@prontosite/mcp 0.13.6 → 0.13.7

package/CHANGELOG.md

@@ -3,6 +3,17 @@
 Alle nennenswerten Änderungen am MCP-Server für ProntoSite. Der Server ist ein dünner Client um die
 ProntoSite Deploy-API; die eigentliche Logik lebt serverseitig.
 
+## 0.13.7 – 2026-10-20
+
+- Neu: `site_forms_get` – Konto-Empfänger, je Formular Art (verwaltetes ProntoSite-Formular oder eigenes `<form>` aus dem
+  Import), Seiten, Felder, eigene Empfänger, Danke-Seite; Spam-Modus (wirksam, Kunde, Admin-Übersteuerung).
+- Neu: `site_forms_set {recipients?, form?, spamMode?, thanksPage?}` – Empfänger (Konto oder je Formular, streng geprüft, kein
+  CRLF), Spam-Modus `streng|normal|basis`, Danke-Seite nur als interne Seite. Verlauf mit Akteur + Client (alt → neu).
+- `site_status.forms`: Anzahl, Konto-Empfänger, Formulare mit eigenen Empfängern, wirksamer Spam-Modus.
+- Instructions: „Formular-Empfänger, Spam-Stufe, Danke-Seite über site_forms_set, nie per HTML."
+- Neue Empfänger-Adressen über KI-Clients werden erst nach Bestätigung durch die Adresse aktiv (`ausstehend`, 24 h); bisherige
+  Adressen bekommen einen Hinweis mit Zurücksetzen-Link.
+
 ## 0.13.6 – 2026-10-20
 
 - Websites beim Namen nennen: `site` darf jetzt auch Firmenname, Domain oder Site-Titel sein (unscharf: Groß/Klein, Umlaute,

package/api.mjs

@@ -520,6 +520,18 @@ export async function apiImageSet(cfg, { site, page, nodeId = null, marker = nul
     method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" },
     body: JSON.stringify({ page, mediaId, ...(nodeId ? { nodeId } : {}), ...(marker ? { marker } : {}), ...(alt != null ? { alt } : {}), ...(Number.isInteger(baseRev) ? { baseRev } : {}) }) }));
 }
+/** GET /api/forms/<site> – Formulare: Konto-Empfänger, Empfänger je Formular, Spam-Modus, Danke-Seiten, erkannte Formulare. */
+export async function apiFormsGet(cfg, { site } = {}, fetchImpl = fetch) {
+  const { token, slug } = resolveTarget(cfg, site);
+  return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, { headers: authHeaders(token, cfg) }));
+}
+/** POST /api/forms/<site> – Empfänger (Konto oder je Formular), Spam-Modus, Danke-Seite setzen. */
+export async function apiFormsSet(cfg, { site, form = null, recipients, spamMode, thanksPage } = {}, fetchImpl = fetch) {
+  const { token, slug } = resolveTarget(cfg, site);
+  const body = { ...(form ? { form } : {}), ...(recipients !== undefined ? { recipients } : {}), ...(spamMode !== undefined ? { spamMode } : {}), ...(thanksPage !== undefined ? { thanksPage } : {}) };
+  return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, {
+    method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" }, body: JSON.stringify(body) }));
+}
 /** POST /api/undo|redo/<site> – letzte Änderung(en) des Entwurfs zurücknehmen bzw. wiederherstellen (derselbe Stack wie das Dashboard). */
 export async function apiUndo(cfg, { site, steps = 1, baseRev = null, redo = false } = {}, fetchImpl = fetch) {
   const { token, slug } = resolveTarget(cfg, site);

package/index.mjs

@@ -21,7 +21,7 @@ const cfg = loadConfig();
 // es im MCP-Log/Terminal auffällt; die endgültige Auflösung (Betreuer-Token-Vorrang vs. Map) klärt sites_list.
 for (const w of (cfg.warnings || [])) process.stderr.write("[prontosite-mcp] ⚠ " + w + "\n");
 // instructions: Arbeitsweise (Weg B = Standard) – gleicher Text wie am Remote-Endpunkt.
-const server = new McpServer({ name: "prontosite", version: "0.13.6" }, { instructions: instructionsFor("local") });
+const server = new McpServer({ name: "prontosite", version: "0.13.7" }, { instructions: instructionsFor("local") });
 // Tool-Definitionen: gemeinsame Quelle mit dem Remote-Endpunkt (tools.mjs, Konzept KI-Anbindung §4.2).
 registerTools(server, { z, cfg, mode: "local" });
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@prontosite/mcp",
-  "version": "0.13.6",
+  "version": "0.13.7",
   "description": "MCP-Server für ProntoSite – Website-Status, Export, Deploy und Veröffentlichen direkt aus einem KI-Assistenten (Claude Desktop). Dünner Client um die ProntoSite Deploy-API.",
   "type": "module",
   "bin": {

package/tools.mjs

@@ -9,7 +9,7 @@
  *                site_domain_connect nur mit Betreuer-Token (Entscheidung 9a).
  * `z` wird vom Aufrufer übergeben (dieselbe zod-Instanz wie sein MCP-SDK).
  */
-import { apiEditText, apiPageTexts, apiPageTextsSet, apiPageCopy, apiMediaUploadBegin, apiMediaUploadFile, apiMediaCommit, apiMediaList, apiImageSet, apiUndo, apiMediaDelete, apiMediaRestore, apiPreviewScreenshot, apiStatus, apiExport, apiExportFetch, apiDeploy, apiPublish, sitesList, apiAccountCreate, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect, apiEmbeds, apiEmbedConsent, apiWidgets, apiWidgetSet, apiFiles, apiFileGet, apiFilePut, apiFileDelete, apiFileRename, apiLock } from "./api.mjs";
+import { apiEditText, apiPageTexts, apiPageTextsSet, apiPageCopy, apiMediaUploadBegin, apiMediaUploadFile, apiMediaCommit, apiMediaList, apiImageSet, apiUndo, apiMediaDelete, apiMediaRestore, apiFormsGet, apiFormsSet, apiPreviewScreenshot, apiStatus, apiExport, apiExportFetch, apiDeploy, apiPublish, sitesList, apiAccountCreate, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect, apiEmbeds, apiEmbedConsent, apiWidgets, apiWidgetSet, apiFiles, apiFileGet, apiFilePut, apiFileDelete, apiFileRename, apiLock } from "./api.mjs";
 
 /**
  * Arbeitsweise (MCP-`instructions` beim Initialize – lokal UND /mcp): Weg B ist der Standard (Nick 19.10.).
@@ -44,6 +44,7 @@ const instructionLines = mode => [
     + "site_preview_screenshot (1280 bzw. 390) prüfen, BEVOR du dem Nutzer antwortest.",
   "5c. Bei „rückgängig“ site_undo (bzw. „doch wieder“ site_redo), nie Dateien manuell zurückbauen. Medien löschen nur mit site_media_delete "
     + "(Papierkorb, 30 Tage; zurückholen mit site_media_restore).",
+  "5d. Formular-Empfänger, Spam-Stufe und Danke-Seite über site_forms_set, nie per HTML (site_forms_get zeigt den Stand).",
   "5. Jede Änderung lässt sich rückgängig machen; Rechtstexte (Impressum/Datenschutz) nicht umformulieren – sie kommen aus den Firmendaten.",
 ];
 /** Server-Instructions je Modus ("local" = stdio-Paket mit Dateizugriff, "remote" = /mcp). */
@@ -53,7 +54,7 @@ export const SERVER_INSTRUCTIONS = instructionsFor("remote");
 // Tool-Annotationen (MCP ToolAnnotations): ChatGPT & Co. fragen sonst bei JEDEM Aufruf nach. readOnly = ändert nichts;
 // destructive = live/kundenwirksam, ersetzt Bestand oder nimmt zurück (Bestätigung sinnvoll). Entwurfs-Änderungen sind
 // rückgängig machbar und daher nicht destruktiv. openWorld = wirkt nach außen (öffentliche Website/DNS).
-const READ_ONLY = new Set(["sites_list", "site_status", "site_page_texts", "site_media_list", "site_preview_screenshot", "site_company_get",
+const READ_ONLY = new Set(["sites_list", "site_status", "site_forms_get", "site_page_texts", "site_media_list", "site_preview_screenshot", "site_company_get",
   "site_domain_status", "site_embeds", "site_widgets", "site_files", "site_file_get"]);
 const DESTRUCTIVE = new Set(["site_publish", "site_deploy", "deploy_commit", "site_file_delete", "site_media_delete", "site_undo", "site_redo", "site_domain_connect"]);
 const OPEN_WORLD = new Set(["site_publish", "site_deploy", "deploy_commit", "site_domain_connect"]);
@@ -247,6 +248,29 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
       baseRev: z.number().int().optional().describe("Optional: draftRev (Konfliktschutz).") },
     async (a) => { try { return asText(await apiImageSet(cfg, a)); } catch (e) { return asError(e); } }
   );
+  server.tool(
+    "site_forms_get",
+    "LESEND: Formulare der Website – Konto-Empfänger (defaultRecipients), je Formular: Art (verwaltetes ProntoSite-Formular/Marker "
+      + "oder eigenes <form> aus dem Import), Seiten, Felder, eigene Empfänger (null = Konto-Empfänger), Danke-Seite; Spam-Modus "
+      + "(wirksam, Kunde, Admin-Übersteuerung) und die möglichen Danke-Seiten.",
+    { site: z.string().optional().describe(SITE_DESC) },
+    async ({ site }) => { try { return asText(await apiFormsGet(cfg, { site })); } catch (e) { return asError(e); } }
+  );
+  server.tool(
+    "site_forms_set",
+    "SCHREIBEND: Formular-Einstellungen ändern – NIE per HTML. recipients: Empfänger-Adressen (ohne form = Konto-Empfänger für alle "
+      + "Formulare ohne eigene; mit form = nur dieses Formular, [] = zurück auf Konto-Empfänger); spamMode: streng | normal | basis; "
+      + "thanksPage: interne Seite für die Weiterleitung nach dem Absenden ('' = Meldung am Formular), nur mit form (außer es gibt genau "
+      + "eins). NEUE Empfänger-Adressen werden erst aktiv, wenn sie den Bestätigungslink in der Mail an sie anklicken (24 h) – bis dahin "
+      + "bleiben die bisherigen aktiv (Antwort: ausstehend). Die bisherigen Adressen bekommen einen Hinweis mit Zurücksetzen-Link. Vorher "
+      + "beim Nutzer bestätigen, wohin Anfragen künftig gehen.",
+    { site: z.string().optional().describe(SITE_DESC),
+      form: z.string().optional().describe("Formular-ID aus site_forms_get (für Empfänger/Danke-Seite je Formular)."),
+      recipients: z.array(z.string()).optional().describe("E-Mail-Adressen (max. 10)."),
+      spamMode: z.enum(["streng", "normal", "basis"]).optional(),
+      thanksPage: z.string().optional().describe("Interner Pfad einer Seite dieser Website, z. B. /danke/ (keine externen URLs).") },
+    async (a) => { try { return asText(await apiFormsSet(cfg, a)); } catch (e) { return asError(e); } }
+  );
   server.tool(
     "site_undo",
     "SCHREIBEND (Entwurf): macht die letzte(n) Änderung(en) rückgängig – derselbe Verlauf wie der Rückgängig-Knopf im Dashboard (auch "