@appaflytech/zeyrek-ai-mcp 0.0.37 → 0.0.40

package/dist/knowledge/styleResolve.js

@@ -164,6 +164,8 @@ export const TRANSFORM_RANGES = {
     translateX: [-1000, 1000],
     translateY: [-1000, 1000]
 };
+/** Frontend `TRANSFORM_FIELDS`: transform'lu ata `position: fixed` torununu hapsettiği için katmanlar ve kabuklar bu alanları `surfaceStyleGroup({ omit })` ile dışlar. */
+const TRANSFORM_FIELDS = Object.keys(TRANSFORM_RANGES);
 /** Sayı ya da sayısal metin, aralığın içinde; aksi `undefined` — frontend `transformValue`. */
 export const transformValue = (value, field) => {
     if (typeof value !== 'number' && (typeof value !== 'string' || value.trim() === ''))
@@ -434,7 +436,9 @@ const STATCARD_FLEX_ALIGN = {
     left: 'flex-start',
     center: 'center',
     right: 'flex-end',
-    justify: 'stretch'
+    justify: 'stretch',
+    start: 'flex-start',
+    end: 'flex-end'
 };
 function composeStatCardParts(input, root) {
     const value = input.valueStyle;
@@ -507,22 +511,26 @@ export const TYPED_STYLE_COMPONENTS = {
         // onun altında kalıyordu (LAYOUT-006, 2026-09-29). Yüzey ve taşma köke.
         // navigationStyle menüye gider, resolvedStyle'a girmez.
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'layout-shell': {
         // Aynı kök: zemin `.ng-layout-shell` KÖKÜNDE (SHELL-006, 2026-09-29).
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'layout-region': {
         // Zemin `.ng-layout-region` KÖKÜNDE, taşma kaydırılan gövdede (REG-002, 2026-09-29).
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: '&__body' }
+        ext: { overflowTarget: '&__body' },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     'auth-layout': {
         // Zemin `.ng-auth` KÖKÜNDE (AUTH-006, 2026-09-29); yüzey ve taşma köke.
         groups: ['surfaceStyle'],
-        ext: { overflowTarget: ROOT_TARGET }
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
     },
     header: {
         // Şeridin zemini ve alt çizgisi kökte (HDR-007, 2026-09-29).
@@ -535,6 +543,20 @@ export const TYPED_STYLE_COMPONENTS = {
         groups: ['surfaceStyle'],
         ext: { overflowTarget: ROOT_TARGET }
     },
+    modal: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (modal ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
+    },
+    drawer: {
+        // Panel portal ile düğüm kutusunun DIŞINA çizilir; yüzey panelin KÖKÜNDE
+        // derlenir, taşma da panelin köküne iner (drawer ölçümü, 2026-10-05).
+        groups: ['surfaceStyle'],
+        ext: { overflowTarget: ROOT_TARGET },
+        omit: { surfaceStyle: TRANSFORM_FIELDS }
+    },
     icon: {
         // Yalnız hover: surface çipin (chipShape/chipColor), typography da boyutun
         // (size) ve rengin (color) çift kanalı olurdu — görsel kararlar semantik
@@ -556,8 +578,6 @@ export const NODE_SURFACE_TYPES = new Set([
     'table',
     'datatable',
     'collapsible-container',
-    'drawer',
-    'modal',
     'popover',
     'tabs',
     'stepper',

package/dist/knowledge/styleResolveNative.js

@@ -456,8 +456,10 @@ const composeTypography = (typography, text, theme, context) => {
         text.fontStyle = String(typography.fontStyle);
     if (isSet(typography.textDecoration))
         text.textDecorationLine = String(typography.textDecoration);
-    if (isSet(typography.textAlign))
-        text.textAlign = String(typography.textAlign);
+    if (isSet(typography.textAlign)) {
+        const align = String(typography.textAlign);
+        text.textAlign = align === 'start' ? 'left' : align === 'end' ? 'right' : align;
+    }
     const letterSpacing = parsePanelLength(typography.letterSpacing, context);
     if (typeof letterSpacing === 'number')
         text.letterSpacing = letterSpacing;

package/dist/knowledge/themeResolve.js

@@ -29,7 +29,7 @@
  * `theme_get` bunları `unknownKeys` olarak gösterir, `theme_update` şeması reddeder.
  */
 export const THEME_TOP_LEVEL_KEYS = [
-    'mode', 'palette', 'paletteDark', 'fontFamily', 'headingFontFamily', 'typeScale',
+    'mode', 'direction', 'palette', 'paletteDark', 'fontFamily', 'headingFontFamily', 'typeScale',
     'fontSize', 'fontWeight', 'borderRadius', 'radiusScale', 'spacing', 'spacingScale',
     'shadow', 'defaultInputSize', 'colors', 'actions', 'presets', 'componentStyles',
     'componentPresets'

package/dist/knowledge/themeSchema.js

@@ -30,7 +30,7 @@ export function summarizeTheme(theme) {
         if (entries.length > 0)
             overrides[key] = entries;
     }
-    for (const key of ['fontFamily', 'headingFontFamily', 'fontSize', 'fontWeight', 'spacing', 'borderRadius', 'defaultInputSize']) {
+    for (const key of ['fontFamily', 'headingFontFamily', 'fontSize', 'fontWeight', 'spacing', 'borderRadius', 'defaultInputSize', 'direction']) {
         if (record[key] !== undefined)
             overrides[key] = record[key];
     }
@@ -91,6 +91,7 @@ const ratioScale = (levels) => z.object(Object.fromEntries(levels.map(level => [
  */
 export const themeInput = z.object({
     mode: z.enum(['light', 'dark']),
+    direction: z.enum(['ltr', 'rtl', 'auto']),
     palette: paletteSchema,
     paletteDark: paletteSchema,
     fontFamily: z.string().min(1),

package/dist/observability/trace.js

@@ -1,7 +1,7 @@
 import { AsyncLocalStorage } from 'node:async_hooks';
 import { appendFileSync, existsSync, mkdirSync } from 'node:fs';
 import { dirname, join } from 'node:path';
-import { secretKeyPattern } from '../platform/secrets.js';
+import { maskSecretLeaf, secretKeyPattern, secretPairName } from '../platform/secrets.js';
 const defaultDirectory = join(process.cwd(), 'logs');
 const activeTrace = new AsyncLocalStorage();
 const activeRequest = new AsyncLocalStorage();
@@ -37,11 +37,16 @@ function clip(text, limit) {
 function redact(value, depth = 0) {
     if (depth > 8)
         return '…';
+    // Günlük, yanıt maskesinin gördüğü ad/değer çiftini ve yaprak jetonu da görmeli: debug gövdesi ve
+    // `asUser` argümanı buraya ham gelir (g-01, 37 S-24).
+    if (typeof value === 'string')
+        return maskSecretLeaf(value);
     if (Array.isArray(value))
         return value.map(entry => redact(entry, depth + 1));
     if (value && typeof value === 'object') {
+        const pairName = secretPairName(value);
         return Object.fromEntries(Object.entries(value).map(([key, entry]) => {
-            if (secretKeyPattern.test(key))
+            if (secretKeyPattern.test(key === 'value' && pairName !== undefined ? pairName : key))
                 return [key, '***'];
             if (/^stack(Trace)?$/i.test(key) && typeof entry === 'string') {
                 return [key, `${clip(entry.split(/\r?\n/)[0] ?? '', 240)} … (kalan stack kırpıldı)`];

package/dist/platform/secrets.js

@@ -1,8 +1,12 @@
 /**
  * Desen `trace.ts`'in eski kopyasından DARALTILDI: `pass` parçası `passed`/`bypass` gibi
  * anahtarları da yakalıyordu. Günlükte zararsızdı, tool yanıtında veri kaybı olurdu.
+ *
+ * `cookie` yalnız TAM ad olarak eşleşir (g-01, 37 S-24): paketli şemalarda `StepRuleDto.cookieKey`
+ * çerezin ADINI taşır; parça eşleşmesi onu `***` yapıp workflow_get → update turunu bozardı (GW-001).
+ * `setcookie` de bilinçli dışarıda: workflow adım tipinin adıdır, sır değildir.
  */
-export const secretKeyPattern = /password|passwd|secret|token|authorization|api[-_]?key|credential|connection[-_]?string/i;
+export const secretKeyPattern = /password|passwd|secret|token|authorization|api[-_]?key|credential|connection[-_]?string|^cookies?$/i;
 /**
  * Sırrın DEĞERİNİ değil adını, yerini ya da türünü taşıyan anahtarlar: `credentialRef`, `tokenUrl`,
  * `apiKeyHeader`, `secretFields`, `credentialKind`. Maskelenirlerse süreç tanımındaki
@@ -14,18 +18,62 @@ import { looksLikeJwt, rememberToken } from './tokenVault.js';
 const maskedValue = '***';
 const maxPaths = 20;
 const maxDepth = 12;
+/**
+ * Ad/değer çiftinde `value`'nun yerine geçen ad (g-01, 37 S-24). Debug girdisi isteğin başlık ve
+ * çerezlerini `{ expression: 'Authorization', value: 'Bearer …', source, member }` olarak yazar; sırrın
+ * adı anahtarda değil kardeş alanda durduğu için anahtar kuralı hiçbirini görmüyordu.
+ *
+ * `type` ya da `order` taşıyan satır platform TANIMIDIR — `StepQueryParameterDto {name,value,type}`,
+ * `StepCustomParameterDto {name,value,order}`, `QueryParameter {name,type,value}`: değer bağlama
+ * ifadesidir (`input.token`), maskelenirse get → update turunda `***` geri yazılır (GW-001).
+ * `expression` + `value` hiçbir paketli şemada geçmez, o yüzden bu ayrımın dışındadır.
+ */
+export function secretPairName(record) {
+    if (!('value' in record))
+        return undefined;
+    if (typeof record.expression === 'string')
+        return record.expression;
+    if ('type' in record || 'order' in record)
+        return undefined;
+    if (typeof record.name === 'string')
+        return record.name;
+    return typeof record.key === 'string' ? record.key : undefined;
+}
+/**
+ * Anahtarsız string yapraktaki kimlik (g-01): `eyJ…` ile başlayan JWT ve `Bearer <jeton>`.
+ * `maskSecretText`'ten DAR: o konsol metni içindir ve her üç parçalı noktalı adı JWT sayar —
+ * yanıtta `organization.something.localhost` gibi bir adı körleştirirdi. Bearer'dan sonra en az
+ * 16 karakter aranır; rehber metnindeki "Bearer olarak" maskelenmez.
+ */
+export function maskSecretLeaf(text) {
+    return text
+        .replace(/Bearer\s+[A-Za-z0-9._~+/=-]{16,}/gi, `Bearer ${maskedValue}`)
+        .replace(/\beyJ[A-Za-z0-9_-]+\.[A-Za-z0-9_-]+\.[A-Za-z0-9_-]*/g, maskedValue);
+}
 function walk(value, path, masked, refs, depth) {
     if (depth > maxDepth)
         return value;
+    if (typeof value === 'string') {
+        const safe = maskSecretLeaf(value);
+        if (safe === value)
+            return value;
+        if (masked.length < maxPaths)
+            masked.push(path);
+        if (looksLikeJwt(value) && Object.keys(refs).length < maxPaths)
+            refs[path] = rememberToken(value);
+        return safe;
+    }
     if (Array.isArray(value))
         return value.map((entry, index) => walk(entry, `${path}[${index}]`, masked, refs, depth + 1));
     if (value && typeof value === 'object') {
         const result = {};
+        const pairName = secretPairName(value);
         for (const [key, entry] of Object.entries(value)) {
             const child = path === '' ? key : `${path}.${key}`;
+            const name = key === 'value' && pairName !== undefined ? pairName : key;
             // Boole değer sır taşıyamaz: `hasExpoAccessToken: true` maskelenince ajan token'ın kayıtlı
             // olup olmadığını öğrenemiyordu (push bildirimleri g-01, 2026-10-02; GW-001 ailesi).
-            if (secretKeyPattern.test(key) && !secretNameKeyPattern.test(key) && typeof entry !== 'boolean' && entry !== null && entry !== undefined && entry !== '') {
+            if (secretKeyPattern.test(name) && !secretNameKeyPattern.test(name) && typeof entry !== 'boolean' && entry !== null && entry !== undefined && entry !== '') {
                 if (masked.length < maxPaths)
                     masked.push(child);
                 // Maskelenen değer bir JWT ise kimlik testinin yolu kapanmasın: jeton kasada tutulur ve

package/dist/resources/guides/component.md

@@ -197,7 +197,7 @@ Her şema düğümünde iki sözlük vardır; ikisi de ortak render katmanında
 
 | `appearance` | Değerler | Anlamı |
 |---|---|---|
-| `heightType` | `auto` · `fixed` · `fill` | `auto`: içerik kadar (önerilen — Kural 1d); `fixed`: `heightString` varsa o, yoksa `blocks.h × 10px`; `fill`: **kalanı doldur** — ebeveynin bıraktığı yer (ızgarada `height:100%`, flex sütununda `flex:1 1 auto`, flex satırında `align-self:stretch`). Tam ekran yerleşim kabuğu bununla kurulur, bkz. `platform_guide('layout')` |
+| `heightType` | `auto` · `fixed` · `fill` | `auto`: içerik kadar (önerilen — Kural 1d); `fixed`: `heightString` varsa o, yoksa `blocks.h × 10px`; `fill`: **kalanı doldur** — ebeveynin bıraktığı yer (ızgarada `height:100%`, flex sütununda `flex:1 1 auto`, flex satırında `align-self:stretch`). Tam ekran yerleşim kabuğu bununla kurulur, bkz. `platform_guide('layout')`. **Mobilde (≤ 767 px) mobil bloğu olmayan her düğüme `height: auto !important` yazılır**: yüksekliği `height` olarak yazılan `fixed` düğüm (flex ya da CSS grid ebeveyni, stretch yokken) içeriğine göre çizilir; stretch'li satırdaki `min-height` ve 12 kolonlu eski ebeveynin `grid-row` yüksekliği bundan bağımsızdır. Yazılı yüksekliği mobilde de istiyorsan (`heightType: 'fixed'` iken) `appearance.className`'e ayrılmış **`ng-keep-height-mobile`** belirtecini yaz (`className: "hero ng-keep-height-mobile"`) |
 | `widthType` | `cover` · `contain` · `auto` · `fixed` · `fill` | İlk ikisi görsel/medya sığdırma. Kalanı **flex (ve eski cssgrid) kabın çocuğunun genişlik modu** (2026-09-01): `auto` içerik kadar, `fixed` `widthString`'den, `fill` kabın tüm genişliği (satırda `flex:1 1 100%`, sütunda `align-self:stretch`). **Yazılmazsa eski 12 kolon `blocks.size.w` payı geçerlidir** — öncelik: `fill` > `fixed` > `auto` > span |
 | `widthString` / `heightString` | CSS uzunluğu | Sabit ölçü; **yalnız ilgili `*Type: 'fixed'` iken okunur** (aksi PAGE-017 uyarısı). Kabul: çıplak sayı (px sayılır) · `px % vw vh vmin vmax rem em ch` birimli değer · `calc(...)`. Negatif/`pt`/`fr`/`auto` GEÇMEZ — platform kaydeder ama panel ve runtime sessizce düşürür (PAGE-018). Eski `widthPx` alanı 2026-09-01'de kaldırıldı |
 | `marginType` / `marginValue` | `normal` · `none` · `custom` + px | Dış boşluk: **yazılmazsa `normal` sayılır** = her kenara 4px (`spacing.ts` `CANVAS_NORMAL_MARGIN`); custom=`marginValue`. Bileşenleri dip dibe dizmek için `none` ŞART — `gap:'none'` olsa bile normal margin komşular arasında 8px bırakır (sıkı dizilim tarifi: `platform_guide('page')` Kural 1f-2) |

package/dist/resources/guides/merge.md

@@ -60,14 +60,15 @@ Studio'nun runtime rotasının üç şeridi vardır ve **ortamı URL belirler**:
 |---|---|
 | `production` | `/view/{proje}/{app}/{sayfa}` |
 | `development` | `/dev/{proje}/{app}/{sayfa}` |
-| dal | `/branch/{dal}/{proje}/{app}/{sayfa}` |
+| dal | `/branch/{slug}/{proje}/{app}/{sayfa}` — slug, adın `/` yerine `-` taşıyan hâli (`feature/odeme` → `feature-odeme`) |
 
 Sayfanın **bütün** istekleri o dala gider: sayfa şeması da, akışların uç çağrıları da. Yani kare
 "yarı doğru" değildir — gördüğünüz ekran dalın gerçek ekranıdır.
 
-Reddedilen tek şey **dal adı olamayacak bir ad**: harfle başlamayan, küçük harf/rakam/alt çizgi
-dışında karakter taşıyan, 3-31 aralığının dışına çıkan ya da rezerve bir ad (`public`, `api`,
-`pg_*` …). Projedeki dalları `environment_list` verir.
+Reddedilen tek şey **dal adı olamayacak bir ad**: harfle başlamayan, küçük harf/rakam/alt çizgi/tire
+ve `/` ile ayrılmış parçalar dışında karakter taşıyan, 3-31 aralığının dışına çıkan ya da rezerve bir
+ad (`public`, `api`, `pg_*` …). Projedeki dalları ve slug'larını `environment_list` verir; tenant
+çağrılarına `environment` olarak adı da slug'ı da geçebilirsiniz.
 
 2026-09-09 öncesinde bu çağrı **reddediliyordu**: runtime rotası dal adı taşımıyordu, ortam
 modül içi bir store'dan geliyordu ve dal adıyla istenen kare development'ı gösterirdi. O günlerin

package/dist/resources/guides/microservice.md

@@ -515,7 +515,7 @@ hem `joins` ile getirin hem `selectFields`'a koyun; ondan sonra `filters[0][fiel
 çalışır. m2m alanlar da desteklenir (`EXISTS` alt sorgusuna çevrilir).
 
 > **Expression filtresi istek parametresi TAŞIYAMAZ.** Microservice'te expression'lar
-> `workflowContext.JavascriptEngineInstance` ile eval edilir ve o bağlamda `input` global'i
+> `workflowContext.CreateJavascriptEngine()` ile eval edilir ve o bağlamda `input` global'i
 > **yoktur** — `value: "input.doctor_id"` yazarsan uç `500 JavaScriptException: input is not
 > defined` verir (`input` workflow table step'inin sözlüğüdür, microservice'in değil).
 > Expression'ın okuyabildiği iki şey vardır: **sabit değerler** (`"'Aktif'"`, `new Date()`) ve

package/dist/resources/guides/middleware.md

@@ -52,7 +52,7 @@ cevabı adımın ifadesinde gizlidir. Ayrıntı ve yazım ölçütü: `platform_
 3. **Değişkenler istek boyunca yaşar.** `set-user` / `variable` step'lerinin kurduğu
    değişkenler istek kapsamındaki `WorkflowContext`'e yazılır (`AddVariable`) ve her akış
    koşusunun JS motoru o anki değişkenlerden kurulur (`WorkflowRunner` →
-   `JavascriptEngineInstance`). Hedef microservice'in **expression filtrelerinde/alanlarında**
+   `CreateJavascriptEngine()`). Hedef microservice'in **expression filtrelerinde/alanlarında**
    ve step ifadelerinde doğrudan okunur (`user.id`, `settings.auth_method`). Ayrıca microservice
    yolunda middleware'in response gövdesindeki `user` / `data` anahtarları da değişkene
    terfi eder (`ExecuteMicroserviceBehavior.cs:105` — sayfa yolunda bu terfi YOKTUR).

package/dist/resources/guides/mobile-publish.md

@@ -70,6 +70,7 @@ metni yeni numarayla yeniden dener.
 | P-10 | `manual declarations_pending` | kullanıcı onayıyla `mobile_store_update { declarations }` (engellemez) |
 | P-11 | push (yalnız `testflight` / `internal`): `warn push_incomplete` (kimlik eksik — derleme push'suz çıkar); `push_unreadable` (kimliğin şifresi çözülemiyor), `push_profile_stale` (profil APNs anahtarından önce üretilmiş), `push_firebase_mismatch` (`google-services.json` başka Firebase projesinin), `push_package_mismatch` (dosya yüklendikten sonra Android paket adı değişmiş), `push_shell_outdated` (kabuk paketi push taşımıyor) | Studio › Yayın › Hesaplar ve kimlik bilgileri (insan yükler); `push_profile_stale`: profili yeniden üret; `push_shell_outdated`: platform ayarı (destek). Push kapalı ya da hazırsa satır `ok`'tur ve dryRun'da görünmez — hazır olduğunu `mobile_store_get { manifest: true }` → `manifest.push` söyler |
 | P-12 | izinler: `warn permissions_shell_outdated` (yayındaki kabuk izin kümesini taşımıyor: sabit izinler bildirilir, kamera çalışmaz, kipler uygulanmaz — başka P-12 satırı çıkmaz); kabuk taşıyorsa `fail permission_off_in_use` (kip `off` ama production o izni yazılı olarak kullanıyor) ya da `warn launch_permissions_shell_outdated` (açılışta sorulan izin var, kabuk açılışta sormuyor; kabuk kümeyi de taşımıyorsa bu cümle ilk uyarının iletisine eklenir) | `mobile_store_update { settings: { permissionModes } }` ya da kullanımı kaldırıp dağıtım; açılış uyarısında daha yeni kabuk ya da izni akış adımından isteme |
+| P-13 | reklam (yalnız `ads.enabled`): `warn ads_app_id_missing` (bu platformun AdMob App ID'si yok — derleme reklamsız çıkar), `warn ads_shell_outdated` (yayındaki kabuk reklam taşımıyor), yükleme hedefinde `manual ads_test_mode` (test kipi açık: mağazada test reklamı görünür), değilse `ok ads_ready` (yerleşim sayısıyla) | `mobile_store_update { settings: { ads } }`; test kipini yayından önce `testMode: false` |
 
 Satırın `message` ve `fixHint`'i backend'den, istek dilinde gelir.
 
@@ -98,9 +99,32 @@ sayfa · bileşen ya da akış adımı), `build` (production: `carried`, `reason
   taşımayan son mağaza derlemelerini (TestFlight / Play iç test) listeler; izin kullanılıyorsa yanıt
   `permissionWarnings` taşır — production kullanıyorsa yeni derleme şimdi, yalnız okunan ortam kullanıyorsa
   dağıtımdan sonra gerekir.
+- **İzleme izni (`tracking`, iOS ATT, kök ADR 0011):** derleme taşıyorsa App Store Connect App Privacy'de "Device
+  ID — Used to Track You", Play Console Data safety'de "Advertising ID" beyanı insanın işidir; izin penceresinden önce
+  teşvik ya da kendi ön pencerenizi göstermeyin (App Store 5.1.2). Görünüm bunu `permissionWarnings`'te söyler
+  (`MOB-027`). Taşınmayan ikiliye `expo-tracking-transparency` hiç bağlanmaz. Reklam açıksa izin, App ID'si olan platformun derlemesinde taşınır (yalnız Android'de reklam varsa iOS ikilisi ATT taşımaz).
 - Tarama `setter` ile yazılan tetikleyici prop'u da sayar; `code` adımı, fonksiyon gövdesi, `webview` / `html`
   içeriği ve dış bileşen görünmez — onlar için kip `on`.
 
+## Reklamlar
+
+Google Mobile Ads (kök ADR 0012) mağaza ayarıdır: `settings.ads = { enabled, iosAppId, androidAppId, testMode,
+consentForm, appOpenUnit, units: [{ name, format, ios, android }] }`. App ID `ca-app-pub-…~…`, birim kimliği
+`ca-app-pub-…/…`; `name` `^[a-z][A-Za-z0-9]{0,39}$` ve tekil (bileşen `adBanner.unit` ve adım `ad-show.value` bu adla
+anar); `format` `banner` · `interstitial` · `rewarded` · `rewardedInterstitial` · `appOpen`; bir platformun kimliği boşsa
+yerleşim o platformda yoktur. Biçim hatası `MOB-022` ile yazılmadan durur.
+
+- SDK ikiliye yalnız `enabled` iken ve o platformun App ID'si varken bağlanır; o platformun derlemesine `tracking`'i de taşıtır (kip
+  `off` olamaz, 422).
+- `testMode: true` (varsayılan) gerçek birim yerine Google test birimini gösterir — geliştirirken gerçek birime
+  tıklamak AdMob hesabını kapattırabilir. Yayından önce `false` (P-13 `manual`).
+- `consentForm: true` (varsayılan) açılışta AdMob UMP rıza formunu gerekiyorsa gösterir; rıza mesajının kendisi AdMob
+  konsolunda kurulur (insan). Sıra: rıza → açılış izinleri (ATT) → SDK başlatma; rıza reklama izin vermezse uygulama
+  reklamsız sürer.
+- `appOpenUnit` `appOpen` biçimli bir yerleşimin adı; soğuk açılışta bir kez gösterilir.
+- `mobile_store_get` reklam açıkken `adsWarnings` döner (`MOB-026`): test kipi, App ID'si olan platformda birimi olmayan
+  yerleşim, konsol beyanları (App Privacy, Data safety, AdMob rıza mesajı — insanın işi).
+
 ## Hata kodları
 
 `mobile_build_status` → `error.code`.

package/dist/resources/guides/mobile.md

@@ -37,7 +37,7 @@ Mobil uygulamanın bileşen kataloğu ayrıdır (backend satırları `(slug, typ
 mobil farkları: düşen prop, değişen etkileşim, mobile özgü prop notları) ve `mobileNotes` (bütün
 mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`app-bar`, `safe-area`,
 `scroll-view`, `choice-chips`, `tooltip`, `markdown`, `calendar`, `stack`, `list-item`, `fab`, `timer`,
-`audio`, `lottie`, `webview`, `map`, `grouped-list`, `floating-container`, `skeleton`, `photo-viewer`) bilgi yalnız
+`audio`, `lottie`, `webview`, `map`, `adBanner`, `grouped-list`, `floating-container`, `skeleton`, `photo-viewer`) bilgi yalnız
 `mobileKnowledge`'tadır. Olay yükleri
 (`events[].payload`) önce mobile özgü sözleşmeden okunur (`app-bar.clickAction`, `repeater.swipe`,
 `choice-chips.change`…), yoksa web'inkinden.
@@ -91,6 +91,11 @@ mobil bileşenlere geçen notlar). Web'de karşılığı olmayan bileşende (`ap
   OpenStreetMap): görünüm `latitude`/`longitude`/`zoom` sayılarıdır ve akış yazınca harita oraya gider;
   kullanıcı haritayı hareket ettirince `regionChange { latitude, longitude, zoom }` düğüme geri yazılır,
   işaretçiye dokunmak `markerClick { markerId }` yayar.
+  `adBanner` mobile özgüdür (Google Mobile Ads banner'ı, kök ADR 0012): `unit` mağaza ayarındaki reklam
+  yerleşiminin **adıdır** (birim kimliği değil), `size` `banner` 320×50 · `largeBanner` · `mediumRectangle` 300×250 ·
+  `fullBanner` · `leaderboard` · `adaptive` · `inlineAdaptive`. Reklamı yalnız mağaza sürümü çizer; kanvas, önizleme ve
+  oynatıcı boyutlu yer tutucu çizer ve çalışma kipinde `fail { code: 'unavailable' }` yayar. Mağaza sürümünde reklam
+  hazır değilken (rıza, SDK) yer kaplamaz; yerleşim yoksa ya da yüklenemezse `fail` yayar ve yer kaplamaz.
   Dördüncü adım: `datepicker`, `timepicker` ve `datetimepicker` web ikizleridir — kutuya dokununca cihazda
   işletim sisteminin seçicisi (iOS alttan açılan sayfa, seçim Tamam'la yazılır; Android iletişim kutusu),
   önizlemede tarayıcının seçicisi açılır; değer ve `change` yükü web ile aynıdır. Sistem seçicisi tek tek
@@ -215,8 +220,8 @@ bölümleri bileşen render anında çıkarır.
    `Section` boş nesnedir (`Row` gibi). Öğe repeater satırıyla aynıdır: `Row`, `RowIndex`,
    `{{ item.<alan> }}`; akışta tıklanan satır `tasks.selectedItem`. Şablon çocukları setter hedefi
    değildir — satır dışına (sayfadaki bir metne, modala) yazın.
-4. **Olaylar.** `itemPress { index, row }` (yalnız `itemPressable`; öğe şablonu `list-item`/`button`
-   ise dokunuş onun `click`'ine gider), `swipe { key, index, row }` (`swipeActions`),
+4. **Olaylar.** `itemPress { index, row }` (yalnız `itemPressable`; öğe şablonu `button` ya da `click`'i
+   bağlı `list-item` ise dokunuş onun `click`'ine gider — bağsız `list-item` basılamaz), `swipe { key, index, row }` (`swipeActions`),
    `change { selectedIndex }`, `sectionPress` (yük `Section`). `index` `rows` içindeki DÜZ indekstir.
 5. **Yapışkan gün başlığı.** `stickySectionHeaders: true` + `appearance.heightType: 'fixed'` +
    `heightString`. Sayfanın kendisi kaydırıcıdır; `auto` ya da `fill` liste içerik kadar uzar ve başlık
@@ -418,8 +423,9 @@ Motorun kendi adımları (`setter`, `condition`, `microservice`, `code`, `functi
 | `notification-permission` | bildirim izni ister (sorulmuşsa yeniden sormaz, kalıcı red yeniden sorulmaz). Sonuç `Steps.<adım>.data.status`: `granted` · `denied` · `undetermined`; red hata değildir, hep `always` |
 | `notification-schedule` | yerel bildirim planlar (`expo-notifications`; uzak push değil). `args.name` kimlik (düz metin; aynı kimlik eskisinin yerini alır), `args.title` başlık (düz metin), `args.message` gövde (**ifade**), `args.value` zaman (**ifade**): sonucu `'HH:mm'` → her gün, `{ weekday: 1–7, time: 'HH:mm' }` → her hafta (1 = Pazartesi), ISO tarih-saat → bir kez. `args.path` dokununca açılacak sayfanın slug'ı (+ `args.query` ifade), boşsa uygulama açılır. İzin yoksa `error.status: 'denied'`, geçmiş ya da okunamayan zaman `invalid`: `error` dalı → hata akışı → `always`. Web'de desteklenmez (`unsupported`) — sayfa kapalıyken tarayıcı gösteremez |
 | `notification-cancel` | `args.name` kimlikli planlı bildirimi siler, `'*'` hepsini; hep `always` |
-| `permission` | bir cihaz iznine bakar ya da ister. `args.value` izin türü, **düz metin — ifade olamaz** (mağaza derlemesinin taşıyacağı izinler bu değerden, akış koşmadan hesaplanır; `FLOW-038`); `args.name` kip: `check` yalnız okur (sistem penceresi açılmaz), `request` verilmemiş ve hâlâ sorulabilen izni ister (boş → `request`). Sonuç `Steps.<adım>.data = { status, canAskAgain }`: `granted` · `denied` · `undetermined` · `unavailable` (derleme bu izni taşımıyor ya da web önizlemesi); `canAskAgain: false` → yalnız Ayarlar'dan değişir. Red hata değildir, hep `always`. Türler: `mobile_store_get { detail: ['permissions'] }` (`support: supported` satırlarının `key`'i) |
+| `permission` | bir cihaz iznine bakar ya da ister. `args.value` izin türü, **düz metin — ifade olamaz** (mağaza derlemesinin taşıyacağı izinler bu değerden, akış koşmadan hesaplanır; `FLOW-038`); `args.name` kip: `check` yalnız okur (sistem penceresi açılmaz), `request` verilmemiş ve hâlâ sorulabilen izni ister (boş → `request`). Sonuç `Steps.<adım>.data = { status, canAskAgain }`: `granted` · `denied` · `undetermined` · `unavailable` (derleme bu izni taşımıyor ya da web önizlemesi); `canAskAgain: false` → yalnız Ayarlar'dan değişir. `tracking` (iOS App Tracking Transparency) sonucu ayrıca `advertisingId` taşır: izin `granted` iken IDFA (iOS) / AAID (Android), değilse `null`; oynatıcı `tracking`'i hiç taşımaz (`unavailable`). Red hata değildir, hep `always`. Türler: `mobile_store_get { detail: ['permissions'] }` (`support: supported` satırlarının `key`'i) |
 | `open-settings` | uygulamanın sistem ayar sayfasını açar; `Steps.<adım>.data.opened`. Argüman almaz |
+| `ad-show` | tam ekran reklam (kök ADR 0012). `args.value` mağaza ayarındaki yerleşimin **adı**, düz metin (`FLOW-039`); biçimi `interstitial` · `rewarded` · `rewardedInterstitial` olmalı. Reklam yüklenip gösterilir, kullanıcı kapatınca `Steps.<adım>.data = { shown: true, reward }` ile sürer — `reward` ödüllü reklamı sonuna kadar izleyende `{ type, amount }`, değilse `null` (ödül ayrı dal değil, `condition` ile okunur). 10 sn'de reklam yoksa, SDK hata verirse, derleme reklam taşımıyorsa ya da rıza yoksa `error.status: 'unavailable'`; tanımsız ya da banner yerleşimi `invalid`: `error` dalı → hata akışı → `always`. Oynatıcı ve web önizlemesi her zaman `unavailable` — reklamsız dalı orada sınayın. Paletten yalnız mobilde |
 
 Bildirim adımları paletten yalnız mobil uygulamada sunulur. Tarif — S04 "her gün hatırlat": önce
 `notification-permission` (S03 düğmesi), sonra `timepicker`'ın değeriyle `notification-schedule`
@@ -434,6 +440,15 @@ kamera/galeri kaynağı izni kendileri de ister — `permission` adımı *ne zam
 okumak içindir. `unavailable` bir hata değil, derlemenin o izni taşımadığının haberidir
 (`platform_guide('mobile-publish')` §İzinler).
 
+**Reklam tarifi** (kök ADR 0012): (1) `mobile_store_update { settings: { ads: { enabled: true, iosAppId, androidAppId,
+testMode: true, units: [{ name, format, ios, android }] } } }` — reklam, App ID'si olan platformun derlemesine `tracking`'i de sokar (ATT metni
+gider, kip `off` olamaz); (2) banner için sayfaya `adBanner` `unit: '<banner yerleşimi>'`; (3) geçiş/ödüllü reklam için
+düğme akışına `ad-show` `value: '<yerleşim>'`, `error` dalında reklamsız devam; (4) ödül `condition`:
+`Steps.<adım>.data?.reward` doluysa ödülü ver. Açılış reklamı adım değil ayardır (`ads.appOpenUnit`). Sıra cihazda:
+rıza formu → açılış izinleri (ATT) → SDK; iOS'ta izleme izni yoksa reklam kişiselleştirilmeden istenir. Yerleşim adının
+ayarda tanımlı olduğu sayfa/akış yazımında denetlenemez — `mobile_store_get` `settings.ads.units` ve `adsWarnings`
+(`MOB-026`); yayın ayrıntısı `platform_guide('mobile-publish')` §Reklamlar.
+
 `style`, `accuracy`, `reverseGeocode` gibi anahtarlar sözleşmede yoktur ve platform onları sessizce düşürür
 (`FLOW-029`). "Haritada aç" için adım yoktur: `map`'in `press` olayı düğüme `mapsUrl` yazar, akış
 `redirect` `isRaw: true`, `path: '<harita>.mapsUrl'` ile açar. Tarif — L05 "mevcut konumumu kullan":
@@ -544,6 +559,7 @@ yaptıkları. Derlenen uygulama
 - Uygulama içi tema seçimi (Sistem / Açık / Koyu) bir ayardır, bileşen değil: akış `storage` adımıyla
   `zeyrek:theme-mode` anahtarına `system` · `light` · `dark` yazar (ör. segmentli `choice-chips`'in `change`'i,
   `value: '<çipler>.value'`); barındırıcı anahtarı dinler, tema anında döner ve cihazda kalıcıdır — durum çubuğu da
-  izler. Web'in `theme-toggle`'ı mobilde yoktur. Seçili düğme saklanan seçimi `LocalStorage`'dan okur:
-  `{{ LocalStorage['zeyrek:theme-mode'] || 'system' }}` (ARC-147).
+  izler. Seçim yazılmadıysa (ilk açılış) tema **açıktır**; cihazın şeması yalnız `system` açıkça seçilince izlenir.
+  Web'in `theme-toggle`'ı mobilde yoktur. Seçili düğme saklanan seçimi `LocalStorage`'dan okur:
+  `{{ LocalStorage['zeyrek:theme-mode'] || 'light' }}` (ARC-147).
 - Dar ekran kırılımı (`hideOn: 'mobile'`) mobil uygulamada anlamsızdır: ekran zaten tek boydur.

package/dist/resources/guides/page.md

@@ -135,9 +135,9 @@ alanlar denetlenmez); katalog okunamazsa denetim susar ve yazma eskisi gibi geç
   **Düğümü silip yeniden kurmayın:** o yol ona yazan akış setter'larını sessizce öldürür
   (`FLOW-018`, aşağıda Kural 2).
 - **Aynı ızgara hücrelerini iki komponente veremezsin.** Studio'da komponent tuvale bırakıldığında
-  çakışan kardeşleri aşağı itme işini studio-api'nin sayfa kurma servisi yapar
-  (`SchemaHelper.reorderComponents` → `draggableElement.moveItem`); komple şema yazan `page_create`
-  / `page_update` o servisten geçmez, yani verdiğin koordinatlar olduğu gibi kayda girer ve tuvalde
+  çakışan kardeşleri aşağı itme işini Studio'nun ızgara motoru yapar
+  (`@ng-apps/screen-builder` `moveItem`); komple şema yazan `page_create`
+  / `page_update` o motordan geçmez, yani verdiğin koordinatlar olduğu gibi kayda girer ve tuvalde
   komponentler üst üste biner. **Gateway aynı algoritmayı şemanın tamamına uyguluyor** (kök dizi +
   her `children`, yalnız desktop `blocks[]` girdisi; `x`/`w`/`h` ve dizi sırası korunur, çakışanın
   `position.y`'si aşağı kayar) ve yanıtta `gatewayNormalized: "çakışan komponentler ızgarada aşağı
@@ -174,10 +174,9 @@ alanlar denetlenmez); katalog okunamazsa denetim susar ve yazma eskisi gibi geç
 ## Kural 1b — `page_build` YOK
 
 Entity'den otomatik sayfa üreten `page_build` tool'u **kaldırıldı**. Platformun
-`POST /pages/{app}/build/{page}` ucu üretimi `PageBuilderApiOptions:Url` adresindeki **ayrı bir
-servise** delege ediyor (`PageBuilderApiClient`); dev'de `localhost:4000`, prod'da `studio-api…`.
-O servis bu ürünün parçası değil ve ayakta olmayabilir. Sayfa/komponent şemasının tam karşılığı
-platformda zaten var → doğru yol yukarıdaki micro-op hattıdır.
+`POST /pages/{app}/build/{page}` ucu ve onun delege ettiği sayfa üretme servisi de 2026-09-18'de
+kaldırıldı; otomatik sayfa üretimi yok. Sayfa/komponent şemasının tam karşılığı platformda zaten
+var → doğru yol yukarıdaki micro-op hattıdır.
 
 ## Kural 1c — Komponente VERİ bağlama: `mount` olayı + flow (setter adımı)
 
@@ -879,6 +878,14 @@ Tire yerine `_` kullan.
 > `component_schema_patch` yamalarında), `layout_create`, `layout_update(views)` ve `layout_patch`;
 > `page_schema_validate` aynı kararı verir. Ad doldurulduktan sonra denetlenir: geçersiz bir
 > elementId adsız gelirse o da reddedilir.
+>
+> **`name` hiç verilmezse** gateway onu `elementId` ile tamamlar ve `gatewayNormalized`'da `name`
+> diye bildirir: adsız düğümü platform kabul eder ama sayfada bir akış ya da `{{ }}` kod prop'u
+> varsa FlowEngine `runCode` "Cannot read properties of undefined (reading 'catch')" ile düşer, akış
+> `running:1`'de takılır ve hata adsız düğümü işaret etmez. Tamamlama PAGE-009 denetiminden ÖNCE
+> koşar, yani `elementId` bu kuralın geçerli saydığı bir ad değilse (`'Ana Baslik'`, `'1abc'`,
+> `'Functions'`) tamamlanan ad da reddedilir. Yine de her `add_component` gövdesine
+> `name = elementId` yaz; tamamlama bir güvenlik ağıdır.
 
 ## Kural 1d — Sayfa iskeleti: `page_container` ve boyutlandırma
 

package/dist/resources/guides/theme.md

@@ -18,6 +18,7 @@ yazmalarının aksine burada "önce development'ta dene" diye bir ayrım YOKTUR.
 | Alan | Ne yapar | Ürettiği değişken(ler) |
 |---|---|---|
 | `mode` | `'light'` (varsayılan) \| `'dark'` — yayınlanan uygulamanın modu | palet tabanını seçer |
+| `direction` | `'ltr'` \| `'rtl'` \| `'auto'` — sayfanın okuma yönü; `auto` uygulama dilinden türetir (`ar` `he` `fa` `ur` `ps` `sd` `ug` `yi` `dv` → rtl). Ayar YOKSA `dir` hiç yazılmaz (sayfa üst öğenin yönünü miras alır): `ar` ile kurulmuş mevcut proje bu ayar açılmadan aynalanmaz. Sayfa oluşturucu tuvali yönü uygulamaz. Grid yerleşimi kendiliğinden aynalanır; bileşenlerin ok simgeleri ve fiziksel `left/right` CSS'i bileşen bazında düzeltilir (ADR 0006) | CSS değişkeni üretmez, kap `dir` özniteliğine yazılır |
 | `palette` | AYDINLIK moddaki renk override'ları; `accent.onPrimary` isteğe bağlıdır — accent ÜSTÜNDEKİ metin, verilmezse kontrasttan türer (`#4787FA` gibi açık bir mavi siyah metin üretir, tasarımda beyazsa buraya yazın) | `--ng-accent-*` · `--ng-background-*` · `--ng-text-*` · `--ng-border-*` · `--ng-status-*` · `--ng-text-on-accent` |
 | `paletteDark` | KARANLIK moddaki renk override'ları | aynı küme |
 | `fontFamily` · `headingFontFamily` | Gövde ve başlık yazı tipi (Google Fonts adı) | `--ng-font` · `--ng-font-heading` |

package/dist/resources/schema-fingerprint.json

@@ -1,7 +1,7 @@
 {
-  "hash": "ca0c6a8ebec39612cfa74fe6e1cb170b141038c1fbf63804e3ae3dd0cc418ec9",
-  "generatedAt": "2026-10-06T09:02:39.999Z",
-  "types": 335,
+  "hash": "63d0b9efc3b8d0c0d8ef9c8b7478b3abf8cb482e4e80276202b3faed73cedddf",
+  "generatedAt": "2026-10-08T09:32:48.956Z",
+  "types": 337,
   "files": 167,
   "note": "Şemaları üreten backend kaynaklarının parmak izi. Elle düzenlemeyin: 'npm run generate-schemas' yazar, 'npm run schema:check' denetler.",
   "missing": [

package/dist/resources/schemas/GlobalFunctionUpdateResultDto.json

@@ -273,7 +273,8 @@
           "authority-limit",
           "case-instance",
           "partner-relationship",
-          "connector-credential"
+          "connector-credential",
+          "monitoring"
         ],
         "type": "string",
         "format": ""

package/dist/resources/schemas/OrganizationProjectDto.json

@@ -194,6 +194,14 @@
             "type": "string",
             "nullable": true
           },
+          "slug": {
+            "type": "string",
+            "nullable": true
+          },
+          "displayName": {
+            "type": "string",
+            "nullable": true
+          },
           "isProduction": {
             "type": "boolean"
           },

package/dist/resources/schemas/UpsertMobileStoreSettingsCommand.json

@@ -117,6 +117,9 @@
       "review": {
         "$ref": "#/components/schemas/NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreReviewModel"
       },
+      "ads": {
+        "$ref": "#/components/schemas/NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreAdsModel"
+      },
       "expectedUpdatedAt": {
         "type": "string",
         "format": "date-time",
@@ -255,6 +258,40 @@
         },
         "additionalProperties": false
       },
+      "NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreAdsModel": {
+        "type": "object",
+        "properties": {
+          "enabled": {
+            "type": "boolean"
+          },
+          "iosAppId": {
+            "type": "string",
+            "nullable": true
+          },
+          "androidAppId": {
+            "type": "string",
+            "nullable": true
+          },
+          "testMode": {
+            "type": "boolean"
+          },
+          "consentForm": {
+            "type": "boolean"
+          },
+          "appOpenUnit": {
+            "type": "string",
+            "nullable": true
+          },
+          "units": {
+            "type": "array",
+            "items": {
+              "$ref": "#/components/schemas/NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreAdUnitModel"
+            },
+            "nullable": true
+          }
+        },
+        "additionalProperties": false
+      },
       "NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreAppleCategoriesModel": {
         "type": "object",
         "properties": {
@@ -268,6 +305,28 @@
           }
         },
         "additionalProperties": false
+      },
+      "NgApps.Domain.Contexts.Organization.MobileStore.MobileStoreAdUnitModel": {
+        "type": "object",
+        "properties": {
+          "name": {
+            "type": "string",
+            "nullable": true
+          },
+          "format": {
+            "type": "string",
+            "nullable": true
+          },
+          "ios": {
+            "type": "string",
+            "nullable": true
+          },
+          "android": {
+            "type": "string",
+            "nullable": true
+          }
+        },
+        "additionalProperties": false
       }
     }
   }

package/dist/tools/applications.js

@@ -3,11 +3,14 @@ import { handle } from '../platform/responses.js';
 import { forgetApplication, readApplicationPlatform, resolveApplication } from '../knowledge/platform/resolve.js';
 import { mobileTabsProblems, readMobileTabs } from '../knowledge/platform/mobileTabs.js';
 import { findingLine } from '../knowledge/platform/profile.js';
+import { listComponents } from './components.js';
 import { z } from 'zod';
 /**
  * MOB-007 (sekme ayarı) — `properties.mobile.tabs` yazan mobil uygulama çağrısının denetimi. Yazım
  * platforma YİNE gider (D3; backend `properties`'i doğrulamaz): bulgu `platformWarnings`'e düşer.
- * Sayfa ve widget listesi okunamazsa o denetimler atlanır, biçim denetimi yine koşar.
+ * Sayfa ve widget listesi okunamazsa o denetimler atlanır, biçim denetimi yine koşar. Widget listesi
+ * `listComponents`'tan gelir: uç `type` verilmezse yalnız web bileşenlerini döner ve mobil widget'ı
+ * gösteren sekme ayarı yanlış MOB-007 alırdı (ARC-245).
  */
 export async function mobileTabsWarnings(platform, applicationId, projectSlug, homepageId, properties) {
     const tabs = readMobileTabs(properties);
@@ -19,8 +22,8 @@ export async function mobileTabsWarnings(platform, applicationId, projectSlug, h
             .catch(() => undefined)
         : undefined;
     const widgetIds = applicationId && projectSlug
-        ? await platform.tenant('GET', projectSlug, `/components/${applicationId}`, { query: { pageIndex: 0, pageLength: 999 } })
-            .then(response => new Set((response?.data ?? []).filter(entry => entry.kind === 'widget').map(entry => String(entry.id ?? ''))))
+        ? await listComponents(platform, projectSlug, undefined, applicationId)
+            .then(components => new Set(components.filter(entry => entry.kind === 'widget').map(entry => String(entry.id ?? ''))))
             .catch(() => undefined)
         : undefined;
     return mobileTabsProblems(tabs, {