@materializecms/server 0.8.0 → 0.9.0

package/CHANGELOG.md

@@ -4,6 +4,40 @@ Ogni versione, dalla più recente. Le novità in arrivo si scrivono sotto «Pros
 
 ## Prossima versione
 
+## 0.9.0 — 2026-11-10
+
+- **Da sapere se aggiorni.** `materialize dev` si raggiunge solo dal computer (`--host 0.0.0.0` per il telefono). Online, «Password dimenticata?» manda il link solo se è configurato l'indirizzo del sito (`site.url` o `MATERIALIZE_SITE_URL`). I webhook dei moduli verso indirizzi interni vengono rifiutati (`MATERIALIZE_PRIVATE_WEBHOOKS=1` per un servizio sullo stesso server). `getEntries` non restituisce più le pagine modello (`{ templates: true }` per averle). Il pannello parte nella lingua del browser finché ognuno non ne sceglie una. Cambiando il server dell'AI, dell'email o dei backup esterni, la chiave salvata va scritta di nuovo. Il terminale parla la lingua del sistema (`MATERIALIZE_LANG=it` per l'italiano).
+- **Il pannello, dal controllo generale.** Da telefono si pubblica: il pulsante resta visibile, una freccia riporta all'elenco e le pagine si aprono in modalità Contenuto; annulla, ripristina, tema e cronologia sono in «Altre azioni». «Pubblicato» non sembra più un pulsante spento. Impostazioni → Sito non mostra più comandi che lì non servono.
+- **Coerenza del nuovo aspetto**: menu delle impostazioni a pillole con una larghezza e un titolo uguali in ogni scheda; dettaglio dei media, newsletter, persone e campi su carte arrotondate; pulsanti, selettori e filtri a pillola ovunque; elenchi allineati alla loro intestazione.
+- **Editor**: i selettori del pannello delle proprietà vanno su due righe invece di accavallare le etichette; la scheda Aggiungi mostra i nomi interi; nel pannello Contenuto le voci del menu si chiamano «Voce del menu»; i due «⋯» della tela hanno icone diverse.
+- **Newsletter**: impostazioni del mittente in una scheda **Impostazioni** propria; «Invia ora» dice perché non si può inviare; «Esporta» spento senza iscritti; i nomi delle sezioni di iscrizione seguono la lingua del pannello.
+- **Piccole cose**: badge dei messaggi nuovi anche su **Impostazioni** nella barra laterale; etichetta «Lingua dei contenuti»; la chiave dei webhook è nascosta, con i pulsanti per mostrarla e copiarla; un quarto tono della voce prende il posto del primo; nel registro si vede quale documento è stato «preso»; pochi accessi falliti non sono più un avviso; il menu ⋯ delle righe si vede anche sui touch; «Vai al contenuto» anche nel pannello.
+- **Accessibilità e lingua**: il campo password dell'accesso ha la sua etichetta; i controlli del pannello delle proprietà hanno un nome per i lettori di schermo; la lingua scelta nella pagina di accesso non si perde più entrando; cambiando lingua si ricaricano i testi del server; caricamenti ed export CSV seguono la lingua di chi li fa; le notifiche dei moduli al proprietario partono nella sua lingua.
+- **Il sito, dal controllo generale.** Un'immagine o un video vuoti non mostrano più il riquadro dell'editor sul sito. Le pagine modello non finiscono più nei menu (`getEntries` le lascia fuori; anche le loro traduzioni non hanno più indirizzo né sitemap). I link del menu condiviso a una sezione che non è nella pagina portano alla sezione nella home della stessa lingua.
+- **Accessibilità del sito**: link «Vai al contenuto» quando la pagina comincia con un menu; il menu su telefono si apre da tastiera portando il focus sulle voci e si chiude con Esc; le etichette del pulsante sono nella lingua della pagina; dopo lo scorrimento verso una sezione la tastiera riparte da lì; le scene WebGL decorative non vengono annunciate; i moduli suggeriscono nome, email e telefono.
+- **Prestazioni**: le immagini dicono al browser quanto spazio occupano (niente più versione da 1920 px per una scheda piccola) e la prima della pagina si carica subito; le scene WebGL partono solo quando sono vicine allo schermo e visibili, quindi su telefono un modello 3D nascosto non viene scaricato.
+- **SEO**: i siti nuovi creati con `create-materialize` usano il componente `Seo` (descrizioni, anteprime social, dati strutturati, lingue) e un `<main>` che lascia fuori menu e piè di pagina; una pagina senza descrizione usa il primo paragrafo; le briciole di pane partono dalla home e non puntano più a pagine inesistenti; gli articoli sono di tipo «articolo» senza doverlo scegliere; `og:locale` nella forma `it_IT`.
+- **Sicurezza del sito**: tutte le pagine, gli errori e i reindirizzamenti hanno le intestazioni di sicurezza (nosniff, referrer, nessun inserimento in frame di altri siti, HSTS su HTTPS); le immagini della libreria si possono usare nelle anteprime social e nei lettori di feed; un indirizzo malformato riceve un 400 invece di un errore del server. In sviluppo il ricaricamento automatico funziona anche da `127.0.0.1` e dalla rete locale, e i file di configurazione del progetto non sono leggibili dal browser.
+- **Sicurezza, dal controllo generale.** Le pagine salvate vengono ripulite prima di diventare HTML: un tipo di elemento, un valore CSS, un'icona SVG o una copia di un componente non possono più portare codice nel sito (prima un editor poteva farlo, e lo script sarebbe girato anche per gli amministratori che aprivano la pagina). Le icone SVG personalizzate vengono ricostruite da zero con i soli elementi da disegno.
+- Le copie dei componenti cambiano solo i propri contenuti; ripristinare una versione segue le stesse regole del salvataggio; la risposta automatica dei moduli la cambia solo un amministratore, come destinatari e webhook.
+- Gli indirizzi interni sono bloccati anche nelle forme IPv6 e dopo un cambio di DNS, sia nelle importazioni da URL sia nei webhook dei moduli (`MATERIALIZE_PRIVATE_WEBHOOKS=1` per un servizio sullo stesso server).
+- Limiti di dimensione sulle richieste al server e sulle password; più limiti ai messaggi dei moduli per indirizzo; gli allegati dei messaggi di spam non vengono salvati.
+- «Password dimenticata?» online usa solo l'indirizzo configurato del sito (senza, il link non parte e Impostazioni → Sicurezza lo segnala) e risponde sempre negli stessi tempi; il reset con il link chiude le sessioni e revoca i token personali.
+- L'API pubblica dei contenuti non mostra più destinatari, webhook e risposte automatiche dei moduli. Il cookie di sessione è `Secure` anche dietro un proxy HTTPS. Le prove di invio della newsletter sono limitate. Cambiando il server dell'AI, dell'email o dei backup esterni, la chiave salvata va scritta di nuovo.
+- **Avviso di aggiornamento**: quando esce una nuova versione di Materialize, gli amministratori vedono in alto a destra una pillola con il numero della versione (al passaggio del mouse, le prime novità) e una scheda **Aggiornamento** nella Panoramica, che portano a Impostazioni → Aggiornamenti. La pillola si chiude e torna con la versione successiva. Si vede anche in sviluppo, dove si aggiorna dal terminale.
+- **Scorrimento fluido verso le sezioni**: i link a una sezione della stessa pagina, come le voci del menu, non saltano più di colpo: la pagina scorre in modo morbido (al massimo un secondo) e la sezione si ferma sotto il menu fisso, anche se intanto finiscono di caricarsi immagini più in alto. La rotella o un tocco fermano lo scorrimento; chi ha chiesto meno movimento vede il salto di sempre.
+- **Materialize in inglese, completo.** Oltre al pannello, sono in inglese i messaggi del server, le email a chi ha un account, i controlli SEO, di accessibilità e di prestazioni, i nomi delle sezioni della libreria e degli stili, il terminale (`materialize` e `create-materialize`), la guida (`docs/guide`) e il README (`README.en.md`).
+- Ognuno sceglie la lingua per sé, nel profilo o nella pagina di accesso; prima di scegliere, il pannello segue la lingua del browser. Due persone possono usare lo stesso sito una in italiano e una in inglese: il server risponde a ognuna nella sua lingua, e le email partono nella lingua del profilo di chi le riceve.
+- Il terminale parla la lingua del sistema; `MATERIALIZE_LANG=it` o `en` la sceglie a mano.
+- Restano nella lingua del sito i testi che vedono i visitatori: pagine, moduli, banner dei cookie, newsletter.
+- Anche i testi che il server salva per dopo si leggono nella lingua di chi guarda: motivi dello spam, errori delle pubblicazioni programmate, dei rilasci e delle newsletter, e gli stessi messaggi nel registro attività. Quelli salvati prima di questa versione restano come sono.
+- **Pannello in inglese, terza parte: tutto il resto del pannello.** Documenti, liste e rilasci, ricerca ⌘K, campi e libreria media, newsletter, persone e verifica in due passaggi, tutte le impostazioni, l'installazione iniziale (con il selettore della lingua) e i tour.
+- **Pannello in inglese, seconda parte: l'editor.** Tela, livelli, libreria, stili, controlli, pannello delle proprietà, animazioni, interazioni, assistente, commenti, tour e scorciatoie, esportazione e modalità Design delle raccolte a blocchi. I nuovi elementi prendono nome e testo segnaposto nella lingua del pannello.
+- **`materialize dev` resta sul tuo computer**: prima si poteva raggiungere da tutta la rete, e su una Wi-Fi condivisa qualcun altro avrebbe potuto aprire un sito nuovo e crearne l'amministratore. Per provarlo dal telefono: `--host 0.0.0.0`. `materialize start` non cambia.
+- **Nuovo aspetto del pannello**: menu, area di lavoro e pannelli dell'editor sono superfici arrotondate su un fondo più scuro; pulsanti, filtri e selettori sono a pillola.
+- Ricerca, tema e profilo si sono spostati in alto a destra, in un incavo dell'area di lavoro (sul telefono, nella barra in alto). La lingua dei contenuti resta in basso a sinistra.
+- Nell'editor i comandi sopra la tela stanno in tre incavi del suo bordo, e lo zoom è una pillola in basso a destra sulla tela. Sulle tele strette i comandi meno usati passano in un menu ⋯, così la barra non viene tagliata.
+
 ## 0.8.0 — 2026-11-07
 
 - **Un documento alla volta**: se un'altra persona sta modificando la pagina che apri, la vedi in sola lettura con chi ci lavora e da quanto, e puoi prendere il controllo. Nessuno sovrascrive più il lavoro di un altro senza saperlo, nemmeno da due schede.

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@materializecms/server",
-  "version": "0.8.0",
+  "version": "0.9.0",
   "description": "Il server di Materialize: API, accessi, media, backup, aggiornamenti dal pannello e server MCP.",
   "type": "module",
   "license": "MIT",
@@ -20,9 +20,9 @@
   "dependencies": {
     "@anthropic-ai/sdk": "1.3.0",
     "@hono/node-server": "2.1.5",
-    "@materializecms/admin": "0.8.0",
-    "@materializecms/core": "0.8.0",
-    "@materializecms/db": "0.8.0",
+    "@materializecms/admin": "0.9.0",
+    "@materializecms/core": "0.9.0",
+    "@materializecms/db": "0.9.0",
     "@modelcontextprotocol/sdk": "1.32.2",
     "hono": "4.13.14",
     "htmlparser2": "12.0.0",

package/src/admin.js

@@ -1,6 +1,7 @@
 import { createHash } from 'node:crypto';
 import { readFile, stat } from 'node:fs/promises';
 import { extname, join, normalize, sep } from 'node:path';
+import { t } from './t.js';
 const TYPES = {
     '.html': 'text/html; charset=utf-8',
     '.js': 'text/javascript; charset=utf-8',
@@ -63,8 +64,8 @@ export async function serveAdmin(c, dir) {
     const index = dir ? join(dir, 'index.html') : '';
     if (!dir || !(await isFile(index))) {
         return c.html('<!doctype html><meta charset="utf-8"><title>Materialize</title><body style="font:15px system-ui;padding:40px">' +
-            '<h1 style="font-size:20px">Il pannello non è ancora compilato</h1>' +
-            '<p>Esegui <code>npm run build</code> nella cartella di Materialize, poi ricarica la pagina.</p>', 503);
+            `<h1 style="font-size:20px">${t('Il pannello non è ancora compilato')}</h1>` +
+            `<p>${t('Esegui {command} nella cartella di Materialize, poi ricarica la pagina.', { command: '<code>npm run build</code>' })}</p>`, 503);
     }
     if (c.req.path === FRAME_PATH)
         return c.body(FRAME_HTML, 200, {

package/src/ai.js

@@ -1,5 +1,6 @@
 import Anthropic from '@anthropic-ai/sdk';
 import { z } from 'zod';
+import { t } from './t.js';
 import { ToolError } from './tools.js';
 export const EMPTY_AI = { provider: 'anthropic', apiKey: '', baseUrl: '', model: '', fastModel: '' };
 export const DEFAULT_CLAUDE = 'claude-opus-5-5';
@@ -62,7 +63,7 @@ export async function complete(s, input) {
         ],
     });
     if (message.stop_reason === 'refusal')
-        throw new AiError('La richiesta è stata rifiutata dal modello.');
+        throw new AiError(t('La richiesta è stata rifiutata dal modello.'));
     return textOf(message).trim();
 }
 /**
@@ -72,7 +73,7 @@ export async function complete(s, input) {
 export async function runTurn(s, conv, input) {
     const stopped = () => {
         if (input.signal?.aborted)
-            throw new AiError('Interrotto.');
+            throw new AiError(t('Interrotto.'));
     };
     const images = input.images ?? [];
     const byName = new Map(input.tools.map((t) => [t.name, t]));
@@ -132,7 +133,7 @@ export async function runTurn(s, conv, input) {
                 messages.push({ role: 'tool', tool_call_id: call.id, content: result.text });
             }
         }
-        return 'Mi sono fermato: servivano troppi passaggi. Dimmi se continuare.';
+        return t('Mi sono fermato: servivano troppi passaggi. Dimmi se continuare.');
     }
     const tools = input.tools.map((t) => ({
         name: t.name,
@@ -175,7 +176,7 @@ export async function runTurn(s, conv, input) {
             if (block.type === 'thinking' && block.thinking.trim())
                 input.onEvent({ type: 'status', text: block.thinking.trim() });
         if (message.stop_reason === 'refusal')
-            throw new AiError('La richiesta è stata rifiutata dal modello.');
+            throw new AiError(t('La richiesta è stata rifiutata dal modello.'));
         if (message.stop_reason !== 'tool_use')
             return textOf(message).trim();
         const calls = message.content.filter((b) => b.type === 'tool_use');
@@ -186,7 +187,7 @@ export async function runTurn(s, conv, input) {
         // All results in one message, as the API expects for parallel calls.
         messages.push({ role: 'user', content: results });
     }
-    return 'Mi sono fermato: servivano troppi passaggi. Dimmi se continuare.';
+    return t('Mi sono fermato: servivano troppi passaggi. Dimmi se continuare.');
 }
 // ---------- Claude ----------
 /** Models that take the server-side fallback on a refusal and progress notes between tool calls. */
@@ -222,20 +223,20 @@ async function claude(s, params) {
     }
     catch (error) {
         if (error instanceof Anthropic.AuthenticationError)
-            throw new AiError('La chiave API di Anthropic non è valida.');
+            throw new AiError(t('La chiave API di Anthropic non è valida.'));
         if (error instanceof Anthropic.PermissionDeniedError)
-            throw new AiError('La chiave non ha accesso a questo modello.');
+            throw new AiError(t('La chiave non ha accesso a questo modello.'));
         if (error instanceof Anthropic.NotFoundError)
-            throw new AiError(`Il modello “${model}” non esiste.`);
+            throw new AiError(t('Il modello “{model}” non esiste.', { model }));
         if (error instanceof Anthropic.RateLimitError)
-            throw new AiError('Troppe richieste ad Anthropic: riprova tra poco.');
+            throw new AiError(t('Troppe richieste ad Anthropic: riprova tra poco.'));
         // The reasoning of earlier turns no longer fits the conversation (it was changed underneath).
         if (error instanceof Anthropic.BadRequestError && /thinking/i.test(error.message))
-            throw new AiError('Questa conversazione non può continuare: iniziane una nuova con ↺ in alto.');
+            throw new AiError(t('Questa conversazione non può continuare: iniziane una nuova con ↺ in alto.'));
         if (error instanceof Anthropic.BadRequestError)
-            throw new AiError(`Richiesta non valida: ${error.message}`);
+            throw new AiError(t('Richiesta non valida: {detail}', { detail: error.message }));
         if (error instanceof Anthropic.APIError)
-            throw new AiError(`Anthropic non risponde (${error.status ?? 'rete'}).`);
+            throw new AiError(t('Anthropic non risponde ({status}).', { status: error.status ?? t('rete') }));
         throw error;
     }
 }
@@ -262,11 +263,11 @@ async function openaiChat(s, body) {
         });
     }
     catch {
-        throw new AiError(`Il server AI non risponde su ${base}.`);
+        throw new AiError(t('Il server AI non risponde su {base}.', { base }));
     }
     const json = (await res.json().catch(() => null));
     if (!res.ok)
-        throw new AiError(json?.error?.message ?? `Il server AI ha risposto ${res.status}.`);
+        throw new AiError(json?.error?.message ?? t('Il server AI ha risposto {status}.', { status: res.status }));
     if (json?.usage) {
         // Cached tokens are part of the prompt tokens here: the rest is the full-price part.
         const cached = json.usage.prompt_tokens_details?.cached_tokens ?? 0;
@@ -280,7 +281,7 @@ async function openaiChat(s, body) {
     }
     const message = json?.choices?.[0]?.message;
     if (!message)
-        throw new AiError('Il server AI ha dato una risposta vuota.');
+        throw new AiError(t('Il server AI ha dato una risposta vuota.'));
     return { role: 'assistant', content: message.content ?? null, tool_calls: message.tool_calls };
 }
 // ---------- translation ----------
@@ -310,7 +311,7 @@ voice = '') {
             result = parseList(reply, batch.length);
         }
         if (!result)
-            throw new AiError('Il modello non ha restituito la traduzione completa: riprova.');
+            throw new AiError(t('Il modello non ha restituito la traduzione completa: riprova.'));
         out.push(...result);
         onProgress?.(out.length);
     }

package/src/app.d.ts

@@ -28,6 +28,11 @@ export interface ServerContext {
      * fresh server first cannot claim it: `materialize start` prints the link that carries it.
      */
     setupToken?: string;
+    /**
+     * Lets form webhooks post to this machine or its network (an n8n beside the site). Off by
+     * default, since what visitors write is sent there; MATERIALIZE_PRIVATE_WEBHOOKS=1 turns it on.
+     */
+    privateWebhooks?: boolean;
 }
 export declare function createApp(base: ServerContext): Hono<Env, import("hono/types").BlankSchema, "/"> & {
     runSchedules: (now?: Date) => Promise<number>;