@appaflytech/zeyrek-ai-mcp 0.0.61 → 0.0.63

package/dist/resources/examples/mobile-reorder-persist.json

@@ -3,16 +3,16 @@
     "synthetic": true,
     "note": "Sırası kalıcı kaydedilen mobil liste: repeater tutamaçtan sürüklenir, reorder akışı event.data.patches'ı bulk-update ucuna TEK istekte kök dizi olarak yazar, ardından listeyi sıra alanına göre yeniden okur. mobiltest › siralama-kalici'de (lokal, 2026-10-27) uçta ölçülen sayfanın kimliksiz hâli: sürükleme → tek PUT 200, yeniden okunan satırlar yeni sırada. Sayfa mizanpaj sözleşmesine ve MOB-035'e uyar, akışlar mobil profilden ve kendi lint kurallarından bulgusuz geçer (test/mobile-rules.test.ts, test/mobile-layout-lint.test.ts).",
     "pairsWith": "mobile-offline-list (aynı listenin okuma deseni), mobile-list-detail-form (satıra dokunma), mobile-app-shell-stack ya da mobile-app-shell-tab (kabuk)",
-    "sourceRef": "platform_guide('page') §Kural 1g-5; platform_guide('microservice') §Toplu yazma; MOB-035; zeyrek-frontend docs/adr/0029-akis-adiminda-kok-dizi-govde.md"
+    "sourceRef": "platform_guide('page') §Kural 1g-5; platform_guide('microservice') §Toplu yazmada sahiplik (MS-027); MOB-035; zeyrek-frontend docs/adr/0029-akis-adiminda-kok-dizi-govde.md"
   },
   "_rules": {
     "list": "repeater'a reorderable: true + orderField: '<sayı alanı>' yazılır; tutamaç her satırın sonunda çizilir. Yalnız dikey ve tek sütunlu listede çalışır — direction: 'horizontal' ya da columnCount > 1 MOB-035 uyarısıdır ve tutamaç çizilmez. Satırlar orderField'a göre çizilir; okuma ucunun sıralı dönmesi yine de yenilemede aynı sırayı garanti eder.",
     "payload": "Bırakınca reorder yayılır: event.data = { fromIndex, toIndex, row, patches: [{ id, value }] }. patches yalnız sırası değişen satırlardır; id satırın _id'si (yoksa id), value orderField'a yazılacak 1 tabanlı yeni adım. Yerinde bırakılan sürükleme olay yaymaz; orderField yoksa ya da bir satırda anahtar yoksa patches BOŞ dizidir.",
-    "endpoint": "Yazma ucu tablo kaynaklı operation: 'bulk-update'; fields = birincil anahtar + sıra alanı, başka alan yok (tanımdaki alan gövdede yoksa NULL yazılır). Gövdede birincil anahtar zorunludur, WHERE'e taşınır. Tek istekte en fazla 1000 satır, parti hep-ya-hiç.",
+    "endpoint": "Yazma ucu tablo kaynaklı operation: 'bulk-update'; fields = birincil anahtar + sıra alanı, başka alan yok (tanımdaki alan gövdede yoksa NULL yazılır). Gövdede birincil anahtar zorunludur, WHERE'e taşınır. Tek istekte en fazla 1000 satır, parti hep-ya-hiç. Uç oturum ister (middlewareIds: auth middleware) ve filters'ta sahip alanını kapsar: { field: <sahip alanı>, operator: 'eq', source: 'expression', value: 'user.id' }. Platform bu kapsamı her satırın UPDATE'ine koyar; başkasının kimliği gelirse bütün parti 404 ile reddedilir, hiçbir satır yazılmaz (MS-027, zeyrek-backend ADR 0074). Kapsam alanını fields'a koymayın: uç onu yazarsa kayıt reddedilir.",
     "bodyKeys": "Gövde anahtarları alan slug'larıdır; fields[].name ile yeniden adlandırma yoktur. { id, value } yaması uca olduğu gibi gitmez: map ile { id, <orderField>: value }'ya eşlenir.",
     "rootArray": "Satır listesi ucun gövde parametrelerinden YALNIZ BİRİNE (birincil anahtarınkine) code ile verilir, öbürleri hiç yazılmaz. Servis şeması isParameterArray dediği için değeri olan tek gövde parametresinin dizisi gövdenin KENDİSİ olur — parametre adı anlamını yitirir. İkinci bir gövde parametresine değer verilirse gövde nesneye döner ve platform tek satır okur: 422 'Please provide the primary key value'. ADR 0029'dan eski platformda bu akış da 422 ile düşer.",
     "onError": "Servis hata dönerse liste kendiliğinden eski sıraya DÖNMEZ: yeniden okuma sürüklemeden önceki satırların aynısını getirir, liste aynı satırlarda tuttuğu sırayı korur ve ekran kaydedilmemiş sırada kalır. Hatayı Steps.<yazma adımı>.error ile kullanıcıya gösterin; eski sıraya döndürmenin doğrulanmış bir yolu yoktur.",
-    "verify": "page_screenshot({ applicationSlug: '<uygulama>', pageSlug: 'siralama', actions: [{ action: 'swipe', target: 'lst_gorev__row-2__handle', to: 'lst_gorev__row-0' }] }) üçüncü satırı başa taşır; txt_sonuc 'kaydedildi 3 satır' yazar ve row_list (order sira) aynı sırayı verir. Tutamaç kimliği yalnız çalışma anında basılır. Her denemeden sonra satırları bulk-update ile ilk sıralarına geri yazın."
+    "verify": "page_screenshot({ applicationSlug: '<uygulama>', pageSlug: 'siralama', actions: [{ action: 'swipe', target: 'lst_gorev__row-2__handle', to: 'lst_gorev__row-0' }] }) üçüncü satırı başa taşır; txt_sonuc 'kaydedildi 3 satır' yazar ve row_list (order sira) aynı sırayı verir. Tutamaç kimliği yalnız çalışma anında basılır. Her denemeden sonra satırları bulk-update ile ilk sıralarına geri yazın. Sahiplik: aynı ucu ikinci bir kullanıcının oturumuyla, gövdeye birinci kullanıcının bir satır kimliği koyarak microservice_execute ile çağırın — yanıt 404, row_list'te hiçbir satırın sırası değişmez."
   },
   "microservices": [
     {
@@ -33,7 +33,17 @@
           "alias": "gorev",
           "isSingle": false,
           "joins": [],
-          "filters": [],
+          "filters": [
+            {
+              "filterType": "single",
+              "conditionType": "and",
+              "alias": "gorev",
+              "fieldSlug": "sahip",
+              "operator": "eq",
+              "source": "expression",
+              "value": "user.id"
+            }
+          ],
           "selectFields": [
             {
               "alias": "gorev",
@@ -58,7 +68,10 @@
             "offset": "offset",
             "source": "query-string"
           }
-        }
+        },
+        "middlewareIds": [
+          "<auth middleware id>"
+        ]
       }
     },
     {
@@ -79,7 +92,17 @@
           "alias": "gorev",
           "isSingle": true,
           "joins": [],
-          "filters": [],
+          "filters": [
+            {
+              "filterType": "single",
+              "conditionType": "and",
+              "alias": "gorev",
+              "fieldSlug": "sahip",
+              "operator": "eq",
+              "source": "expression",
+              "value": "user.id"
+            }
+          ],
           "selectFields": [],
           "fields": [
             {
@@ -104,7 +127,10 @@
             "offset": "offset",
             "source": "query-string"
           }
-        }
+        },
+        "middlewareIds": [
+          "<auth middleware id>"
+        ]
       }
     }
   ],

package/dist/resources/examples/workflow-email-step.json

@@ -0,0 +1,67 @@
+{
+  "_meta": {
+    "synthetic": true,
+    "note": "email adımı: parametreden gelen tek alıcıya HTML ileti gönderir; başarıda 200, alıcı yanlışsa ya da SMTP düşerse fail dalından 400 döner. Alıcı YALNIZ rule.expression ile verilir ve { to, cc, bcc } adres dizgisi listeleri döndürür. Backend sözleşmesi koddan okundu ve testle sabitlendi (zeyrek-backend EmailStepTests, incident #197, 2026-11-04); aynı adım şekli lokal yığında ölçüldü (2026-11-04, workflow_preview → mailpit'e tek ileti, doğru alıcı; to: [] → fail dalı EmailRecipientsMissingException).",
+    "sourceRef": "platform_guide('workflow') §Email adımı; WF-037; zeyrek-backend EmailStep.cs EvaluateAsync, StepSchemaGenerator.cs (email)"
+  },
+  "_rules": {
+    "alici": "Alıcı rule.expression: \"({ to: [input.email] })\". cc ve bcc aynı biçimde isteğe bağlıdır. Öğe adres DİZGİSİDİR; { type, value } nesnesi EmailRecipientInvalidException ile fail dalına düşer.",
+    "okunmayanAnahtarlar": "rule.send / send.toMail / to / toMail / sendTo / recipients kural düzeyinde OKUNMAZ, platform bağlarken atar; gateway WF-037 ile kaydı durdurur. workflow_step_schema'daki expression.to/cc/bcc ifadenin döndürdüğü şekildir.",
+    "govde": "rule.body HTML olarak gider; şablon dizgisiyle değer gömülür. rule.subject konu, rule.displayName gönderen ADI (gönderen adresi platform ayarıdır).",
+    "hata": "Alıcı yoksa EmailRecipientsMissingException, öğe dizgi değilse EmailRecipientInvalidException, SMTP hatası da aynı fail dalına düşer; <adım>.error.code hata anahtarını verir.",
+    "verify": "workflow_preview({ input: { email: 'deneme@zeyrek.local' } }) → 200 { gonderildi: true }; curl -s localhost:8025/api/v1/messages son iletide To=deneme@zeyrek.local, Subject='Doğrulama kodu'. Önizleme gerçekten gönderir."
+  },
+  "definition": {
+    "name": "Doğrulama Kodu Gönder",
+    "slug": "dogrulama-kodu-gonder",
+    "description": "Verilen adrese tek kullanımlık doğrulama kodu e-postası gönderir.",
+    "type": "workflow",
+    "parameterDtoId": "<girdi DTO id: { email: string }>",
+    "parameterBehavior": "object",
+    "returnDtoId": "<çıktı DTO id: { gonderildi: boolean, hata?: string }>",
+    "returnBehavior": "object",
+    "steps": [
+      {
+        "id": "<GUID-1>",
+        "name": "Start",
+        "type": "start",
+        "description": "Akışı başlatır.",
+        "branches": [{ "id": "<GUID-2>", "name": "start", "type": "success", "nextStepId": "<GUID-3>" }]
+      },
+      {
+        "id": "<GUID-3>",
+        "name": "kodGonder",
+        "type": "email",
+        "description": "Kodu girdideki adrese HTML ileti olarak gönderir.",
+        "rule": {
+          "stepType": "email",
+          "expression": "({ to: [input.email] })",
+          "subject": "'Doğrulama kodu'",
+          "body": "`<p>Doğrulama kodunuz: <b>482913</b></p><p>Kod 10 dakika geçerlidir.</p>`",
+          "displayName": "'Defter'",
+          "attachment": "[]"
+        },
+        "branches": [
+          { "id": "<GUID-4>", "name": "success", "type": "success", "nextStepId": "<GUID-5>" },
+          { "id": "<GUID-6>", "name": "fail", "type": "fail", "nextStepId": "<GUID-7>" }
+        ]
+      },
+      {
+        "id": "<GUID-5>",
+        "name": "Gonderildi",
+        "type": "response",
+        "description": "Gönderimin başarılı olduğunu döner.",
+        "rule": { "stepType": "response", "bodyExpression": "({ gonderildi: true })", "httpStatusCode": 200 },
+        "branches": []
+      },
+      {
+        "id": "<GUID-7>",
+        "name": "Gonderilemedi",
+        "type": "response",
+        "description": "Gönderim hatasının anahtarını döner.",
+        "rule": { "stepType": "response", "bodyExpression": "({ gonderildi: false, hata: kodGonder.error.code })", "httpStatusCode": 400 },
+        "branches": []
+      }
+    ]
+  }
+}

package/dist/resources/guides/deployment.md

@@ -20,7 +20,7 @@ kazasıdır, bu yüzden her tablo ve her dosya ayrıca seçilir.
 | Uygulama asistanı | evet | ayar, rehber, beceri, senaryo ve **yayındaki paket** (beceri seti, rehber, menü, sağlama toplamı); hedefte asistan development'ta en son yayınlanan hâliyle çalışır, production'da ayrıca yayın yoktur (ASI-018). Kaynakta hiç yayın yoksa hedefin paketi korunur |
 | Tablo satırları | **yalnız tabloda kayıt taşıma açıksa** | §Tablo satırları |
 | Dosyalar | **yalnız id referansıyla** | §Dosyalar |
-| Kullanıcı, rol ataması, süreç örneği, görev, defter | hayır | ortama özgüdür |
+| Kullanıcı, rol ataması, süreç örneği, görev, defter | hayır | ortama özgüdür; test kullanıcısı için §Test kullanıcısını production'a taşımak |
 
 Kaynak yalnız `development`'tır (DEP-003); deploy başlamadan production verisi ön denetimden geçer
 (DEP-004). İkisinin ayrıntısı `deployment_start` açıklamasında.
@@ -83,6 +83,18 @@ Satırlar **tablo başına** açılan kayıt taşıma ayarıyla gider. Ayar enti
 Kayıt taşıma deploy'un kuralıdır. Dal açarken `includeRecords: true` bu ayara bakmadan bütün veri
 tablolarını kopyalar; merge satır taşımaz (`platform_guide('merge')` §Dalda çalışmak).
 
+### Test kullanıcısını production'a taşımak
+
+Kullanıcı ortama özgüdür ve varsayılan olarak taşınmaz. Belirli test kullanıcılarını bir kez taşımak için:
+
+1. development'ta `entity_patch users`: `recordTransferMode: 'specific'`, `transferRowIds: ['<kullanıcı id>', …]`,
+   `recordTransferSkipExisting: true` (production'da aynı kullanıcı varsa ezilmez).
+2. Deploy'u insan başlatır (production'a giden tek yol). Satır bütün sütunlarıyla gider, **parola özeti dahil**:
+   kullanıcı production'da development'taki parolasıyla girer. `'specific'` silmez, `users` aynalanmaz.
+3. Deploy bitince `recordTransferMode`'u `null`'a geri alın; açık kalırsa her deploy aynı satırları yeniden gönderir.
+4. Rol bağını production'da okuyarak doğrulayın (`row_list user_roles`). Eksikse rolü insan Studio'dan atar;
+   production'a doğrudan yazılmaz.
+
 ## Dosyalar
 
 `files` tablosu ortama aittir ve **toptan taşınmaz**. Bir dosya production'a yalnız iki yoldan biriyle,

package/dist/resources/guides/entity.md

@@ -405,6 +405,13 @@ sözleşmeden eski bir sürümdedir; gateway o zaman companion'a kendisi yazar v
 ile kaç dil satırı yazdığını söyler — `localizationsFailed` ise ana satır yazılmış, dil satırları
 yazılmamıştır. Aşağıdaki elle tarif yalnız o eski yol ve `rows` ile toplu yazma için gerekir.
 
+**Workflow tablo adımı ve tablo kaynaklı uç** çok dilli alana yazabilir: adım şemasının sunduğu eşlik tablosu alanı
+(`{slug}_localization`'daki alan) seçilir, platform değeri isteğin dilinde eşlik satırına yazar. Toplu adımda
+(`bulk-create` / `bulk-update`) çok dilli değer yalnız adımın `fields` listesinde yapılandırılırsa yazılır; ifadenin
+satırlarındaki çok dilli anahtar yok sayılır (bir `get` adımından okunan değer varsayılan dilin metnidir, aynen
+yazılsaydı isteğin diline yanlış çeviri olurdu). 2026-11-04'ten eski backend bu yazımda `NullReferenceException`
+(500) verir; o sürümde değeri ayrı bir adımla eşlik tablosuna yazın (yukarıdaki elle tarif).
+
 **Kullanım (tamamı mevcut genel araçlarla, yeni tool GEREKMEZ):**
 
 ```

package/dist/resources/guides/expressions.md

@@ -49,6 +49,11 @@ tetikleyen satır `row` / `previousRow` / `user`.
 > sıralanabilir hem de datetime filtrelerine doğrudan verilebilir. Gün aritmetiği gerekiyorsa
 > `UtcNow()` üzerinde `getTime()` ile yapın.
 >
+> **Milisaniye:** `UtcNow()` ifade içinde milisaniyeyi taşır ve tablo adımı onu milisaniyesiyle yazar (2026-11-04'ten
+> eski backend saniyeye kırpar). Değeri bir değişkene yazıp SONRAKİ ifadede okursanız saniyeye düşer
+> (`yyyy-MM-ddTHH:mm:ss`). Aynı saniyedeki kayıtları sıralamak için zamanı tablo adımına doğrudan verin ya da
+> `getTime()` sayısını saklayın.
+>
 > **Tuzak:** çözümlenemeyen bir datetime filtre değeri 400 vermez — platform o filtreyi
 > **sessizce düşürür** ve uç TÜM satırları döndürür. Bir tarih filtresi yazdıktan sonra
 > `microservice_debug` ile ifadenin neye çözüldüğüne bakın (`source:'filter'` satırları).

package/dist/resources/guides/getting-started.md

@@ -73,42 +73,27 @@ Bağımlılıklar bu sırayı zorunlu kılar; atlama:
 
 Onay zinciri, görev kutusu, SLA gibi insanı bekleyen işler workflow'a sıkıştırılmaz: entity ve (gerekiyorsa) servis workflow'ları hazır olduktan sonra süreç tanımı yazılır — `platform_guide('bpm')`.
 
-## İlk kullanıcıyı kim açar? (tavuk-yumurta kilidi)
+## İlk kullanıcıyı kim açar?
 
-Kimlik kurulmuş yeni bir projede **giriş yapabilecek hiç kimse yoktur** ve zincir kendi kendini
-kilitler:
+Kimlik kurulmuş yeni bir projede `users` tablosu **boş** gelir. Studio operatörü (`admin@…`) organizasyon
+kullanıcısıdır, uygulamanın kullanıcısı DEĞİLDİR; kimse onu otomatik kopyalamaz. Middleware bağlanınca her istek
+401 döner (09-02 ve 09-04 koşularında ikisinde de yaşandı).
 
-1. `users.password` alanı **hash'lidir** (`Hasher.Hash` / `crypto.SHA256.encode`, PBKDF2).
-   `row_create` parolayı **hash'lemez** — düz metin yazar ve o kullanıcı asla giriş yapamaz
-   (ölçüldü). Yani kullanıcı ancak `crypto.SHA256.encode(...)` çağıran bir **workflow** üzerinden
-   açılabilir.
-2. O workflow'un ucu, kimlik kurulduğu için `middlewareIds` ile auth middleware'ine bağlıdır.
-3. Auth middleware'i token'ı **çerezten** okur; ortada henüz kullanıcı yoktur, dolayısıyla token
-   da yoktur.
-4. **Yeni projede `users` tablosu BOŞ gelir.** Studio operatörü (`admin@…`) organizasyon
-   kullanıcısıdır, uygulamanın kullanıcısı DEĞİLDİR; kimse onu otomatik kopyalamaz.
-
-**Bu bir platform boşluğudur, kısa yolu yoktur.** İlk kullanıcıyı açmanın desteklenen tek yolu
-aşağıdaki bootstrap desenidir: geçici bir uç aç, kullanıcıyı yaz, ucu hemen sil. Bakım/migration
-uçlarını (`/organizations/sync-users` gibi `Sync*` uçları) **kullanma** — onlar ürün yüzeyinin
-parçası değildir, özellik geliştirirken veri düzeltmek için yazılmışlardır ve kaldırılmaktadırlar.
-Gateway de onları araç olarak yayınlamaz.
-
-Bu tur, kimlik kuran her yeni projede ödenmek zorunda: iki koşuda da (09-02 ve 09-04) `users`
-boş bulundu ve ikisi de bu deseni elle kurdu.
-
-**Bootstrap deseni** (crm koşumunda uygulandı):
+İlk yöneticiyi **`row_create` ile `users` tablosuna** yazın. Platform `password` alanını yazarken özetler
+(`Hasher.Hash`, PBKDF2) ve zaten özetli değere dokunmaz. Tek satır da toplu yazım (`rows`) da böyledir. Parolayı
+düz gönderin, kendiniz özetlemeyin.
 
 ```
-1. Kullanıcı yazan workflow'a bağlı, middlewareIds: [] olan GEÇİCİ bir uç aç
-   (ör. slug: 'bootstrap-user') — parolayı workflow içinde crypto.SHA256.encode ile hash'le.
-2. microservice_execute ile ilk yöneticiyi yaz (rol bağını da kur: user_roles satırı).
-3. Ucu HEMEN sil (microservice_delete). Kalırsa herkese açık kullanıcı yaratma ucu bırakmış olursun.
-4. Giriş ucundan token al, sonraki her şeyi normal korumalı yoldan yap.
+1. entity_get users → alan slug'larını okuyun.
+2. row_create users { …kimlik alanları…, password: '<düz parola>' } — özeti platform alır.
+3. Rol bağını kurun (user_roles satırı).
+4. Giriş ucundan token alın; sonraki her şeyi normal korumalı yoldan yapın.
 ```
 
-Silmeyi unutmamak için ucu açtığın anda "sil" adımını görev listene yaz; `microservice_list` ile
-proje kapanışında `bootstrap` içeren slug kalmadığını doğrula.
+> **Eski not (2026-09):** o koşularda `row_create` parolayı düz yazıyordu ve kullanıcı geçici, korumasız bir
+> workflow ucuyla açılıyordu (bootstrap deseni). 2026-11-04 ölçümünde `row_create` özetledi ve açılan kullanıcı
+> girdi. Geçici uç açmayın: unutulan uç herkese açık bir kullanıcı yaratma kapısıdır. Bakım uçlarını (`Sync*`) da
+> kullanmayın; ürün yüzeyinin parçası değildir ve gateway onları araç olarak yayınlamaz.
 
 ## Middleware gerekli mi? (karar tablosu)
 

package/dist/resources/guides/microservice.md

@@ -212,7 +212,9 @@ DTO'dan süzülmez (WF-026 — `platform_guide('workflow')` §Hata yolu). Sözle
   Kurallar:
   - Gövde bir **dizi** olur; her eleman bir satırdır. `bulk-delete` gövdesinde yalnız birincil
     anahtar alanı aranır ve tek bir `IN` filtresine çevrilir.
-  - `filters` **kullanılmaz** — satırlar ve anahtarlar gövdeden okunur.
+  - `bulk-create` `filters` **kullanmaz** — satırlar gövdeden okunur. `bulk-update`/`bulk-delete`'te `filters`
+    **kapsamdır**: gövdedeki kimlikler yalnız kapsamın içindeyse yazılır/silinir (aşağıdaki §Toplu yazmada sahiplik,
+    MS-027).
   - Tek istekte en fazla **1000 satır** (`EntityConstants.BulkRowLimit`); aşılırsa
     `BulkRowLimitException` (422).
   - Parti **hep-ya-hiç**tir: bir satır doğrulamadan geçmezse `BulkRowFailedException` hangi
@@ -404,7 +406,7 @@ KOŞUL belirleyemez, yalnız bir ANAHTAR belirler (yukarıdaki §"Güncelle/sil
 
 | Ne istiyorsun | Yol |
 |---|---|
-| Anahtarlar elinde, hepsi ya hep ya hiç yazılsın | **`bulk-update` ucu** — gövde satır dizisi, filtre yok, tek çağrı, tek transaction (yukarıdaki §"Toplu yazma"). En fazla 1000 satır; bir satır düşerse hiçbiri yazılmaz |
+| Anahtarlar elinde, hepsi ya hep ya hiç yazılsın | **`bulk-update` ucu** — gövde satır dizisi, tek çağrı, tek transaction (aşağıdaki §Toplu yazmada sahiplik). En fazla 1000 satır; bir satır düşerse hiçbiri yazılmaz |
 | Satır başına SONUÇ ve satır başına YETKİ kararı gerekiyor | **İş akışı + döngü** (BK-05 deseni): liste ucunu çağır → her satır için `microservice` adımı → sayaçları topla → özet döndür |
 
 Kapsam ve politika koşulu her iki yolda da satır satır uygulanır; fark sonucun şeklidir. Toplu
@@ -413,6 +415,32 @@ onay gibi işlerde ikinci yol tercih edilir çünkü yetkisi yetmeyen satır öt
 akış "0 onaylandı · 2 reddedildi" döndürdü). Döngüdeki uç, çağıranın kimliğiyle denetlenir —
 akış içinden yazmak yetki YÜKSELTMEZ.
 
+### Toplu yazmada sahiplik (MS-027)
+
+`bulk-update` ve `bulk-delete` ucunun `filters`'ı **kapsamdır**: gövdedeki her kimlik yalnız bu kapsamın içindeyse
+yazılır ya da silinir (zeyrek-backend ADR 0074, 2026-11-04). Basit erişim modelinde kapsam olmadan uç, istemcinin
+gönderdiği her kimliği — başkasının satırı dahil — yazar.
+
+```jsonc
+"middlewareIds": ["<auth middleware id>"],
+"sourceParameters": {
+  "operation": "bulk-update",
+  "fields": [{ "fieldSlug": "id", "source": "body" }, { "fieldSlug": "sira", "source": "body" }],
+  "filters": [{ "filterType": "single", "conditionType": "and", "fieldSlug": "sahip", "operator": "eq", "source": "expression", "value": "user.id" }]
+}
+```
+
+| Kural | Sonuç |
+|---|---|
+| Kapsam filtresi kök, `single`, `and`, `eq`; değeri `static` ya da `expression` (`user.id` gibi) | Geçer |
+| Değer `body`/`header`/`query-string`'den ya da onları okuyan bir ifadeden (`body[0].sahip`, `header['x-…']`) geliyor · `eq` dışı işleç · grup · kapsam alanı `fields`'ta da var | Gateway MS-027 ile durdurur; platform `BulkWriteScopeFilterException` (400) |
+| Filtre yok ya da `middlewareIds` boş | MS-027 uyarır; uç her kimliği yazar |
+| Gövdede kapsam dışı tek kimlik | Bütün parti 404, hiçbir satır yazılmaz/silinmez |
+| Kapsam ifadesi boş döner (`user` yok) | 404 |
+
+Toplu silme önce sayım yapmaz; siler, eksik silinirse 404 döner ve istek geri alınır. Workflow `table` adımının
+toplu dalları bu kuralı uygulamaz: satırları akış yazarının ifadesi seçer, istemciden gelen kimliği akış süzmelidir.
+
 ## İlişki alanı: `row_list` NESNE döner, uç/step JOIN'siz DÜZ FK döner
 
 Aynı alan iki yoldan farklı şekilde gelir ve bu fark sessizce yanlış sonuç üretir:

package/dist/resources/guides/middleware.md

@@ -113,6 +113,9 @@ expression editörü ve senin keşif yolun budur; **değişken adını/alanını
 token'ı üretirken `system.generateToken({ … })`'a verdiğin sözlüğün anahtarlarıdır
 (`claims.userId`, `claims.email` …) — `token.data.id` diye evrensel bir alan YOKTUR.
 
+Bu rehberdeki `start → X` okları başlangıç adımının dalıdır: `{ name: 'start', type: 'success', nextStepId: X }`.
+Dal tipi `start` değildir; platform 400 döner (WF-038, `platform_guide('workflow')` §Step'ler nasıl bağlanır).
+
 ```
 start → token   [code: return system.validateToken(cookie.<TokenCookie>)]
 token → valid?  [condition: token.data.isValid && token.data.claims.<idAnahtarın>]
@@ -343,6 +346,83 @@ bırakıldığında akış `500 JavaScriptException: user is not defined` verdi.
 `platform_guide('microservice')` §"Kimlik kapsaması × uç kaynağı", bağlamanın yazım tuzağı
 `platform_guide('workflow')` §"Query adımı".
 
+## Tarif 4 — Şifre sıfırlama (kodla)
+
+"Şifremi unuttum" bir middleware değil, iki **anonim** uçtur (`source: 'workflow'`, `middlewareIds: []`)
+ve kullanıcı başına tek satırlık bir kod tablosudur. Hazır parçalar: `ngapps://examples/middleware-password-reset`
+(tablo, dört DTO, iki akış, iki uç). Lokal yığında bu örnekten kurularak uçtan uca ölçüldü (2026-11-04).
+
+**Tablo** `password_reset_codes`: `user_id` (UUID, **UNIQUE**), `salt`, `code_hash`, `expires_at`, `sent_at`,
+`window_started_at`, `used_at` (TIMESTAMPTZ), `attempts` (INT4). Kullanıcı başına tek satır olduğu için yeni kod
+satırı günceller ve önceki kod kendiliğinden geçersiz olur.
+
+```
+sifre-kodu-iste { email }
+start → kullanici [table get users, email eq input.email]
+      → kullaniciVar? ─ yok → sureEsitle ─────────────────────────────────┐
+      → mevcutKod [table get password_reset_codes, user_id]                 │
+      → hizSiniri? (sent_at 60 sn'den yeni ya da pencerede hak bitti) ─ evet → sureEsitle
+      → kodUret [code] → satirVar? ─ evet → kodGuncelle (used_at null; attempts/pencere taşınır)
+                                    └ hayır → kodYaz                         │
+      → eposta [email: to kullanici.data.email] (success ve fail) ───────────┤
+                                                    yanit 200 { message: 'Kayıtlıysa e-posta gönderildi.' }
+
+sifre-sifirla { email, code, newPassword }
+start → parolaUygun? ─ hayır → 200 { ok: false, … }
+      → kullanici → kullaniciVar? ─ yok → sureEsitle → gecersiz
+      → kod [table get] → kodGecerli? (satır var · used_at boş · attempts < 5 · süresi dolmamış)
+                           └ hayır → sureEsitle → gecersiz
+      → denemeSay [table update attempts + 1, filtre: id eq kod.data.id AND attempts eq kod.data.attempts]
+      → sayildi? (güncellenen satır döndü mü) ─ hayır → sureEsitle → gecersiz
+      → kodEslesiyor? ─ hayır → gecersiz 200 { ok: false, … }
+      → parolaYaz [table update users.password = input.newPassword]
+      → kodKullanildi (used_at = UtcNow()) → 200 { ok: true, … }
+```
+
+- **Kod üretimi:** `GenerateGuid()`'in son 10 hex hanesi v7 GUID'in rastgele bitlerinden gelir:
+  `String(parseInt(hex.slice(-10), 16) % 1000000).padStart(6, '0')`. Saklanan değer
+  `crypto.SHA256.encode(salt + ':' + code)`, `salt` satıra özgü yeni bir GUID. Bu fonksiyon adına rağmen
+  PBKDF2'dir ve tuzu girdinin kendisidir (`platform_guide('expressions')`); tuz eklenmezse aynı 6 hane her
+  satırda aynı özeti verir.
+- **Deneme hakkı karşılaştırmadan önce, karşılaştır-ve-yaz ile harcanır.** `denemeSay` sayacı yalnız okunduğu
+  değerdeyse artırır. Satırı Postgres kilitler. Aynı anda gelen öteki istek kilit açılınca koşulu yeniden
+  değerlendirir, satırı güncelleyemez ve adım boş döner; o istek kodu karşılaştırmadan reddedilir. Okuyup-artıran
+  bir adım (`attempts: kod.data.attempts + 1`, filtresiz) paralel isteklerde aynı sayacı okur ve hepsi karşılaştırma
+  yapar: 5 sınırı istek sayısı kadar aşılır. Ölçüm:
+  - Aynı anda 10 yanlış denemeden 2'si sayıldı, 8'i karşılaştırmadan reddedildi.
+  - Aynı doğru kodla aynı anda gelen 5 istekten tam 1'i `ok: true` aldı.
+- **Sayaç yeni kodla sıfırlanmaz.** `window_started_at`'ten 24 saat geçmedikçe `attempts` taşınır; hak bitmişse yeni
+  kod da gönderilmez. Böylece hesap başına günde en çok 5 tahmin yapılır (10⁶'da 5). Her yeni kodla 5 hak açan
+  sürüm günde ~7 200 tahmine izin verirdi. Bedel: 5 kez yanlış yazan kullanıcı 24 saat bekler.
+- **Sıfırla ucunun her sonucu 2xx döner.** Uç 4xx/5xx ile biterse platform işlemin bütün yazımlarını geri alır
+  (`platform_guide('workflow')` §Önizleme çıktısını okumak, "Yazmalar" satırı). 400 dönen ilk sürümde beş yanlış
+  denemeden sonra `attempts` 0 kaldı, altıncı denemede doğru kod kabul edildi. İstemci başarıyı `body.ok`'tan okur.
+- **Hesap varlığı sızmaz:** kod iste ucu her durumda aynı gövdeyi döner. Kod karşılaştırılmayan her dal
+  `sureEsitle` (`crypto.SHA256.encode(GenerateGuid())`) adımından geçer, çünkü özet hesabı yanıt süresinin
+  büyük kısmıdır. Eşitlemesiz sürümde kayıtsız adres 9 ms'de, kayıtlı adres 130 ms'de döndü; eşitlemeden
+  sonra iki dal da 117–175 ms aralığında. E-posta gönderim süresi eşitlenmez; SMTP yavaşsa bu fark kalır.
+- **Parola düz yazılır:** platform `users` tablosunun parola alanını yazarken özetler, zaten özetlenmiş
+  değere dokunmaz (`row_create` ve table adımı ikisi de). Elle `crypto.SHA256.encode` vermek de çift
+  özetlemez.
+- **Hız sınırı:** aynı kullanıcıya 60 sn'de bir kod gider. Aynı anda gelen iki kod isteği eski `sent_at`'i birlikte
+  okuyup bu sınırı aşabilir; etkisi fazladan iletidir, sayaç ve pencere taşındığı için tahmin hakkı artmaz. Kod ve
+  özet yanıta girmez. `microservice_debug` adım çıktısında kodu gösterir; teşhis ucu olarak açık bırakma.
+- **Açık oturumlar kapanmaz.** Basit projede uygulamanın kendi jetonu süresi dolana kadar geçerli kalır.
+  Kompleks projede platform parola değişiminde yenileme jetonu ailesini iptal etmez (PS-32, karar bekliyor).
+  Tarif bunu çözmez; jeton ömrünü kısa tut.
+- **Sayfa:** giriş sayfasındaki "Şifremi unuttum" bağlantısı iki adımlı bir sayfaya gider: önce e-posta
+  formu (`sifre-kodu-iste`), sonra kod ve yeni parola formu (`sifre-sifirla`, `Steps.<adım>.data.ok`'a göre
+  bildirim). Sayfa da anonimdir (`middlewareIds` boş).
+
+Doğrulama (lokalde ölçülen sıra), hepsi `microservice_execute(anonymous: true)` ile:
+
+1. Kod iste → 200 ve mailpit'te tek ileti (`curl -s 'localhost:8025/api/v1/search?query=to:<email>'`).
+2. Kayıtsız adres → aynı gövde, ileti yok.
+3. Aynı anda 10 yanlış kod → hepsi `ok: false`, `attempts` ≤ 5.
+4. Sayaç 5'e varınca doğru kod da `ok: false`. Yeni kod istenirse ileti gitmez.
+5. Pencere dolunca yeni kod gelir. Aynı anda 5 doğru kod → tam bir `ok: true`.
+6. Giriş ucu yeni parolayla 200, eskisiyle 401.
+
 ## Tuzaklar
 
 - Expression'daki değişken adı, bağlı middleware'lerden birinin kurduğu adla **birebir**
@@ -368,9 +448,9 @@ Middleware bağlamadan önce `users` tablosunda satır olduğundan emin ol — `
 kapı bağlanınca her istek 401 döner ve bu ancak sayfa boş açılınca fark edilir (09-02 ve 09-04
 koşularında ikisinde de yaşandı).
 
-İlk kullanıcıyı açmanın desteklenen tek yolu bootstrap desenidir:
-`platform_guide('getting-started')` §"İlk kullanıcıyı kim açar?". Kısa yol arama — bakım uçları
-(`Sync*`) ürün yüzeyinin parçası değildir ve gateway onları araç olarak yayınlamaz.
+İlk kullanıcıyı `row_create` ile `users`'a yazın; platform parolayı özetler:
+`platform_guide('getting-started')` §"İlk kullanıcıyı kim açar?". Bakım uçları (`Sync*`) ürün yüzeyinin parçası
+değildir ve gateway onları araç olarak yayınlamaz.
 
 ## Korumalı bir ucu TEST ederken: token ÇEREZDEN okunur
 

package/dist/resources/guides/mobile-layout.md

@@ -106,9 +106,19 @@ Bir ekran yukarıdan aşağıya şu sırayla kurulur: **başlık → bölümler
 
 ## Boşluk
 
-Aralığın tek kaynağı ebeveynin `gap`'idir. Runtime'ın varsayılanları katmanlarda birikir: margin tipi
-yazılmamış her düğüm 4 dp, bırakılabilir düğüm ayrıca 10 dp padding alır. İki kat iç içe zeminsiz kap, içeriği
-28 dp kaydırır.
+Aralığın tek kaynağı ebeveynin `gap`'idir. Runtime'ın varsayılanları katmanlarda birikir. İki kat iç içe zeminsiz
+kap, içeriği 28 dp kaydırır. Varsayılanlar (boşluk tipi yazılmamışsa; açık yazılan değer her satırda uygulanır):
+
+| Düğüm | Dış boşluk | İç boşluk | Not |
+|---|---|---|---|
+| Margin tipi yazılmamış düğüm | 4 dp | — | runtime `RUNTIME_NORMAL_MARGIN` |
+| Bırakılabilir düğüm (çocuk alan kap) | 4 dp | 10 dp | `RUNTIME_NORMAL_PADDING`; `isWrapper` dış boşluğu sıfırlar, iç boşluğu sıfırlamaz |
+| `safe-area`, `scroll-view`, `app-bar`, `tooltip`, `view` | 0 | 0 | ekran kenarına yaslanan kaplar (`FLUSH_SPACING_TYPES`) |
+| `auth-layout`, `modal`, `drawer` | 0 | 0 | katmanlar; `modal`/`drawer` paneli temanın `spacing.md` iç boşluğunu kendisi verir |
+
+Çocuklar arası: `container` ve `scroll-view` `gap` varsayılanı `medium` = 16 dp (ölçek `small` 8 · `medium` 16 ·
+`large` 24). Mobil `repeater` `gap` okumaz: satır arası `verticalSpacing`, sütun arası `horizontalSpacing`
+(şema varsayılanı 12 / 12). `carousel` `gap` 0'dır (px).
 
 - **Gateway yeni düğüme `marginType: 'none'` yazar** (`page_create`, `page_schema_patch`,
   `page_schema_validate`) ve bunu `gatewayNormalized`'da söyler.
@@ -130,6 +140,10 @@ yazılmamış her düğüm 4 dp, bırakılabilir düğüm ayrıca 10 dp padding
   sağ kenar hizadan kopar (MOB-020).
 - **Yönü yazılmamış `container` ve `form` satırdır.** Alanlar yan yana sıkışır; `direction: 'column'` yazın.
   `safe-area` ve `scroll-view` sütun doğar.
+- **Satırda üç ya da daha çok çocuk dar sütunlara sıkışır** (MOB-043): `direction: 'row'` ve sarmasız kapta üç ya da
+  daha çok çocuk yan yana, en az ikisi `fill` ise önizlemede de telefonda da daralırlar (2 alan + düğme: her biri ~106 dp).
+  Alt alta için `direction: 'column'`. İki `fill` çocuk eşit paylaşır ([İptal | Kaydet], Ad | Soyad) ve bir `fill` alan
+  + düğme (arama satırı) bilinçli satırdır, uyarı almaz.
 - **Ortalanmış ekran** (giriş, boş durum) için sütuna `horizontalAlign: 'center'` verin. Bu kapsamda kenar
   eşitliği aranmaz.
 
@@ -162,6 +176,24 @@ Gerekçesiz ya da iç içe dikey kaydırıcı jestleri çakıştırır (MOB-016)
 boyunca eşit böler ve kısa içerik üst üste biner. Yapışkan başlık ve ekrana sabit içerik için
 `platform_guide('mobile')` §Ekrana sabit içerik.
 
+## Klavye
+
+Klavye açılınca yazılan alan görünür kalır; tasarıma iş düşmez. Kabuk 0.12.0 ve sonrası:
+
+- **Kaydırılan sayfa** kendi payını açar ve odaktaki satırı klavyenin üstüne kaydırır.
+- **Sabit boylu sayfa** (kaydırma bir `scroll-view`'da) klavye kadar kısalır.
+- **Alta çapalı katman** (`fab`, `floating-container` `bottom-*`) klavyenin tepesine kalkar; orta/üst çapalı katman
+  yerinde kalır.
+- **Sekme çubuğu** klavye açıkken görünür kalır. Gizlemek için çubuğa `"hideOnKeyboard": true`
+  (`platform_guide('mobile')` §Gezinme).
+- **Kullanıcının koyduğu `scroll-view`** (0.12.0'dan SONRAKİ kabuk; 0.12.0'da yok): klavye açıkken içindeki düğmeye ilk dokunuş düğmeye gider (önce klavyeyi
+  kapatmakla harcanmaz). Kaydırıcı kendi klavye payını açmaz; sabit boylu sayfa onu zaten kısaltır. Bilinen sınır:
+  kısalan `scroll-view`'un altında kalan alan odaklanınca kendiliğinden görünür alana gelmez, kullanıcı kaydırır.
+  Gönder düğmesini formun üstüne ya da alta çapalı katmana koyun.
+
+0.12.0'dan eski kabukta sayfa payı yoktur: alt yarıdaki alan klavyenin altında kalır. Geçici çözüm, formu ve gönder
+düğmesini ekranın üst yarısına almaktır. Klavye açıkken yazılan hâli önizlemede sınamak: `set` + `blur: false`.
+
 ## Doğrulama
 
 Bir ekranı bitirince iki çağrı yapın:

package/dist/resources/guides/mobile-publish.md

@@ -185,6 +185,36 @@ yazılmayan soru boş kalır).
 Cevap uygulamanın içeriğinden çıkar (sayfalar, akışlar, reklam ayarı: `settings.ads.enabled` → `advertising`);
 emin olunmayan soru kullanıcıya sorulur. Google Play'in IARC anketi konsoldadır (insan).
 
+## Kabuk sürümleri
+
+Telefondaki uygulama, derlemenin aldığı **kabuk paketinin** taşıdığı özellikleri çalıştırır. Yayındaki kabuğun sürümünü
+ve her yeteneği `mobile_store_get`'in `shell` alanı söyler (`shell.capabilities.<ad>: { carried, since }`; kaynak
+`GET mobile-store/shell`, tarama yapmaz). Bir geçici
+çözümü kaldırmadan önce oradan okuyun; rehberin anlattığı davranış en yeni kabuğundur. Tablonun kaynağı backend'dir
+(`MobileBuildOptions.ShellCapabilities`); bu tabloyla eşliğini bir test denetler.
+
+| Yetenek | En düşük kabuk | Rehberdeki yeri | Eski kabukta |
+|---|---|---|---|
+| `push` | 0.1.0 | §Ön kontrol P-11 | derleme push'suz çıkar (`push_shell_outdated`) |
+| `permissions` | 0.2.0 | §İzinler | sabit izinler bildirilir, kipler uygulanmaz (P-12) |
+| `launchPermissions` | 0.3.0 | §İzinler | açılışta izin sorulmaz (P-12) |
+| `ads` | 0.4.0 | §Reklamlar | derleme reklamsız çıkar (P-13) |
+| `scan` | 0.5.0 | `platform_guide('mobile-steps')` `scan-code` | adım `error` dalıyla biter (P-14) |
+| `appLock` | 0.6.0 | §Uygulama kilidi | uygulama kilitsiz açılır (P-12) |
+| `offlineSeed` | 0.7.0 | `platform_guide('page')` §Kural 1g-4 | derlemede ekran kopyası yok: ilk açılış ağ ister |
+| `nonProductionEnvironments` | 0.7.0 | §Test derlemesi | production dışı ortam açılmaz; ön kontrol P-32 `fail`, derleme başlamaz |
+| `purchases` | 0.9.0 | §Satın almalar | satın alma adımları `unsupported` döner |
+| `purchasesSilentRestore` | 0.10.0 | §Satın almalar | açılışta sessiz geri yükleme yapılmaz |
+| `optionalStoreUrls` | 0.12.0 | §Ön kontrol P-33 | boş gizlilik ya da destek adresiyle açılmaz; ön kontrol P-33 `fail` |
+| `backStep` | 0.12.0 | `platform_guide('mobile')` `back` adımı | `back` adımı yok: önceki sayfaya `redirect` |
+| `tabRedirectReturns` | 0.12.0 | `platform_guide('mobile')` sekmeye `redirect` | sekme sayfasına `redirect` yığına kopya iter |
+| `keyboardInsets` | 0.12.0 | `platform_guide('mobile')` | klavye alttaki alanı örter: gönder düğmesini ekranın üst yarısına alın |
+| `flowDrain` | 0.12.0 | `platform_guide('mobile-steps')` §Sayfa kapanınca | sayfa kapanınca akış yarıda kalır: isteği göndermeden ekranı değiştirmeyin |
+| `sharedAppState` | 0.12.0 | `platform_guide('mobile')` §Kalıcı state | her sayfa kendi `state.app` kopyasını alır: sayfalar arası değeri saklama türüyle taşıyın |
+| `offlineQueueEvent` | 0.12.0 | `platform_guide('page')` §Kural 1g-4 | `offlineQueueChange` koşmaz: kuyruğu bir zamanlayıcıyla yeniden okuyun |
+
+Lokal yığının derleme varsayılanı daha eski olabilir; telefondaki sürümü tahmin etmeyin, `shell.version`'dan okuyun.
+
 ## Ön kontrol
 
 `mobile_build_start { dryRun: true }` yalnız `ok` OLMAYAN satırları döner (`okCount` gerisini sayar). Tablo
@@ -194,7 +224,7 @@ emin olunmayan soru kullanıcıya sorulur. Google Play'in IARC anketi konsoldad
 |---|---|---|
 | P-01 | `settings_incomplete`; Android `internal`'da `release_notes_too_long` (bir dilde `releaseNotes` > 500 — Play sınırı; ayar 4000'e izin verir çünkü App Store'a da gider; ikisi birlikteyse tek satırda iki cümle). Mesaj alanları istek dilinde adlandırır ("başlık (English)", "gizlilik politikası adresi"), ayar yolunu değil — yol `mobile_store_get`'ten | `mobile_store_update` |
 | P-02 | `assets_missing` | `mobile_asset_create` |
-| P-03 | `secrets_missing`, `secrets_unreadable`, `signing_expired` (`warn signing_expiring`) | Studio › Yayın › Hesaplar |
+| P-03 | `secrets_missing`, `secrets_unreadable`, `signing_expired` (`warn signing_expiring`); iOS'ta sertifika Apple hesabının dağıtım sertifikaları arasında yoksa `signing_certificate_revoked` (iptal edilmiş ya da silinmiş; platformun açtığı sertifika Apple kimliğiyle, yüklenen sertifika baştaki sıfırları atılmış seri numarasıyla eşlenir), App Store Connect'e sorulamazsa `warn signing_revocation_unverified` (derlemeyi engellemez) | Studio › Yayın › Hesaplar |
 | P-04 | `apple_account_missing`, `asc_bundle_id_missing`, `asc_app_missing`, `asc_unauthorized`, `asc_forbidden`, `asc_unreachable` | `asc_bundle_id_missing`: `mobile_store_update { registerAppleBundleId: true }`. `asc_app_missing`: App Store Connect'te uygulama kaydı (API açamaz, insan açar). Diğerleri: Studio hesabı |
 | P-05 | `google_account_missing`, `play_app_missing`, `play_unauthorized`, `play_forbidden`, `play_unreachable` | Play Console'da uygulama + servis hesabı yetkisi |
 | P-06 | `production_missing`, `production_page_missing` (yalın `build`'de `warn`, başlatmayı engellemez); production dışı `environment` ile `fail environment_page_missing` | production ortamı ve dağıtım — insan onaylı, ajan yapmaz; başka ortamda açılış sayfası o ortamda |
@@ -214,6 +244,8 @@ emin olunmayan soru kullanıcıya sorulur. Google Play'in IARC anketi konsoldad
 | P-20 | kendi kaydı olan uygulamada hesap silme yolu görülmezse `manual account_deletion_unverified` (5.1.1(v)) | ekran + kullanıcı doğrular |
 | P-21 | `age_rating_missing` (yaş derecelendirmesi yanıtsız) | `settings.apple.advisory` |
 | P-22 | yayın hedefinde `release_source_missing`: kaynak derleme yok (`testflight` → `app-store-review` → `app-store-release`, `internal` → `play-promote`) | önce kaynak hedefi derle |
+| P-32 | production dışı `environment` ile derlemede kabuk o ortamı açamıyorsa `shell_environment_unsupported` (`nonProductionEnvironments`, 0.7.0); açabiliyorsa `ok shell_environment_ready`. Ön kontrol atlanırsa `mobile_build_start` aynı koşulda 422 `MobileBuildShellLacksCapabilityException` döner | production'dan derleyin ya da daha yeni kabuk (destek) |
+| P-33 | kabuk `optionalStoreUrls` taşımıyorsa (0.12.0'dan eski) ve boş mağaza adresi varsa `store_urls_shell_required` — kabuk boş adresle açılmaz; ileti boş alanları sayar: destek adresi her derlemede, gizlilik adresi mağaza dışı derlemede (mağaza yüklemesinde onu P-01 / P-19 sorar). 0.12.0+ kabukta satır yok | `settings.urls.support` / `settings.urls.privacyPolicy` ya da daha yeni kabuk |
 
 `manual` satır başlatmayı engellemez ama kullanıcıya söylenir; `fail` engeller. Satırın `message` ve `fixHint`'i
 backend'den, istek dilinde gelir.

package/dist/resources/guides/mobile-steps.md

@@ -36,7 +36,8 @@ Motorun kendi adımları (`setter`, `condition`, `microservice`, `code`, `functi
 
 ## Sayfa kapanınca
 
-Sayfa söküldüğünde (geri, yığının köke inmesi, çıkış — sekme değişimi sayfayı sökmez) açık akış yarıda kalmaz (kök ADR 0030): yeni koşum başlamaz, açık
+Kabuk 0.12.0+ (`flowDrain`; daha eski kabukta akış sayfayla kesilir — isteği göndermeden ekranı değiştirmeyin; yayındaki
+sürüm `mobile_store_get` `shell`). Sayfa söküldüğünde (geri, yığının köke inmesi, çıkış — sekme değişimi sayfayı sökmez) açık akış yarıda kalmaz (kök ADR 0030): yeni koşum başlamaz, açık
 koşumlar telefona yazan adımlarla sonuna kadar sürer. 30 sn'de bitmeyen koşum kapatılır.
 
 | Adımlar | Sayfa kapalıyken |
@@ -48,7 +49,7 @@ koşumlar telefona yazan adımlarla sonuna kadar sürer. 30 sn'de bitmeyen koşu
 
 Atlanan her adım telefonun defterine `page-unmounted` kaydı düşer (`mobile_error_list`). `state.*` yazımı `storage` ya da
 `code` adımıyla yapılır — `setter` atlanır. "İsteği göndermeden önce ekranı değiştir", "önce yaz sonra çık" gibi geçici
-çözümler gerekmez. Studio mobil önizlemesi ve `/view` de sayfa geçişinde boşaltır; "Dene"nin yeniden başlatması ve
+çözümler 0.12.0+ kabukta gerekmez. Studio mobil önizlemesi ve `/view` de sayfa geçişinde boşaltır; "Dene"nin yeniden başlatması ve
 önizlemenin kapanması akışı keser. Web (Svelte) uygulaması akışı sayfayla birlikte keser.
 
 ## Önizlemede çekim hedefleri
@@ -71,6 +72,15 @@ rollerini sayar):
 
 Pencere açıkken altındaki sayfa öğesine `click` uygulanmaz (SCR-023).
 
+**`click` gerçek noktaya basar** (SCR-024). Hedef sırayla seçilir: kök basılabilirse kendisi, sonra `<id>__press`, sonra
+içteki ilk düğme. Basış hedefin görünen bir noktasına gerçek fare olayıyla yapılır: önce orta; ortada hedefin içindeki
+başka basılabilir öğe (kabın düğmesi, çipin "kaldır"ı) varsa kutunun başka bir noktası. Görünmeyen hedef önce görünüme
+kaydırılır. Hiçbir noktası hedefin değilse eylem uygulanmaz: `applied: false`, `coveredBy: '<örten elementId>'`.
+Telefonda da dokunuşu o öğe alır. Örten şema düğümü değilse (kabuğun bildirim katmanı, açık kalmış toast) `coveredBy`
+rolünü ve metnini söyler: `div[role=alert] "…"`. Örten bir `stack` katmanı ya da yerleşim kabıysa boş alanı dokunuşu
+geçirmeli; bilerek üstteyse onu hedefleyin. Kutusu boş hedefte not "görünmüyor" der. `flowRuns` biten akışı sayar:
+`alert`/`confirm` adımında bekleyen akış, pencereyi yanıtlayan eylemin raporunda sayılır.
+
 ## Bildirim tarifi
 
 Bildirim adımları paletten yalnız mobil uygulamada sunulur. Tarif — S04 "her gün hatırlat": önce