@prontosite/mcp 0.7.0 → 0.8.0

package/CHANGELOG.md

@@ -3,6 +3,16 @@
 Alle nennenswerten Änderungen am MCP-Server für ProntoSite. Der Server ist ein dünner Client um die
 ProntoSite Deploy-API; die eigentliche Logik lebt serverseitig.
 
+## 0.8.0 – 2026-09-23
+
+- **Neu: `site_embeds`** – listet alle externen Einbettungen (Host, Seite(n), Kategorie `gated`/`notwendig`). Lesend.
+- **Neu: `site_embed_consent`** – stuft eine Einbettung als `notwendig` (§ 25 Abs. 2 Nr. 2 TDDDG,
+  Kunden-Eigenverantwortung) oder wieder als `gated` (Zwei-Klick) ein. `notwendig` nur mit `confirmed:true`;
+  ohne Bestätigung antwortet der Server 400 mit dem Verantwortungs-Text, den der Assistent dem Nutzer
+  vorlegen muss. Optional seiten-gebunden (`page`) – so bleibt der Dienst nur dort einwilligungsfrei, wo die
+  Funktion gebraucht wird. Datenschutz-Text + Cookie-Richtlinie werden beim nächsten Publish automatisch
+  angepasst (technisch erforderlicher Dienst statt Einwilligung). Betreuer-Token gilt für betreute Kunden.
+
 ## 0.7.0 – 2026-09-23
 
 - **Ambige Config erkannt:** Liegt ein Top-Level-Token (env `PRONTOSITE_TOKEN` bzw. `token`) NEBEN einer

package/README.md

@@ -91,6 +91,8 @@ sichern: `cp ~/.prontosite.json ~/.prontosite.json.bak`).
 | `site_legal_options({ site?, impressum?, datenschutz? })` | Anzeige-Optionen der Rechtstexte (showTitle, showDate, draftNotice); ohne Rolle nur lesen. **Schreibend.** |
 | `site_domain_status({ site?, check? })` | Kundendomain-Status (verbunden/kanonisch/Zert-bis) + offene Jobs; mit `check` nur Live-DNS-Prüfung. **Lesend.** |
 | `site_domain_connect({ site?, domain, canonical?, action? })` | Eigene Domain verbinden (nginx + HTTPS automatisch, `www`/`apex`) oder trennen; DNS muss auf den Server zeigen; ab Starter-Plan. **Schreibend.** |
+| `site_embeds({ site? })` | Externe Einbettungen der Website: Host, Seite(n), aktuelle Einwilligungs-Kategorie (`gated` = Zwei-Klick \| `notwendig`). **Lesend.** |
+| `site_embed_consent({ site?, host, page?, category, confirmed })` | Einbettung als `notwendig` (§ 25 Abs. 2 Nr. 2 TDDDG, Eigenverantwortung) oder wieder `gated` einstufen; `notwendig` nur mit `confirmed:true` (sonst 400 mit Verantwortungs-Text). Optional seiten-gebunden. Datenschutz/Cookie-Richtlinie passen sich beim nächsten Publish an. **Schreibend.** |
 
 `site_deploy` und `site_publish` sind **schreibende** Aktionen (verändern die Live-Website). Die
 Tool-Beschreibungen weisen den Assistenten an, vorher rückzufragen. Jeder Aufruf wird serverseitig auditiert.

package/api.mjs

@@ -189,6 +189,25 @@ export async function apiDomainConnect(cfg, { site, domain, canonical = "www", a
   return asJson(res);
 }
 
+/** GET /api/embeds/<site> – erkannte Embeds (Host, Seite(n), aktuelle Kategorie gated|notwendig). LESEND. */
+export async function apiEmbeds(cfg, { site } = {}, fetchImpl = fetch) {
+  const { token, slug } = resolveTarget(cfg, site);
+  const res = await fetchImpl(`${baseUrl(cfg)}/embeds/${encodeURIComponent(slug)}`, { headers: authHeaders(token) });
+  return asJson(res);
+}
+
+/** PUT /api/embeds/<site> – SCHREIBEND: ein Embed als „notwendig" (technisch erforderlich, § 25 Abs. 2 Nr. 2
+ *  TDDDG) oder zurück „gated" einstufen. „notwendig" NUR mit confirmed:true – sonst 400 mit dem
+ *  Verantwortungs-Text. Wirkt beim nächsten Veröffentlichen; Datenschutz-Text passt sich automatisch an. */
+export async function apiEmbedConsent(cfg, { site, host, page, category = "notwendig", confirmed = false } = {}, fetchImpl = fetch) {
+  if (!host) throw new Error("host erwartet.");
+  const { token, slug } = resolveTarget(cfg, site);
+  const res = await fetchImpl(`${baseUrl(cfg)}/embeds/${encodeURIComponent(slug)}`, {
+    method: "PUT", headers: { ...authHeaders(token), "content-type": "application/json" },
+    body: JSON.stringify({ host, page: page || null, category, confirmed: !!confirmed }) });
+  return asJson(res);
+}
+
 /** GET/PUT /api/legal-options/<site> – Anzeige-Optionen der Rechtstext-Widgets. Ohne impressum/datenschutz
  *  nur LESEN; sonst Teil-Update (nur echte Booleans wirken). */
 export async function apiLegalOptions(cfg, { site, impressum, datenschutz } = {}, fetchImpl = fetch) {

package/index.mjs

@@ -11,13 +11,13 @@
 import { McpServer } from "@modelcontextprotocol/sdk/server/mcp.js";
 import { StdioServerTransport } from "@modelcontextprotocol/sdk/server/stdio.js";
 import { z } from "zod";
-import { loadConfig, apiStatus, apiExport, apiDeploy, apiPublish, sitesList, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect } from "./api.mjs";
+import { loadConfig, apiStatus, apiExport, apiDeploy, apiPublish, sitesList, apiCompanyGet, apiCompanySet, apiLegalOptions, apiDomainStatus, apiDomainConnect, apiEmbeds, apiEmbedConsent } from "./api.mjs";
 
 const cfg = loadConfig();
 // Deutliche Startwarnung bei ambiger Konfiguration (Top-Level-Token NEBEN sites-Map). Nach stderr, damit
 // es im MCP-Log/Terminal auffällt; die endgültige Auflösung (Betreuer-Token-Vorrang vs. Map) klärt sites_list.
 for (const w of (cfg.warnings || [])) process.stderr.write("[prontosite-mcp] ⚠ " + w + "\n");
-const server = new McpServer({ name: "prontosite", version: "0.7.0" });
+const server = new McpServer({ name: "prontosite", version: "0.8.0" });
 const asText = obj => ({ content: [{ type: "text", text: JSON.stringify(obj, null, 2) }] });
 const asError = e => ({ isError: true, content: [{ type: "text", text: "Fehler: " + (e?.message || String(e)) }] });
 const SITE_DESC = "Website-Slug (z. B. 'mas-monti'). Ohne Angabe die Standard-Site der Config. Bei Betreuer-"
@@ -176,5 +176,32 @@ server.tool(
   }
 );
 
+server.tool(
+  "site_embeds",
+  "LESEND: erkannte eingebettete Inhalte Dritter (iframes) einer Website – je Embed Host, Seite(n) und "
+    + "aktuelle Consent-Kategorie (`gated` = lädt erst nach Einwilligung / Zwei-Klick, `notwendig` = technisch "
+    + "erforderlich, lädt ohne Einwilligung). Basis für site_embed_consent.",
+  { site: z.string().optional().describe(SITE_DESC) },
+  async ({ site }) => { try { return asText(await apiEmbeds(cfg, { site })); } catch (e) { return asError(e); } }
+);
+
+server.tool(
+  "site_embed_consent",
+  "SCHREIBEND: ein Embed als `notwendig` (technisch erforderlich, § 25 Abs. 2 Nr. 2 TDDDG) oder zurück auf "
+    + "`gated` einstufen. Bei `notwendig` erklärt der Kunde/Betreuer, dass der Dienst für die vom Besucher "
+    + "gewünschte Funktion (z. B. Reservierung) UNBEDINGT ERFORDERLICH ist und übernimmt die Verantwortung – "
+    + "das MUSS mit dem Nutzer bestätigt werden (confirmed:true; sonst lehnt der Server mit dem Verantwortungs-"
+    + "Text ab). Dann lädt das Embed OHNE Einwilligung, aber nur auf der angegebenen Seite; der Datenschutz-Text "
+    + "passt sich automatisch an. Greift beim nächsten Veröffentlichen. Betreuer-Token gilt für betreute Kunden.",
+  { site: z.string().optional().describe(SITE_DESC),
+    host: z.string().describe("Embed-Host/Key aus site_embeds (z. B. 'resmio', 'youtube' oder ein Hostname)."),
+    page: z.string().optional().describe("Seiten-Datei, auf die die Einstufung beschränkt ist (z. B. 'reservierung.html'); leer = alle Seiten mit diesem Embed."),
+    category: z.enum(["notwendig", "gated"]).default("notwendig").describe("notwendig = technisch erforderlich (ohne Einwilligung); gated = zurück hinter das Consent-/Zwei-Klick-Gate."),
+    confirmed: z.boolean().default(false).describe("MUSS true sein, um 'notwendig' zu setzen (Verantwortungs-Bestätigung). Vorher den Nutzer explizit fragen.") },
+  async ({ site, host, page, category, confirmed }) => {
+    try { return asText(await apiEmbedConsent(cfg, { site, host, page, category, confirmed })); } catch (e) { return asError(e); }
+  }
+);
+
 const transport = new StdioServerTransport();
 await server.connect(transport);

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@prontosite/mcp",
-  "version": "0.7.0",
+  "version": "0.8.0",
   "description": "MCP-Server für ProntoSite – Website-Status, Export, Deploy und Veröffentlichen direkt aus einem KI-Assistenten (Claude Desktop). Dünner Client um die ProntoSite Deploy-API.",
   "type": "module",
   "bin": {