@creezio/mcp-facade 0.22.0

package/README.md

@@ -0,0 +1,420 @@
+# @creezio/mcp-facade
+
+## Rôle
+
+`@creezio/mcp-facade` fournit la façade MCP unique d'une app Creezio. Il n'y a pas un "MCP produit Creezio" separe : Electron, Hono `/mcp` et le bridge assistant doivent s'appuyer sur la meme factory et exposer le meme ensemble metier, modulo la surface publique (`canonical`, `legacy-preferred`, `both`).
+
+Le package couvre :
+
+- registre dynamique de tools MCP ;
+- namespaces `core.*` / `creezio.*`, `module.<ownerId>.*`, `plugin.<ownerId>.*` ;
+- aliases legacy (`get_panier` -> `module.panier.get`) sans double exposition ;
+- policies d'autorisation et deny cross-layer ;
+- JWT Bearer minimal ;
+- proxy Hono/Streamable HTTP ;
+- OAuth 2.1 MCP avec PKCE, DCR, refresh rotation, well-known metadata et CORS/rate limit ;
+- factory marque `createBrandMcpFacade` ;
+- host tools plateforme dont `open_external_tab` ;
+- admin MCP (policies, clients OAuth, diagnostics, routes et UI).
+
+Surfaces publiees :
+
+| Import | Usage |
+|---|---|
+| `@creezio/mcp-facade` | façade, namespaces, JWT, OAuth, Hono, host tools, admin |
+| `@creezio/mcp-facade/ui` | UI React admin MCP : `McpAdminClient` |
+
+## Périmètre (kit vs marque)
+
+Ce qui appartient au kit :
+
+- la mécanique MCP commune (`listTools`, `listToolsBySpace`, `callTool`) ;
+- le parsing et l'assertion des namespaces ;
+- la surface publique et les aliases ;
+- les tools coeur `creezio.*` / `core.*` exposes par `createCoreMcpTools` ;
+- le proxy Hono et le binding `bindFacadeToolsToHono` ;
+- OAuth MCP : clients, authorization codes, access/refresh tokens, PKCE S256, scopes, routes, metadata ;
+- le host tool generique `open_external_tab` ;
+- admin MCP : policies, clients, audit/metrics/diagnostics ;
+- UI admin generique.
+
+Ce qui reste dans la marque :
+
+- handlers metier (`mcp-tools.ts`) : panier, GED, VASP, dossiers, catalogue, etc. ;
+- aliases publics historiques (`mcp-aliases.ts`) ;
+- resolution API Kernel et mounts metier ;
+- session/cookie/auth utilisateur injectes dans OAuth ;
+- DB concrete, migrations et secret JWT ;
+- resolution d'URL metier pour `open_external_tab` ;
+- host tools non MCP-metier : desktop, AI tasks, dispatch vers utilisateurs ;
+- transport concret `StreamableHTTPTransport` et `buildMcpServer`.
+
+Regle importante : les host tools (desktop, AI tasks, introspection) restent hors factory metier. Ne dupliquer aucun handler panier/GED/VASP dans Hono si la façade sait deja le decouvrir.
+
+## Installation / build
+
+```bash
+npm install
+npm run build -w @creezio/mcp-facade
+npm run typecheck -w @creezio/mcp-facade
+```
+
+Artefacts :
+
+- ESM : `dist/`
+- CJS Electron : `dist-cjs/`
+- UI source : `ui/`
+
+Dependances directes : `@creezio/api-kernel`, `@creezio/platform-core`, `hono`, `jose`, `zod`. Les dependances React/UI sont optionnelles et ne concernent que `./ui`.
+
+## Configuration
+
+### Façade de base
+
+```ts
+import { createMcpFacade } from "@creezio/mcp-facade";
+
+const facade = createMcpFacade({
+  jwtSecret: process.env.MCP_JWT_SECRET,
+  publicSurface: "legacy-preferred",
+  aliases: {
+    get_panier: "module.panier.get",
+  },
+  discoverToolsBySpace: async () => ({
+    module: await discoverModuleTools(),
+    plugin: await discoverPluginTools(),
+  }),
+});
+```
+
+`publicSurface` :
+
+| Mode | Effet |
+|---|---|
+| `legacy-preferred` | defaut ; expose l'alias legacy et masque le canonique correspondant |
+| `canonical` | expose uniquement les noms namespaces |
+| `both` | expose alias + canonique ; utile en debug, deconseille en production |
+
+### Namespaces
+
+Namespaces valides :
+
+- `creezio.*` ou `core.*` : coeur reserve au kit ;
+- `module.<ownerId>.*` : modules metier de la marque ;
+- `plugin.<ownerId>.*` : plugins/sidecars rattaches a une organisation ou un owner plugin.
+
+`ownerId` doit commencer par une lettre et contenir uniquement lettres, chiffres, `_` ou `-`, longueur max 63.
+
+```ts
+import {
+  assertNamespacedToolName,
+  parseNamespacedToolName,
+} from "@creezio/mcp-facade";
+
+const parsed = parseNamespacedToolName("module.panier.get");
+// { space: "module", ownerId: "panier", rest: "get" }
+
+assertNamespacedToolName("module", "module.panier.get", "panier");
+```
+
+Les aliases legacy (`get_panier`) ne passent pas `assertNamespacedToolName`; ils doivent etre declares via `aliases` ou `registerAlias`.
+
+### OAuth + `/mcp`
+
+```ts
+import {
+  configureMcpOAuth,
+  createMcpHonoApp,
+  createMcpOAuthRoutes,
+  ensureMcpAdminSchema,
+  resolveMcpCorsOrigin,
+} from "@creezio/mcp-facade";
+import { StreamableHTTPTransport } from "@hono/mcp";
+
+configureMcpOAuth({
+  getWriteDb,
+  tableExists,
+  getJwtSecret: () => process.env.MCP_JWT_SECRET!,
+  resolvePublicUrl: () =>
+    process.env.MCP_PUBLIC_URL ||
+    process.env.APP_PUBLIC_URL ||
+    process.env.APP_BASE_URL ||
+    null,
+});
+
+const oauthRoutes = createMcpOAuthRoutes({
+  productName: "Ma Marque CRM",
+  resourceName: "Ma Marque CRM MCP",
+  consentScopesHtml: "<li>Lire et executer les tools autorises</li>",
+  session: {
+    getSessionFromContext,
+    authenticateUser,
+    validateCredentials,
+    getOwnerId: () => getOwner()?.id ?? null,
+    createSessionCookie,
+  },
+  resolveCookieSecure,
+});
+
+export const mcpApp = createMcpHonoApp({
+  oauthRoutes,
+  ensureSchema: ensureMcpAdminSchema,
+  resolveCorsOrigin: resolveMcpCorsOrigin,
+  apiKeyAuth: {
+    prefix: "brand_live_",
+    verify: verifyApiKey,
+    resolveUserId: (key) => key.user_id || getOwner()?.id || null,
+  },
+  createTransport: () =>
+    new StreamableHTTPTransport({
+      sessionIdGenerator: undefined,
+      enableJsonResponse: true,
+    }),
+  buildMcpServer,
+});
+```
+
+Routes OAuth exposees par le kit :
+
+- `GET /.well-known/oauth-authorization-server`
+- `GET /.well-known/oauth-protected-resource`
+- `POST /oauth/register`
+- `GET /oauth/authorize`
+- `POST /oauth/authorize`
+- `POST /oauth/token`
+- `ALL /mcp` via `createMcpHonoApp`
+
+Scopes : `MCP_SCOPE`, `MCP_SCOPE_LEGACY`, `MCP_SCOPE_READ`, `MCP_SCOPE_WRITE`, `MCP_SCOPES`.
+
+## API publique (exports + exemples)
+
+### Façade MCP
+
+Exports principaux :
+
+- `createMcpFacade`, type `McpFacade`
+- types : `McpToolDefinition`, `McpRegisteredTool`, `McpToolHandler`, `McpToolCallResult`, `McpToolSpace`
+- `listTools`, `listToolsBySpace`, `callTool`, `registerTool`, `registerAlias`
+
+```ts
+const mcp = createMcpFacade({
+  allowUnauthenticated: true,
+  discoverToolsBySpace: async () => ({
+    module: [
+      {
+        name: "module.notes.create",
+        description: "Cree une note",
+        space: "module",
+        ownerId: "notes",
+        handler: async (args) => ({ ok: true, content: args }),
+      },
+    ],
+  }),
+});
+
+await mcp.callTool("module.notes.create", { title: "Hello" });
+```
+
+### Factory marque
+
+```ts
+import { createBrandMcpFacade } from "@creezio/mcp-facade";
+import { BRAND_MCP_ALIASES } from "./mcp-aliases";
+import { createBrandModuleMcpTools } from "./mcp-tools";
+
+export function createMyBrandMcp(api, options = {}) {
+  return createBrandMcpFacade({
+    api,
+    aliases: BRAND_MCP_ALIASES,
+    discoverModuleTools: createBrandModuleMcpTools,
+    discoverPluginTools: createBrandPluginTools,
+    publicSurface: "legacy-preferred",
+    ...options,
+  });
+}
+```
+
+`createBrandMcpFacade` configure par defaut :
+
+- `allowUnauthenticated: true` pour compat runtime local ;
+- `enforceNamespaces: true` ;
+- `defaultCrossLayerDeny: true` ;
+- `listApiMounts: () => api.listMounts()` ;
+- tools `module.*` générés depuis `api.listOperations()` (handler = `api.handle`) ;
+- `discoverModuleTools` optionnel = hook apps (extras / JWT) — SoT = `operations[]`, `mcpTools` n'existe plus.
+
+### Hono / SDK MCP
+
+Exports principaux :
+
+- `bindFacadeToolsToHono`
+- `mcpFacadeResultToSdk`
+- `wrapMcpFacadeWithHonoProxy`
+- `MCP_PRODUCT_EXECUTOR`, `resolveMcpFacadeRole`
+
+```ts
+import { bindFacadeToolsToHono } from "@creezio/mcp-facade";
+
+export async function buildMcpServer(ctx) {
+  const server = createSdkMcpServer();
+  const facade = createMyBrandMcp(api, { publicSurface: "canonical" });
+  await bindFacadeToolsToHono(facade, server.registerTool.bind(server), {
+    bearerToken: ctx.accessToken,
+  });
+  registerHostTools(server, ctx);
+  return server;
+}
+```
+
+### JWT, policies et ACL
+
+Exports principaux :
+
+- `signMcpJwt`, `verifyMcpBearer`
+- `composeToolPolicies`, `denyCrossLayerToolCall`, `createDenyUnauthorizedPluginToolPolicy`
+- types `McpAuthorizeContext`, `McpToolPolicyDecision`
+
+```ts
+const authorize = composeToolPolicies(
+  denyCrossLayerToolCall,
+  async (ctx) => {
+    if (ctx.space === "plugin" && !ctx.orgId) {
+      return { allow: false, reason: "missing_org" };
+    }
+    return { allow: true };
+  },
+);
+```
+
+### OAuth store et routes
+
+Exports principaux :
+
+- `configureMcpOAuth`, `getMcpOAuthAdapters`, `mcpOauthReady`
+- `registerClient`, `getClient`, `verifyClientSecret`
+- `createAuthCode`, `peekAuthCode`, `consumeAuthCode`, `verifyPkceS256`
+- `createRefreshToken`, `rotateRefreshToken`
+- `signAccessToken`, `verifyAccessToken`
+- `resolveMcpPublicUrl`, `mcpBaseUrl`, `mcpResourceUrl`, `resourceAcceptable`
+- `checkMcpRateLimit`, `rateLimitHeaders`, `resolveMcpCorsOrigin`
+- `createMcpOAuthRoutes`, `createMcpHonoApp`
+
+La DB est injectee via `McpOAuthAdapters`; le kit ne choisit pas le fichier SQLite.
+
+### Host tools plateforme
+
+`CREEZIO_PLATFORM_HOST_MCP_TOOL_NAMES` contient :
+
+- `open_external_tab`
+- `list_tools_by_space`
+
+`open_external_tab` est enregistre par `createOpenExternalTabHostMcpTools`. Le kit fournit le schema et les garde-fous owner/target user ; la marque fournit resolution et dispatch.
+
+```ts
+import { createOpenExternalTabHostMcpTools } from "@creezio/mcp-facade";
+
+createOpenExternalTabHostMcpTools({
+  registerTool,
+  getActorUserId: () => ctx.userId,
+  resolveOpenTabRequest: ({ url, fournisseur_id, outil_slug, title }) =>
+    resolveBrandExternalTab({ url, fournisseur_id, outil_slug, title }),
+  toOpenTabParams: (resolved) => toDesktopOpenTabParams(resolved),
+  dispatchOpenTabAction,
+  getUserById,
+  getOwner,
+  includeOutilSlug: true,
+});
+```
+
+Le schema accepte `url`, `fournisseur_id`, `title`, `target_user_id`, et optionnellement `outil_slug`. Seul le compte principal owner peut cibler un autre utilisateur.
+
+### Admin MCP et UI
+
+Exports admin :
+
+- `configureMcpAdmin`, `ensureMcpAdminSchema`
+- `listMcpToolPolicies`, `getMcpToolPolicy`, `updateMcpToolPolicy`
+- `listMcpClients`, `setMcpClientEnabled`, `revokeMcpClient`, `rotateMcpClientSecret`
+- `mcpAdminStatus`, `mcpDiagnostics`, `mcpMetrics`, `auditMcpAdmin`, `listMcpAuditLogs`, `exportMcpDiagnostics`
+- `createMcpAdminRoutes`
+- `seedMcpToolPolicies`, `isMcpAdminConfigured`
+
+Garde d'enforcement des policies (M1) — `admin/tool-policy-guard` :
+
+- `checkToolPolicy(name, actor, opts)` → `"tool_disabled" | "role_forbidden" | "policy_scope_forbidden" | null` (décision brute, réutilisable par l'enforcement marque) ;
+- `createToolPolicyAuthorize(opts)` → `McpAuthorizeToolCallFn` composable via `composeToolPolicies` avec `denyCrossLayerToolCall` (opt-in non cassant : sans `configureMcpAdmin`, autorise tout) ;
+- `registerGuardedMcpTool(server, ctx, def, config, handler, opts)` — wrapper serveur MCP SDK : annotations + policy + audit + vérif scopes marque injectée (`scopeAllows`).
+
+Options injectables : `getPolicy` (défaut table `mcp_tool_policies`), `resolveRole` (rôle marque de l'acteur), `defaultRole` (défaut `collaborator`), `fullAccessScopes` (défaut `["crm","full"]`), `audit` (défaut `auditMcpAdmin`).
+
+Côté façade marque, `createBrandMcpFacade({ toolPolicyGuard: true })` active l'enforcement (M2) et seed des policies permissives pour les tools listés. Rôles/scopes acceptés par `updateMcpToolPolicy` sont dé-hardcodés via les adapters (`policyRoleNames`, `policyScopeNames` — défauts historiques).
+
+Gate : `scripts/test-phase-mcp-tool-policy-guard.mjs`.
+
+UI :
+
+```tsx
+import { McpAdminClient } from "@creezio/mcp-facade/ui";
+```
+
+## Flux / fonctionnement
+
+1. La marque cree ses tools metier namespacies (`module.<owner>.*`) et ses aliases legacy.
+2. `createBrandMcpFacade` regroupe core tools, modules et plugins.
+3. `listTools` applique `publicSurface` pour eviter alias + canonique en double.
+4. `callTool` resout l'alias vers le canonique, verifie le Bearer si necessaire, applique les policies, puis appelle le handler.
+5. Hono `/mcp` construit un serveur SDK, bind la façade, ajoute les host tools et traite le transport Streamable HTTP.
+
+### Les deux transports `/mcp` (câblés prod)
+
+Deux surfaces distinctes servent le MCP d'une app, avec la même façade
+comme SoT des tools :
+
+1. **`/mcp` OAuth Hono** (`src/oauth/hono-app.ts`) — serveur MCP SDK
+   complet : OAuth 2.1/PKCE, clés API, transport Streamable HTTP avec
+   session. C'est la surface publique (clients MCP externes, tunnels).
+2. **`/mcp` du plane OS** (`listen-brand-os-http.ts` +
+   `mcp-jsonrpc.ts`, `@creezio/app-runtime`) — transport JSON simple
+   historique `{ok, tools}` / `{name, arguments}` **et** pont JSON-RPC 2.0
+   stateless sur la même URL (seuls les corps `jsonrpc:"2.0"` passent par
+   le pont) : c'est ce que consomme le client MCP natif de Hermes embarqué
+   (`skip_preflight: true`, sans session).
+
+Ne pas « unifier » ces transports en en supprimant un : les clients
+existants dépendent des deux formes.
+6. OAuth 2.1 gere en amont l'enregistrement client, l'autorisation utilisateur, le token exchange et les refresh tokens.
+7. Les tools host (`open_external_tab`, AI tasks ailleurs) restent dans le host runtime, pas dans la factory metier.
+
+## Intégration marques
+
+Checklist :
+
+1. Migrer les tables OAuth/admin MCP cote marque et fournir `getWriteDb` / `tableExists`.
+2. Configurer `configureMcpOAuth` avec secret JWT et URL publique resolue.
+3. Creer `createMcpOAuthRoutes` avec session, credentials et cookie injectes.
+4. Creer `createMcpHonoApp` avec transport, API key auth optionnelle et `buildMcpServer`.
+5. Remplacer les registries metier inline par `createBrandMcpFacade`.
+6. Mettre les handlers metier dans `mcp-tools.ts` et aliases dans `mcp-aliases.ts`.
+7. Utiliser `bindFacadeToolsToHono` dans Hono et la meme factory dans Electron/assistant.
+8. Ajouter les host tools explicitement apres la façade (`open_external_tab`, AI tasks via `@creezio/tasks`).
+9. Monter les routes admin MCP sous une protection owner.
+10. Supprimer ou reduire a des reexports/stubs les anciens fichiers locaux OAuth, CORS, rate-limit et app `/mcp`.
+
+## Dépendances @creezio/*
+
+| Dependance | Rôle |
+|---|---|
+| `@creezio/api-kernel` | API Kernel injecte a `createBrandMcpFacade`, `listMounts()` |
+| `@creezio/platform-core` | version architecture et helpers plateforme |
+
+Interactions importantes :
+
+- `@creezio/auth` fournit souvent session/cookie/credentials pour OAuth.
+- `@creezio/product-hub` peut fournir l'ACL plugins pour `createDenyUnauthorizedPluginToolPolicy`.
+- `@creezio/tasks` porte les host tools AI tasks, hors façade metier.
+- `@creezio/shell-ui` fournit des helpers de cookie/origin et l'UI admin d'app autour de `McpAdminClient`.
+
+## Voir aussi → AGENTS.md + docs/FILES.md
+
+- [`AGENTS.md`](./AGENTS.md) : consignes de modification pour agents.
+- [`docs/FILES.md`](./docs/FILES.md) : inventaire fichier par fichier des exports et responsabilites.

package/dist/.creezio-src-hash.json

@@ -0,0 +1,4 @@
+{
+  "srcHash": "f65fa18c3b20c8cbf12a947fb683c57e51725fc14eb56965b58ceed5dd0ee478",
+  "generatedAt": "2026-08-31T18:14:50.874Z"
+}

package/dist/admin/adapters.d.ts

@@ -0,0 +1,10 @@
+/**
+ * Injection host pour mcp-admin (évite imports `@/` marque).
+ */
+import type { McpAdminAdapters } from "./types.js";
+export declare function configureMcpAdmin(next: McpAdminAdapters): void;
+export declare function getMcpAdminAdapters(): McpAdminAdapters;
+/** True si `configureMcpAdmin` a été câblé (garde opt-in non cassante). */
+export declare function isMcpAdminConfigured(): boolean;
+export declare function resetMcpAdminAdaptersForTests(): void;
+//# sourceMappingURL=adapters.d.ts.map

package/dist/admin/adapters.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"adapters.d.ts","sourceRoot":"","sources":["../../src/admin/adapters.ts"],"names":[],"mappings":"AAAA;;GAEG;AAEH,OAAO,KAAK,EAAE,gBAAgB,EAAE,MAAM,YAAY,CAAC;AAInD,wBAAgB,iBAAiB,CAAC,IAAI,EAAE,gBAAgB,GAAG,IAAI,CAE9D;AAED,wBAAgB,mBAAmB,IAAI,gBAAgB,CAOtD;AAED,2EAA2E;AAC3E,wBAAgB,oBAAoB,IAAI,OAAO,CAE9C;AAED,wBAAgB,6BAA6B,IAAI,IAAI,CAEpD"}

package/dist/admin/adapters.js

@@ -0,0 +1,21 @@
+/**
+ * Injection host pour mcp-admin (évite imports `@/` marque).
+ */
+let adapters = null;
+export function configureMcpAdmin(next) {
+    adapters = next;
+}
+export function getMcpAdminAdapters() {
+    if (!adapters) {
+        throw new Error("@creezio/mcp-admin: configureMcpAdmin({ getDb, getWriteDb, … }) requis avant usage");
+    }
+    return adapters;
+}
+/** True si `configureMcpAdmin` a été câblé (garde opt-in non cassante). */
+export function isMcpAdminConfigured() {
+    return adapters !== null;
+}
+export function resetMcpAdminAdaptersForTests() {
+    adapters = null;
+}
+//# sourceMappingURL=adapters.js.map

package/dist/admin/adapters.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"adapters.js","sourceRoot":"","sources":["../../src/admin/adapters.ts"],"names":[],"mappings":"AAAA;;GAEG;AAIH,IAAI,QAAQ,GAA4B,IAAI,CAAC;AAE7C,MAAM,UAAU,iBAAiB,CAAC,IAAsB;IACtD,QAAQ,GAAG,IAAI,CAAC;AAClB,CAAC;AAED,MAAM,UAAU,mBAAmB;IACjC,IAAI,CAAC,QAAQ,EAAE,CAAC;QACd,MAAM,IAAI,KAAK,CACb,oFAAoF,CACrF,CAAC;IACJ,CAAC;IACD,OAAO,QAAQ,CAAC;AAClB,CAAC;AAED,2EAA2E;AAC3E,MAAM,UAAU,oBAAoB;IAClC,OAAO,QAAQ,KAAK,IAAI,CAAC;AAC3B,CAAC;AAED,MAAM,UAAU,6BAA6B;IAC3C,QAAQ,GAAG,IAAI,CAAC;AAClB,CAAC"}

package/dist/admin/http-routes.d.ts

@@ -0,0 +1,11 @@
+/**
+ * Routes Hono Admin MCP (port TempoFlow — N6).
+ * Auth owner reste côté marque (montage sous /admin).
+ */
+import { Hono } from "hono";
+export type CreateMcpAdminRoutesOptions = {
+    /** Préfixe filename export (sinon adapters.diagnosticFilenamePrefix || creezio). */
+    diagnosticFilenamePrefix?: string;
+};
+export declare function createMcpAdminRoutes(opts?: CreateMcpAdminRoutesOptions): Hono;
+//# sourceMappingURL=http-routes.d.ts.map

package/dist/admin/http-routes.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"http-routes.d.ts","sourceRoot":"","sources":["../../src/admin/http-routes.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,IAAI,EAAE,MAAM,MAAM,CAAC;AAgB5B,MAAM,MAAM,2BAA2B,GAAG;IACxC,oFAAoF;IACpF,wBAAwB,CAAC,EAAE,MAAM,CAAC;CACnC,CAAC;AAEF,wBAAgB,oBAAoB,CAClC,IAAI,GAAE,2BAAgC,GACrC,IAAI,CA0EN"}

package/dist/admin/http-routes.js

@@ -0,0 +1,66 @@
+/**
+ * Routes Hono Admin MCP (port TempoFlow — N6).
+ * Auth owner reste côté marque (montage sous /admin).
+ */
+import { Hono } from "hono";
+import { listMcpClients, listMcpAuditLogs, listMcpToolPolicies, mcpAdminStatus, mcpDiagnostics, mcpMetrics, revokeMcpClient, rotateMcpClientSecret, setMcpClientEnabled, updateMcpToolPolicy, exportMcpDiagnostics, } from "./mcp-admin.js";
+import { getMcpAdminAdapters } from "./adapters.js";
+export function createMcpAdminRoutes(opts = {}) {
+    const app = new Hono();
+    app.get("/mcp/status", (c) => c.json(mcpAdminStatus()));
+    app.get("/mcp/tools", (c) => c.json({ tools: listMcpToolPolicies() }));
+    app.get("/mcp/clients", (c) => c.json({ clients: listMcpClients() }));
+    app.get("/mcp/diagnostics", (c) => c.json(mcpDiagnostics()));
+    app.get("/mcp/metrics", (c) => c.json(mcpMetrics()));
+    app.get("/mcp/audit-logs", (c) => c.json({ logs: listMcpAuditLogs(Number(c.req.query("limit")) || 200) }));
+    app.get("/mcp/diagnostics/export", (c) => {
+        const prefix = opts.diagnosticFilenamePrefix ||
+            getMcpAdminAdapters().diagnosticFilenamePrefix ||
+            "creezio";
+        c.header("Content-Disposition", `attachment; filename="${prefix}-mcp-diagnostic-${new Date().toISOString().slice(0, 10)}.json"`);
+        return c.json(exportMcpDiagnostics());
+    });
+    app.patch("/mcp/policies/:tool", async (c) => {
+        let body;
+        try {
+            body = await c.req.json();
+        }
+        catch {
+            return c.json({ error: "JSON attendu" }, 400);
+        }
+        const policy = updateMcpToolPolicy(c.req.param("tool"), body);
+        if (!policy)
+            return c.json({ error: "Tool inconnu" }, 404);
+        return c.json({ policy });
+    });
+    app.patch("/mcp/clients/:clientId", async (c) => {
+        let body;
+        try {
+            body = await c.req.json();
+        }
+        catch {
+            return c.json({ error: "JSON attendu" }, 400);
+        }
+        if (typeof body.enabled !== "boolean") {
+            return c.json({ error: "enabled booléen requis" }, 400);
+        }
+        const ok = setMcpClientEnabled(c.req.param("clientId"), body.enabled);
+        return ok ? c.json({ ok: true }) : c.json({ error: "Client introuvable" }, 404);
+    });
+    app.delete("/mcp/clients/:clientId", (c) => {
+        const ok = revokeMcpClient(c.req.param("clientId"));
+        return ok ? c.json({ ok: true }) : c.json({ error: "Client introuvable" }, 404);
+    });
+    app.post("/mcp/clients/:clientId/rotate-secret", (c) => {
+        const result = rotateMcpClientSecret(c.req.param("clientId"));
+        if (!result) {
+            return c.json({ error: "Client introuvable, révoqué ou public (sans secret)" }, 400);
+        }
+        return c.json({
+            clientSecret: result.clientSecret,
+            warning: "Ce secret ne sera plus affiché. Les refresh tokens précédents sont révoqués.",
+        });
+    });
+    return app;
+}
+//# sourceMappingURL=http-routes.js.map

package/dist/admin/http-routes.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"http-routes.js","sourceRoot":"","sources":["../../src/admin/http-routes.ts"],"names":[],"mappings":"AAAA;;;GAGG;AACH,OAAO,EAAE,IAAI,EAAE,MAAM,MAAM,CAAC;AAC5B,OAAO,EACL,cAAc,EACd,gBAAgB,EAChB,mBAAmB,EACnB,cAAc,EACd,cAAc,EACd,UAAU,EACV,eAAe,EACf,qBAAqB,EACrB,mBAAmB,EACnB,mBAAmB,EACnB,oBAAoB,GACrB,MAAM,gBAAgB,CAAC;AACxB,OAAO,EAAE,mBAAmB,EAAE,MAAM,eAAe,CAAC;AAOpD,MAAM,UAAU,oBAAoB,CAClC,OAAoC,EAAE;IAEtC,MAAM,GAAG,GAAG,IAAI,IAAI,EAAE,CAAC;IAEvB,GAAG,CAAC,GAAG,CAAC,aAAa,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,EAAE,CAAC,CAAC,CAAC;IACxD,GAAG,CAAC,GAAG,CAAC,YAAY,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,mBAAmB,EAAE,EAAE,CAAC,CAAC,CAAC;IACvE,GAAG,CAAC,GAAG,CAAC,cAAc,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,OAAO,EAAE,cAAc,EAAE,EAAE,CAAC,CAAC,CAAC;IACtE,GAAG,CAAC,GAAG,CAAC,kBAAkB,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,cAAc,EAAE,CAAC,CAAC,CAAC;IAC7D,GAAG,CAAC,GAAG,CAAC,cAAc,EAAE,CAAC,CAAC,EAAE,EAAE,CAAC,CAAC,CAAC,IAAI,CAAC,UAAU,EAAE,CAAC,CAAC,CAAC;IACrD,GAAG,CAAC,GAAG,CAAC,iBAAiB,EAAE,CAAC,CAAC,EAAE,EAAE,CAC/B,CAAC,CAAC,IAAI,CAAC,EAAE,IAAI,EAAE,gBAAgB,CAAC,MAAM,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,IAAI,GAAG,CAAC,EAAE,CAAC,CACxE,CAAC;IACF,GAAG,CAAC,GAAG,CAAC,yBAAyB,EAAE,CAAC,CAAC,EAAE,EAAE;QACvC,MAAM,MAAM,GACV,IAAI,CAAC,wBAAwB;YAC7B,mBAAmB,EAAE,CAAC,wBAAwB;YAC9C,SAAS,CAAC;QACZ,CAAC,CAAC,MAAM,CACN,qBAAqB,EACrB,yBAAyB,MAAM,mBAAmB,IAAI,IAAI,EAAE,CAAC,WAAW,EAAE,CAAC,KAAK,CAAC,CAAC,EAAE,EAAE,CAAC,QAAQ,CAChG,CAAC;QACF,OAAO,CAAC,CAAC,IAAI,CAAC,oBAAoB,EAAE,CAAC,CAAC;IACxC,CAAC,CAAC,CAAC;IAEH,GAAG,CAAC,KAAK,CAAC,qBAAqB,EAAE,KAAK,EAAE,CAAC,EAAE,EAAE;QAC3C,IAAI,IAIH,CAAC;QACF,IAAI,CAAC;YACH,IAAI,GAAG,MAAM,CAAC,CAAC,GAAG,CAAC,IAAI,EAAE,CAAC;QAC5B,CAAC;QAAC,MAAM,CAAC;YACP,OAAO,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,cAAc,EAAE,EAAE,GAAG,CAAC,CAAC;QAChD,CAAC;QACD,MAAM,MAAM,GAAG,mBAAmB,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,MAAM,CAAC,EAAE,IAAI,CAAC,CAAC;QAC9D,IAAI,CAAC,MAAM;YAAE,OAAO,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,cAAc,EAAE,EAAE,GAAG,CAAC,CAAC;QAC3D,OAAO,CAAC,CAAC,IAAI,CAAC,EAAE,MAAM,EAAE,CAAC,CAAC;IAC5B,CAAC,CAAC,CAAC;IAEH,GAAG,CAAC,KAAK,CAAC,wBAAwB,EAAE,KAAK,EAAE,CAAC,EAAE,EAAE;QAC9C,IAAI,IAA2B,CAAC;QAChC,IAAI,CAAC;YACH,IAAI,GAAG,MAAM,CAAC,CAAC,GAAG,CAAC,IAAI,EAAE,CAAC;QAC5B,CAAC;QAAC,MAAM,CAAC;YACP,OAAO,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,cAAc,EAAE,EAAE,GAAG,CAAC,CAAC;QAChD,CAAC;QACD,IAAI,OAAO,IAAI,CAAC,OAAO,KAAK,SAAS,EAAE,CAAC;YACtC,OAAO,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,wBAAwB,EAAE,EAAE,GAAG,CAAC,CAAC;QAC1D,CAAC;QACD,MAAM,EAAE,GAAG,mBAAmB,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,EAAE,IAAI,CAAC,OAAO,CAAC,CAAC;QACtE,OAAO,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,oBAAoB,EAAE,EAAE,GAAG,CAAC,CAAC;IAClF,CAAC,CAAC,CAAC;IAEH,GAAG,CAAC,MAAM,CAAC,wBAAwB,EAAE,CAAC,CAAC,EAAE,EAAE;QACzC,MAAM,EAAE,GAAG,eAAe,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC;QACpD,OAAO,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,EAAE,EAAE,IAAI,EAAE,CAAC,CAAC,CAAC,CAAC,CAAC,CAAC,IAAI,CAAC,EAAE,KAAK,EAAE,oBAAoB,EAAE,EAAE,GAAG,CAAC,CAAC;IAClF,CAAC,CAAC,CAAC;IAEH,GAAG,CAAC,IAAI,CAAC,sCAAsC,EAAE,CAAC,CAAC,EAAE,EAAE;QACrD,MAAM,MAAM,GAAG,qBAAqB,CAAC,CAAC,CAAC,GAAG,CAAC,KAAK,CAAC,UAAU,CAAC,CAAC,CAAC;QAC9D,IAAI,CAAC,MAAM,EAAE,CAAC;YACZ,OAAO,CAAC,CAAC,IAAI,CACX,EAAE,KAAK,EAAE,qDAAqD,EAAE,EAChE,GAAG,CACJ,CAAC;QACJ,CAAC;QACD,OAAO,CAAC,CAAC,IAAI,CAAC;YACZ,YAAY,EAAE,MAAM,CAAC,YAAY;YACjC,OAAO,EACL,8EAA8E;SACjF,CAAC,CAAC;IACL,CAAC,CAAC,CAAC;IAEH,OAAO,GAAG,CAAC;AACb,CAAC"}

package/dist/admin/index.d.ts

@@ -0,0 +1,12 @@
+/**
+ * MCP admin — policies, clients OAuth, diagnostics, routes Hono (N6).
+ */
+export type { McpAdminAdapters, McpAdminSqliteDatabase, McpAdminSqliteStatement, McpRequestLogEntry, McpToolDefinition, } from "./types.js";
+export { configureMcpAdmin, getMcpAdminAdapters, isMcpAdminConfigured, resetMcpAdminAdaptersForTests, } from "./adapters.js";
+export type { McpToolPolicy, McpAdminClient, } from "./mcp-admin.js";
+export { ensureMcpAdminSchema, seedMcpToolPolicies, listMcpToolPolicies, getMcpToolPolicy, disabledMcpToolPolicyNames, filterListedToolsByEnabledPolicy, updateMcpToolPolicy, listMcpClients, setMcpClientEnabled, revokeMcpClient, rotateMcpClientSecret, clientCanAuthenticate, touchMcpClient, mcpAdminStatus, mcpDiagnostics, mcpMetrics, auditMcpAdmin, listMcpAuditLogs, pruneMcpAuditLogs, exportMcpDiagnostics, } from "./mcp-admin.js";
+export type { CreateMcpAdminRoutesOptions } from "./http-routes.js";
+export { createMcpAdminRoutes } from "./http-routes.js";
+export type { CreateToolPolicyAuthorizeOptions, GuardedMcpServerLike, GuardedMcpToolContext, GuardedMcpToolDefinition, RegisterGuardedMcpToolOptions, ToolPolicyActor, ToolPolicyDenialReason, ToolPolicyGuardOptions, ToolPolicyView, } from "./tool-policy-guard.js";
+export { checkToolPolicy, createToolPolicyAuthorize, getStoredMcpToolPolicy, registerGuardedMcpTool, } from "./tool-policy-guard.js";
+//# sourceMappingURL=index.d.ts.map

package/dist/admin/index.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.d.ts","sourceRoot":"","sources":["../../src/admin/index.ts"],"names":[],"mappings":"AAAA;;GAEG;AAEH,YAAY,EACV,gBAAgB,EAChB,sBAAsB,EACtB,uBAAuB,EACvB,kBAAkB,EAClB,iBAAiB,GAClB,MAAM,YAAY,CAAC;AAEpB,OAAO,EACL,iBAAiB,EACjB,mBAAmB,EACnB,oBAAoB,EACpB,6BAA6B,GAC9B,MAAM,eAAe,CAAC;AAEvB,YAAY,EACV,aAAa,EACb,cAAc,GACf,MAAM,gBAAgB,CAAC;AAExB,OAAO,EACL,oBAAoB,EACpB,mBAAmB,EACnB,mBAAmB,EACnB,gBAAgB,EAChB,0BAA0B,EAC1B,gCAAgC,EAChC,mBAAmB,EACnB,cAAc,EACd,mBAAmB,EACnB,eAAe,EACf,qBAAqB,EACrB,qBAAqB,EACrB,cAAc,EACd,cAAc,EACd,cAAc,EACd,UAAU,EACV,aAAa,EACb,gBAAgB,EAChB,iBAAiB,EACjB,oBAAoB,GACrB,MAAM,gBAAgB,CAAC;AAExB,YAAY,EAAE,2BAA2B,EAAE,MAAM,kBAAkB,CAAC;AACpE,OAAO,EAAE,oBAAoB,EAAE,MAAM,kBAAkB,CAAC;AAIxD,YAAY,EACV,gCAAgC,EAChC,oBAAoB,EACpB,qBAAqB,EACrB,wBAAwB,EACxB,6BAA6B,EAC7B,eAAe,EACf,sBAAsB,EACtB,sBAAsB,EACtB,cAAc,GACf,MAAM,wBAAwB,CAAC;AAChC,OAAO,EACL,eAAe,EACf,yBAAyB,EACzB,sBAAsB,EACtB,sBAAsB,GACvB,MAAM,wBAAwB,CAAC"}

package/dist/admin/index.js

@@ -0,0 +1,8 @@
+/**
+ * MCP admin — policies, clients OAuth, diagnostics, routes Hono (N6).
+ */
+export { configureMcpAdmin, getMcpAdminAdapters, isMcpAdminConfigured, resetMcpAdminAdaptersForTests, } from "./adapters.js";
+export { ensureMcpAdminSchema, seedMcpToolPolicies, listMcpToolPolicies, getMcpToolPolicy, disabledMcpToolPolicyNames, filterListedToolsByEnabledPolicy, updateMcpToolPolicy, listMcpClients, setMcpClientEnabled, revokeMcpClient, rotateMcpClientSecret, clientCanAuthenticate, touchMcpClient, mcpAdminStatus, mcpDiagnostics, mcpMetrics, auditMcpAdmin, listMcpAuditLogs, pruneMcpAuditLogs, exportMcpDiagnostics, } from "./mcp-admin.js";
+export { createMcpAdminRoutes } from "./http-routes.js";
+export { checkToolPolicy, createToolPolicyAuthorize, getStoredMcpToolPolicy, registerGuardedMcpTool, } from "./tool-policy-guard.js";
+//# sourceMappingURL=index.js.map

package/dist/admin/index.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"index.js","sourceRoot":"","sources":["../../src/admin/index.ts"],"names":[],"mappings":"AAAA;;GAEG;AAUH,OAAO,EACL,iBAAiB,EACjB,mBAAmB,EACnB,oBAAoB,EACpB,6BAA6B,GAC9B,MAAM,eAAe,CAAC;AAOvB,OAAO,EACL,oBAAoB,EACpB,mBAAmB,EACnB,mBAAmB,EACnB,gBAAgB,EAChB,0BAA0B,EAC1B,gCAAgC,EAChC,mBAAmB,EACnB,cAAc,EACd,mBAAmB,EACnB,eAAe,EACf,qBAAqB,EACrB,qBAAqB,EACrB,cAAc,EACd,cAAc,EACd,cAAc,EACd,UAAU,EACV,aAAa,EACb,gBAAgB,EAChB,iBAAiB,EACjB,oBAAoB,GACrB,MAAM,gBAAgB,CAAC;AAGxB,OAAO,EAAE,oBAAoB,EAAE,MAAM,kBAAkB,CAAC;AAexD,OAAO,EACL,eAAe,EACf,yBAAyB,EACzB,sBAAsB,EACtB,sBAAsB,GACvB,MAAM,wBAAwB,CAAC"}