jskelet 0.2.4 → 0.3.0

package/docs/02-mimari.md

@@ -35,6 +35,7 @@ JSkelet bu gözlemi mimarinin merkezine alır:
  ├─ headers                        statik cache + config headers()
  ├─ devGate                        DEV_TOKEN varsa token yoksa 404
  ├─ redirects                      config redirects(), ilk eşleşen kazanır
+ ├─ trailingSlash                  config trailingSlash: true ise 308
  ├─ staticPrecompressed            build'de üretilmiş .br/.gz kopyalar (kalite 11)
  ├─ express.static                 public/ altındaki dosyalar
  ├─ (dev) devtools                 yalnızca NODE_ENV=development
@@ -60,13 +61,18 @@ sebebi var ve yer değiştirmek sessiz bozulmalara yol açıyor.
   `express.static` isteği önce yanıtlar.
 - **`compression`, static'ten önce.** Sonra gelirse statik dosyalar hiç
   sıkışmaz.
-- **`headers` → `devGate` → `redirects`.** Gate'in 404'ü redirect'ten önce
-  gelmeli: yayına açılmamış bir ortam, yönlendirme kurallarını bile dışarıya
-  sızdırmamalı.
+- **`headers` → `devGate` → `redirects` → `trailingSlash`.** Gate'in 404'ü
+  redirect'ten önce gelmeli: yayına açılmamış bir ortam, yönlendirme kurallarını
+  bile dışarıya sızdırmamalı. `trailingSlash` config redirects'ten sonra durur,
+  böylece açık kurallar istenen yolu önce görür; kanonik slash biçimi ikinci
+  adımda dayatılır.
 - **`staticPrecompressed`, `express.static`ten önce.** Build'de üretilmiş
   `.br`/`.gz` kopyalar varsa onlar servis edilir (brotli kalite 11); yoksa
   istek altındaki `static`e düşer ve middleware anında sıkıştırır (kalite 5).
   Hash'li ve `immutable` bir dosyayı her istekte yeniden sıkıştırmak boşa CPU.
+- **Admin paneli** (açıksa, `admin().enabled` / `JSKELET_ADMIN`): statikten
+  sonra, body parser ve route'lardan önce. Kendi gövde ayrıştırıcısını taşır;
+  uygulama aynı yolu gölgeleyemez. Kapalıyken modül yüklenmez.
 - **Body parser'lar statikten sonra.** Görsel isteklerinde gövde ayrıştırma
   maliyeti ödenmesin.
 - **`rewrites(afterFiles)`, statik denendikten sonra ve sayfalardan önce.**

package/docs/03-routing.md

@@ -388,6 +388,12 @@ Davranış:
   için 301.
 - `source` ya da `destination` geçersizse kural sessizce düşmez, uyarı basılır.
 
+## Config: `trailingSlash`
+
+`trailingSlash: true` iken kanonik sayfa URL'leri `/` ile biter ve **200**
+döner; slash'sız istek **308** ile slash'lıya gider. Ayrıntı ve istisnalar:
+[07-yapilandirma.md](./07-yapilandirma.md#trailingslash).
+
 ## Config: `rewrites()`
 
 Rewrite, tarayıcının adres çubuğunu değiştirmeden isteği başka bir yere taşır.

package/docs/06-cache.md

@@ -768,13 +768,24 @@ yalnızca `NODE_ENV=development` iken var, panel ise ortama bakmaz — "bu sayfa
 neden bayat", "webhook purge'ü geçti mi", "Redis gerçekten bağlı mı" soruları
 üretimde soruluyor.
 
+Panel üst düzey `admin()` ile açılır (`cache()` içinde değil) ve kökü
+`/_jskelet/admin`'dır. Altında Overview, Cache, Routes, Views, Logs ve System
+sayfaları vardır; Cache sayfası eski tek sayfalık panelle aynı işlemleri
+taşır.
+
 ```js
 // jskelet.config.mjs
 export default {
+  admin() {
+    return {
+      enabled: process.env.JSKELET_ADMIN === "1",
+      allowIps: ["10.0.0.0/8"], // boş = IP kısıtı yok
+      blockBots: true,
+    };
+  },
   cache() {
     return {
       html: { "/haber/:slug": 300 },
-      panel: { enabled: process.env.CACHE_PANEL === "1" },
     };
   },
 };
@@ -782,14 +793,20 @@ export default {
 
 `enabled` verilmedikçe **hiçbir şey mount edilmez**: yol yoktur, modül
 yüklenmez, üretim sürecinde hiçbir maliyeti olmaz. Ortam değişkeni
-(`JSKELET_CACHE_PANEL=1`) config'i ezer; panel genelde bir arıza sırasında tek
+(`JSKELET_ADMIN=1`) config'i ezer; panel genelde bir arıza sırasında tek
 seferlik açılıyor ve o an config dosyasını değiştirip yeniden dağıtmak
 istenmiyor.
 
 Panel açıldığında sunucu logu şifreyi basar:
 
 ```
-[cache-panel] http://localhost:3000/_jskelet/cache — password for this run: 3f9c…
+┌─ ADMIN ──────────────────────────────────────┐
+│  http://localhost:3000/_jskelet/admin        │
+│                                              │
+│  password  3f9c…                             │
+│                                              │
+│  Valid until this process restarts.          │
+└──────────────────────────────────────────────┘
 ```
 
 ### Erişim ve güvenlik
@@ -799,15 +816,20 @@ Panel açıldığında sunucu logu şifreyi basar:
   yetkisi demek ve bir deploy eski erişimi kendiliğinden iptal etmeli.
 - **Şifre query string ile kabul edilmez.** Erişim logları, tarayıcı geçmişi ve
   `Referer` başlığı sırrı taşımasın; giriş yalnızca form üzerinden.
+- **`allowIps`** verilirse (exact IP veya CIDR) listede olmayan her istek
+  login dahil `404` alır.
+- **`blockBots`** (varsayılan `true`) bilinen crawler UA'larını (Googlebot,
+  Bingbot, Ahrefs, …) `404` ile reddeder.
 - **Üç başarısız denemede IP 24 saat yasaklanır** (`banAttempts`, `banHours`).
-  Yanlış şifre kadar oturumsuz istek de sayılır; başarılı giriş sayacı sıfırlar.
+  Yanlış şifre kadar oturumsuz yazma isteği de sayılır; başarılı giriş sayacı
+  sıfırlar.
 - **Yasaklı ve yetkisiz her cevap `404`.** 401/403 panelin var olduğunu
   doğrular, 404 hiç yokmuş gibi davranır. Panelin dışındaki site etkilenmez.
 - **Hiçbir yeri indekslenmez:** her cevapta `X-Robots-Tag: noindex, nofollow,
   noarchive, nosnippet`, `Cache-Control: no-store` ve `Referrer-Policy:
   no-referrer`. Yol ayrıca ısıtma listesinden ve gezinme ipuçlarından muaftır.
-- Aksiyonlar `X-JSkelet-Cache-Panel` başlığı ister — çapraz siteden
-  gönderilemeyen bir başlık, yani panelin kendi CSRF freni.
+- Aksiyonlar `X-JSkelet-Admin` başlığı ister — çapraz siteden gönderilemeyen
+  bir başlık, yani panelin kendi CSRF freni.
 - Oturumlar ve yasak sayaçları süreç belleğinde durur; şifresi zaten her
   restart'ta değişen bir panel için diske yazmak yanlış takas olurdu.
 
@@ -815,12 +837,12 @@ Panel açıldığında sunucu logu şifreyi basar:
 
 | Bölüm | Gösterdiği |
 | --- | --- |
-| Üst satır | Sürüm, ortam, pid, uptime, RSS ve dil seçimi (Türkçe / İngilizce) |
-| Kartlar | HTML girdi sayısı ve sınırı, bellekteki HTML boyutu, bayat girdi sayısı, veri girdisi sayısı, Redis durumu (`connected` / `bypassed` / `off`), ısıtma turunun ilerlemesi |
-| Paylaşımlı kademe | Bağlantının **nereye** kurulduğu (adres, TLS, veritabanı), anahtar öneki ve `namespace`, `buildId`, hangi türlerin paylaşıldığı, sıkıştırılmış gövde ve purge yayını durumu, komut zaman aşımı ve hata sayısı. Kapalıysa yerine Redis önerisi ve kurulum parçacığı çıkar. |
-| Cloudflare | Zone, plan, cache ile ilgili zone ayarları, development mode'un kalan süresi, Tiered Cache / Cache Reserve durumu ve cache isabet oranı. Bağlı değilse kurulum parçacığı çıkar. |
-| Host | Makinenin RAM kullanımı ve projenin bulunduğu diskin doluluğu |
-| Girdi listesi | HTML: yol (yeni sekmede açılır), taze/bayat, boyut, durum kodu, kalan TTL, bağımlılık sayısı, hazır sıkıştırılmış gövdeler. Veri: anahtar (tıklayınca panoya kopyalanır), taze/bayat, kalan TTL |
+| Overview | HTML/data/Redis/prewarm kartları ve upstream freni özeti |
+| Cache | Paylaşımlı kademe, Cloudflare, aksiyonlar, girdi listesi (eski panel) |
+| Routes | Express'e kayıtlı path/method'lar, route modül dosyaları, son istek özeti |
+| Views | `views/` altındaki şablon envanteri |
+| Logs | Canlı SSE kuyruğu; method/status/cache/kind/path ve metin filtresi |
+| System | Makine RAM / disk |
 
 Liste **anahtar bazında filtrelenir** ve filtre sunucuda uygulanır: veri
 önbelleğinde on binlerce anahtar olabiliyor. Her istekte en fazla 500 satır

package/docs/07-yapilandirma.md

@@ -53,6 +53,7 @@ export default {
 
   layout: "views/layout.ejs",
   routes: ["./routes/10-pages.mjs", "./routes/99-catch-all.mjs"],
+  trailingSlash: false,
 
   static: {
     extensions: [".svg", ".png", ".webp", ".avif", ".ico", ".woff2"],
@@ -214,6 +215,29 @@ Ayrıntı: [03-routing.md](./03-routing.md).
 routes: ["./routes/api.js", "./routes/pages.js", "./routes/catch-all.js"]
 ```
 
+## `trailingSlash`
+
+**Tip:** `boolean` — **Varsayılan:** `false`
+
+`true` iken kanonik URL'ler `/` ile biter: `/hakkinda/` doğrudan **200**
+döner; slash'sız `/hakkinda` **308** ile `/hakkinda/` adresine gider (301
+değil — metodu koruyan kalıcı yönlendirme, framework'ün diğer `permanent`
+redirect'leriyle aynı). Query string korunur.
+
+İstisnalar: kök `/`, uzantılı dosya yolları (`/robots.txt`, `/assets/app.js`)
+ve `/.well-known/**`. Bunlara slash eklenmez.
+
+`false` iken (varsayılan) slash dayatılmaz. Express non-strict eşleşme ile
+`/x` ve `/x/` ikisi de 200 olabilir — Next.js'in varsayılan "slash'ı kırp"
+davranışından bilinçli fark; mevcut siteleri kırmamak için.
+
+Açıkken şablonlardaki `href`, sitemap ve `redirects()` hedeflerini de
+slash'lı yazın; aksi hâlde tarayıcı her tıklamada ekstra bir 308 görür.
+
+```js
+trailingSlash: true
+```
+
 ## `static`
 
 **Tip:** `{ extensions?: string[], prefixes?: string[] }` — **Varsayılan:**
@@ -728,33 +752,38 @@ redis: {
 }
 ```
 
-### `cache().panel`
+### `admin()`
 
-Önbellek yönetim paneli. Bellek içi kademenin ve Redis kademesinin durumunu
-gösterir; hedefli invalidation, tek girdi silme ve ısıtma tetikler.
+Framework yönetim paneli (`/_jskelet/admin`). Bellek içi / Redis / Cloudflare
+önbelleğini yönetir; route ve view envanteri ile canlı log kuyruğu sunar.
 
 Ortama bakmaz: `enabled` verilmedikçe **hiç mount edilmez** ve yol da yoktur.
 Açıkken production'da da çalışır — asıl sorular ("bu sayfa neden bayat",
-"webhook purge'ü geçti mi") orada soruluyor.
+"webhook purge'ü geçti mi") orada soruluyor. `cache()` bölümünden ayrıdır.
 
 | Alan | Tip | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
-| `enabled` | `boolean` | `false` | Yalnızca açıkça `true` verildiğinde açılır (`JSKELET_CACHE_PANEL` ezer) |
-| `basePath` | `string` | `"/_jskelet/cache"` | Panelin kökü |
+| `enabled` | `boolean` | `false` | Yalnızca açıkça `true` verildiğinde açılır (`JSKELET_ADMIN` ezer) |
+| `basePath` | `string` | `"/_jskelet/admin"` | Panelin kökü |
+| `allowIps` | `string[]` | `[]` | Exact IP veya CIDR; boş = kısıt yok. Listede olmayan her istek 404 |
+| `blockBots` | `boolean` | `true` | Bilinen crawler UA'ları 404 |
 | `banAttempts` | `number` | `3` | Kaç başarısız denemeden sonra IP yasaklanır |
 | `banHours` | `number` | `24` | Yasağın süresi |
 | `sessionHours` | `number` | `12` | Oturum çerezinin ömrü |
+| `logSize` | `number` | `500` | Canlı log ring boyutu |
 
-Şifre **her süreç başlangıcında** üretilir ve yalnızca sunucu logunda görünür:
+Şifre **her süreç başlangıcında** üretilir ve yalnızca sunucu logundaki
+`ADMIN` kutusunda görünür. Yasaklı ve yetkisiz her cevap `404`'tür. Kullanım
+ve ekran ayrıntıları: [06-cache.md](./06-cache.md).
 
+```js
+admin() {
+  return {
+    enabled: process.env.JSKELET_ADMIN === "1",
+    allowIps: ["203.0.113.10", "10.0.0.0/8"],
+  };
+}
 ```
-[cache-panel] http://localhost:3000/_jskelet/cache — password for this run: 3f9c…
-```
-
-Kalıcı bir sır (config alanı ya da env) tutulmaz; sızması önbelleği boşaltma
-yetkisi demek ve her deploy eski erişimi kendiliğinden iptal etmeli. Yasaklı ve
-yetkisiz her cevap `404`'tür. Kullanım ve ekran ayrıntıları:
-[06-cache.md](./06-cache.md).
 
 ### `cache().cloudflare`
 
@@ -780,12 +809,6 @@ hata dönerse ilgili bölüm hatayı yazar ve panelin kalanı çalışmaya devam
 Neyin sorulabildiği — özellikle "bu sayfa kaç edge'de cache'li" sorusunun neden
 tam cevabı olmadığı — [06-cache.md](./06-cache.md) içinde.
 
-```js
-panel: {
-  enabled: process.env.CACHE_PANEL === "1",
-}
-```
-
 ### `cache().prewarm`
 
 | Alan | Tip | Varsayılan | Anlamı |
@@ -909,7 +932,7 @@ basılmaz.
 | `HOST` | `startServer` | `::` | Bağlanılacak arayüz. Varsayılan çift yığın dinler (IPv6 + IPv4); IPv6 yoksa `0.0.0.0`'a düşer |
 | `JSKELET_SECRET` | `jskelet/cookies` | — | İmzalı cookie sırrı. `security.cookieSecret` verilmediğinde buradan okunur; ikisi de yoksa imzalı cookie API'si hata verir. [12](./12-panel-ve-oturum.md) |
 | `DEV_TOKEN` | `devGate`, `prewarm` | — | Ayarlıysa token taşımayan her isteğe 404 döner. Isıtma token'ı çerez olarak taşır. [09](./09-dev-araclari.md) |
-| `JSKELET_CACHE_PANEL` | `createApp` | — | Ayarlıysa önbellek panelini açar; `0` config'te açık olan paneli kapatır. Env config'i ezer, çünkü panel genelde bir arıza sırasında tek seferlik açılır. [06](./06-cache.md) |
+| `JSKELET_ADMIN` | `createApp` | — | Ayarlıysa yönetim panelini açar; `0` config'te açık olan paneli kapatır. Env config'i ezer, çünkü panel genelde bir arıza sırasında tek seferlik açılır. [06](./06-cache.md) |
 | `JSKELET_CLOUDFLARE_KEY` | Cloudflare cache yüzeyi | — | API token. Verilene kadar CDN purge'ü ve edge analitiği kapalıdır; config'teki `apiToken`'ı ezer. Token hiçbir cevapta dönmez. [06](./06-cache.md) |
 | `JSKELET_CLOUDFLARE_ZONE_ID` | Cloudflare cache yüzeyi | — | Zone kimliği. Token'la birlikte verilmedikçe hiçbir Cloudflare ucu çağrılmaz |
 | `JSKELET_CLOUDFLARE_HOSTNAME` | Cloudflare cache yüzeyi | — | Purge URL'lerinin kökü. Panel iç bir adresten açılıyorsa gerekir |

package/docs/11-tasima.md

@@ -16,6 +16,7 @@ alt kümesine benzetildi — `next.config` sözdizimi, Metadata API, `notFound()
 | `next.config.mjs` | `jskelet.config.mjs` | Aynı ruh, daha küçük yüzey ([07](./07-yapilandirma.md)) |
 | `headers()` | `headers()` | Aynı şekil: `{ source, headers: [{ key, value }] }` |
 | `redirects()` | `redirects()` | `permanent` → 308, aksi hâlde 307; `statusCode` ile ezilebilir |
+| `trailingSlash` | `trailingSlash` | `true` → kanonik URL `/` ile biter (308); varsayılan `false` slash kırpmaz ([07](./07-yapilandirma.md)) |
 | `rewrites()` | `rewrites()` | `beforeFiles` / `afterFiles` fazları var; `fallback` yok |
 | `compress: true` | Otomatik | `node:zlib` ile brotli + gzip |
 | `images.deviceSizes` | `images.widths` | Build zamanı webp üretimi ([08](./08-build.md)) |

package/docs/en/02-architecture.md

@@ -35,6 +35,7 @@ Request
  ├─ headers                        static cache + config headers()
  ├─ devGate                        if DEV_TOKEN is set, 404 without a token
  ├─ redirects                      config redirects(), first match wins
+ ├─ trailingSlash                  308 when config trailingSlash is true
  ├─ staticPrecompressed            .br/.gz copies produced at build (quality 11)
  ├─ express.static                 files under public/
  ├─ (dev) devtools                 only when NODE_ENV=development
@@ -60,14 +61,19 @@ position has a reason, and moving things around leads to silent breakage.
   because `express.static` answers the request first.
 - **`compression` before static.** If it came after, static files would never be
   compressed.
-- **`headers` → `devGate` → `redirects`.** The gate's 404 must come before the
-  redirects: an environment that has not gone live should not leak even its
-  redirect rules to the outside.
+- **`headers` → `devGate` → `redirects` → `trailingSlash`.** The gate's 404 must
+  come before the redirects: an environment that has not gone live should not
+  leak even its redirect rules to the outside. `trailingSlash` sits after config
+  redirects so explicit rules see the requested path first; the canonical slash
+  form is enforced as a second step.
 - **`staticPrecompressed` before `express.static`.** If there are `.br`/`.gz`
   copies produced at build time, those are served (brotli quality 11);
   otherwise the request falls through to the `static` below it and the
   middleware compresses on the fly (quality 5). Recompressing a hashed,
   `immutable` file on every request is wasted CPU.
+- **Admin panel** (when `admin().enabled` / `JSKELET_ADMIN`): after static,
+  before body parsers and routes. Carries its own body parsers so the app
+  cannot shadow the path. When off, the module is never loaded.
 - **Body parsers after static.** Image requests should not pay the cost of body
   parsing.
 - **`rewrites(afterFiles)` after static has been tried and before pages.** The

package/docs/en/03-routing.md

@@ -400,6 +400,12 @@ Behaviour:
 - If `source` or `destination` is invalid, the rule does not drop silently; a
   warning is printed.
 
+## Config: `trailingSlash`
+
+With `trailingSlash: true`, canonical page URLs end with `/` and return **200**;
+a request without the slash is sent to the slashed form with a **308**. Details
+and exceptions: [07-configuration.md](./07-configuration.md#trailingslash).
+
 ## Config: `rewrites()`
 
 A rewrite moves a request somewhere else without changing the browser's address

package/docs/en/06-caching.md

@@ -778,78 +778,77 @@ Two more diagnostic surfaces:
 
 The full list of settings: [07-configuration.md](./07-configuration.md).
 
-## The admin panel
-
-Instead of hand-writing the `getHtmlCacheEntries()` / `getRedisStatus()`
-endpoints above, the framework ships a panel. It is deliberately separate from
-the dev overlay: the overlay only exists while `NODE_ENV=development`, while the
-panel does not look at the environment — "why is this page stale", "did the
-webhook purge land", "is Redis actually connected" are production questions.
-
-```js
-// jskelet.config.mjs
-export default {
-  cache() {
-    return {
-      html: { "/news/:slug": 300 },
-      panel: { enabled: process.env.CACHE_PANEL === "1" },
-    };
-  },
-};
-```
-
-Without `enabled` **nothing is mounted**: the path does not exist, the module is
-never loaded and it costs the production process nothing. The environment
-variable (`JSKELET_CACHE_PANEL=1`) overrides the config, because the panel is
-usually opened once during an incident and editing the config file and
-redeploying is the last thing you want at that moment.
-
-When the panel is on, the server log prints the password:
-
-```
-[cache-panel] http://localhost:3000/_jskelet/cache — password for this run: 3f9c…
-```
-
-### Access and hardening
-
-- **The password is regenerated on every process start** (32 hex characters) and
-  only ever appears in the log. There is no persistent secret to leak: leaking
-  one means handing out the right to flush the cache, and a deploy should revoke
-  old access on its own.
-- **The password is not accepted in the query string,** so access logs, browser
-  history and the `Referer` header never carry it. Sign-in goes through the form.
-- **Three failed attempts ban the IP for 24 hours** (`banAttempts`, `banHours`).
-  Requests without a session count just like a wrong password; a successful
-  sign-in resets the counter.
-- **Banned and unauthorised requests get a `404`.** A 401 or 403 confirms the
-  panel exists; a 404 behaves as if it never did. The rest of the site is
-  untouched.
-- **Nothing is indexable:** every response carries `X-Robots-Tag: noindex,
-  nofollow, noarchive, nosnippet`, `Cache-Control: no-store` and
-  `Referrer-Policy: no-referrer`. The path is also exempt from prewarming and
-  from navigation speculation.
-- Actions require an `X-JSkelet-Cache-Panel` header — a header a cross-site form
-  cannot send, which is the panel's own CSRF brake.
-- Sessions and ban counters live in process memory; persisting them to disk
-  would be the wrong trade for a panel whose password changes on every restart.
-
-### What the panel shows
-
-| Area | Contents |
-| --- | --- |
-| Top bar | Version, environment, pid, uptime, RSS and the language picker (Turkish / English) |
-| Cards | HTML entry count and limit, HTML bytes in memory, stale entry count, data entry count, Redis state (`connected` / `bypassed` / `off`), prewarm progress |
-| Shared tier | **Where** the connection points (address, TLS, database), the key prefix and `namespace`, the `buildId`, which kinds are shared, the state of compressed bodies and the purge broadcast, the command timeout and the error count. When it is off, a Redis recommendation with an install snippet takes its place. |
-| Cloudflare | Zone, plan, cache related zone settings, how long development mode has left, Tiered Cache / Cache Reserve state and the cache hit ratio. When no zone is connected, a setup snippet takes its place. |
-| Host | The machine's memory usage and how full the disk holding the project is |
-| Entry list | HTML: path (opens in a new tab), fresh/stale, size, status code, remaining TTL, dependency count, precompressed bodies. Data: key (click to copy), fresh/stale, remaining TTL |
-
-The list is **filtered by key** and the filter runs on the server: a data cache
-can hold tens of thousands of keys. At most 500 rows come back per request and
-the counter in the heading says how many matches were cut. HTML bodies and
-cached values are **never returned** — the panel's job is to show state, not to
-export content.
-
+## The admin panel
+
+Instead of hand-writing the `getHtmlCacheEntries()` / `getRedisStatus()`
+endpoints above, the framework ships a panel. It is deliberately separate from
+the dev overlay: the overlay only exists while `NODE_ENV=development`, while the
+panel does not look at the environment — "why is this page stale", "did the
+webhook purge land", "is Redis actually connected" are production questions.
+
+The panel is enabled with top-level `admin()` (not inside `cache()`) at
+`/_jskelet/admin`, with Overview, Cache, Routes, Views, Logs and System pages.
+The Cache page carries the same operations as the former single-page panel.
+
+```js
+// jskelet.config.mjs
+export default {
+  admin() {
+    return {
+      enabled: process.env.JSKELET_ADMIN === "1",
+      allowIps: ["10.0.0.0/8"], // empty = no IP restriction
+      blockBots: true,
+    };
+  },
+  cache() {
+    return {
+      html: { "/news/:slug": 300 },
+    };
+  },
+};
+```
+
+Without `enabled` **nothing is mounted**: the path does not exist, the module is
+never loaded and it costs the production process nothing. The environment
+variable (`JSKELET_ADMIN=1`) overrides the config, because the panel is
+usually opened once during an incident and editing the config file and
+redeploying is the last thing you want at that moment.
+
+When the panel is on, the server log prints the password in an `ADMIN` box at
+`http://localhost:3000/_jskelet/admin`.
+
+### Access and hardening
+
+- **The password is regenerated on every process start** (32 hex characters) and
+  only ever appears in the log. There is no persistent secret to leak.
+- **The password is not accepted in the query string.**
+- **`allowIps`** (exact IP or CIDR), when set, returns `404` for every request
+  outside the list — including the login page.
+- **`blockBots`** (default `true`) rejects known crawler UAs with `404`.
+- **Three failed attempts ban the IP for 24 hours** (`banAttempts`, `banHours`).
+- **Banned and unauthorised requests get a `404`.**
+- **Nothing is indexable:** `X-Robots-Tag`, `Cache-Control: no-store`,
+  `Referrer-Policy: no-referrer`; exempt from prewarming and navigation speculation.
+- Actions require an `X-JSkelet-Admin` header — the panel's own CSRF brake.
+- Sessions and ban counters live in process memory.
+
+### What the panel shows
+
+| Area | Contents |
+| --- | --- |
+| Overview | HTML/data/Redis/prewarm cards and upstream limiter summary |
+| Cache | Shared tier, Cloudflare, actions, entry list (former panel) |
+| Routes | Express path/method inventory, route modules, last-request summary |
+| Views | Template inventory under `views/` |
+| Logs | Live SSE queue with method/status/cache/kind/path and text filters |
+| System | Host RAM / disk |
+
+The list is **filtered by key** and the filter runs on the server: a data cache
+can hold tens of thousands of keys. At most 500 rows come back per request and
+the counter in the heading says how many matches were cut. HTML bodies and
+cached values are **never returned** — the panel's job is to show state, not to
+export content.
+
 ### What you can do from it
 
 | Action | Equivalent call |

package/docs/en/07-configuration.md

@@ -57,6 +57,7 @@ export default {
 
   layout: "views/layout.ejs",
   routes: ["./routes/10-pages.mjs", "./routes/99-catch-all.mjs"],
+  trailingSlash: false,
 
   static: {
     extensions: [".svg", ".png", ".webp", ".avif", ".ico", ".woff2"],
@@ -219,6 +220,29 @@ alphabetically and recursively. Details: [03-routing.md](./03-routing.md).
 routes: ["./routes/api.js", "./routes/pages.js", "./routes/catch-all.js"]
 ```
 
+## `trailingSlash`
+
+**Type:** `boolean` — **Default:** `false`
+
+When `true`, canonical URLs end with `/`: `/about/` returns **200** directly;
+bare `/about` is sent to `/about/` with a **308** (not 301 — a permanent
+redirect that preserves the method, same as the framework's other `permanent`
+redirects). The query string is kept.
+
+Exceptions: the root `/`, paths with a file extension (`/robots.txt`,
+`/assets/app.js`) and `/.well-known/**`. Those do not get a slash appended.
+
+When `false` (the default) no slash is enforced. Express non-strict matching may
+serve both `/x` and `/x/` as 200 — a deliberate difference from Next.js's
+default "strip the slash" behaviour, so existing sites are not broken.
+
+With the option on, write `href`s, sitemap entries and `redirects()` destinations
+with a trailing slash too; otherwise every click pays an extra 308.
+
+```js
+trailingSlash: true
+```
+
 ## `static`
 
 **Type:** `{ extensions?: string[], prefixes?: string[] }` — **Default:**
@@ -744,35 +768,40 @@ redis: {
 }
 ```
 
-### `cache().panel`
+### `admin()`
 
-The cache admin panel. It shows the state of the in-process tier and the Redis
-tier, and it triggers targeted invalidation, single-entry drops and prewarming.
+The framework admin panel (`/_jskelet/admin`). It manages the in-process /
+Redis / Cloudflare caches and exposes route and view inventories plus a live
+log queue.
 
 It does not look at the environment: without `enabled` **nothing is mounted**
 and the path does not exist. When it is on it also works in production — that is
 where the real questions ("why is this page stale", "did the webhook purge
-land") get asked.
+land") get asked. It is separate from the `cache()` section.
 
 | Field | Type | Default | Meaning |
 | --- | --- | --- | --- |
-| `enabled` | `boolean` | `false` | Only turns on when explicitly `true` (`JSKELET_CACHE_PANEL` overrides it) |
-| `basePath` | `string` | `"/_jskelet/cache"` | Root of the panel |
+| `enabled` | `boolean` | `false` | Only turns on when explicitly `true` (`JSKELET_ADMIN` overrides it) |
+| `basePath` | `string` | `"/_jskelet/admin"` | Root of the panel |
+| `allowIps` | `string[]` | `[]` | Exact IP or CIDR; empty = no restriction. Anyone outside gets 404 |
+| `blockBots` | `boolean` | `true` | Known crawler UAs get 404 |
 | `banAttempts` | `number` | `3` | How many failed attempts ban an IP |
 | `banHours` | `number` | `24` | How long the ban lasts |
 | `sessionHours` | `number` | `12` | Lifetime of the session cookie |
+| `logSize` | `number` | `500` | Live log ring size |
 
 The password is generated **on every process start** and only appears in the
-server log:
+server log `ADMIN` box. Banned and unauthorised requests all get a `404`.
+Usage and screens: [06-caching.md](./06-caching.md).
 
+```js
+admin() {
+  return {
+    enabled: process.env.JSKELET_ADMIN === "1",
+    allowIps: ["203.0.113.10", "10.0.0.0/8"],
+  };
+}
 ```
-[cache-panel] http://localhost:3000/_jskelet/cache — password for this run: 3f9c…
-```
-
-There is no persistent secret (no config field, no environment variable):
-leaking one means handing out the right to flush the cache, and a deploy should
-revoke old access on its own. Banned and unauthorised requests all get a `404`.
-Usage and screens: [06-caching.md](./06-caching.md).
 
 ### `cache().cloudflare`
 
@@ -800,12 +829,6 @@ panel keeps working. What can actually be asked — in particular why "how many
 edges hold this page" has no exact answer — is in
 [06-caching.md](./06-caching.md).
 
-```js
-panel: {
-  enabled: process.env.CACHE_PANEL === "1",
-}
-```
-
 ### `cache().prewarm`
 
 | Field | Type | Default | Meaning |
@@ -930,7 +953,7 @@ and no warning is printed.
 | `HOST` | `startServer` | `::` | Interface to bind to. The default listens dual-stack (IPv6 + IPv4); it falls back to `0.0.0.0` where IPv6 is unavailable |
 | `JSKELET_SECRET` | `jskelet/cookies` | — | The signed cookie secret. Read when `security.cookieSecret` is not set; if neither exists, the signed cookie API throws. [12](./12-dashboards-and-sessions.md) |
 | `DEV_TOKEN` | `devGate`, `prewarm` | — | If set, every request without a token gets a 404. Prewarming carries the token as a cookie. [09](./09-dev-tools.md) |
-| `JSKELET_CACHE_PANEL` | `createApp` | — | When set, turns the cache panel on; `0` turns off a panel enabled in the config. The env wins because the panel is usually opened once during an incident. [06](./06-caching.md) |
+| `JSKELET_ADMIN` | `createApp` | — | When set, turns the admin panel on; `0` turns off a panel enabled in the config. The env wins because the panel is usually opened once during an incident. [06](./06-caching.md) |
 | `JSKELET_CLOUDFLARE_KEY` | Cloudflare cache surface | — | API token. Until it is set, CDN purging and edge analytics stay off; it overrides `apiToken` in the config. The token is never returned in a response. [06](./06-caching.md) |
 | `JSKELET_CLOUDFLARE_ZONE_ID` | Cloudflare cache surface | — | Zone identifier. No Cloudflare endpoint is called unless it is set alongside the token |
 | `JSKELET_CLOUDFLARE_HOSTNAME` | Cloudflare cache surface | — | The root for purge URLs. Required when the panel is opened over an internal address |

package/docs/en/11-migration.md

@@ -17,6 +17,7 @@ will feel familiar. The *reasons* behind the differences are in
 | `next.config.mjs` | `jskelet.config.mjs` | Same spirit, smaller surface ([07](./07-configuration.md)) |
 | `headers()` | `headers()` | Same shape: `{ source, headers: [{ key, value }] }` |
 | `redirects()` | `redirects()` | `permanent` → 308, otherwise 307; can be overridden with `statusCode` |
+| `trailingSlash` | `trailingSlash` | `true` → canonical URLs end with `/` (308); default `false` does not strip ([07](./07-configuration.md)) |
 | `rewrites()` | `rewrites()` | There are `beforeFiles` / `afterFiles` phases; no `fallback` |
 | `compress: true` | Automatic | brotli + gzip via `node:zlib` |
 | `images.deviceSizes` | `images.widths` | Build-time webp generation ([08](./08-build.md)) |

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "jskelet",
-  "version": "0.2.4",
+  "version": "0.3.0",
   "description": "A framework that feels like no framework: Express 5 + EJS server rendering, vanilla JS islands, Tailwind v4 and an in-process HTML TTL cache.",
   "type": "module",
   "license": "MIT",