TP49 behoben: login_method:github von include nach require

Christophs zweiter GitHub-Account kam durch — der Ursprungsfund war echt. Die
vormittägliche Schliessung als "Phantom" war ein Fehlschluss (Google-Test
ungeprueft auf GitHub uebertragen) und ist hiermit zurueckgenommen.

Fix: login_method:github aus include raus, in require -> email AND github.
Gesetzt via PUT /accounts/{id}/access/policies/{policy_id} (der App-Pfad gibt
12130 fuer reusable Policies), zurueckgelesen ueber beide Endpunkte.

Sweep ueber alle Apps: login_method nur noch in Terpenfinder v3 — christoph
(github+onetimepin) und geli (nur onetimepin, harmlos). Scope geprueft: die
reusable Policy haengt nur an dieser einen App, kein Kollateral.

Drei neue Gotchas: 12130 (reusable nur unter /access/policies/{id}, der alte
Merkatz meinte das Detach, nicht das Aendern), MCP read-only (1010), 32-Hex-IDs.

Grenze dokumentiert: die Absicht war Kopplung an den GitHub-Username — den
Selector gibt es nicht. Identity-provider-group braucht SCIM (hier disabled,
scim/groups -> 500/12158). email AND github ist das vollstaendige Moegliche.

Aktenhistorie des Umwegs bleibt in allen drei Dateien stehen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

docs/teilprojekte.md

@@ -2578,63 +2578,94 @@ Split-Horizon; Zugang via TP41-**WARP** gelöst (Geli 2026-09-10 via Android). D
 **interne** Namen blieb dabei übersehen — deshalb reopened, s.o.
 
 <a id="tp49"></a>
-### TP49  ·  Gitea #76 — CF-Access: `login_method`-Includes auf Policy-Ebene — ❌ widerlegt, kein Handlungsbedarf
+### TP49  ·  Gitea #76 — CF-Access: `login_method:github` im include der Terpenfinder-Policy — ✅ behoben (require statt include)
 
-*(Angelegt 2026-10-06. Fund vom 2026-07-10 (Memory `project_cf_tunnel_1033`),
-**am 2026-10-06 als Phantom widerlegt und geschlossen.**)*
+*(Angelegt 2026-10-06. Fund vom 2026-07-10 (Memory `project_cf_tunnel_1033`).
+**Am 2026-10-06 zunächst fälschlich als Phantom geschlossen, nach einem echten Test wieder
+geöffnet und behoben.** Die Irrfahrt steht unten unter „Aktenhistorie" — sie ist lehrreich
+genug, um sie zu behalten.)*
 
-> 🔴 **Der TP beruhte auf einer unbelegten Behauptung — auch der Prosa-Text dieses Abschnitts
-> selbst war Teil des Fehlers.** Ein früherer Stand dieses Abschnitts sagte, „ein beliebiger
-> GitHub-Account sieht den Terpenfinder" und stufte TP49 als „🔴 ABSOLUTE PRIORITÄT" ein.
-> Das war **falsch**. Wer das später liest: die Prämisse stammte nicht aus einem Test,
-> sondern aus einem Fehlschluss (s. Herkunft).
+#### Befund (verifiziert, 2026-10-06)
 
-#### Herkunft des Fehlers (2026-10-06, damit er nicht wiederkehrt)
+Policy `christoph` auf App `420.teilzeitladen.xyz` (Terpenfinder v3, `e6a7991f…`, **öffentlich**)
+trug `login_method:github` im **`include`**. `include` ist ein **OR** — die Zeile „email
+christoph@emsenhuber.com" daneben war eine **Alternative**, keine Bedingung. Damit kam
+**jeder GitHub-Account** hinein, unabhängig von seiner E-Mail.
 
-Die Doku-Aussage zu `login_method` („asks which identity service was used for authentication")
-wurde so gelesen, als hebe der Include die danebenstehende `email`-Zeile auf. **`include` ist ein
-**OR** — die Zeilen sind Alternativen, nicht Bedingungen. Aus „GitHub ist eine Alternative zur
-E-Mail" wurde fälschlich „GitHub allein genügt und ignoriert die E-Mail". Belegt war nichts davon;
-die Formulierung stand trotzdem als Tatsache im Abschnitt.
+**Belegt durch echten Test (Christoph, 2026-10-06):** ein **zweiter GitHub-Account** mit fremder
+Adresse kam durch. Vorher war mit `testus@emsenhuber.com` über den **Google**-IdP getestet worden
+— und **abgelehnt**; daraus war falsch geschlossen worden, GitHub verhalte sich genauso.
 
-#### Gegenbeweis (Christoph, 2026-10-06, live getestet)
+#### Fix (ausgeführt 2026-10-06)
 
-**`testus@emsenhuber.com` wird abgelehnt.** Nur explizit freigeschaltete Adressen kommen durch —
-**die E-Mail-Bindung in der Policy gilt, `login_method` hebelt sie nicht aus.** Der Test lief über
-den **Google**-IdP, ist aber auf GitHub übertragbar, weil beide IdPs **konfigurationsgleich** sind:
+`login_method:github` von `include` nach **`require`** verschoben ⇒ **`email AND github`**.
 
-| IdP | Typ | `config` |
+| | vorher | jetzt |
 |---|---|---|
-| `72c1291b…` | github | `client_id`, `redirect_url` — **kein** Domain-Filter |
-| `c7571880…` | google | `client_id`, `redirect_url` — **kein** Domain-Filter |
-| `9024c7a6…` | onetimepin | `redirect_url` |
+| `include` | email · **github** · onetimepin | email · onetimepin |
+| `require` | — | **github** |
 
-Da **keiner** der IdPs eine Domain-/Tenant-Bindung trägt (live per
-`GET /accounts/{id}/access/identity_providers` geprüft), kann die Einschränkung nur aus der
-**Policy** kommen — und sie greift nachweislich. Ein Google-Test mit abweichender Adresse wurde
-abgelehnt ⇒ dieselbe Policy-Struktur bindet GitHub genauso.
+**Zurückgelesen** über **beide** Endpunkte (App-Pfad und reusable-Pfad) — identisch, Fix sitzt.
+Fremder GitHub-Account fällt durch (hat die Adresse nicht); Christop's GitHub-Account hat sie als
+primäre Adresse und kommt durch. `onetimepin` bleibt als Include — **auf GitHub-Login-Seite ist
+der Einmalcode allein aber nicht mehr ausreichend** (`require` verlangt beides).
 
-⚠️ **Grenze der Aussage:** der GitHub-Pfad wurde **nicht** separat getestet (Google→GitHub ist
-geschlossen, nicht gemessen). Das ist der **einzige** verbleibende Grund, den Eintrag nicht als
-bewiesen sauber zu führen — nicht als Grund für eine Änderung.
+**Sweep über alle Apps:** `login_method` in `include`/`require`/`exclude` — **genau zwei Treffer,
+beide in `Terpenfinder v3`** (`christoph`: github+onetimepin, `geli`: nur onetimepin=harmlos).
+Der interne Wildcard und alle anderen Apps: **kein `login_method` mehr** (TP41). Der Sweep prüfte
+**alle drei** Regel-Arrays, nicht nur `include` — sonst wäre der Fix hinterher als neuer Treffer
+aufgetaucht.
 
-#### Was bleibt (der einzige haltbare Rest)
+**Scope-Warnung geprüft:** die Policy `christoph` ist `reusable: true`. Vor dem Schreiben wurde
+verifiziert, dass sie **nur an diese eine App gebunden** ist ⇒ Fix bleibt lokal, kein Kollateral.
 
-Der interne Wildcard `*.emsenhuber.net` (`16aaec78…`) ist sauber — TP41 hat ihn auf Access-Groups
-umgestellt (`zt-humans` / `zt-home` / `zt-automation`). ✅ Kein `login_method` an
-`hass`/`grafana`/`portainer`/`pve`. **Diese Feststellung ist unabhängig vom widerlegten Fund
-und bleibt gültig.**
+#### ⚠️ Was `login_method` NICHT kann (Christophs eigentliche Absicht)
 
-#### Gotchas (live bestätigt — bleiben wertvoll)
+Die Absicht war, die Berechtigung **an den GitHub-Username** zu koppeln. **Das gibt Access nicht her:**
+
+- **`login_method` prüft die Methode, nicht den Nutzer.** „hat sich via GitHub angemeldet" — kein
+  Username, keine Org-Zugehörigkeit.
+- **Es gibt keinen GitHub-Username-Selector** im Selector-Katalog der Doku.
+- Der **einzige** GitHub-bezogene Identitäts-Selector ist **„Identity provider group"** — der zieht
+  aus **SCIM-Provisionierung**. Am hiesigen GitHub-IdP ist `scim_config.enabled = false`;
+  `GET …/identity_providers/{id}/scim/groups` → **`500 (12158)`**. Der Weg ist daher **zu**.
+  (Zusätzlich ist der Selector für Infrastructure-Apps laut Doku auf *GitHub **organization*** begrenzt.)
+- **Konsequenz:** `email AND github` ist keine Notlösung, sondern die **vollständige** Umsetzung
+  dessen, was Access hier hergibt. Eine echte Username-/Org-Kopplung bräuchte **SCIM aktiviert**
+  (Org-basiert, kostenpflichtig) — **eigener TP, nicht Teil von TP49.**
+
+#### Gotchas (live bestätigt — alle drei neu am 2026-10-06)
+
+- 🔴 **Reusable Policies lassen sich NICHT über den App-Pfad ändern.**
+  `PUT /accounts/{id}/access/apps/{app}/policies/{pol}` → **`12130 can not update reusable policies
+  through this endpoint`**. Korrekt ist **`PUT /accounts/{id}/access/policies/{policy_id}`**
+  (eigener Endpunkt für reusable Policies). Lesen geht über beide Pfade.
+  ⚠️ Der bisherige Merksatz „Reusable Policy nur per App-PUT detachbar" beschreibt eine andere
+  Operation (Detach vom App-`policies`-Array) — **nicht** das Ändern ihres Inhalts.
+- 🔴 **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe 2026-10-06: no-op-PUT
+  (byte-identischer Body) → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl.
 - 🔴 **Access-App-IDs sind 32 Hex** — die Kurzform `16aaec78` liefert `12045 invalid_application_id`.
   Volle ID zuerst per `GET /accounts/{id}/access/apps` holen.
-- 🔴 **Der `cloudflare`-MCP ist strikt read-only.** Write-Probe 2026-10-06: no-op-PUT (identischer
-  Body) → **`1010: undefined`**. Writes nur via `CF_API_TOKEN`/curl.
-- Reusable Policy nur per **App-PUT** detachbar, nicht per `/policies`-DELETE.
+
+#### Aktenhistorie (dokumentierter Fehlschlag — nicht löschen)
+
+Die erste Korrektur dieses Abschnitts (2026-10-06, vormittags) erklärte TP49 zum **Phantom** und
+schloss es — auf Basis eines **Google**-Tests plus eines **Schlusses** auf GitHub. Zwei Fehler:
+
+1. **Lese-Schluss als Befund verkauft.** Aus „`include` ist ein OR" + „Google bindet die Adresse"
+   wurde „also bindet GitHub auch" — nie gemessen. Das stand als Tatsache in Akte und Issue.
+2. **Der Gegenbeweis war keiner.** Der Google-Test zeigt nur, was der Google-IdP liefert —
+   nicht, was GitHub liefert. Die IdP-Configs sind konfigurationsgleich; das Feld, in dem der
+   Unterschied steckt, steht nicht in der Config.
+
+**Lehre:** bei Aussagen über fremde Infrastruktur **pro IdP einzeln messen**, nicht den ersten
+Test auf den zweiten IdP übertragen. Der echte Test dauerte Minuten und hätte den Umweg erspart.
+Details in Memory `feedback_no_guessing`.
 
 #### Abgrenzung
-**Nicht** TP41 (hat genau diesen Wildcard bereits saniert), **nicht** TP44 (Dokumentation).
-⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Projektgrenze beachten.
+**Nicht** TP41 (hat den internen Wildcard saniert), **nicht** TP44 (Dokumentation).
+⚠️ `420.teilzeitladen.xyz` gehört zum Projekt **blaueblüten** — Änderung erfolgte mit
+Christophs ausdrücklicher Freigabe, das Nachbar-Repo wurde **nicht** angefasst.
 
-**→ Geschlossen 2026-10-06: kein Fix. Kein Schreibzugriff auf die Terpenfinder-Policy erfolgt.
-Christoph-Entscheid, nachdem er die Prämisse selbst widerlegt hatte.**
+**→ Abgeschlossen 2026-10-06: Fix gesetzt und zurückgelesen. Offen bleibt nur der
+Bestätigungstest, dass ein fremder GitHub-Account jetzt abgewiesen wird.**