@prontosite/mcp 0.14.5 → 0.14.7

package/CHANGELOG.md

@@ -3,6 +3,23 @@
 Alle nennenswerten Änderungen am MCP-Server für ProntoSite. Der Server ist ein dünner Client um die
 ProntoSite Deploy-API; die eigentliche Logik lebt serverseitig.
 
+## 0.14.7 – 2026-10-29
+
+- `site_image_set`: neue Option `zoom` (true/false) – Bild per Klick vergrößern (Lightbox der ProntoSite-Runtime, Bildunterschrift
+  aus alt/figcaption, Galerie-Blättern in `.ps-gallery`). `zoom` geht auch ohne `mediaId`; `mediaId` ist dafür optional.
+- Instructions 2d: Badge NUR als kanonisches Snippet einbauen (`data-ps="badge"` + `data-ps-variant` auto/light/dark/mono), Footer,
+  letzte Zeile, nie manuell stylen – der Server ersetzt beim Ausliefern alles außer der Variante.
+- `site_forms_set`: neues Feld `captcha` (true/false) – Sicherheitscode (Bild-Captcha) je Formular; `site_forms_get` zeigt `captcha`,
+  `captchaLive` und `spamAbgewehrt` (abgewehrte Sendungen der letzten 30 Tage je Grund).
+- Versionsnummer im lokalen Server (`index.mjs`) und `package-lock.json` wieder gleich `package.json`.
+
+## 0.14.6 – 2026-10-27
+
+- Instructions 2c: neues Entwurfs-Limit je Website – 300 Änderungen je Stunde, davon 30 direkt hintereinander (Kunden und
+  Betreuer gleich). Bei 429 nicht aufgeben, sondern `retryAfter` Sekunden warten und weitermachen.
+- Fehler mit HTTP 429 tragen `status`, `rateLimited` und `retryAfter` im `structuredContent` (vorher nur der Text);
+  Server-Texte mit „erneut versuchen" werden unverändert durchgereicht.
+
 ## 0.14.5 – 2026-10-24
 
 Enthält 0.14.3 und 0.14.4 (nie einzeln veröffentlicht).

package/api.mjs

@@ -116,7 +116,7 @@ export function friendlyApiError(status, serverError = "") {
   if (status === 403 && /API-Zugang nicht im Tarif|Starter-Plan/i.test(raw))
     return "Dein ProntoSite-Tarif enthält keinen API-Zugang. Wähle im Dashboard → Zahlung einen Tarif oder bitte deinen Betreuer um eine API-Freigabe.";
   if (status === 429)   // Server nennt Wartezeit + richtigen Weg → durchreichen; sonst allgemeiner Hinweis
-    return /wieder möglich in/.test(raw) ? raw : "Zu viele Anfragen in kurzer Zeit (Rate-Limit). Bitte einen Moment warten und erneut versuchen.";
+    return /wieder möglich in|erneut versuchen/.test(raw) ? raw : "Zu viele Anfragen in kurzer Zeit (Rate-Limit). Bitte einen Moment warten und erneut versuchen, Änderungen bündeln.";
   return raw || `HTTP ${status}`;
 }
 
@@ -127,7 +127,11 @@ async function asJson(res) {
   if (!res.ok) {
     // Website-Auflösung (Firmenname/Domain): Kandidaten bzw. Vorschläge in die Meldung, damit der Assistent nachfragen kann.
     const list = (body.candidates || body.suggestions || []).map(e => `${e.slug || e.site}${e.name ? ` (${e.name})` : ""}`).join(", ");
-    throw new Error(friendlyApiError(res.status, body.error) + (list ? ` ${body.candidates ? "Kandidaten" : "Ähnlich"}: ${list}.` : ""));
+    const err = new Error(friendlyApiError(res.status, body.error) + (list ? ` ${body.candidates ? "Kandidaten" : "Ähnlich"}: ${list}.` : ""));
+    // 429: Status + Wartezeit maschinenlesbar mitgeben (structuredContent über asError) – die KI soll warten statt aufgeben.
+    err.status = res.status;
+    if (res.status === 429) { err.rateLimited = true; err.retryAfter = Number(body.retryAfter) || Number(res.headers?.get?.("retry-after")) || null; }
+    throw err;
   }
   return body;
 }
@@ -528,11 +532,11 @@ export async function apiMediaList(cfg, { site } = {}, fetchImpl = fetch) {
   return asJson(await fetchImpl(`${baseUrl(cfg)}/media/${encodeURIComponent(slug)}`, { headers: authHeaders(token, cfg) }));
 }
 /** POST /api/image-set/<site> – Bild einer Seite tauschen (setImage, ein Undo-Schritt). */
-export async function apiImageSet(cfg, { site, page, nodeId = null, marker = null, mediaId, alt = null, baseRev = null } = {}, fetchImpl = fetch) {
+export async function apiImageSet(cfg, { site, page, nodeId = null, marker = null, mediaId = null, alt = null, zoom = null, baseRev = null } = {}, fetchImpl = fetch) {
   const { token, slug } = resolveTarget(cfg, site);
   return asJsonOr409(await fetchImpl(`${baseUrl(cfg)}/image-set/${encodeURIComponent(slug)}`, {
     method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" },
-    body: JSON.stringify({ page, mediaId, ...(nodeId ? { nodeId } : {}), ...(marker ? { marker } : {}), ...(alt != null ? { alt } : {}), ...(Number.isInteger(baseRev) ? { baseRev } : {}) }) }));
+    body: JSON.stringify({ page, ...(mediaId ? { mediaId } : {}), ...(nodeId ? { nodeId } : {}), ...(marker ? { marker } : {}), ...(alt != null ? { alt } : {}), ...(typeof zoom === "boolean" ? { zoom } : {}), ...(Number.isInteger(baseRev) ? { baseRev } : {}) }) }));
 }
 /** GET /api/forms/<site> – Formulare: Konto-Empfänger, Empfänger je Formular, Spam-Modus, Danke-Seiten, erkannte Formulare. */
 export async function apiFormsGet(cfg, { site } = {}, fetchImpl = fetch) {
@@ -540,9 +544,9 @@ export async function apiFormsGet(cfg, { site } = {}, fetchImpl = fetch) {
   return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, { headers: authHeaders(token, cfg) }));
 }
 /** POST /api/forms/<site> – Empfänger (Konto oder je Formular), Spam-Modus, Danke-Seite setzen. */
-export async function apiFormsSet(cfg, { site, form = null, recipients, spamMode, thanksPage } = {}, fetchImpl = fetch) {
+export async function apiFormsSet(cfg, { site, form = null, recipients, spamMode, thanksPage, captcha } = {}, fetchImpl = fetch) {
   const { token, slug } = resolveTarget(cfg, site);
-  const body = { ...(form ? { form } : {}), ...(recipients !== undefined ? { recipients } : {}), ...(spamMode !== undefined ? { spamMode } : {}), ...(thanksPage !== undefined ? { thanksPage } : {}) };
+  const body = { ...(form ? { form } : {}), ...(recipients !== undefined ? { recipients } : {}), ...(spamMode !== undefined ? { spamMode } : {}), ...(thanksPage !== undefined ? { thanksPage } : {}), ...(typeof captcha === "boolean" ? { captcha } : {}) };
   return asJson(await fetchImpl(`${baseUrl(cfg)}/forms/${encodeURIComponent(slug)}`, {
     method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" }, body: JSON.stringify(body) }));
 }

package/index.mjs

@@ -21,7 +21,7 @@ const cfg = loadConfig();
 // es im MCP-Log/Terminal auffällt; die endgültige Auflösung (Betreuer-Token-Vorrang vs. Map) klärt sites_list.
 for (const w of (cfg.warnings || [])) process.stderr.write("[prontosite-mcp] ⚠ " + w + "\n");
 // instructions: Arbeitsweise (Weg B = Standard) – gleicher Text wie am Remote-Endpunkt.
-const server = new McpServer({ name: "prontosite", version: "0.14.5" }, { instructions: instructionsFor("local") });
+const server = new McpServer({ name: "prontosite", version: "0.14.7" }, { instructions: instructionsFor("local") });
 // Tool-Definitionen: gemeinsame Quelle mit dem Remote-Endpunkt (tools.mjs, Konzept KI-Anbindung §4.2).
 registerTools(server, { z, cfg, mode: "local" });
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@prontosite/mcp",
-  "version": "0.14.5",
+  "version": "0.14.7",
   "description": "MCP-Server für ProntoSite – Website-Status, Export, Deploy und Veröffentlichen direkt aus einem KI-Assistenten (Claude Desktop). Dünner Client um die ProntoSite Deploy-API.",
   "type": "module",
   "bin": {

package/tools.mjs

@@ -30,8 +30,12 @@ const instructionLines = mode => [
     + "scope:\"all\" (bei Bedarf region:\"footer\"/\"header\") – EIN Aufruf für alle Seiten, inkl. tel:/mailto:-Links. NIE Seite für Seite per "
     + "site_file_put. Meldet die Antwort company, zusätzlich site_company_set für die Firmendaten (Impressum/Datenschutz/Kontakt).",
   "2c. Für Markup über alle Seiten (z. B. Footer-HTML) site_edit_html mit scope:\"all\" (ggf. region:\"footer\"), nie Seite für Seite per site_file_put. "
-    + "Schreib-Limit je 10 Minuten: Kunden 30, Betreuer 200 Aufrufe – dieselbe Änderung auf vielen Seiten ist EIN Aufruf (site_edit_text scope:\"all\" bzw. site_edit_html).",
-  "2d. Badge nie im HTML ändern, nachbauen oder entfernen – es wird beim Ausliefern erzeugt (data-ps=\"badge\"; site_edit_text/site_edit_html/site_file_put lehnen das ab, erlaubt ist nur das Wiederherstellen des Original-Markers).",
+    + "Entwurfs-Limit je Website: 300 Änderungen je Stunde, davon 30 direkt hintereinander (Kunden und Betreuer gleich) – dieselbe Änderung auf vielen Seiten ist EIN Aufruf (site_edit_text scope:\"all\" bzw. site_edit_html). Bei 429 (rateLimited) NICHT aufgeben: retryAfter Sekunden warten, dann weitermachen; bisherige Änderungen bleiben gespeichert.",
+  "2d. Badge „Made with ProntoSite\" NUR als dieses Snippet einbauen (Footer, letzte Zeile, bündig mit dem Copyright), nie manuell stylen: "
+    + "<a data-ps=\"badge\" data-ps-variant=\"auto\" href=\"https://prontosite.io/?ref=badge&amp;site=<slug>\" rel=\"noopener noreferrer\">Made with ProntoSite</a> "
+    + "(Variante auto | light für dunkle Footer | dark für helle Flächen | mono). Der Server ersetzt beim Ausliefern alles außer der Variante "
+    + "(Schrift, Größe, Farbe, Icon). Ein vorhandenes Badge nie im HTML ändern, nachbauen oder entfernen (site_edit_text/site_edit_html/"
+    + "site_file_put lehnen das ab; erlaubt ist nur das Wiederherstellen des Original-Markers).",
   "2b. Für Übersetzungen und Textüberarbeitung: site_page_texts → Texte übersetzen/überarbeiten → site_page_texts_set, JE SEITE ein Aufruf "
     + "(neue Sprachfassung vorher mit site_page_copy, z. B. index.html → en/index.html). NIE HTML über site_file_put umschreiben. "
     + "Rechtstext-Seiten (Impressum/Datenschutz) sind ausgenommen.",
@@ -83,7 +87,8 @@ export function toolAnnotations(name, mode = "local") {
 export const toStructured = obj => (obj && typeof obj === "object" && !Array.isArray(obj) ? obj : Array.isArray(obj) ? { items: obj } : { value: obj ?? null });
 export const asText = obj => ({ content: [{ type: "text", text: JSON.stringify(obj, null, 2) }], structuredContent: toStructured(obj) });
 export const asError = e => { const msg = e?.message || String(e);
-  return { isError: true, content: [{ type: "text", text: "Fehler: " + msg }], structuredContent: { error: msg, ...(e?.status ? { status: e.status } : {}) } }; };
+  return { isError: true, content: [{ type: "text", text: "Fehler: " + msg }], structuredContent: { error: msg, ...(e?.status ? { status: e.status } : {}),
+    ...(e?.rateLimited ? { rateLimited: true, retryAfter: e.retryAfter ?? null } : {}) } }; };
 
 /** Ausgabe-Schema von site_file_get (structuredContent; OpenAI Apps SDK: outputSchema für Tools mit structuredContent). */
 const FILE_GET_OUTPUT = z => z.object({
@@ -322,16 +327,20 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
     "site_image_set",
     "SCHREIBEND (Entwurf): setzt ein Bild auf einer Seite ein (ein Rückgängig-Schritt). Ziel: nodeId des Bild-Knotens oder marker (id- bzw. "
       + "data-ps-Wert eines Elements; dessen Bild wird getauscht). mediaId aus media_upload_commit oder site_media_list. alt = Bildbeschreibung "
-      + "(für Barrierefreiheit/SEO immer setzen). Danach site_preview_screenshot prüfen.",
+      + "(für Barrierefreiheit/SEO immer setzen). zoom:true = Bild per Klick vergrößern (Lightbox mit Bildunterschrift aus alt/figcaption; "
+      + "Bilder in einem Container mit class=\"ps-gallery\" blättern als Galerie), zoom:false schaltet es ab; zoom geht auch ohne mediaId. "
+      + "Danach site_preview_screenshot prüfen.",
     { site: z.string().optional().describe(SITE_DESC), page: z.string().describe("Seite (ID, Datei oder Slug)."),
-      nodeId: z.string().optional(), marker: z.string().optional(), mediaId: z.string(), alt: z.string().optional(),
+      nodeId: z.string().optional(), marker: z.string().optional(), mediaId: z.string().optional(), alt: z.string().optional(),
+      zoom: z.boolean().optional().describe("true = per Klick vergrößern (Lightbox), false = aus."),
       baseRev: z.number().int().optional().describe("Optional: draftRev (Konfliktschutz).") },
     async (a) => { try { return asText(await apiImageSet(cfg, a)); } catch (e) { return asError(e); } }
   );
   server.tool(
     "site_forms_get",
     "LESEND: Formulare der Website – Konto-Empfänger (defaultRecipients), je Formular: Art (verwaltetes ProntoSite-Formular/Marker "
-      + "oder eigenes <form> aus dem Import), Seiten, Felder, eigene Empfänger (null = Konto-Empfänger), Danke-Seite; Spam-Modus "
+      + "oder eigenes <form> aus dem Import), Seiten, Felder, eigene Empfänger (null = Konto-Empfänger), Danke-Seite, Sicherheitscode "
+      + "(captcha, captchaLive = schon ausgeliefert), abgewehrte Sendungen der letzten 30 Tage (spamAbgewehrt); Spam-Modus "
       + "(wirksam, Kunde, Admin-Übersteuerung) und die möglichen Danke-Seiten.",
     { site: z.string().optional().describe(SITE_DESC) },
     async ({ site }) => { try { return asText(await apiFormsGet(cfg, { site })); } catch (e) { return asError(e); } }
@@ -343,12 +352,15 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
       + "thanksPage: interne Seite für die Weiterleitung nach dem Absenden ('' = Meldung am Formular), nur mit form (außer es gibt genau "
       + "eins). NEUE Empfänger-Adressen werden erst aktiv, wenn sie den Bestätigungslink in der Mail an sie anklicken (24 h) – bis dahin "
       + "bleiben die bisherigen aktiv (Antwort: ausstehend). Die bisherigen Adressen bekommen einen Hinweis mit Zurücksetzen-Link. Vorher "
-      + "beim Nutzer bestätigen, wohin Anfragen künftig gehen.",
+      + "beim Nutzer bestätigen, wohin Anfragen künftig gehen. captcha: true/false = Sicherheitscode (Bild mit 5 Zeichen) je Formular, "
+      + "nur mit form (außer es gibt genau eins); erscheint mit dem nächsten Veröffentlichen. Nur einschalten, wenn trotz Spam-Schutz Spam "
+      + "durchkommt, und den Nutzer darauf hinweisen, dass ein Bild-Code für blinde/sehbehinderte Menschen eine Hürde ist.",
     { site: z.string().optional().describe(SITE_DESC),
       form: z.string().optional().describe("Formular-ID aus site_forms_get (für Empfänger/Danke-Seite je Formular)."),
       recipients: z.array(z.string()).optional().describe("E-Mail-Adressen (max. 10)."),
       spamMode: z.enum(["streng", "normal", "basis"]).optional(),
-      thanksPage: z.string().optional().describe("Interner Pfad einer Seite dieser Website, z. B. /danke/ (keine externen URLs).") },
+      thanksPage: z.string().optional().describe("Interner Pfad einer Seite dieser Website, z. B. /danke/ (keine externen URLs)."),
+      captcha: z.boolean().optional().describe("Sicherheitscode (Bild-Captcha) für dieses Formular an/aus.") },
     async (a) => { try { return asText(await apiFormsSet(cfg, a)); } catch (e) { return asError(e); } }
   );
   server.tool(