@prontosite/mcp 0.16.0 → 0.17.0

package/CHANGELOG.md

@@ -3,6 +3,13 @@
 Alle nennenswerten Änderungen am MCP-Server für ProntoSite. Der Server ist ein dünner Client um die
 ProntoSite Deploy-API; die eigentliche Logik lebt serverseitig.
 
+## 0.17.0 – 2026-11-05
+
+- JS-Freigabe-Pflicht für Änderungen entfällt (Entscheidung 05.11.): Auf Websites mit JavaScript-Freigabe wirkt jede JS-Änderung sofort wie HTML/CSS,
+  auch Umbenennen. `jsReview` in Antworten und `site_status` entfällt, neu ist `jsExtern` bei neuer externer Adresse im Skript
+  („Externe Einbindung erkannt, Datenschutzerklärung prüfen").
+- `site_js_review` zeigt nur noch den Verlauf (lesend, Betreuer-Token); Parameter `path`, `action`, `note` entfallen. Instructions 2e angepasst.
+
 ## 0.16.0 – 2026-11-03
 
 - Formular-Anfragen per MCP (Scope `anfragen` bzw. `anfragen:schreiben`, beim Verbinden ein eigener, nie vorausgewählter Punkt;

package/api.mjs

@@ -600,12 +600,10 @@ export async function apiLock(cfg, { site, action = null, note = null } = {}, fe
   return asJsonOr409(await fetchImpl(url, { method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" }, body: JSON.stringify({ action, note }) }));
 }
 
-/** GET/POST /api/js-review/<site> – JS-Prüfungen (nur Betreuer-Token): ohne action Liste + Diff, sonst approve|reject. */
-export async function apiJsReview(cfg, { site, path: rel = null, action = null, note = null } = {}, fetchImpl = fetch) {
+/** GET /api/js-review/<site> – Verlauf der JS-Änderungen (nur lesen, nur Betreuer-Token). */
+export async function apiJsReview(cfg, { site } = {}, fetchImpl = fetch) {
   const { token, slug } = resolveTarget(cfg, site);
-  const url = `${baseUrl(cfg)}/js-review/${encodeURIComponent(slug)}`;
-  if (!action) return asJson(await fetchImpl(url, { headers: authHeaders(token, cfg) }));
-  return asJson(await fetchImpl(url, { method: "POST", headers: { ...authHeaders(token, cfg), "content-type": "application/json" }, body: JSON.stringify({ path: rel, action, note }) }));
+  return asJson(await fetchImpl(`${baseUrl(cfg)}/js-review/${encodeURIComponent(slug)}`, { headers: authHeaders(token, cfg) }));
 }
 
 /** GET /api/inbox/<site> – Formular-Anfragen: Liste (Filter), eine Anfrage (id) oder Statistik (stats). */

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@prontosite/mcp",
-  "version": "0.16.0",
+  "version": "0.17.0",
   "description": "MCP-Server für ProntoSite – Website-Status, Export, Deploy und Veröffentlichen direkt aus einem KI-Assistenten (Claude Desktop). Dünner Client um die ProntoSite Deploy-API.",
   "type": "module",
   "bin": {

package/tools.mjs

@@ -29,11 +29,11 @@ const instructionLines = mode => [
   "2a. Für Text-, Link- und Kontaktdaten-Änderungen (Telefonnummer, E-Mail, Adresse, Öffnungszeiten) IMMER site_edit_text mit "
     + "scope:\"all\" (bei Bedarf region:\"footer\"/\"header\") – EIN Aufruf für alle Seiten, inkl. tel:/mailto:-Links. NIE Seite für Seite per "
     + "site_file_put. Meldet die Antwort company, zusätzlich site_company_set für die Firmendaten (Impressum/Datenschutz/Kontakt).",
-  "2e. Preise, Texte und Zahlen in Skriptdateien (.js, z. B. Preisrechner) ändert site_edit_text mit scope:\"all\" mit – ersetzt wird dort "
-    + "nur in Texten/Zahlen/Kommentaren, nie im Code. Nur-Zahlen/Texte-Änderungen wirken sofort; alles andere prüft der Betreuer. Meldet eine "
-    + "Antwort jsReview.status \"pending\" (bzw. site_status jsReview.pending), dem Nutzer sagen: Änderung gespeichert, sie wartet auf Freigabe "
-    + "durch den Betreuer, der Betreuer ist benachrichtigt – bis dahin läuft auf der Website der bisherige Stand. Nicht erneut versuchen und "
-    + "nicht umgehen (z. B. nicht ins HTML verlagern).",
+  "2e. Skriptdateien (.js): Preise, Texte und Zahlen darin (z. B. Preisrechner) ändert site_edit_text mit scope:\"all\" mit – ersetzt wird dort "
+    + "nur in Texten/Zahlen/Kommentaren, nie im Code; für Code-Änderungen site_file_get/site_file_put. Bei JavaScript-Freigabe der Website wirkt "
+    + "jede Änderung sofort wie HTML/CSS, es gibt keine Prüfung und keine Wartezeit. Meldet eine Antwort jsExtern (\"Externe Einbindung erkannt, "
+    + "Datenschutzerklärung prüfen\"), dem Nutzer das sagen und die genannten Adressen nennen: die Änderung ist gespeichert, die Datenschutzerklärung "
+    + "muss er selbst prüfen. Ohne JavaScript-Freigabe der Website kommt 403: dem Nutzer sagen, dass der Betreuer JavaScript für die Website einmalig freigeben muss.",
   "2c. Für Markup über alle Seiten (z. B. Footer-HTML) site_edit_html mit scope:\"all\" (ggf. region:\"footer\"), nie Seite für Seite per site_file_put. "
     + "Entwurfs-Limit je Website: 300 Änderungen je Stunde, davon 30 direkt hintereinander (Kunden und Betreuer gleich) – dieselbe Änderung auf vielen Seiten ist EIN Aufruf (site_edit_text scope:\"all\" bzw. site_edit_html). Bei 429 (rateLimited) NICHT aufgeben: retryAfter Sekunden warten, dann weitermachen; bisherige Änderungen bleiben gespeichert.",
   "2d. Badge „Made with ProntoSite\" NUR als dieses Snippet einbauen (Footer, letzte Zeile, bündig mit dem Copyright), nie manuell stylen: "
@@ -82,7 +82,7 @@ export const SERVER_INSTRUCTIONS = instructionsFor("remote");
 // Tool-Annotationen (MCP ToolAnnotations): ChatGPT & Co. fragen sonst bei JEDEM Aufruf nach. readOnly = ändert nichts;
 // destructive = live/kundenwirksam, ersetzt Bestand oder nimmt zurück (Bestätigung sinnvoll). Entwurfs-Änderungen sind
 // rückgängig machbar und daher nicht destruktiv. openWorld = wirkt nach außen (öffentliche Website/DNS).
-const READ_ONLY = new Set(["sites_list", "site_status", "site_forms_get", "media_search", "site_page_texts", "site_media_list", "site_preview_screenshot", "site_company_get",
+const READ_ONLY = new Set(["site_js_review", "sites_list", "site_status", "site_forms_get", "media_search", "site_page_texts", "site_media_list", "site_preview_screenshot", "site_company_get",
   "site_domain_status", "site_embeds", "site_widgets", "site_files", "site_file_get", "site_inbox_list", "site_inbox_get", "site_inbox_stats"]);
 const DESTRUCTIVE = new Set(["site_publish", "site_deploy", "deploy_commit", "site_file_delete", "site_media_delete", "site_inbox_delete", "site_undo", "site_redo", "site_domain_connect"]);
 const OPEN_WORLD = new Set(["site_publish", "site_deploy", "deploy_commit", "site_domain_connect", "media_search", "media_import"]);
@@ -203,7 +203,7 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
       + "scope:\"all\" = alle Fundstellen auf allen Seiten sofort ersetzen (für Kontaktdaten im Kopf-/Fußbereich: plus region:\"footer\" bzw. "
       + "\"header\"); ohne scope ändert der Server bei mehr als einer Fundstelle NICHTS und liefert nur die Liste (oder pages:[…]). "
       + "Mit scope:\"all\" auch in Skriptdateien (.js, z. B. Preisrechner) – dort nur in Texten/Zahlen/Kommentaren (skripte = Fundstellen); "
-      + "jsReview.status \"pending\" = wartet auf Freigabe durch den Betreuer (dem Nutzer sagen). "
+      + "jsExtern = neue externe Adresse im Skript (dem Nutzer sagen: Datenschutzerklärung prüfen). "
       + "Telefonnummern werden unabhängig von Schreibweise gefunden (Leerzeichen, „/“, „-“, Klammern, geschütztes Leerzeichen); ersetzt "
       + "wird wörtlich durch `replace`. Antwort: treffer = getrennt nach text/linktext/linkziel/attribut; linktextNichtGefunden = tel:-Ziel "
       + "geändert, sichtbarer Linktext aber nicht (dem Nutzer sagen). pages = je Seite gefunden/geändert. Rechtstexte und geschützte Bereiche bleiben unberührt (skipped); steht der Wert in "
@@ -628,19 +628,14 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
       }
     );
   }
-  // JS-Prüfungen entscheiden (nur Betreuer-Token; der Server prüft die Rolle zusätzlich).
+  // JS-Verlauf lesen (nur Betreuer-Token; der Server prüft die Rolle zusätzlich).
   if (mode === "local" || remote?.isManager) {
     server.tool(
       "site_js_review",
-      "NUR BETREUER-TOKEN: ausstehende Prüfungen von Skript-Änderungen (JS) einer Website. Ohne action: Liste mit Gründen und Zeilen-Diff "
-        + "(freigegebener Stand → Entwurf; lesend). action='approve' gibt die Änderung frei (danach normaler Publish bzw. mit der nächsten "
-        + "Veröffentlichung), action='reject' setzt die Datei auf den freigegebenen Stand zurück (note = Grund, sieht der Kunde). Nur freigeben, "
-        + "was im Diff verstanden ist; im Zweifel ablehnen oder den Nutzer fragen.",
-      { site: z.string().optional().describe(SITE_DESC),
-        path: z.string().optional().describe("Datei (z. B. 'js/rechner.js') – für approve/reject Pflicht."),
-        action: z.enum(["approve", "reject"]).optional().describe("Leer = nur ansehen."),
-        note: z.string().optional().describe("Notiz/Grund (bei reject sinnvoll).") },
-      async ({ site, path, action, note }) => { try { return asText(await apiJsReview(cfg, { site, path, action, note })); } catch (e) { return asError(e); } }
+      "LESEND, NUR BETREUER-TOKEN: Verlauf der Änderungen an Skriptdateien (JS) einer Website – Zeit, Datei, von wem, Art (werte | code | neu) "
+        + "und neu eingebundene externe Adressen (extern). Reine Information: Änderungen wirken sofort, es gibt nichts freizugeben.",
+      { site: z.string().optional().describe(SITE_DESC) },
+      async ({ site }) => { try { return asText(await apiJsReview(cfg, { site })); } catch (e) { return asError(e); } }
     );
   }
   server.tool(
@@ -701,9 +696,8 @@ export function registerTools(server0, { z, cfg, mode = "local", remote = null }
   // ---- Datei-API: kleine Änderungen am Entwurf direkt auf dem Server (Konzept §7) ----
   const FILE_SMALL = "STANDARDWEG: Änderungen direkt am Server-Entwurf (für reine Textänderungen am einfachsten site_edit_text); "
     + "Export + Deploy nur als Ausnahme für größere Umbauten oder auf ausdrücklichen Wunsch. "
-    + "Skriptdateien (JavaScript) nur bei JavaScript-Freigabe der Website; Kunden-Änderungen daran prüft der Server: nur Zahlen/Texte/"
-    + "Kommentare → wirkt sofort, sonst gespeichert, aber erst nach Freigabe durch den Betreuer live (Antwort jsReview.status \"pending\" – "
-    + "dem Nutzer so sagen). Preise/Texte in Skripten besser mit site_edit_text scope:\"all\". ";
+    + "Skriptdateien (JavaScript) nur bei JavaScript-Freigabe der Website; dann wirkt jede Änderung sofort wie HTML/CSS. Neue externe Adresse im "
+    + "Skript → Antwort jsExtern (dem Nutzer sagen: Datenschutzerklärung prüfen). Preise/Texte in Skripten besser mit site_edit_text scope:\"all\". ";
   server.tool(
     "site_files",
     "LESEND: Listet die Dateien des Entwurfs einer Website (Pfad, Größe, Typ, ob bearbeitbar) und die aktuelle draftRev. "