@prontosite/mcp 0.13.5 → 0.13.7

package/CHANGELOG.md

@@ -3,6 +3,27 @@
 Alle nennenswerten Änderungen am MCP-Server für ProntoSite. Der Server ist ein dünner Client um die
 ProntoSite Deploy-API; die eigentliche Logik lebt serverseitig.
 
+## 0.13.7 – 2026-10-20
+
+- Neu: `site_forms_get` – Konto-Empfänger, je Formular Art (verwaltetes ProntoSite-Formular oder eigenes `<form>` aus dem
+  Import), Seiten, Felder, eigene Empfänger, Danke-Seite; Spam-Modus (wirksam, Kunde, Admin-Übersteuerung).
+- Neu: `site_forms_set {recipients?, form?, spamMode?, thanksPage?}` – Empfänger (Konto oder je Formular, streng geprüft, kein
+  CRLF), Spam-Modus `streng|normal|basis`, Danke-Seite nur als interne Seite. Verlauf mit Akteur + Client (alt → neu).
+- `site_status.forms`: Anzahl, Konto-Empfänger, Formulare mit eigenen Empfängern, wirksamer Spam-Modus.
+- Instructions: „Formular-Empfänger, Spam-Stufe, Danke-Seite über site_forms_set, nie per HTML."
+- Neue Empfänger-Adressen über KI-Clients werden erst nach Bestätigung durch die Adresse aktiv (`ausstehend`, 24 h); bisherige
+  Adressen bekommen einen Hinweis mit Zurücksetzen-Link.
+
+## 0.13.6 – 2026-10-20
+
+- Websites beim Namen nennen: `site` darf jetzt auch Firmenname, Domain oder Site-Titel sein (unscharf: Groß/Klein, Umlaute,
+  Bindestriche, Teilstring). Eindeutig → ausgeführt, die Antwort nennt den aufgelösten slug (`aufgeloesteWebsite`); mehrdeutig →
+  Kandidatenliste, nichts geändert; kein Treffer → die drei ähnlichsten. Nur innerhalb der erreichbaren Websites.
+- `sites_list`: je Website Firmenname (`company`), Site-Titel (`title`), Domains, Status (live/entwurf), Kunde-ID.
+- `site_status`: konkrete Rechte des Aufrufers – `canRead`, `canEditDraft`, `canPublish`, `canDeploy` (+ `canReasons`);
+  `apiEnabled` → `restApiEnabled` (betrifft nur die REST-API).
+- Tool-Annotationen (`readOnlyHint`, `destructiveHint`, `openWorldHint`) auf allen Tools; neue Instructions zu Namen und Rechten.
+
 ## 0.13.5 – 2026-10-20
 
 - `site_edit_text`: Telefonnummern werden unabhängig von der Schreibweise gefunden (Leerzeichen, „/", Bindestrich-Varianten,

package/api.mjs

@@ -124,7 +124,11 @@ export function friendlyApiError(status, serverError = "") {
 async function asJson(res) {
   let body = {};
   try { body = await res.json(); } catch { /* kein JSON */ }
-  if (!res.ok) throw new Error(friendlyApiError(res.status, body.error));
+  if (!res.ok) {
+    // Website-Auflösung (Firmenname/Domain): Kandidaten bzw. Vorschläge in die Meldung, damit der Assistent nachfragen kann.
+    const list = (body.candidates || body.suggestions || []).map(e => `${e.slug || e.site}${e.name ? ` (${e.name})` : ""}`).join(", ");
+    throw new Error(friendlyApiError(res.status, body.error) + (list ? ` ${body.candidates ? "Kandidaten" : "Ähnlich"}: ${list}.` : ""));
+  }
   return body;
 }
 
@@ -316,10 +320,11 @@ export async function apiLegalOptions(cfg, { site, impressum, datenschutz } = {}
 async function apiSitesWithToken(cfg, token, fetchImpl) {
   const body = await asJson(await fetchImpl(`${baseUrl(cfg)}/sites`, { headers: authHeaders(token, cfg) }));
   const sites = (body.sites || []).map(s => ({ label: s.slug || s.site || s.customer, slug: s.slug || null, id: s.site || null,
-    name: s.name || null, plan: s.plan, everPublished: s.everPublished, publishNeeded: s.publishNeeded,
+    name: s.name || null, company: s.company || null, title: s.title || null, domains: s.domains || [], status: s.status || null,
+    plan: s.plan, everPublished: s.everPublished, publishNeeded: s.publishNeeded,
     lastChangeAt: s.lastChangeAt || null, liveUrl: s.liveUrl || null, customer: s.customer,
     ...(s.needsFirstImport ? { needsFirstImport: true, hint: s.hint || null } : {}) }));
-  return { count: sites.length, manager: !!body.manager, hint: body.hint || null, sites };
+  return { count: sites.length, manager: !!body.manager, hint: body.hint || null, ...(body.hinweis ? { hinweis: body.hinweis } : {}), sites };
 }
 // sites-Map abfragen: jeden Eintrag einzeln (jeder Token → seine Site).
 async function sitesFromMap(cfg, fetchImpl) {
@@ -515,6 +520,18 @@ export async function apiImageSet(cfg, { site, page, nodeId = null, marker = nul
     method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" },
     body: JSON.stringify({ page, mediaId, ...(nodeId ? { nodeId } : {}), ...(marker ? { marker } : {}), ...(alt != null ? { alt } : {}), ...(Number.isInteger(baseRev) ? { baseRev } : {}) }) }));
 }
+/** GET /api/forms/<site> – Formulare: Konto-Empfänger, Empfänger je Formular, Spam-Modus, Danke-Seiten, erkannte Formulare. */
+export async function apiFormsGet(cfg, { site } = {}, fetchImpl = fetch) {
+  const { token, slug } = resolveTarget(cfg, site);
+  return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, { headers: authHeaders(token, cfg) }));
+}
+/** POST /api/forms/<site> – Empfänger (Konto oder je Formular), Spam-Modus, Danke-Seite setzen. */
+export async function apiFormsSet(cfg, { site, form = null, recipients, spamMode, thanksPage } = {}, fetchImpl = fetch) {
+  const { token, slug } = resolveTarget(cfg, site);
+  const body = { ...(form ? { form } : {}), ...(recipients !== undefined ? { recipients } : {}), ...(spamMode !== undefined ? { spamMode } : {}), ...(thanksPage !== undefined ? { thanksPage } : {}) };
+  return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, {
+    method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" }, body: JSON.stringify(body) }));
+}
 /** POST /api/undo|redo/<site> – letzte Änderung(en) des Entwurfs zurücknehmen bzw. wiederherstellen (derselbe Stack wie das Dashboard). */
 export async function apiUndo(cfg, { site, steps = 1, baseRev = null, redo = false } = {}, fetchImpl = fetch) {
   const { token, slug } = resolveTarget(cfg, site);

package/index.mjs

@@ -21,7 +21,7 @@ const cfg = loadConfig();
 // es im MCP-Log/Terminal auffällt; die endgültige Auflösung (Betreuer-Token-Vorrang vs. Map) klärt sites_list.
 for (const w of (cfg.warnings || [])) process.stderr.write("[prontosite-mcp] ⚠ " + w + "\n");
 // instructions: Arbeitsweise (Weg B = Standard) – gleicher Text wie am Remote-Endpunkt.
-const server = new McpServer({ name: "prontosite", version: "0.13.5" }, { instructions: instructionsFor("local") });
+const server = new McpServer({ name: "prontosite", version: "0.13.7" }, { instructions: instructionsFor("local") });
 // Tool-Definitionen: gemeinsame Quelle mit dem Remote-Endpunkt (tools.mjs, Konzept KI-Anbindung §4.2).
 registerTools(server, { z, cfg, mode: "local" });
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@prontosite/mcp",
-  "version": "0.13.5",
+  "version": "0.13.7",
   "description": "MCP-Server für ProntoSite – Website-Status, Export, Deploy und Veröffentlichen direkt aus einem KI-Assistenten (Claude Desktop). Dünner Client um die ProntoSite Deploy-API.",
   "type": "module",
   "bin": {

package/tools.mjs

@@ -9,7 +9,7 @@
  *                site_domain_connect nur mit Betreuer-Token (Entscheidung 9a).
  * `z` wird vom Aufrufer übergeben (dieselbe zod-Instanz wie sein MCP-SDK).
  */
-import { apiEditText, apiPageTexts, apiPageTextsSet, apiPageCopy, apiMediaUploadBegin, apiMediaUploadFile, apiMediaCommit, apiMediaList, apiImageSet, apiUndo, apiMediaDelete, apiMediaRestore, apiPreviewScreenshot, apiStatus, apiExport, apiExportFetch, apiDeploy, apiPublish, sitesList, apiAccountCreate, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect, apiEmbeds, apiEmbedConsent, apiWidgets, apiWidgetSet, apiFiles, apiFileGet, apiFilePut, apiFileDelete, apiFileRename, apiLock } from "./api.mjs";
+import { apiEditText, apiPageTexts, apiPageTextsSet, apiPageCopy, apiMediaUploadBegin, apiMediaUploadFile, apiMediaCommit, apiMediaList, apiImageSet, apiUndo, apiMediaDelete, apiMediaRestore, apiFormsGet, apiFormsSet, apiPreviewScreenshot, apiStatus, apiExport, apiExportFetch, apiDeploy, apiPublish, sitesList, apiAccountCreate, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect, apiEmbeds, apiEmbedConsent, apiWidgets, apiWidgetSet, apiFiles, apiFileGet, apiFilePut, apiFileDelete, apiFileRename, apiLock } from "./api.mjs";
 
 /**
  * Arbeitsweise (MCP-`instructions` beim Initialize – lokal UND /mcp): Weg B ist der Standard (Nick 19.10.).
@@ -20,6 +20,10 @@ const instructionLines = mode => [
   "1. STANDARD: direkt am Server-Entwurf arbeiten. Ablauf: site_status (Stand, draftRev, wer zuletzt geändert hat) → Änderung mit "
     + "site_edit_text (Text suchen und ersetzen über alle Seiten) bzw. site_file_get/site_file_put (HTML/CSS) → site_status (Kontrolle). "
     + "Danach dem Nutzer sagen, was geändert wurde, und den Vorschau-Link (previewUrl aus site_status) nennen.",
+  "1a. Website wählen: Wenn der Nutzer eine Website beim Firmennamen nennt, erst sites_list, dann den passenden Slug verwenden; bei "
+    + "Unklarheit nachfragen. (Die Tools lösen Firmenname/Domain/Titel auch selbst auf; mehrdeutig → Kandidatenliste, nichts geändert.)",
+  "1b. Rechte aus site_status.can* lesen (canRead, canEditDraft, canPublish, canDeploy, Gründe in canReasons); nicht aus anderen Feldern "
+    + "schließen – restApiEnabled betrifft nur die REST-API, nicht diese Tools.",
   "2. AUSNAHME: site_export + Deploy (site_deploy bzw. deploy_upload_begin/deploy_commit) NUR, wenn der Nutzer ausdrücklich lokal arbeiten "
     + "möchte oder die Website komplett umgebaut wird.",
   "2a. Für Text-, Link- und Kontaktdaten-Änderungen (Telefonnummer, E-Mail, Adresse, Öffnungszeiten) IMMER site_edit_text mit "
@@ -40,22 +44,38 @@ const instructionLines = mode => [
     + "site_preview_screenshot (1280 bzw. 390) prüfen, BEVOR du dem Nutzer antwortest.",
   "5c. Bei „rückgängig“ site_undo (bzw. „doch wieder“ site_redo), nie Dateien manuell zurückbauen. Medien löschen nur mit site_media_delete "
     + "(Papierkorb, 30 Tage; zurückholen mit site_media_restore).",
+  "5d. Formular-Empfänger, Spam-Stufe und Danke-Seite über site_forms_set, nie per HTML (site_forms_get zeigt den Stand).",
   "5. Jede Änderung lässt sich rückgängig machen; Rechtstexte (Impressum/Datenschutz) nicht umformulieren – sie kommen aus den Firmendaten.",
 ];
 /** Server-Instructions je Modus ("local" = stdio-Paket mit Dateizugriff, "remote" = /mcp). */
 export const instructionsFor = mode => instructionLines(mode).join("\n");
 export const SERVER_INSTRUCTIONS = instructionsFor("remote");
 
+// Tool-Annotationen (MCP ToolAnnotations): ChatGPT & Co. fragen sonst bei JEDEM Aufruf nach. readOnly = ändert nichts;
+// destructive = live/kundenwirksam, ersetzt Bestand oder nimmt zurück (Bestätigung sinnvoll). Entwurfs-Änderungen sind
+// rückgängig machbar und daher nicht destruktiv. openWorld = wirkt nach außen (öffentliche Website/DNS).
+const READ_ONLY = new Set(["sites_list", "site_status", "site_forms_get", "site_page_texts", "site_media_list", "site_preview_screenshot", "site_company_get",
+  "site_domain_status", "site_embeds", "site_widgets", "site_files", "site_file_get"]);
+const DESTRUCTIVE = new Set(["site_publish", "site_deploy", "deploy_commit", "site_file_delete", "site_media_delete", "site_undo", "site_redo", "site_domain_connect"]);
+const OPEN_WORLD = new Set(["site_publish", "site_deploy", "deploy_commit", "site_domain_connect"]);
+export function toolAnnotations(name, mode = "local") {
+  // site_export: remote nur ein Download-Link (lesend), lokal schreibt es eine ZIP auf die Platte.
+  const ro = READ_ONLY.has(name) || (name === "site_export" && mode === "remote");
+  return { readOnlyHint: ro, destructiveHint: !ro && DESTRUCTIVE.has(name), idempotentHint: ro || name === "site_lock" || name === "site_unlock", openWorldHint: OPEN_WORLD.has(name) };
+}
+
 const asText = obj => ({ content: [{ type: "text", text: JSON.stringify(obj, null, 2) }] });
 const asError = e => ({ isError: true, content: [{ type: "text", text: "Fehler: " + (e?.message || String(e)) }] });
 
 /** Alle Tools am MCP-Server registrieren. */
-export function registerTools(server, { z, cfg, mode = "local", remote = null }) {
+export function registerTools(server0, { z, cfg, mode = "local", remote = null }) {
+  // Jedes Tool mit Annotationen registrieren (Signatur des SDK: name, description, schema, annotations, handler).
+  const server = { tool: (name, desc, schema, cb) => server0.tool(name, desc, schema, toolAnnotations(name, mode), cb) };
   const SITE_DESC = mode === "remote"
-    ? "Website-Slug (z. B. 'mas-monti') oder stabile Site-ID (s-…). Ohne Angabe die Website des Tokens. Betreuer-Token: "
-      + "die gewünschte Website angeben (sites_list zeigt alle)."
-    : "Website-Slug (z. B. 'mas-monti'). Ohne Angabe die Standard-Site der Config. Bei Betreuer-"
-      + "Config (mehrere Sites) hier die gewünschte Website angeben.";
+    ? "Website: Slug (z. B. 'mas-monti'), Site-ID (s-…), Firmenname, Domain oder Site-Titel (unscharf, z. B. 'Firat-Deveci'). Ohne Angabe "
+      + "die Website des Tokens bzw. der Freigabe. Betreuer: die gewünschte Website angeben (sites_list zeigt alle mit Firmennamen)."
+    : "Website: Slug (z. B. 'mas-monti'), Firmenname, Domain oder Site-Titel (unscharf). Ohne Angabe die Standard-Site der Config. "
+      + "Bei Betreuer-Config (mehrere Sites) hier die gewünschte Website angeben.";
 
   // Firmendaten-Felder (identisch zum Dashboard-Formular / Sanitizer). Nur gesetzte Felder werden geändert.
   const companyObject = z.object({
@@ -228,6 +248,29 @@ export function registerTools(server, { z, cfg, mode = "local", remote = null })
       baseRev: z.number().int().optional().describe("Optional: draftRev (Konfliktschutz).") },
     async (a) => { try { return asText(await apiImageSet(cfg, a)); } catch (e) { return asError(e); } }
   );
+  server.tool(
+    "site_forms_get",
+    "LESEND: Formulare der Website – Konto-Empfänger (defaultRecipients), je Formular: Art (verwaltetes ProntoSite-Formular/Marker "
+      + "oder eigenes <form> aus dem Import), Seiten, Felder, eigene Empfänger (null = Konto-Empfänger), Danke-Seite; Spam-Modus "
+      + "(wirksam, Kunde, Admin-Übersteuerung) und die möglichen Danke-Seiten.",
+    { site: z.string().optional().describe(SITE_DESC) },
+    async ({ site }) => { try { return asText(await apiFormsGet(cfg, { site })); } catch (e) { return asError(e); } }
+  );
+  server.tool(
+    "site_forms_set",
+    "SCHREIBEND: Formular-Einstellungen ändern – NIE per HTML. recipients: Empfänger-Adressen (ohne form = Konto-Empfänger für alle "
+      + "Formulare ohne eigene; mit form = nur dieses Formular, [] = zurück auf Konto-Empfänger); spamMode: streng | normal | basis; "
+      + "thanksPage: interne Seite für die Weiterleitung nach dem Absenden ('' = Meldung am Formular), nur mit form (außer es gibt genau "
+      + "eins). NEUE Empfänger-Adressen werden erst aktiv, wenn sie den Bestätigungslink in der Mail an sie anklicken (24 h) – bis dahin "
+      + "bleiben die bisherigen aktiv (Antwort: ausstehend). Die bisherigen Adressen bekommen einen Hinweis mit Zurücksetzen-Link. Vorher "
+      + "beim Nutzer bestätigen, wohin Anfragen künftig gehen.",
+    { site: z.string().optional().describe(SITE_DESC),
+      form: z.string().optional().describe("Formular-ID aus site_forms_get (für Empfänger/Danke-Seite je Formular)."),
+      recipients: z.array(z.string()).optional().describe("E-Mail-Adressen (max. 10)."),
+      spamMode: z.enum(["streng", "normal", "basis"]).optional(),
+      thanksPage: z.string().optional().describe("Interner Pfad einer Seite dieser Website, z. B. /danke/ (keine externen URLs).") },
+    async (a) => { try { return asText(await apiFormsSet(cfg, a)); } catch (e) { return asError(e); } }
+  );
   server.tool(
     "site_undo",
     "SCHREIBEND (Entwurf): macht die letzte(n) Änderung(en) rückgängig – derselbe Verlauf wie der Rückgängig-Knopf im Dashboard (auch "