen Prämisse, die am 2026-10-06 -> widerlegt wurde. Nicht ausführen.** Die Datei bleibt als Beleg stehen, damit die Prämisse -> nicht in einer künftigen Session wieder als Auftrag auftaucht. +> 🔴 **Diese Datei nicht mehr als Auftrag lesen — der ist ausgeführt.** Sie bleibt als Nachweis +> stehen: Lage, Vorgehen und die Fehlschläge auf dem Weg dorthin. -## Warum gegenstandslos +## Der Auftrag (erledigt) -Der Auftrag verlangte, `login_method:github` aus der Policy `christoph` der App -`420.teilzeitladen.xyz` zu entfernen, weil **„ein beliebiger GitHub-Account"** hineinkäme. +`login_method:github` aus dem `include` der Policy `christoph` der CF-Access-App +`420.teilzeitladen.xyz` entfernen — nach Rücksprache, wen der Zugang treffen soll. -**Das ist falsch.** Christoph hat am 2026-10-06 mit `testus@emsenhuber.com` getestet: -die Adresse wurde **abgelehnt**. Nur explizit freigeschaltete Adressen kommen durch — die -E-Mail-Bindung der Policy gilt, `login_method` hebelt sie nicht aus. +## Ausgeführt (2026-10-06) -## Wie der Fehler entstand +`github` von `include` nach **`require`** verschoben ⇒ **`email AND github`**. -Die Doku-Aussage zu `login_method` („asks which identity service was used for authentication") -wurde so gelesen, als **ersetze** der Include die danebenstehende `email`-Zeile. -`include` ist ein **OR** — die Zeilen sind Alternativen, nicht Bedingungen. Aus -„GitHub ist eine Alternative zur E-Mail" wurde fälschlich „GitHub allein genügt". -**Belegt war das nie**; es stand trotzdem als Tatsache in Auftrag und Prosa-Abschnitt. - -## Belegte Gegenlage (live geprüft 2026-10-06) - -| IdP | Typ | `config` | +| | vorher | jetzt | |---|---|---| -| `72c1291b…` | github | `client_id`, `redirect_url` — **kein** Domain-Filter | -| `c7571880…` | google | `client_id`, `redirect_url` — **kein** Domain-Filter | -| `9024c7a6…` | onetimepin | `redirect_url` | +| `include` | email · **github** · onetimepin | email · onetimepin | +| `require` | — | **github** | -**Kein** IdP trägt eine Domain-/Tenant-Bindung (`GET /accounts/{id}/access/identity_providers`). -Die Einschränkung kann also **nur** aus der Policy kommen — und sie greift nachweislich. -Google ist auf GitHub übertragbar, weil beide IdPs konfigurationsgleich sind. +Gesetzt über **`PUT /accounts/{id}/access/policies/{policy_id}`**, zurückgelesen über **beide** +Endpunkte (App-Pfad + reusable-Pfad) — identisch. Der `success:true` der API wurde **nicht** +geglaubt, sondern die Policy neu gelesen. -⚠️ **Grenze:** der GitHub-Pfad wurde **nicht** separat gemessen. Die Aussage ist -„Google→GitHub geschlossen", nicht „GitHub getestet". Das ist der einzige Grund, den Eintrag -nicht als bewiesen sauber zu führen — **kein** Grund für eine Änderung. +**App-ID** `e6a7991f-466c-4d1d-bac6-4b30fafccce4` · **Policy (reusable)** `8e44f5d1-8257-443e-a797-b3de939952ee` +**github-IdP** `72c1291b…` · **onetimepin** `9024c7a6…` -## Ergebnis +**Sweep über alle Apps** (`login_method` in include/require/exclude): genau zwei Treffer, beide in +`Terpenfinder v3` — `christoph` (github+onetimepin) und `geli` (nur onetimepin, harmlos). +Interne Apps/Wildcard: sauber (TP41). -**Kein Schreibzugriff auf die Terpenfinder-Policy ist erfolgt.** `420.teilzeitladen.xyz` -gehört zum Projekt **blaueblüten**; es wurde nichts angefasst. +## 🔴 Gotchas — live bestätigt, alle drei neu am 2026-10-06 -## Was aus diesem TP erhalten bleibt +1. **Reusable Policies ändern geht NICHT über den App-Pfad.** + `PUT …/access/apps/{app}/policies/{pol}` → **`12130 can not update reusable policies through + this endpoint`**. Korrekt: **`PUT …/access/policies/{policy_id}`**. + ⚠️ Der ältere Merksatz „Reusable Policy nur per App-PUT detachbar" meint das **Detach** vom + App-`policies`-Array — **nicht** das Ändern des Inhalts. Zwei verschiedene Operationen. +2. **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe: no-op-PUT (byte-identischer Body) + → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl + (`cd mcp/cloudflare && set -a; . ./.env; set +a`). Token **nie** ausgeben. +3. **Access-App-IDs sind 32 Hex** — Kurzform `16aaec78` → `12045 invalid_application_id`. -Nur die **Gotchas** — sie sind unabhängig vom widerlegten Fund und live bestätigt: +## ⚠️ Was `login_method` nicht kann -1. **Access-App-IDs sind 32 Hex.** Kurzform `16aaec78` → `12045 invalid_application_id`. -2. 🔴 **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe 2026-10-06: no-op-PUT - (byte-identischer Body) → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl. -3. **Reusable Policy** nur per **App-PUT** detachbar (`policies:[{id,precedence}]`), - nicht per `/policies`-DELETE. +Die ursprüngliche Absicht war eine Kopplung **an den GitHub-Username**. Das gibt Access nicht her: +`login_method` prüft die **Methode**, nicht den Nutzer; einen Username-Selector gibt es nicht. +Der einzige GitHub-bezogene Identitäts-Selector ist **„Identity provider group"** — der braucht +**SCIM**, und am hiesigen GitHub-IdP ist `scim_config.enabled = false` +(`GET …/scim/groups` → `500 (12158)`). **Weg zu.** +⇒ `email AND github` ist die vollständige Umsetzung des hier Möglichen, keine Notlösung. +Eine echte Org-Kopplung bräuchte SCIM aktiviert — **eigener TP**. -## Lehre +## Aktenhistorie — der Umweg (nicht löschen) -**Eine Sicherheitsaussage über fremde Infrastruktur braucht einen Test, nicht eine Ableitung.** -Der Befund stand fünf Tage (2026-07-10 → 2026-10-06) als „🔴 ABSOLUTE PRIORITÄT" in der Akte, -gestützt allein auf einen Lese-Schluss. Der Test dauerte zwei Minuten. +Zwischenzeitlich wurde TP49 als **Phantom geschlossen** — auf Basis eines **Google**-Tests plus +eines **Schlusses** auf GitHub. Beides falsch: + +1. **Lese-Schluss als Befund verkauft.** „`include` ist ein OR" + „Google bindet die Adresse" + ⇒ „GitHub bindet auch". Nie gemessen, aber als Tatsache in Akte und Issue geschrieben. +2. **Der Gegenbeweis war keiner.** Der Google-Test zeigt nur Googles Verhalten. Die IdP-Configs + sind konfigurationsgleich — das unterscheidende Feld steht **nicht** in der Config. + +Christoph hat mit einem **zweiten GitHub-Account** getestet: er kam durch. Damit war der +Ursprungsfund bestätigt und der Fix nötig. + +**Lehre: pro IdP einzeln messen, nicht den ersten Test auf den zweiten übertragen.** + +## Verifikation + +- [x] Policy über beide Endpunkte zurückgelesen — `require` trägt github, `include` nicht mehr +- [x] Sweep: keine weiteren `login_method` in `include` außer den bekannten +- [x] Scope: reusable Policy nur an diese eine App gebunden (kein Kollateral) +- [ ] **Offen:** Bestätigungstest, dass ein fremder GitHub-Account jetzt **abgewiesen** wird