@clicbase/mcp 0.3.0 → 0.3.1

package/README.md

@@ -18,6 +18,8 @@ Outils :
 - `enable_realtime` — active le temps réel sur une table.
 - `set_oauth_provider` — configure Google OAuth.
 - `set_email_smtp` — configure un SMTP (sinon SMTP interne Clicbase par défaut).
+- `list_sites` — les sites heberges : c'est ICI qu'on prend le `site_id`.
+- `list_projects` — les projets (bases) visibles par la cle.
 - `list_site_files` — liste les fichiers d'un site heberge (nom, taille, date).
 - `read_site_file` — rend le contenu d'UN fichier, en base64 cote API, decode cote outil.
 - `clicbase_conventions` — les regles de la plateforme : policies RLS, droits, PostgREST.

package/clicbase-mcp.mjs

@@ -289,6 +289,32 @@ async function admin(chemin, methode = "GET") {
   return res.json();
 }
 
+outils.tool(
+  "list_sites",
+  "Liste les sites heberges visibles par cette cle : identifiant, slug, domaine, mode de deploiement. C'est ICI qu'on prend le `site_id` des autres outils : ce n'est ni le domaine ni le slug.",
+  {},
+  async () => {
+    try {
+      return out(await admin("/sites"));
+    } catch (e) {
+      return fail(e);
+    }
+  },
+);
+
+outils.tool(
+  "list_projects",
+  "Liste les projets (bases) visibles par cette cle : identifiant, nom, slug. Utile pour savoir sur quoi on peut agir avant de nommer quoi que ce soit.",
+  {},
+  async () => {
+    try {
+      return out(await admin("/projects"));
+    } catch (e) {
+      return fail(e);
+    }
+  },
+);
+
 outils.tool(
   "list_site_files",
   "Liste les fichiers d'un site heberge (nom, dossier ou non, taille, date). `dossier` pour descendre d'un niveau. L'id du site vient de GET /sites.",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@clicbase/mcp",
-  "version": "0.3.0",
+  "version": "0.3.1",
   "type": "module",
   "bin": {
     "mcp": "clicbase-mcp.mjs",

package/portee.mjs

@@ -48,6 +48,14 @@ export const OUTILS = {
   // restreint qui en a le plus besoin, puisqu'il ne reste alors que trois
   // outils et qu'un assistant doit deviner le reste.
   clicbase_conventions: "lecture",
+  // --- de quoi savoir sur quoi agir ---
+  // ⚠️ SANS EUX, LES OUTILS QUI PRENNENT UN `site_id` SONT INUTILISABLES. Le
+  // 2026-09-18, un assistant a essaye le domaine puis le slug, recolte deux
+  // 404, et fini par demander l'identifiant a son utilisateur. L'API le
+  // publiait depuis toujours ; c'est l'outil qui manquait. Livrer une action
+  // sans le moyen de decouvrir sa cible, c'est livrer une porte sans poignee.
+  list_sites: "lecture",
+  list_projects: "lecture",
   // --- fichiers d'un site heberge ---
   // ⚠️ LISTER EST UNE LECTURE, LIRE EST UN SECRET. Le nom et la taille d'un
   // fichier revelent une structure ; son CONTENU peut porter des identifiants,

package/savoir.mjs

@@ -35,7 +35,11 @@ SIX PIÈGES QUI NE LÈVENT AUCUNE ERREUR. Ils répondent tous « 200 OK ».
 5. Une fonction Edge renvoie \`{ status, body }\`, jamais \`new Response(...)\`.
 6. Deux authentifications sans rapport coexistent. Celle du PROJET (tes utilisateurs finaux) vit dans le schéma \`auth\` de cette base et alimente \`auth.uid()\` dans les policies. Celle de la PLATEFORME (le compte Clicbase) ne s'écrit jamais dans une policy.
 
-CE QUI N'EXISTE PAS, ET QUE DEUX ASSISTANTS ONT DEJA INVENTE. Il n'y a AUCUN registre Docker : ni \`docker login\`, ni \`docker pull\`, ni \`registry.*.clicbase.com\`. Ne devine aucun nom d'hote. Les fichiers d'un site heberge se lisent par \`list_site_files\` et \`read_site_file\`, et s'ecrivent par POST /sites/<id>/files. Ne reclame JAMAIS le mot de passe SFTP principal du site : c'est son identite, elle ouvre tout et ne se revoque pas. Pour un transfert volumineux, \`create_sftp_account\` fabrique un compte DEDIE, rend ses identifiants une seule fois, et \`delete_sftp_account\` le retire. Supprime-le des que tu as fini. Les fichiers CACHES sont refuses a tout niveau, \`.env\` et \`.git\` compris : ils ne peuvent ni etre deposes ni etre lus. \`read_site_file\` est absent en lecture seule, parce qu'un source peut porter des identifiants dans un fichier non cache.
+CE QUI N'EXISTE PAS, ET QUE DES ASSISTANTS ONT DEJA INVENTE. Aucun registre Docker : ni \`docker login\`, ni \`docker pull\`, ni \`registry.*.clicbase.com\`. Ne devine aucun nom d'hote.
+
+COMMENCE PAR \`list_sites\`. Le \`site_id\` des autres outils est un identifiant technique : ni le domaine, ni le slug.
+
+FICHIERS D'UN SITE : \`list_site_files\` et \`read_site_file\` pour lire, POST /sites/<id>/files pour ecrire. Les fichiers caches sont refuses a tout niveau, \`.env\` compris. Ne reclame JAMAIS le mot de passe SFTP principal : c'est l'identite du site, elle ouvre tout et ne se revoque pas. \`create_sftp_account\` fabrique un compte DEDIE, a supprimer des que tu as fini.
 
 APPELS REST : en-têtes \`apikey\` ET \`Authorization: Bearer\`, la même clé dans les deux. Filtres dans l'URL, façon PostgREST : \`?select=id,title&status=eq.published&order=created_at.desc\`.