includio-cms 0.25.0 → 0.27.0

package/dist/sveltekit/server/handle.js

@@ -7,6 +7,7 @@ import { building } from '$app/environment';
 import { csrfGuard } from '../../server/security/csrf.js';
 import { rateLimitGuard } from '../../server/security/rate-limit.js';
 import { buildCspHeader } from '../../server/security/csp.js';
+import { baseLocale, extractLocaleFromRequest, isLocale } from '../../paraglide/runtime.js';
 const adminGuard = async ({ event, resolve }) => {
     const { user, session } = event.locals;
     // Secure the admin routes
@@ -60,6 +61,21 @@ const handleAuth = async ({ event, resolve }) => {
     }
     return svelteKitHandler({ event, resolve, auth, building });
 };
+const paraglideLang = async ({ event, resolve }) => {
+    let locale = baseLocale;
+    try {
+        const detected = extractLocaleFromRequest(event.request);
+        if (detected && isLocale(detected)) {
+            locale = detected;
+        }
+    }
+    catch {
+        // fall back to baseLocale
+    }
+    return resolve(event, {
+        transformPageChunk: ({ html }) => html.replace('%paraglide.lang%', locale)
+    });
+};
 const detectBrowserContext = async ({ event, resolve }) => {
     const ua = event.request.headers.get('user-agent') ?? '';
     const isSafari = /Safari/i.test(ua) && !/(?:Chrome|Chromium|Edg)/i.test(ua);
@@ -90,6 +106,7 @@ export function includioCMS(cmsConfig) {
     generateRuntime(cmsConfig); // Generate runtime code based on the CMS config
     initCMS(cmsConfig);
     const handles = [];
+    handles.push(paraglideLang);
     handles.push(detectBrowserContext);
     handles.push(csrfGuard);
     if (cmsConfig.auth) {

package/dist/sveltekit/server/index.d.ts

@@ -7,3 +7,4 @@ export { createConsentLog } from '../../core/server/consentLogs/operations/creat
 export { getPreviewEntry } from './preview.js';
 export { createRestApiHandler } from '../../admin/api/rest/handler.js';
 export { generateApiKey } from '../../admin/api/rest/middleware/generateApiKey.js';
+export { createAdminApiHandler } from '../../admin/api/handler.js';

package/dist/sveltekit/server/index.js

@@ -8,3 +8,5 @@ export { getPreviewEntry } from './preview.js';
 // Folded from `./admin/api/rest/handler` (dropped as separate export in 0.20.0)
 export { createRestApiHandler } from '../../admin/api/rest/handler.js';
 export { generateApiKey } from '../../admin/api/rest/middleware/generateApiKey.js';
+// Folded from `./admin/api/handler` (dropped as separate export in 0.26.1)
+export { createAdminApiHandler } from '../../admin/api/handler.js';

package/dist/types/cms.d.ts

@@ -3,7 +3,7 @@ import type { FilesAdapter } from './adapters/files.js';
 import type { CollectionConfig, CollectionConfigWithType } from './collections.js';
 import type { Language } from './languages.js';
 import type { SingleConfig, SingleConfigWithType } from './singles.js';
-import type { CustomFieldDefinition, PluginConfig } from './plugins.js';
+import type { CustomFieldDefinition, IconSetPlugin, Plugin } from './plugins.js';
 import type { FormConfig } from './forms.js';
 import type { AIAdapter } from './adapters/ai.js';
 import type { EmailAdapter } from './adapters/email.js';
@@ -77,7 +77,7 @@ export interface CMSConfig {
     files: FilesAdapter;
     email?: EmailAdapter;
     auth?: AuthConfig;
-    plugins?: PluginConfig[];
+    plugins?: Plugin[];
     ai?: AIAdapter;
     media?: MediaConfig;
     apiKeys?: ApiKeyConfig[];
@@ -95,8 +95,9 @@ export interface ICMS {
     filesAdapter: FilesAdapter;
     emailAdapter: EmailAdapter | null;
     authConfig: AuthConfig | null;
-    plugins: PluginConfig[];
+    plugins: Plugin[];
     customFields: Map<string, CustomFieldDefinition>;
+    iconSets: Map<string, IconSetPlugin>;
     aiAdapter: AIAdapter | null;
     mediaConfig: MediaConfig;
     apiKeys: ApiKeyConfig[];

package/dist/types/cms.schema.d.ts

@@ -445,7 +445,7 @@ export declare const _internal: {
         shop: z.ZodOptional<z.ZodUnknown>;
         cmp: z.ZodOptional<z.ZodUnknown>;
     }, z.core.$loose>;
-    FIELD_TYPES: readonly ["text", "content", "number", "boolean", "date", "datetime", "file", "media", "select", "radio", "checkboxes", "relation", "object", "array", "blocks", "slug", "seo", "shop", "url", "custom"];
+    FIELD_TYPES: readonly ["text", "content", "number", "boolean", "date", "datetime", "file", "media", "select", "radio", "checkboxes", "relation", "object", "array", "blocks", "slug", "seo", "shop", "url", "icon", "custom"];
     FORM_FIELD_TYPES: readonly ["text", "email", "textarea", "checkbox", "select", "file"];
     getLangCode: typeof getLangCode;
 };

package/dist/types/cms.schema.js

@@ -6,9 +6,9 @@ const localizedSchema = z.union([z.string(), z.record(z.string(), z.string())]);
 /* -------------------------------------------------------------------------- */
 /*                                  Slug                                       */
 /* -------------------------------------------------------------------------- */
-const SLUG_RE = /^[a-z][a-z0-9-]*$/;
+const SLUG_RE = /^[a-z][a-zA-Z0-9-]*$/;
 const slugSchema = z.string().regex(SLUG_RE, {
-    message: 'must be lowercase letters/digits/hyphens, starting with a letter'
+    message: 'must start with a lowercase letter; letters, digits, hyphens allowed'
 });
 /* -------------------------------------------------------------------------- */
 /*                                Languages                                    */
@@ -51,6 +51,7 @@ const FIELD_TYPES = [
     'seo',
     'shop',
     'url',
+    'icon',
     'custom'
 ];
 const baseFieldShape = {
@@ -82,6 +83,8 @@ const fieldSchema = z.lazy(() => z.discriminatedUnion('type', [
         minLength: z.number().int().nonnegative().optional(),
         maxLength: z.number().int().positive().optional(),
         pattern: z.string().optional(),
+        patternError: localizedSchema.optional(),
+        patternHint: localizedSchema.optional(),
         multiline: z.boolean().optional()
     })
         .passthrough(),
@@ -267,6 +270,14 @@ const fieldSchema = z.lazy(() => z.discriminatedUnion('type', [
         type: z.literal('custom'),
         fieldType: z.string().min(1, { message: 'custom.fieldType is required' }),
         config: z.record(z.string(), z.unknown()).optional()
+    })
+        .passthrough(),
+    // icon — set provided by IconSetPlugin (registered in plugins[])
+    z
+        .object({
+        ...baseFieldShape,
+        type: z.literal('icon'),
+        set: z.string().optional()
     })
         .passthrough()
 ]));

package/dist/types/fields.d.ts

@@ -2,7 +2,7 @@ import type { FormatEnum } from 'sharp';
 import type { ImageStyle, MediaFile, VideoStyle } from './media.js';
 import type { Localized } from './languages.js';
 import type { StructuredContentDoc } from './structured-content.js';
-export type FieldType = 'text' | 'content' | 'number' | 'boolean' | 'date' | 'datetime' | 'file' | 'media' | 'select' | 'radio' | 'checkboxes' | 'relation' | 'object' | 'array' | 'blocks' | 'slug' | 'seo' | 'shop' | 'url' | 'custom';
+export type FieldType = 'text' | 'content' | 'number' | 'boolean' | 'date' | 'datetime' | 'file' | 'media' | 'select' | 'radio' | 'checkboxes' | 'relation' | 'object' | 'array' | 'blocks' | 'slug' | 'seo' | 'shop' | 'url' | 'icon' | 'custom';
 export interface FieldCondition {
     field: string;
     equals?: string | string[];
@@ -23,6 +23,19 @@ export interface TextField extends BaseField {
     minLength?: number;
     maxLength?: number;
     pattern?: string;
+    /**
+     * Friendly validation message shown when {@link pattern} fails. A raw regex
+     * means nothing to an editor, so provide a localized human message here
+     * (e.g. "Use lowercase letters and dashes only"). Falls back to a generic
+     * message when omitted.
+     */
+    patternError?: Localized;
+    /**
+     * Localized hint describing the expected format, shown in the field
+     * description instead of the raw regex. Without it the raw {@link pattern}
+     * is never surfaced to the editor.
+     */
+    patternHint?: Localized;
     multiline?: boolean;
     defaultValue?: string;
 }
@@ -60,6 +73,12 @@ export interface FileField extends BaseField {
     maxSizeMB?: number;
     multiple?: boolean;
     defaultValue?: string | string[];
+    /**
+     * Render mode for selected file(s).
+     * - 'preview' (default): aspect-square miniature + carousel for multiple (parity with media field).
+     * - 'list': compact list of rows (icon + name + size + X) — better for non-visual files (PDF, audio, other).
+     */
+    display?: 'preview' | 'list';
 }
 export interface ImageFieldStyle {
     name: string;
@@ -172,17 +191,33 @@ export interface BlocksField extends BaseField {
     defaultValue?: ObjectFieldData[];
     displayMode?: 'simple' | 'blocks';
 }
+/**
+ * @public
+ * Slug field — a normalized URL-safe string. Its presence does NOT imply a
+ * public URL; routability is decided by the collection's `slugField`/`pathTemplate`
+ * config, not by this field existing.
+ */
 export interface SlugField extends BaseField {
     type: 'slug';
     pattern?: string;
     sourceField?: string;
     defaultValue?: string;
 }
+/**
+ * @public
+ * v1.0-frozen. New properties may only be added as OPTIONAL (additive,
+ * non-breaking).
+ */
 export interface SeoField extends BaseField {
     type: 'seo';
     slugSource?: string;
     titleSource?: string;
 }
+/**
+ * @public
+ * v1.0-frozen data contract: `entry.seo.*`. New fields may only be added as
+ * OPTIONAL (additive, non-breaking).
+ */
 export interface SeoFieldData {
     slug: string;
     canonicalUrl?: string;
@@ -199,6 +234,11 @@ export interface ShopFieldData {
     basePrice: number;
     vatRate: number;
     isActive: boolean;
+    /**
+     * Per-product payment policy. Omitted = `{ type: 'full' }` (legacy behavior).
+     * @public
+     */
+    paymentPolicy?: import('../shop/types.js').PaymentPolicy;
     variants?: Array<{
         id?: string;
         sku?: string | null;
@@ -229,4 +269,18 @@ export interface CustomField extends BaseField {
     /** Plugin-specific configuration, opaque to core */
     config?: Record<string, unknown>;
 }
-export type Field = TextField | ContentField | NumberField | BooleanField | DateField | DateTimeField | FileField | MediaField | SelectField | RadioField | CheckboxesField | RelationField | ObjectField | ArrayField | BlocksField | SlugField | SeoField | ShopField | UrlField | CustomField;
+/**
+ * @public
+ * Icon picker field. Stores a string key referencing an icon registered by an
+ * {@link import('./plugins.js').IconSetPlugin}. Admin UI renders a kafelek
+ * (collapsed) and opens a searchable grid dialog. The set of icons (Svelte
+ * components + labels) is provided by a plugin at admin bootstrap — NOT inline
+ * in `cms.config.ts` (which is server-only / Zod-validated).
+ */
+export interface IconField extends BaseField {
+    type: 'icon';
+    /** Plugin slug to source icons from when multiple icon-set plugins registered. Defaults to the first one. */
+    set?: string;
+    defaultValue?: string;
+}
+export type Field = TextField | ContentField | NumberField | BooleanField | DateField | DateTimeField | FileField | MediaField | SelectField | RadioField | CheckboxesField | RelationField | ObjectField | ArrayField | BlocksField | SlugField | SeoField | ShopField | UrlField | IconField | CustomField;

package/dist/types/index.d.ts

@@ -10,8 +10,8 @@ export { type SingleConfig } from './singles.js';
 export { type FormConfig, type FormSubmission } from './forms.js';
 export { type FormField, type FormFieldType, type FormBaseField, type FormTextField, type FormEmailField, type FormTextareaField, type FormCheckboxField, type FormSelectField } from './formFields.js';
 export { type CMSConfig, type ApiKeyConfig, type AuthConfig, type TypographyConfig } from './cms.js';
-export { type PluginConfig, type CustomFieldDefinition } from './plugins.js';
+export { type PluginConfig, type CustomFieldDefinition, type IconSetPlugin, type IconDefinition, type Plugin, isIconSetPlugin } from './plugins.js';
 export { type Language, type Localized } from './languages.js';
-export { type Layout, type LayoutNode, type LayoutPreset, type LayoutNodeType, type ColumnRatio, type SectionNode, type ColumnsNode, type CardNode, type AccordionNode, type StackNode } from './layout.js';
+export { type Layout, type LayoutNode, type LayoutPreset, type LayoutNodeType, type ColumnRatio, type SectionNode, type ColumnsNode, type CardNode, type AccordionNode, type StackNode, type TabsNode, type TabNode } from './layout.js';
 export { type CmsContext } from './cms-context.js';
 export { type UserData, type Breadcrumb } from '../admin/types.js';

package/dist/types/index.js

@@ -10,7 +10,7 @@ export {} from './singles.js';
 export {} from './forms.js';
 export {} from './formFields.js';
 export {} from './cms.js';
-export {} from './plugins.js';
+export { isIconSetPlugin } from './plugins.js';
 export {} from './languages.js';
 export {} from './layout.js';
 export {} from './cms-context.js';

package/dist/types/layout.d.ts

@@ -7,7 +7,7 @@ export type LayoutPreset = 'sidebar-right' | 'two-column' | {
     preset: 'two-column';
     left?: string[];
 };
-export type LayoutNodeType = 'section' | 'columns' | 'card' | 'accordion' | 'stack';
+export type LayoutNodeType = 'section' | 'columns' | 'card' | 'accordion' | 'stack' | 'tabs' | 'tab';
 export type ColumnRatio = '1fr 1fr' | '2fr 1fr' | '1fr 2fr' | '3fr 1fr' | '1fr 3fr' | '1fr 1fr 1fr';
 interface LayoutNodeBase {
     type: LayoutNodeType;
@@ -51,7 +51,40 @@ export interface StackNode extends LayoutNodeBase {
     fields?: string[];
     children?: LayoutNode[];
 }
-export type LayoutNode = SectionNode | ColumnsNode | CardNode | AccordionNode | StackNode;
+/**
+ * Tab strip. Renders an accessible tablist; each child `tab` becomes a panel.
+ * All panels stay mounted (inactive ones hidden) so validation, dirty-tracking
+ * and conditional visibility keep working across tabs.
+ *
+ * Constraints (enforced by {@link validateLayout}):
+ * - `children` must contain only `tab` nodes
+ * - `tabs` may not be nested inside another `tab`/`tabs`
+ * - allowed top-level or inside section/card/columns/stack
+ *
+ * @public
+ * @example
+ * { type: 'tabs', children: [
+ *   { type: 'tab', label: { en: 'Content', pl: 'Treść' }, fields: ['title', 'body'] },
+ *   { type: 'tab', label: { en: 'SEO' }, fields: ['seo'] }
+ * ] }
+ */
+export interface TabsNode extends LayoutNodeBase {
+    type: 'tabs';
+    children: TabNode[];
+}
+/**
+ * A single tab. Only valid as a direct child of {@link TabsNode}.
+ * `label` is required — it is the trigger text. Use `fields` for a flat tab
+ * or `children` to nest sections/cards/columns inside the tab.
+ * @public
+ */
+export interface TabNode extends LayoutNodeBase {
+    type: 'tab';
+    label: Localized;
+    fields?: string[];
+    children?: LayoutNode[];
+}
+export type LayoutNode = SectionNode | ColumnsNode | CardNode | AccordionNode | StackNode | TabsNode | TabNode;
 export declare function isLayoutLeaf(node: LayoutNode): node is LayoutNode & {
     fields: string[];
 };

package/dist/types/plugins.d.ts

@@ -2,6 +2,7 @@ import type { Component } from 'svelte';
 import type { z } from 'zod';
 import type { RawEntry } from './entries.js';
 import type { CustomField } from './fields.js';
+import type { Localized } from './languages.js';
 import type { PopulateCtx } from '../core/server/entries/operations/resolveEntry.js';
 /**
  * Defines a custom field type contributed by a plugin.
@@ -40,3 +41,42 @@ export interface PluginConfig {
         afterDelete?: (id: string) => Promise<void>;
     };
 }
+/**
+ * @public
+ * Single icon entry contributed by an {@link IconSetPlugin}. Carries a Svelte
+ * component, a localized label and optional search keywords. Components are
+ * eagerly imported (tree-shakable) — for small sets (10–50 icons) lazy import
+ * adds overhead without benefit.
+ */
+export interface IconDefinition {
+    /** Svelte icon component (e.g. `Brain` from `@lucide/svelte`). */
+    component: Component;
+    /** Localized display label shown in collapsed state and in the picker grid. */
+    label: Localized;
+    /** Extra search keywords (non-localized). Search matches key + label + keywords. */
+    keywords?: string[];
+}
+/**
+ * @public
+ * Icon set plugin — registers a named set of icons consumable by the `icon`
+ * field type. Registered alongside other plugins in `cms.config.ts`'s
+ * `plugins:` array. Because Svelte components do NOT serialize to the client,
+ * the application's admin layout must wire the same plugin instance to
+ * `AdminLayout` via `buildIconSetMap(...)` — see admin/helpers.
+ */
+export interface IconSetPlugin {
+    /** Unique slug — referenced by `IconField.set` when multiple sets exist. */
+    slug: string;
+    type: 'icon-set';
+    icons: Record<string, IconDefinition>;
+}
+/**
+ * @public
+ * Union of all plugin kinds accepted in `cms.config.ts → plugins:`. New
+ * plugin kinds must be added here. Type discriminated by:
+ * - {@link IconSetPlugin} → `type === 'icon-set'`
+ * - {@link PluginConfig} → everything else (no `type` field).
+ */
+export type Plugin = PluginConfig | IconSetPlugin;
+/** Type guard for {@link IconSetPlugin}. */
+export declare function isIconSetPlugin(p: Plugin): p is IconSetPlugin;

package/dist/types/plugins.js

@@ -1 +1,4 @@
-export {};
+/** Type guard for {@link IconSetPlugin}. */
+export function isIconSetPlugin(p) {
+    return p.type === 'icon-set';
+}

package/dist/updates/0.26.0/index.d.ts

@@ -0,0 +1,2 @@
+import type { CmsUpdate } from '../index.js';
+export declare const update: CmsUpdate;

package/dist/updates/0.26.0/index.js

@@ -0,0 +1,51 @@
+export const update = {
+    version: '0.26.0',
+    date: '2026-05-26',
+    description: 'UI Normalization → release readiness: slug regex camelCase + S8 detail/edit + S9 fields a11y polish + S10 a11y final audit + S10b/S10c mobile responsiveness full pass (sticky first column DataTable, Dialog fullscreenMobile prop, media library Sheet drawers, entry hybrid preview drawer toggle, dashboard mobile layout flip). 43/43 mobile Playwright pass (3 viewports × 12 widoków, 0 critical axe).',
+    features: [
+        '`getFieldA11yProps({ id, hasDescription, hasError, required })` (`src/lib/admin/utils/field-a11y.ts`) — buduje `aria-describedby` chain, `aria-invalid`, `aria-required` dla pól w `ui/form` (formsnap) — bridge bez breaking migracji ui/form ↔ ui/field koegzystencji z S3.',
+        '`<LiveRegion>` (`src/lib/components/ui/live-region/`) — prosty primitive (`sr-only` + `role="status"` + `aria-live`) zastąpił inline duplicates w relation-field i blocks-field; gotowy do reuse.',
+        '`field-renderer.svelte` propaguje `Form.Control` `props` (formsnap snippet `children({ props })`) do wszystkich field components (boolean, number, date, datetime, select, media, file, blocks, array, object, slug, seo, shop, url, relation). Dotąd tylko text/radio/checkboxes dostawały aria — reszta była niewired.',
+        'Blocks field — keyboard reorder/add/remove/duplicate ogłasza przez `<LiveRegion>` ("Przeniesiono X na pozycję Y", "Dodano blok X" itp.). Block picker modal — `aria-labelledby` z Dialog.Title + `aria-live` na search results count.',
+        'Slug field — live preview slugify\'d wartości pod inputem (gdy user typuje wielką literą), copy button z `UseClipboard` + toast "Skopiowano slug". Description default w demo blog-post.',
+        'Relation field — combobox a11y wzmocnione: `aria-busy` na Command.List podczas async search, picker dialog `Dialog.Title`/`Dialog.Description` (sr-only), reorder LiveRegion przeniesione na primitive.',
+        'Media + File fields — `Dialog.Title` + `Dialog.Description` (sr-only) na picker dialogs (eliminuje bits-ui ostrzeżenie o brakujących aria-labelledby).',
+        'Shop field — `aria-pressed` na price mode toggle (Netto/Brutto), `role="group"` + `aria-label` na toggle group, `aria-label="Usuń wariant N"` na trash buttons.',
+        'SEO field — `aria-live="polite"` na char counter (50/60, 120/160) — SR słyszy zmianę gdy user wpisuje.',
+        'Storybook fields — nowe `file.stories.svelte` (4 warianty) i `shop.stories.svelte` (4 warianty). Slug stories rozszerzone o WithPreview/ClipboardCopy. Text stories — Required wariant. Slug ma już `tags: [\'autodocs\']` (zdjęty `no-test`).',
+        'Slugi pól, kolekcji, singles i form akceptują camelCase (`/^[a-z][a-zA-Z0-9-]*$/`). Można pisać `slug: \'siteName\'` zamiast `\'site-name\'` i odczytywać `entry.data.siteName` bez bracket notation. Walidacja blokuje nadal PascalCase, prefix `_` i digit-leading.',
+        'Helper `quoteKey()` w `src/lib/core/server/generator/utils.ts` — opakowuje slugi nie-spełniające JS identifier shape w cudzysłowy w wygenerowanym TS.',
+        'Nowy węzeł layoutu `tabs`/`tab` (`src/lib/types/layout.ts`) — taby konfigurowane per kolekcja w `layout[]`, renderowane przez `LayoutRenderer` (bits-ui Tabs: `role=tab/tablist/tabpanel`, strzałki/Home/End, `aria-selected`). Wszystkie panele pozostają zamontowane (walidacja/dirty-tracking/`showWhen` działają na nieaktywnych tabach), error-summary i klik-w-preview (hybrid) automatycznie przełączają tab i fokusują pole (`activateContainingTabs`), trigger taba z błędem ma wskaźnik (kropka + tekst dla SR, nie sam kolor). Aktywny tab najwyższego poziomu utrwalany w `?tab` (deep-link, przeżywa reload). `tab` przyjmuje `fields` (płaski) lub `children` (sekcje/karty w środku); zakaz zagnieżdżonych tabów + walidacja struktury w `validateLayout`. Stary sztywny tab Content/SEO w `entry.svelte` usunięty — SEO to teraz zwykły `tab` w configu (demo blog-post).',
+        '`<FormErrorSummary>` (`src/lib/admin/components/forms/`) — banner z listą błędów, anchor links scroll do `[data-field-path]`, focus pierwszego błędnego pola, `role="alert"` + `aria-live="assertive"`. Adoptowany w entry, coupon-form, shipping-method-form, shop-order-detail.',
+        '`<ConfirmationDialog>` (`src/lib/admin/components/dialogs/`) — typed wrapper na bits-ui AlertDialog z destructive/default variant, default focus na Cancel (bezpieczniejszy), loading state. Zastąpił 5× `confirm()` (form-submissions, entry, shop-order-detail, coupons-list, dashboard) + dodany dla Archive entry.',
+        '`<DetailPageShell>` (`src/lib/admin/components/layout/`) — wspólny layout (PageHeader + body + opcjonalny sidebar) dla coupon-edit / shipping-method-edit. Skip-link target `#detail-main`.',
+        'Coupon edit form zmigrowany na sveltekit-superforms + formsnap (jak account/profile-section) — schema zod (`coupon-schema.ts`), SPA mode, error summary + per-field errors.',
+        'Entry SaveIndicator: nowe stany + COGA copy (`Niezapisane zmiany`, `Zapisuję…`, `Zapisano X temu` z `formatRelativeDate` recompute co 30s, `Błąd zapisu`), `aria-atomic` + role flip alert/status. `<svelte:window>` `beforeunload` guard gdy unsaved.',
+        '`<A11yHeaderBadge>` (`src/lib/admin/client/entry/header/a11y-header-badge.svelte`) — persistent warning chip w entry-header pokazujący liczbę a11y issues (images bez alt, heading hierarchy, generic link text). Reuse `validateA11y` z `a11y-validator.ts`. Strong-warning UX (B.1) — nie blokuje save, prowadzi autora. Kolumna a11y w collection-entries.svelte (S5) + persistent header badge (S10) + publish-panel sheet detail = pełna ścieżka widoczności.',
+        '`scripts/lighthouse-audit.ts` (`pnpm audit:lighthouse`) — ad-hoc CLI runner po 11 URL admin (login, dashboard, collections, users, media, forms, account, maintenance, shop ×3). Lighthouse 13 + chrome-launcher + auth cookie z `e2e/.auth/admin.json`. Output `.tmp/lighthouse/<view>.json` + `summary.md`, target a11y ≥95.',
+        '`e2e/admin/a11y-baseline.spec.ts` rozszerzone 4 → 14 widoków: 10 page-level (login, dashboard, collections-list, entry-edit, users-list, media-library, forms-detail, account, maintenance, user-create-dialog) + 4 shop best-effort (skip jeśli moduł nie configured). Per spec 0 critical violations enforced.',
+        'TipTap link-dialog `aria-expanded` na 2 collapsible sections (Dostępność + Indeksowanie) — uzupełnia ATAG B.3 author tool a11y. FigureNodeView/image-dialog/publish-panel: `:focus-visible` fallback z `var(--ring)` outline (focus indicator widoczny zawsze, nawet gdy `:focus` zmienia tylko border-color).',
+        'Publiczny `resolveSeo(entry, language?)` (`includio-cms/core`) — stabilny znormalizowany read-path nad zamrożonym kontraktem `entry.seo.*` (wartości localized spłaszczane po języku; `ogImage` przepuszczany jako string lub MediaFile) do budowy własnego `<head>` lub zasilenia komponentu `<Seo>`. `SlugField`/`SeoField`/`SeoFieldData` oznaczone `@public` + v1.0-frozen.',
+        'Wewnętrzny `seoFieldDescriptor` — pojedyncze źródło prawdy kształtu pola SEO dla generatorów Zod + TS (wyjście bit-identyczne, pilnowane snapshotami i testami drift-guard). Przygotowuje przyszły plugin-rehoming SEO bez breaking change. Istniejąca niespójność Zod(required)/TS(optional) dla `description`/`ogImage` udokumentowana i zachowana 1:1 (do rozstrzygnięcia post-1.0).',
+        'Mobile responsiveness full pass (S10c) — pełny mobile UX panelu admina: `DataTable` sticky first column + edge-bleed scroll wrapper (1 fix → wszystkie 8+ list pages, w tym shop), `Dialog.Content` `fullscreenMobile` prop (media/file picker + tiptap image/video dialogi), media library tags sidebar + FileDetails jako Sheet drawer na <md (`hidden md:flex` aside), entry hybrid preview Sheet drawer toggle z `IsMobile(1024)` (<lg pokazuje tylko form + floating "Podgląd" button), shop-order detail items table z `min-w-[640px]` + horizontal scroll, char counter w `text-field-wrapper` na mobile stackowany pod polem zamiast `absolute right`, EntryHeader padding + SaveIndicator text `max-sm:sr-only`, PageHeader text-scale `text-2xl sm:text-3xl lg:text-4xl`, breadcrumb truncacja middle segments `/…/` na <sm, table-toolbar search `w-full min-w-0` na mobile, tiptap toolbar separatory `hidden sm:block`, relation popover `w-[var(--bits-popover-anchor-width)] max-w-[calc(100vw-1rem)]`. Playwright `e2e/admin/mobile-responsive.spec.ts` rozszerzony o iPad portrait (768×1024) + shop-shipping view + `scrollWidth <= window.innerWidth` page-overflow assertion: 43/43 testów pass, 0 critical, 0-2 serious axe per (3 viewports × 12 widoków).',
+        'Dashboard mobile layout flip (S10c follow-up) — `dashboard-page.svelte`: main wrapper `flex gap-5` → `flex flex-col gap-5 lg:flex-row` + sub-grid `grid-cols-2` → `grid-cols-1 sm:grid-cols-2` + sidebar `max-w-80 flex-1 shrink-0` → `w-full shrink-0 lg:max-w-80 lg:flex-1`. Side-by-side 2-col layout aktywowany dopiero od `lg` (1024px); poniżej stack vertically, sub-grid kolumna pojedyncza do `sm` (640px). Eliminuje cramped 2-col scroll na 375-768px.'
+    ],
+    fixes: [
+        '`runtime/types.ts` generuje poprawny TypeScript dla kebab-case slugów (np. `\'published-at\'?: string` zamiast gołego `published-at?: string`, który był syntaks błędem). Naprawione w `generateTsTypeFromFields`, `generateFlatTsTypeFromFields`, `generateInlineBlockTypeString`, object/blocks variants oraz form fields generator.',
+        'Shop order detail: `bg-red-50` / `bg-green-50` zamienione na tokenized `bg-destructive-bg` / `bg-success-bg` z `role="alert"`/`role="status"`. Status form ma teraz SaveIndicator + FormErrorSummary.',
+        'Shipping-method form: `<fieldset>/<legend>` na payment methods (poprawne grouping dla SR), `aria-live="polite"` na carrier config panel, FormErrorSummary zamiast `bg-red-50` div, `text-amber-700` zamienione na `text-warning` token.',
+        'Coupons list: delete dialog A11y (focus trap, ESC, return focus) zamiast browser `confirm()`.',
+        'Form submissions bulk delete: AlertDialog zamiast `confirm()`, plural PL forms ("3 zgłoszenia" vs "5 zgłoszeń").',
+        'Dashboard delete-orphaned: AlertDialog z liczbą wpisów w description zamiast `confirm()`.',
+        '`pnpm demo` seed (`scripts/seed-demo.ts`) — twarda bramka walidacji: każdy `entry_version` przed surowym INSERT-em przechodzi przez realny schemat CMS (`generateZodSchemaFromFields(..., { localized: false })` — ten sam oracle co admin/publish). Niezgodne dane przerywają seed z czytelnym `collection/lang/entry: path: message`. Dane demo doprowadzone do zgodności: blog-post `title` bez nierealnego `minLength: 50` (+ usunięte śmieciowe debugowe pole `test`/`dupa` z kolekcji), media jako UUID-string zamiast `{id,url,alt}` (cover/thumbnail/image/logo/favicon/photo), daty pełne ISO, dołożone wymagane obiekty `seo`, `url` jako obiekt, bloki z `_slug` zamiast `_type`, `localizedTags`/`links` w kształcie schematu.',
+        'Lista entries w kolekcji pokazuje "(bez tytułu)"/"(untitled)" zamiast surowego UUID gdy wpis nie ma tytułu — spójne z breadcrumbem na ekranie edycji. Wspólny helper `getCollectionEntryDisplayLabel` (`src/lib/admin/utils/entryLabel.ts`) używany przez list/grid i breadcrumb (fallback wykrywany po `language === null`, odporny na tytuł = id).',
+        'Slug first-class: podgląd URL wpisu w adminie (`collection-entries.svelte`) odhardkodowany z wymogu pola typu `seo` — kolekcja ze standalone polem slug + skonfigurowanym `slugField` pokazuje URL; bez `slugField`/`pathTemplate` świadomie brak `_url` (np. kolekcje atrybutów), bez błędu. Wydzielony czysty resolver `slugPath.ts` (bez `getCMS`) współdzielony przez admin client i server.'
+    ],
+    breakingChanges: [
+        '**Entry autosave usunięty** — wcześniej 30s timeout + Ctrl/Cmd+S manual. Teraz tylko manual save (button "Zapisz szkic" zawsze widoczny + Ctrl/Cmd+S shortcut). Powód: stara impl mogła w niejasnych sytuacjach modyfikować published data; bezpieczniejsza re-introdukcja z draft-only guard zaplanowana w ROADMAP backlog. Migracja: użytkownicy muszą explicit zapisać przed nawigacją (jest `beforeunload` guard).',
+        'EntryHeader props: nowy `lastSavedAt?: Date | null` (default `null`). Niezbędny dla SaveIndicator "Zapisano X temu". Konsumenci niestandardowi (entry-header-story-demo, custom integracje) muszą propagować z entry.svelte.',
+        'EntryForm props: usunięty hardcoded podział Content/SEO (`tabFilter` nigdy nie trafił do release\'u — zastąpiony węzłem layoutu `tabs`). Grupowanie w taby = teraz config `layout[]`. Kolekcje bez `tabs` bez zmian; SEO w demo blog-post wyrażone jako `tab`. Dodany prop `errorPaths?: Set<string>` (EntryForm/LayoutRenderer) do wskaźnika błędu na tabie.',
+        '`coupon-form.svelte` przepisane od zera na sveltekit-superforms — props identyczne (`initial`, `submitLabel`, `onSubmit`, `onCancel`), ale wewnętrzny mechanizm walidacji zmieniony (zod schema zamiast hand-rolled). Call-sites bez zmian.'
+    ],
+    notes: 'V1-DECISIONS.md sekcja "Sesja 8" zawiera pełny audit decyzji + grep gates. Pełna superForm migracja shipping-method-form odłożona do backlogu (skomplikowany state: net/gross toggle + dynamic carrier + multi-lang record). Storybook entry-page story też w backlogu (wymaga mock setRemotes + RawEntry fixtures — robione w S10 a11y sweep). VoiceOver smoke test (manual user-delegated) — checklist w `V1-UI-AUDIT.md` sekcja "VoiceOver smoke (manual)". Kompatybilność z istniejącymi danymi: pełna (zero schema changes; coupon zachowuje stary kontrakt API).'
+};

package/dist/updates/0.26.1/index.d.ts

@@ -0,0 +1,2 @@
+import type { CmsUpdate } from '../index.js';
+export declare const update: CmsUpdate;

package/dist/updates/0.26.1/index.js

@@ -0,0 +1,19 @@
+export const update = {
+    version: '0.26.1',
+    date: '2026-05-28',
+    description: 'Nowy typ pola `icon` + IconSetPlugin (zestaw ikon dostarczany przez aplikację, dialog z gridem + search). Scaffolder fix + DataTable polish: scaffold admin używa publicznych entry points; pierwsza kolumna tabeli bez sticky-first; checkbox visual wraca do 16 px z transparent hit-area 24×24 (WCAG 2.5.5).',
+    features: [
+        'Nowy typ pola `icon` (`IconField` @public, `src/lib/types/fields.ts`) — kompaktowy kafelek 96×96 w formularzu (ikona + nazwa, X do wyczyszczenia) otwiera dialog z gridem responsive 3–6 kolumn, wyszukiwarką (filtruje po `key`, lokalizowanym `label`, opcjonalnych `keywords`) i przyciskami Anuluj / OK. Klik na kafelku w dialogu zaznacza, OK zatwierdza; dwuklik = szybki zapis. Stan "missing" (wartość w DB nieobecna w bibliotece) pokazuje placeholder + przyjazne ostrzeżenie zamiast resetować wartość — zgodne z ToV "informuj, nie strasz". i18n PL/EN, `role="listbox"`/`role="option"`/`aria-selected`, LiveRegion z liczbą wyników.',
+        '`IconSetPlugin` / `IconDefinition` (`@public`, `src/lib/types/plugins.ts`) — nowy rodzaj pluginu rejestrujący nazwany zestaw ikon: `{ slug, type: \'icon-set\', icons: Record<key, { component, label: Localized, keywords?: string[] }> }`. Komponenty Svelte (eager import, tree-shakable — np. `Brain` z `@lucide/svelte`) ŻYJĄ w pluginie, bo `cms.config.ts` jest server-only i Zod-validated. `Plugin = PluginConfig | IconSetPlugin` + `isIconSetPlugin` type guard.',
+        '`buildIconSetMap(...plugins)` (`includio-cms/admin`) + nowy prop `iconSets?: Map<string, IconSetPlugin>` na `AdminLayout` — konsumencki `+layout.svelte` admina przekazuje plugin instancje na klienta (funkcji komponentów nie da się serializować przez SvelteKit data). `getIconSets()` / `resolveIconSet(slug?)` w `includio-cms/admin` — runtime lookup używany przez `icon-field.svelte` przez Svelte context.',
+        '`CMS.iconSets: Map<slug, IconSetPlugin>` agregowane przy starcie z `cms.config.plugins` przez `isIconSetPlugin` guard; duplikat slug → throw. Generator TS mapuje `icon` → `string` w wygenerowanym `types.ts`; Zod runtime → `z.string()` (analogicznie do `slug` field).'
+    ],
+    fixes: [
+        '`scaffold admin` generuje `src/routes/admin/api/[...path]/+server.ts` z `import { createAdminApiHandler } from \'includio-cms/sveltekit/server\'`. Wcześniej generowany import `includio-cms/admin/api/handler` rzucał Vite `Missing "./admin/api/handler" specifier in "includio-cms" package` przy starcie dev/build — `admin/api/handler` nie ma w `exports` (v1.0 frozen 18 ścieżek).',
+        '`scaffold admin` generuje `src/routes/admin/api/rest/[...restPath]/+server.ts` z `import { createRestApiHandler } from \'includio-cms/sveltekit/server\'` (analogicznie — był broken w 0.20.0+ ale scaffolder nie zaktualizowany).',
+        '`includio-cms/sveltekit/server` re-eksportuje teraz `createAdminApiHandler` (obok istniejącego `createRestApiHandler`).',
+        '`DataTable`: revert sticky-first column (z 0.26.0 / S10c) — pierwsza kolumna scrolluje razem z resztą, bez wyróżnienia kolorystycznego. Usunięty prop `stickyFirstColumn` i powiązany CSS.',
+        '`Checkbox` primitive: visual wraca do 16×16 px (z 24×24 w 0.26.0 / S10b), klikalny obszar utrzymany na ≥24×24 przez transparent `::after` pseudo-element (`after:-inset-1`) — WCAG 2.5.5 target-size AA dalej spełniony, lepszy wygląd zgodny z proporcjami pól tekstowych.'
+    ],
+    breakingChanges: []
+};

package/dist/updates/0.27.0/index.d.ts

@@ -0,0 +1,2 @@
+import type { CmsUpdate } from '../index.js';
+export declare const update: CmsUpdate;

package/dist/updates/0.27.0/index.js

@@ -0,0 +1,50 @@
+export const update = {
+    version: '0.27.0',
+    date: '2026-05-29',
+    description: 'Shop platformowy — Fazy 1 + 2 + 3 + 4 + 5: schema-driven `variantAttributes` (typed `defineShop` schema, Zod walidacja, GIN index helper, ts-gen typed `variant.attributes`) + admin renderer per attribute type + `variantLabel.template` interpolacja z admin auto-prefill nazwy wariantu + `variantExpiry` opt-in (storefront filter, cart/checkout guard, admin "Zakończony" badge) + `paymentPolicy` A-lite (deposit + balance + signed token + refund per kind + admin balance link + per-kind refund dialog). Faza 6 envet pilot (consumer-side end-to-end QA: szkolenia variants + deposit flow + balance link — nie wymaga zmian w core). Post-Faza-5 hot-fixy uwzględnione w tym wydaniu (single release, nie patch): datetime walidator z offsetem, auto-detect deposit kind przy admin manual mark-paid, admin paymentPolicy UI + preserve-on-undefined w upsert. Additive only — żadnych breaking zmian. Plan: `/Users/patryk/.claude/plans/implementacja-ariacms-0-27-partitioned-kahn.md`.',
+    features: [
+        '`defineShop({ variantAttributes })` (`includio-cms/shop`) — typed schema dla atrybutów wariantu: `text | number | datetime | select | boolean | image | entry | slug` z polami `{ type, label, required?, indexable?, options?, entryCollection? }`. Zostaje jedno źródło prawdy: napędza Zod walidację, ts-gen typings, GIN index utility oraz renderer admin form.',
+        '`VariantAttribute` + per-type interfejsy (`VariantAttributeText/Number/Datetime/Select/Boolean/Image/Entry/Slug`) wyeksportowane jako `@public` z `includio-cms/shop`.',
+        '`InvalidVariantAttributesError` (code `INVALID_VARIANT_ATTRIBUTES`) — rzucany przez `upsertShopData` gdy `variant.attributes` nie pasują do schemy. Eksport publiczny z `includio-cms/shop`.',
+        '`runtime/types.ts` — pole `shop` w entry typings generuje teraz typed `variant.attributes` (`{ city: string; startsAt: string; online?: boolean; level: \'basic\' | \'advanced\' }`) zamiast `Record<string, string>` gdy `defineShop` ma `variantAttributes`. Brak `variantAttributes` = poprzednie `Record<string, string> | null` (backwards-compatible).',
+        '`createVariantAttributeIndexes(attrs)` w `$lib/db-postgres/schema/shop/productVariant.ts` — zwraca `CREATE INDEX IF NOT EXISTS shop_variant_attr_<key>_gin_idx ON shop_product_variants USING gin ((attributes->\'<key>\'))` DDL per atrybut z `indexable: true`. Wymusza safe SQL identifier dla klucza (`[A-Za-z][A-Za-z0-9_]*`).',
+        '`applyVariantAttributeIndexes(shop, db)` w `$lib/shop/server/init.ts` — idempotentny serialized applier indeksów GIN. `initCMS()` odpala go automatycznie fire-and-forget gdy shop jest skonfigurowany (zero ręcznych hooków u konsumenta). `cms.shopInitPromise` wystawiony jako `@internal` punkt synchronizacji dla testów.',
+        '`VariantAttributeRenderer.svelte` (NEW, `$lib/admin/components/variant-form/`) — switch po `attr.type`, deleguje do field components z `$lib/admin/components/fields/` (text/number/datetime/select/boolean) lub renderuje prosty Input dla slug/image/entry (pełny picker UI dla image/entry defer post-1.0).',
+        '`shop-field.svelte` (admin variant editor) — variant row pokazuje siatkę atrybutów (responsywna 1/2-col) ponad legacy polami (nazwa/SKU/delta/stock) gdy `shopConfig.variantAttributes` ma wpisy. Brak attrs = legacy behavior bez zmian. Hydratacja + save propaguje `variant.attributes` jako `Record<string, unknown>`.',
+        '`getShopConfig` remote (admin) — response zawiera teraz `variantAttributes` z `ResolvedShopConfig`, dzięki czemu `shop-field` może lokalnie renderować typed atrybuty bez dodatkowego round-tripa.',
+        '`upsertShopDataForEntry` (admin remote command) — input schema dla `variant.attributes` zluzowany do `z.record(z.string(), z.unknown())`; typed shape egzekwowany serwerowo przez `validateVariantAttributes` (jedno źródło prawdy).',
+        '`defineShop({ variantLabel: { template } })` (`includio-cms/shop`) — opcjonalny szablon nazwy wariantu w składni `{key|filter:arg}`. Filtry: `date` (long/medium/short), `currency` (kod waluty, domyślnie PLN), `uppercase`. Nieznany klucz → pusty string + dev warn; nieznany filtr → passthrough; malformed template → surowy template + warn.',
+        '`interpolateTemplate(template, vars, locale)` (`includio-cms/shop`, `@public`) — silnik interpolacji wykorzystywany wewnętrznie przez admin do pre-fill `variant.name`, dostępny też publicznie dla konsumentów (np. storefront-side derived labels).',
+        '`VariantLabelConfig` eksportowany jako `@public` typ z `includio-cms/shop`.',
+        '`getShopConfig` remote response zawiera teraz `variantLabel: shop.variantLabel ?? null`.',
+        '`shop-field.svelte` (admin variant editor) — gdy `variantLabel.template` zdefiniowany, pole `Nazwa` auto-wypełnia się z interpolacji `variantAttributes` (locale `pl` w 0.27; multi-locale defer post-1.0). Per-variant dirty flag: po hydratacji z niepustym `name` lock = aktywny (nie nadpisujemy editor decision); ręczna edycja w polu `Nazwa` (`oninput`) trwale wyłącza pre-fill dla wariantu w bieżącej sesji.',
+        '`defineShop({ variantExpiry: { source, offsetDays } })` (`includio-cms/shop`, `@public`) — opt-in filtr wariantów time-bound (events, courses, szkolenia). `source` = klucz atrybutu typu `datetime`; `offsetDays` przesuwa cut-off (`0` = expire dokładnie gdy datetime hits now, `1` = jeden dzień grace, `-1` = jeden dzień przed). Globalny config — brak per-product override.',
+        '`isVariantExpired(variant, config, now?)` + `filterUpcoming(variants, config, now?)` (`includio-cms/shop`, `@public`) — fail-open helpers: `null` config / brak source attribute / non-string / malformed datetime → variant traktowany jako upcoming (z `console.warn` dla malformed w dev). `filterUpcoming` zachowuje order; sort source-asc realizowany na poziomie HTTP / admin osobno.',
+        '`VariantExpiredError` (code `VARIANT_EXPIRED`, `variantId`) — eksport `@public`. Rzucany przez `createOrderFromCart` w `server/orders.ts` przed stock reservation (idempotent guard).',
+        '`POST /api/shop/cart` (add) — preflight `VARIANT_EXPIRED` guard: kiedy `variantExpiry` jest skonfigurowany i variant ma expired source attribute, response 400 JSON `{ error: "VARIANT_EXPIRED", variantId }` bez aktualizacji cart cookie.',
+        '`createUpcomingVariantsHandler` (`includio-cms/shop/http`, `@experimental`) — nowy GET endpoint `/api/shop/products/[id]/variants/upcoming`. Zwraca `{ items: VariantPublic[] }` przefiltrowanych przez `filterUpcoming` + posortowanych ascendingly po `attributes.<source>` (Date.parse) gdy `variantExpiry` ustawiony, w insertion order gdy brak.',
+        '`client.products.listUpcoming(productId)` + `VariantPublic` (`includio-cms/shop/client`, `@public`) — nowy namespace SDK. Zwraca upcoming variants per produkt; zero-config passthrough kiedy `variantExpiry` nieustawiony.',
+        '`getShopConfig` remote (admin) — response zawiera teraz `variantExpiry: shop.variantExpiry ?? null`.',
+        '`shop-field.svelte` (admin variant editor) — gdy `variantExpiry` skonfigurowany: per-variant badge "Zakończony" (greyed-out, `bg-muted text-muted-foreground` z border), checkbox filter "Pokaż zakończone (N)" w toolbarze wariantów (default off, ukryty gdy zero expired), opacity-60 na expired row, sort wariantów po source ASC (closer terms first). Brak config = zero zmian w UI.',
+        '`PaymentPolicy` + `DepositAmount` + `PartialPayment` (`includio-cms/shop`, `@public`) — per-product policy `{ type: "full" } | { type: "deposit", depositAmount: { type: "percent" | "amount", value } }` ustawiana w `ShopFieldData.paymentPolicy`. Cart deposit-aware: order zachowuje pełen `totalGross`, `partialPayment.balanceAmount` = co zostaje do dopłaty, `balanceOwed = true` po zapłaconym depozycie. Walidacja: percent w (0, 100], amount = positive integer (minor units). `validatePaymentPolicy` wymusza to przy upsert produktu.',
+        '`resolvePaymentAmount(policy, lineGross)` + `computeDepositAmount(spec, base)` (`$lib/shop/server/payment-policy.ts`, server-internal — nie eksportowane z publicznego entry pointu) — silnik resolver per linia. `percent` flooruje `base * value / 100`; `amount` klampuje do `base`. Null / `full` policy → pełen `lineGross`, `kind = "full"`, balance 0. 15 spec testów + 10 integration.',
+        '`MixedPaymentPolicyError` (code `MIXED_PAYMENT_POLICY`) — `createOrderFromCart` odrzuca cart z więcej niż jednym produktem gdy którykolwiek z nich ma deposit policy. Decyzja: deposit orders span ONE product (refund-per-kind + balance link unambiguous). Cart all-`full` mixed-product nadal działa.',
+        '`shop_orders.partial_payment jsonb + balance_owed boolean` — nowe kolumny. `shop_payments.kind enum ("full" | "deposit" | "balance")` z default `"full"` — back-compat dla istniejących płatności. `shop_products.payment_policy jsonb` przechowuje per-product policy.',
+        '`shop_payments` zaczyna być aktywnie wypełniane: `checkout-handler` po `adapter.createPayment` insert payment row z odpowiednim `kind` (full lub deposit) + `providerRef`. Webhook handler matchuje (provider, providerRef) → branchuje per kind: `full`/`deposit` przepuszcza `updateOrderStatus(paid, paymentKind)`, `balance` bypasses status flow i woła `markBalancePaid` (stock przy depozycie już permanentnie potwierdzony).',
+        '`createOrderFromCart` CreateOrderResult: nowe pola `amountToPay` (deposit-aware kwota do pobrania na checkout) + `paymentKind` (`"full" | "deposit"`). `checkout-handler` przekazuje `amountToPay` do adaptera przez OrderRef.totalGross override — adaptery PayU/Stripe/manual działają bez zmian.',
+        '`generateBalanceToken` + `verifyBalanceToken` (`includio-cms/shop/server`, `@internal`) — HMAC-SHA256 nad JSON payload `{orderId, type: "balance"}`, encoding `base64url(payload).base64url(sig)`. Deterministic per (orderId, secret) — brak rotation, brak exp, server-side invalidation przez `order.balanceOwed === true`. Secret = `INCLUDIO_BALANCE_TOKEN_SECRET` env (≥16 chars, hard-fail przy brak gdy deposit policy aktywne). 8 spec testów (roundtrip, tampered, wrong orderId/secret, malformed, deterministic).',
+        '`createBalanceSession(orderNumber, token, ctx?)` (`includio-cms/shop/server`, `@experimental`) — customer flow: verify token + `balanceOwed`, reuse `order.paymentMethod` adapter, call `adapter.createPayment` z `amount = partialPayment.balanceAmount`, insert payment row `kind: "balance"`, mirror providerRef na order. `markBalancePaid` (idempotent) clears balanceOwed + bumps `paidAmount` do `totalGross`.',
+        '`createBalanceHandler` (`includio-cms/shop/http`, `@experimental`) — GET `/api/shop/orders/[number]/balance?token=...` zwraca minimalny widok ({orderNumber, currency, totalGross, amountToPay, paidAmount, paymentMethod, language}); POST inicjuje payment session ({status, redirectUrl, requiresPaymentRedirect}). 403 przy złym tokenie lub wyczyszczonym `balanceOwed`.',
+        '`client.orders.payBalance(orderNumber, token)` + `PayBalanceResult` (`includio-cms/shop/client`, `@public` / `@experimental`) — REST wrapper dla customer flow dopłaty.',
+        '`refundOrder({ kind?, releaseStock?, ... })` (`includio-cms/shop/server`) — per-kind routing. `kind: "deposit" | "balance" | "full"` matchuje konkretny payment row; kwota cap = `row.amount - prior refunds`. Domyślnie `kind` = `"full"` z heurystyką: pojedynczy paid row → użyj go, multi-row → wybierz `full`, brak rows → legacy fallback do `order.paymentProviderRef`. Refund row link do `paymentId` dla per-row audit. `getCollectedAmount` decyduje o transition do `refunded` (sum paid rows lub `totalGross` dla legacy). `releaseStock: true` (opt-in) reinkrementuje variant.stock per order item. 6 integration spec.',
+        '`refundOrderCmd` (admin remote) dostaje `kind` + `releaseStock` w schemacie input. `refund-dialog.svelte` — radio "Która płatność?" (deposit/balance) widoczne gdy `hasPartial`, balance radio disabled gdy `balanceOwed=true` (nic do refund), checkbox "Zwolnij stan magazynowy".',
+        '`generateBalanceLinkForOrder` (admin remote) — auth-protected, requires `INCLUDIO_BALANCE_TOKEN_SECRET`, builds URL z configured `orderViewUrl` + `?balance=1&balanceToken=...`. Zwraca `{ success, url, balanceAmount }`.',
+        '`shop-order-detail-page.svelte` — nowa sekcja "Płatność dzielona" widoczna gdy `order.partialPayment != null`: Plum badge "Czeka na dopłatę" przy `balanceOwed=true` / success badge "Opłacone w całości" po dopłacie, paid/owed/total breakdown z `formatCentsPrice`, button "Wyślij link do dopłaty" generuje token + kopiuje URL do clipboard, wyświetla URL w `<code>` blocku jako fallback dla "skopiuj ręcznie".'
+    ],
+    fixes: [
+        '`variant-attributes.ts` — `datetime` walidator używa teraz `z.string().datetime({ offset: true })`: akceptuje pełen ISO 8601 (`Z` UTC z admin `DatetimeField.toISOString()` ORAZ offset `+02:00` z importów/seedów/zewnętrznych systemów). Wcześniej tryb default odrzucał offset, blokując offsetowe wartości atrybutów.',
+        '`updateOrderStatus` (`server/orders.ts`) — admin manual mark-paid auto-detektuje `deposit` kind: gdy `order.partialPayment.kind === "deposit"` + `!balanceOwed` + `paidAt == null`, `effectiveKind = "deposit"`. Wcześniej `updateOrderStatusCmd` (w przeciwieństwie do webhooka) nie przekazywał `paymentKind`, więc admin oznaczając deposit order jako paid pomijał deposit logic (`paidAmount` nie był bumpowany, `balanceOwed` nie był ustawiany). Pozwala testować pełny deposit flow przez manual adapter bez sandbox PayU; webhook bez zmian (zawsze pass explicit kind).',
+        'admin `paymentPolicy` — trzy bugi powodujące kasowanie deposit policy przy każdym save naprawione razem: (1) `upsertShopData` (`server/shop-data.ts`) — `undefined` zachowuje istniejącą policy, tylko `null` kasuje (było `?? null` nadpisujące przy każdym upsert innego pola); (2) `shopDataInputSchema` (admin remote) — dodany discriminated union `paymentPolicy` (full/deposit + percent/amount), wcześniej command odrzucał pole; (3) `shop-field.svelte` — sekcja "Zasady płatności" (radio full/deposit + warunkowe inputy percent/amount + live preview kwoty depozytu), wcześniej brak UI do ustawienia deposit.'
+    ],
+    breakingChanges: []
+};

package/dist/updates/index.js

@@ -59,6 +59,9 @@ import { update as update0220 } from './0.22.0/index.js';
 import { update as update0230 } from './0.23.0/index.js';
 import { update as update0240 } from './0.24.0/index.js';
 import { update as update0250 } from './0.25.0/index.js';
+import { update as update0260 } from './0.26.0/index.js';
+import { update as update0261 } from './0.26.1/index.js';
+import { update as update0270 } from './0.27.0/index.js';
 export const updates = [
     update0065,
     update0066,
@@ -120,7 +123,10 @@ export const updates = [
     update0220,
     update0230,
     update0240,
-    update0250
+    update0250,
+    update0260,
+    update0261,
+    update0270
 ];
 export const getUpdatesFrom = (fromVersion) => {
     const fromParts = fromVersion.split('.').map(Number);