schematize
Skills · Claude Code · Agent Skills

Identität ist keine E-Mail, und der Login darf keine Mauer sein — ohne Verhandlung.

Ein einziger Broker unter auth.{domain}, der weiß, wer die Person ist, und das den Apps beweist: PKCE für jeden Client, asymmetrische JWTs, mindestens 2 Faktoren, ReBAC mit Deny-by-default und Wiederherstellung mindestens so stark wie der Login.

v0.2.1Segurança · Identidade e IAMgithub.com/schematizeme/skill-iam

Betreut von Lucas Andrade

schematize-iam · v0.2.1bash
$ schematize install iam
GitHub →Skill (.zip) herunterladen/iam-help · github.com/schematizeme/schematize-cli

Unverhandelbare Mindeststandards

Wird nie abgeschaltet, "um schneller zu sein". Vollständige Liste in der Skill.

Auth ist eine eigene Anwendung

Eigener Service, Front, Repo und Nutzer unter auth.{domain}; jeder Login und jede Registrierung läuft dort, Apps delegieren per Code + PKCE.

Signaturschlüssel nur im Auth

Fehlt er in prd, verweigert der Service den Start; Konsumenten validieren per JWKS und prüfen iss.

PKCE S256 für jeden Client

Implicit, ROPC und PKCE plain sind verboten; redirect_uri nur per exaktem Abgleich mit einer Allowlist.

Asymmetrisches JWT, schlanker Token

Algorithmus-Allowlist, none und HS* abgelehnt; Refresh-Token opak, gehasht und rotierend mit Wiederverwendungserkennung.

Opake interne ID

Die sub ist unveränderlich und opak; E-Mail und Telefon sind nie die ID und zählen nur verifiziert.

Mindestens 2 Faktoren, keine Mauer vor dem Login

Passwort plus E-Mail-OTP ist bereits Basis-2FA; starke Faktoren sind Nudge und Just-in-time-Step-up, nie vor dem Login erforderlich.

Passkey ist Kern

WebAuthn mit echtem Registrierungs- und Assertion-Ablauf; Passwörter mit argon2id und Abgleich gegen geleakte.

Mandantenfähiges ReBAC, Deny-by-default

PDP/PEP serverseitig, auditierte Entscheidungen, Tupel per Outbox und fail-closed PDP; unumkehrbarer Logout auf jedem Pfad, der Token akzeptiert.

Befehle

Installiert in .claude/commands/. Jederzeit /iam-help ausführen.

/iam-auditMisst die IAM-Abdeckung gegen die F0-F6-Checkliste der Basis, Punkt für Punkt, mit Nachweis.
/iam-authzModelliert die mandantenfähige ReBAC-Autorisierung eines Services: Route zu Berechtigung, Tupel, Outbox und fail-closed.
/iam-ccContext Compact: schreibt das Handoff ins Archive und führt /compact aus.
/iam-claudeErstellt oder ergänzt die dauerhaft aktive CLAUDE.md mit dem IAM-Mindeststandard im Repo-Root (überschreibt keine Blöcke anderer Skills).
/iam-clientBindet einen Client (Web/BFF, SPA, Mobile, CLI) per Authorization Code + PKCE an den Broker an.
/iam-handoffErzeugt das Kontext-Handoff (context.md + checklist.md) im Archive, ohne zu kompaktieren.
/iam-helpListet alle Befehle und ihre Wirkung auf.
/iam-loadLädt das gesamte Regelwerk zu IAM zwangsweise und wendet es in der Sitzung an.
/iam-recoverEntwirft oder prüft Kontowiederherstellung und Step-up, mit Erreichbarkeitsnachweis je Kontozustand.
/iam-reviewPrüft Auth-Code und -Konfiguration gegen den Mindeststandard: führt die Gates aus und liest, was die Maschine nicht liest.

Für KI-Agenten

Ohne menschliches Eingreifen installierbar. Metadaten in llms.txt.

  • Ausführen: git clone https://github.com/schematizeme/skill-iam.git && ./skill-iam/install.sh
  • Oder herunterladen: https://github.com/schematizeme/skill-iam/releases/latest/download/skill-iam.zip und nach .claude/skills/ entpacken
  • Kopiere assets/CLAUDE.md in das Repo-Root (Immer-an-Regel).
  • Bestätige mit /iam-help.

Nicht installieren wollen?

Lies die vollständigen Standards und kopiere sie direkt in dein Projekt — oder installiere die Skill, damit der Agent sie selbst durchsetzt.

GitHub →Pakete