jskelet 0.6.0 → 0.6.2

package/AGENTS.md

@@ -29,8 +29,7 @@ zaten tartışılmış:
 
 Belgeler iki dilde: Türkçesi `docs/`, İngilizcesi `docs/en/` altında ve
 dosyalar birebir eşlenik. Bir belgeyi değiştirdiysen karşılığını da güncelle;
-pazarlama sitesi (`examples/marketing`) bu dosyaları doğrudan `/docs` altında
-servis ettiği için eksik kalan çeviri kullanıcıya görünür.
+eksik kalan çeviri kullanıcıya görünür.
 
 ## Doğrulama
 
@@ -123,7 +122,7 @@ sessizce çıktıdan düşer.
 
 Framework'ün genel yüzeyini değiştirdiysen (`route()` imzası, hook adları,
 config alanları, client API'si) `examples/minimal`, `examples/blog` ve
-`examples/marketing`'i de güncelle. Örnekler belgelerdeki kod parçalarının kaynağı; kaymaları en hızlı
+`examples/dashboard`'i de güncelle. Örnekler belgelerdeki kod parçalarının kaynağı; kaymaları en hızlı
 fark edilen yer orası.
 
 ## Windows notları

package/CHANGELOG.md

@@ -10,121 +10,175 @@ one is listed under a **Breaking** heading.
 
 ### Added
 
-- `jskelet dev --murder` / `jskelet start --murder`: if the listen port is
-  already taken, kill the listener and bind; without `--murder`, refuse to
-  start with a clear error (pid + hint) instead of a bare `EADDRINUSE`.
-- Layout built-ins for `.jsk`: `Stylesheets`, `BodyScripts`, and `JsonLd`
-  (asset / script / JSON-LD loops without expression-language calls).
-- Framework default layout as `src/templates/layout.jsk` with a checked-in
-  `layout.render.js` (`node scripts/compile-framework-layout.mjs`;
-  `--check` for drift). `jskelet/layout` points at the `.jsk` source;
-  legacy EJS copy remains at `jskelet/layout/ejs`.
-- VS Code / Cursor JSK extension diagnostics (Problems on open/save) and
-  PascalCase component completions from `views/components` (v0.2.0).
-- `<!DOCTYPE>` (and other `<!…>` declarations) parse correctly in `.jsk`
-  instead of hanging the compiler.
-
-- `jskelet migrate` codemod for Next.js App Router → JSkelet: `scan` inventory,
-  `apply` (JSX pages → controller + `.jsk`, presentational components → HTML
-  string helpers, `"use client"` → island stubs), and `config` draft from
-  `next.config`. Ships with `@babel/parser` / `@babel/types`.
-- Published TypeScript declaration files under `types/` for `jskelet`,
-  `jskelet/client`, `jskelet/html`, `jskelet/tags`, `jskelet/cookies` and
-  `jskelet/log` (`npm run types`).
-- Client build accepts `.ts` / `.mts` entries and islands (esbuild); manifest
-  keys stay `*.js`. Conflicting stems (`main.js` + `main.ts`) fail the build.
-  Icon usage scan includes `.ts` / `.mts`.
-
-- Local flat `icons/` directory as the exclusive SVG sprite source when present
-  (`icons.dir`, default `"icons"`): `house.svg` / `house-bold.svg` file names,
-  XOR with `@phosphor-icons/core` (Phosphor only when the directory is absent).
-  The hashed sprite still lands under `public/assets/` and is precompressed.
-- Auth handoff hardening: `allowedCookieNames` allowlist, pending-ticket and
-  per-IP mint limits, and RFC 6265 cookie-name validation on `serializeCookie`
-  (`isValidCookieName`).
+- `robots.txt` responses gain a trailing JSkelet note that disallows framework
+  endpoints (`/_jskelet/`, `/__jskelet/`, `/_fragment/`, plus a custom admin,
+  image, handoff, or dev path when it sits outside those prefixes). Every
+  user-agent already named in the file is repeated in that block, so a
+  crawler-specific group still sees the rules.
+
+### Breaking
+
+- Dev gate is opt-in
+  `DEV_TOKEN` in the environment no longer locks the site. Require the token
+  only with `devGate: true` or `DEV_GATE=1`. `DEV_GATE=0` turns the gate off
+  even when config enabled it.
+- Cache ceilings
+  `cache().maxEntries` above 800, `cache().data.maxEntries` above 20,000, and
+  `prewarm.onVisit` above `perPage` 20, `rps` 2, or `concurrency` 2 are clamped
+  at load with a warning. `onVisit` `rps: 0` is no longer unlimited. The HTML
+  cache also stops growing past 256 MB of stored HTML plus compressed bodies;
+  a single page larger than that is not stored.
 
 ### Fixed
 
-- `jskelet dev` prints the real server failure (e.g. port already in use /
+- Visit warming skips pages that are already fresh when the cache key has a
+  vary prefix or a trailing `?`. With `vary.host`, warm requests stay on
+  loopback and send the public host as `x-forwarded-host`, so a second
+  `127.0.0.1` HTML entry is not created. The onVisit queue holds at most 64
+  paths.
+
+### Removed
+
+- `examples/marketing` — the marketing site now lives as a standalone app
+  outside this repository (`jskelet-marketing`).
+
+## [0.6.0] - 2026-09-21
+
+### Added
+
+- Port reclaim with `--murder`
+  `jskelet dev --murder` and `jskelet start --murder` kill whatever already
+  holds the listen port and bind in its place. Without the flag the CLI still
+  refuses to start, but now with a clear error (pid + hint) instead of a bare
+  `EADDRINUSE`.
+- Layout built-ins for `.jsk`
+  `<Stylesheets />`, `<BodyScripts />`, and `<JsonLd />` emit the asset /
+  script / JSON-LD loops from layout without calling helpers in the expression
+  language.
+- Framework default layout as `.jsk`
+  Ships as `src/templates/layout.jsk` with a checked-in `layout.render.js`
+  (`node scripts/compile-framework-layout.mjs`, `--check` for drift).
+  `jskelet/layout` points at the `.jsk` source; the legacy EJS copy remains at
+  `jskelet/layout/ejs`.
+- JSK editor tooling
+  The VS Code / Cursor JSK extension (v0.2.0) reports diagnostics in Problems
+  on open/save and offers PascalCase component completions from
+  `views/components`.
+- `<!DOCTYPE>` parsing in `.jsk`
+  Doctype and other `<!…>` declarations parse correctly instead of hanging the
+  template compiler.
+- `jskelet migrate` for Next.js App Router
+  Codemod with `scan` inventory, `apply` (JSX pages → controller + `.jsk`,
+  presentational components → HTML string helpers, `"use client"` → island
+  stubs), and `config` draft from `next.config`. Ships with `@babel/parser` /
+  `@babel/types`.
+- Published TypeScript declarations
+  `.d.ts` files under `types/` for `jskelet`, `jskelet/client`, `jskelet/html`,
+  `jskelet/tags`, `jskelet/cookies`, and `jskelet/log` (`npm run types`).
+- TypeScript client entries and islands
+  The client build accepts `.ts` / `.mts` entries and islands via esbuild;
+  manifest keys stay `*.js`. Conflicting stems (`main.js` + `main.ts`) fail the
+  build. Icon usage scan includes `.ts` / `.mts`.
+- Local `icons/` sprite source
+  When a flat `icons/` directory is present (`icons.dir`, default `"icons"`),
+  it is the exclusive SVG sprite source (`house.svg` / `house-bold.svg`).
+  Phosphor is used only when that directory is absent. The hashed sprite still
+  lands under `public/assets/` and is precompressed.
+- Auth handoff hardening
+  `allowedCookieNames` allowlist, pending-ticket and per-IP mint limits, plus
+  RFC 6265 cookie-name validation on `serializeCookie` (`isValidCookieName`).
+
+### Fixed
+
+- Clearer `jskelet dev` startup failures
+  The CLI prints the real server failure (for example port already in use /
   `--murder` hint) instead of only `server exited (code 1)` when the child
   dies during startup.
-- Marketing example icon sprite again includes trust-bar icons (`Package`,
-  `TextT`, `ShieldCheck`, …): `icons.scan` now covers `routes/` where those
-  names live after the `.jsk` migration (they were only declared in
-  controllers, not in scanned `lib`/`views`).
-
-- Open Graph routes with a `.png` suffix (`/og/…/:slug.png`) now escape the
-  dot for Express 5 / path-to-regexp, so the handler matches again instead of
-  falling through to the HTML 404.
-- Remote image optimizer no longer auto-follows redirects; each hop is
-  re-checked against `allowHosts`, blocked private addresses, and DNS
-  resolution (open-redirect SSRF).
+- Marketing trust-bar icons after `.jsk` migration
+  `icons.scan` now covers `routes/`, so names declared in controllers
+  (`Package`, `TextT`, `ShieldCheck`, …) land in the sprite again.
+- Open Graph routes with a `.png` suffix
+  Paths like `/og/…/:slug.png` escape the dot for Express 5 / path-to-regexp,
+  so the handler matches instead of falling through to the HTML 404.
+- Safer remote image optimizer redirects
+  Redirects are no longer followed blindly; each hop is re-checked against
+  `allowHosts`, blocked private addresses, and DNS resolution (open-redirect
+  SSRF).
 
 ### Breaking
 
-- `ejs` is an optional peer dependency. Apps that only use `.jsk` need not
-  install it; apps that still have `.ejs` views or layouts must
-  `npm i ejs`. Missing EJS when an `.ejs` file is rendered throws a clear
-  install/migrate hint.
-- `jskelet/layout` now resolves to `layout.jsk` (was `layout.ejs`). Use
+- `ejs` is an optional peer
+  Apps that only use `.jsk` need not install it; apps that still have `.ejs`
+  views or layouts must `npm i ejs`. Missing EJS when an `.ejs` file is
+  rendered throws a clear install/migrate hint.
+- Default layout export is `.jsk`
+  `jskelet/layout` now resolves to `layout.jsk` (was `layout.ejs`). Use
   `jskelet/layout/ejs` for the legacy file.
-
-- `auth.crossSubdomainHandoff` mint requires a non-empty
-  `allowedCookieNames` list; `true` alone no longer accepts arbitrary cookie
-  names.
-- Production client builds omit sourcemaps (development still emits them).
-- Secret-like `clientEnv` key names fail the build instead of being inlined.
+- Auth handoff requires cookie allowlist
+  `auth.crossSubdomainHandoff` mint needs a non-empty `allowedCookieNames`
+  list; `true` alone no longer accepts arbitrary cookie names.
+- Production builds omit client sourcemaps
+  Development still emits them; production client bundles do not.
+- Secret-like `clientEnv` keys fail the build
+  Names that look like secrets are rejected instead of being inlined into the
+  client bundle.
 
 ### Changed
 
-- Examples (`minimal`, `blog`, `dashboard`, `marketing`) use `.jsk` only
-  (layouts, pages, partials); EJS files removed from those trees.
-- Template compiler: unknown PascalCase components fail the build; clearer
-  errors for forbidden function calls, unknown includes (with location), and
-  unclosed `{#if}` / `{#each}` at EOF; icon scan recognizes `<Icon name="…" />`.
-- Docs / AGENTS / README present build-time `.jsk` as the default story; EJS
-  is documented as an optional legacy peer.
-
-- VS Code / Cursor extension (`extensions/vscode-jsk`) uses the new 3D `.jsk`
-  mark as both the marketplace extension icon and the explorer file icon for
-  `*.jsk`. Packages as a standalone VSIX (vendors `src/compile`) for
-  Marketplace publish.
-- `@babel/parser` and `@babel/types` are optional peers used only by migrate
-  (JSX/TSX parsing). They are no longer installed with every `jskelet`
-  install; missing peers throw an install hint (`npm i -D @babel/parser
-  @babel/types`). Unused `@babel/traverse` was dropped.
-
-- Auth handoff mint mounts **after** CSRF so origin checks apply to
+- Marketing changelog as release notes
+  `/changelog` hides Unreleased, lists every published release without
+  pagination, and shows each note as a titled card with a short headline plus
+  a longer explanation (Keep-a-Changelog sections: Added / Changed / Fixed /
+  …).
+- Examples are `.jsk` only
+  `minimal`, `blog`, `dashboard`, and `marketing` use `.jsk` for layouts,
+  pages, and partials; EJS files were removed from those trees.
+- Stricter, clearer template compiler
+  Unknown PascalCase components fail the build. Errors for forbidden function
+  calls, unknown includes (with location), and unclosed `{#if}` / `{#each}` at
+  EOF are clearer; icon scan recognizes `<Icon name="…" />`.
+- Docs present `.jsk` as the default
+  Docs / AGENTS / README tell the build-time `.jsk` story first; EJS is
+  documented as an optional legacy peer.
+- Standalone JSK VSIX packaging
+  The VS Code / Cursor extension (`extensions/vscode-jsk`) uses the new 3D
+  `.jsk` mark as marketplace and explorer icon, and packages as a standalone
+  VSIX (vendors `src/compile`) for Marketplace publish.
+- Migrate peers are optional
+  `@babel/parser` and `@babel/types` are optional peers used only by migrate.
+  They are no longer installed with every `jskelet` install; missing peers
+  throw an install hint. Unused `@babel/traverse` was dropped.
+- Auth handoff sits after CSRF
+  Mint mounts after CSRF so origin checks apply to
   `POST /_jskelet/auth/handoff`.
-- Docs (TR/EN): stronger `trustProxy` / `csrf.token` guidance and a fuller
-  security-headers example under `headers()`.
-- Marketing copy (EN/TR) and how-it-works examples present `.jsk` as the
-  default template surface instead of EJS; the compare column for hand-written
-  Express + EJS stays as a competitor. Scaffold and migrate mappings name
-  `.jsk` pages and layouts.
-- Framework and marketing brand mark: new geometric logo at `src/logo.png`
-  (admin / devtools) and `examples/marketing/public/logo.png`, replacing the
-  CDN-hosted mark. Marketing serves local favicons (`favicon.ico`, 16/32 PNG,
-  apple-touch-icon) via metadata `extraTags`.
-- In development (`NODE_ENV=development`), 5xx responses show a diagnostic
-  page with the error message and stack trace instead of the polished 500
-  status page / `hooks.error()`. Production still returns the minimal status
-  page with no internals.
-- Marketing fit copy (EN/TR) treats signed-in dashboards and per-visitor
-  panels as a supported path (`private: true`, fragments) instead of a
-  “wrong choice”; the poor-fit column now names SPA shells, collaborative
-  client trees, streaming/RSC, and built-in real-time transport.
-- Marketing example copy (EN/TR) reflects 0.5.x cache surfaces: host `vary`,
-  early refresh, classic vs `onVisit` prewarm, local `icons/`, shared cookies,
-  and `opengraph-image` → `ogHandler` on the migrate table. Pages now serve
-  per-locale dynamic OG cards at `/og/:locale/:page.png`.
-- Marketing changelog page restyled like a release-notes browser: measured
-  summary cards, search and newest/oldest sort, paginated open release cards
-  with Latest / Released badges and GitHub links (still driven by `CHANGELOG.md`).
-- Marketing example visual language tightened toward the dark cyan glass look:
-  shared `glass-panel` surfaces site-wide, numbered lit feature cards, a
-  3D stack illustration on the home hero, and rotating cyan border beams on
-  lit panels.
+- Stronger security docs
+  Docs (TR/EN) expand `trustProxy` / `csrf.token` guidance and include a
+  fuller security-headers example under `headers()`.
+- Marketing copy defaults to `.jsk`
+  EN/TR marketing and how-it-works examples present `.jsk` as the default
+  template surface; the compare column for hand-written Express + EJS stays as
+  a competitor. Scaffold and migrate mappings name `.jsk` pages and layouts.
+- New geometric brand mark
+  Framework and marketing logos live at `src/logo.png` (admin / devtools) and
+  `examples/marketing/public/logo.png`. Marketing serves local favicons via
+  metadata `extraTags`.
+- Development 5xx diagnostics
+  In `NODE_ENV=development`, 5xx responses show the error message and stack
+  instead of the polished 500 page / `hooks.error()`. Production still returns
+  the minimal status page with no internals.
+- Marketing fit copy for signed-in panels
+  EN/TR fit copy treats dashboards and per-visitor panels as a supported path
+  (`private: true`, fragments). The poor-fit column names SPA shells,
+  collaborative client trees, streaming/RSC, and built-in real-time transport.
+- Marketing copy for 0.5.x surfaces
+  EN/TR copy reflects host `vary`, early refresh, classic vs `onVisit`
+  prewarm, local `icons/`, shared cookies, and `opengraph-image` → `ogHandler`
+  on the migrate table. Pages serve per-locale OG cards at
+  `/og/:locale/:page.png`.
+- Marketing visual language
+  Dark cyan glass look with shared `glass-panel` surfaces, numbered lit feature
+  cards, a 3D stack illustration on the home hero, and rotating cyan border
+  beams on lit panels.
 
 ## [0.5.4] - 2026-09-18
 
@@ -503,7 +557,8 @@ Initial release.
 - Documentation under `docs/` and three examples: `minimal`, `blog`,
   `marketing`.
 
-[Unreleased]: https://github.com/ayberkenis/jskelet/compare/v0.5.4...HEAD
+[Unreleased]: https://github.com/ayberkenis/jskelet/compare/v0.6.0...HEAD
+[0.6.0]: https://github.com/ayberkenis/jskelet/compare/v0.5.4...v0.6.0
 [0.5.4]: https://github.com/ayberkenis/jskelet/compare/v0.5.3...v0.5.4
 [0.5.3]: https://github.com/ayberkenis/jskelet/compare/v0.5.2...v0.5.3
 [0.5.2]: https://github.com/ayberkenis/jskelet/compare/v0.5.1...v0.5.2

package/README.md

@@ -307,12 +307,13 @@ Anything reachable by a deeper path is internal and may change without notice.
 ## Deployment
 
 The server is a plain Express 5 app, so anything that can run a Node process
-works: a `Dockerfile` (see `examples/marketing/Dockerfile`), a systemd unit, or
-a PaaS. Run `jskelet build` at image build time, put a reverse proxy in front
-for TLS, and expose a health endpoint (the default dev gate bypass list already
-includes `/api/healthcheck`, so a route there is reachable in every mode).
-Details, including cache sizing behind multiple instances and the optional
-Redis tier, are in [docs/10-dagitim.md](./docs/10-dagitim.md) /
+works: a multi-stage `Dockerfile` (see [docs/10-dagitim.md](./docs/10-dagitim.md)),
+a systemd unit, or a PaaS. Run `jskelet build` at image build time, put a
+reverse proxy in front for TLS, and expose a health endpoint (the default
+dev gate bypass list already includes `/api/healthcheck`, so a route there is
+reachable in every mode). Details, including cache sizing behind multiple
+instances and the optional Redis tier, are in
+[docs/10-dagitim.md](./docs/10-dagitim.md) /
 [docs/en/10-deployment.md](./docs/en/10-deployment.md).
 
 ## Documentation
@@ -343,7 +344,6 @@ apply to this repository.
 ```bash
 npm --prefix examples/minimal   install && npm --prefix examples/minimal   run dev
 npm --prefix examples/blog      install && npm --prefix examples/blog      run dev
-npm --prefix examples/marketing install && npm --prefix examples/marketing run dev
 npm --prefix examples/dashboard install && npm --prefix examples/dashboard run dev
 ```
 
@@ -352,13 +352,6 @@ npm --prefix examples/dashboard install && npm --prefix examples/dashboard run d
 - **`examples/blog`** — dynamic routes, tag pages, every config section,
   fragment-loaded tabs, a form, prewarm, RSS and sitemap, four islands. It
   intentionally touches every surface of the framework.
-- **`examples/marketing`** — the framework's own marketing site: comparison
-  table, changelog and download pages, long TTLs, prewarm covering every page.
-  The byte counts on the page are measured from that site's own build output, the
-  version details are read from the installed package, and the latency numbers
-  are measured in the browser; there are no invented benchmarks. It is also
-  bilingual — English at the root, Turkish under `/tr` — which shows how to build
-  a multi-language site on a framework that ships no i18n of its own.
 - **`examples/dashboard`** — the opposite axis: per-visitor pages. A signed
   cookie session, a `private: true` page that never enters the HTML cache, a
   paginated table fragment, a CSRF-protected form that still works without

package/bin/jskelet.mjs

@@ -1,4 +1,4 @@
-#!/usr/bin/env node
+#!/usr/bin/env node
 /**
  * JSkelet CLI.
  *

package/docs/02-mimari.md

@@ -36,9 +36,10 @@ JSkelet bu gözlemi mimarinin merkezine alır:
  ├─ rewrites(beforeFiles)          config → proxy ya da req.url değişimi
  ├─ compression                    brotli/gzip pazarlığı (kalite 5)
  ├─ headers                        statik cache + config headers()
- ├─ devGate                        DEV_TOKEN varsa token yoksa 404
+ ├─ devGate                        gate açıksa ve token yoksa 404
  ├─ redirects                      config redirects(), ilk eşleşen kazanır
  ├─ trailingSlash                  config trailingSlash: true ise 308
+ ├─ robots.txt                     kullanıcının gövdesine framework Disallow'u ekler
  ├─ staticPrecompressed            build'de üretilmiş .br/.gz kopyalar (kalite 11)
  ├─ express.static                 public/ altındaki dosyalar
  ├─ (dev) devtools                 yalnızca NODE_ENV=development
@@ -71,6 +72,10 @@ sebebi var ve yer değiştirmek sessiz bozulmalara yol açıyor.
   bile dışarıya sızdırmamalı. `trailingSlash` config redirects'ten sonra durur,
   böylece açık kurallar istenen yolu önce görür; kanonik slash biçimi ikinci
   adımda dayatılır.
+- **`robots.txt`, statikten önce ve sıkıştırmanın içinde.** Uygulamanın
+  yazdığı gövde değişmez; framework kendi uçlarının `Disallow` kurallarını
+  sona ekler. Sıkıştırılmış bir kopyanın (`Content-Encoding`) üzerine
+  yazılmaz — ek düz metne konur, sıkıştırma dışarıda kalır.
 - **`staticPrecompressed`, `express.static`ten önce.** Build'de üretilmiş
   `.br`/`.gz` kopyalar varsa onlar servis edilir (brotli kalite 11); yoksa
   istek altındaki `static`e düşer ve middleware anında sıkıştırır (kalite 5).

package/docs/03-routing.md

@@ -156,7 +156,9 @@ okuduğunda render önbelleğe yazılmaz), ama doğru yer bayrak. Ayrıntılar
 ## `fragment()` — layout'suz parça
 
 Bir bölgeyi tazeleyen uçlar için. Layout basılmaz, yanıt `private, no-store` ve
-ETag'siz gider, HTML önbelleğine hiç uğramaz.
+ETag'siz gider, HTML önbelleğine hiç uğramaz. `/_fragment/` öneki
+`robots.txt`'in altına eklenir; parça uçları dizine girmez
+([04](./04-render-ve-sablonlar.md#robotstxt)).
 
 ```js
 app.get(

package/docs/04-render-ve-sablonlar.md

@@ -503,6 +503,31 @@ return {
 `renderHeadMeta(metadata)` fonksiyonu dışa açıktır; layout dışında (ör. bir
 fragment ya da e-posta) aynı etiketleri üretmek gerekirse kullanılabilir.
 
+## robots.txt
+
+`robots.txt`'i uygulama yazar: `public/robots.txt` ya da düz bir route.
+Framework bu gövdeyi değiştirmez; başarılı metin yanıtının **altına** bir
+JSkelet notu ve `Disallow` kuralları ekler. Dosya ya da route yoksa framework
+bir `robots.txt` uydurmaz.
+
+Eklenen yollar:
+
+- `/_jskelet/` — yönetim paneli, uzak görsel proxy, auth handoff
+- `/__jskelet/` — geliştirme araçları
+- `/_fragment/` — layout'suz parça yanıtları
+
+Bu öneklerin dışına taşınmış bir uç da eklenir, ama yalnızca gerçekten
+mount edildiyse: `admin.basePath`, `images.remote.path`,
+`auth.crossSubdomainHandoff.path`. `brand.devBasePath` yalnızca
+development'ta yazılır; production'da o yol uygulamanın kendi sayfası
+olabilir.
+
+Not, config'teki marka adıyla başlar (`brand.name`, varsayılan `JSkelet`).
+Alttaki grup `User-agent: *` ile birlikte dosyada adı geçen diğer ajanları
+da tekrarlar. Google, belirli bir ajana ait grubu `*` ile birleştirmez;
+aynı ajanın ikinci grubunu birleştirir. Not dosyada zaten varsa ikinci kez
+eklenmez.
+
 ## Dinamik OG görselleri
 
 Next.js `ImageResponse` / `opengraph-image.tsx` karşılığı. JSX yok: kart

package/docs/06-cache.md

@@ -223,7 +223,11 @@ kabul edilebilir, çünkü fiyat gibi canlı alanlar istemcide WebSocket'ten
 güncelleniyor.
 
 Store LRU'dur: erişilen girdi sona taşınır, sınır (`cache().maxEntries`,
-varsayılan 500) aşılınca en eski düşürülür.
+varsayılan 500) aşılınca en eski düşürülür. Config 500'ün üstünü isteyebilir;
+**800'ü geçemez** — daha yükseği uyarıyla 800'e çekilir. Bunun yanında süreç
+içi HTML string + sıkıştırılmış gövde **256 MB**'yi geçemez. Sayı tavanının
+altında kalan şişman sayfa veya `vary.host` kopyası da bu bütçede LRU ile
+düşer. Tek sayfa 256 MB'den büyükse saklanmaz; yanıt o istekte yine gider.
 
 ## Ne önbelleğe yazılır
 
@@ -1145,9 +1149,9 @@ export default {
       html: { "/": 60, "/haber/:slug": 300 },
       prewarm: {
         onVisit: {
-          perPage: 20,      // sayfa başına en fazla link
-          concurrency: 2,   // opsiyonel
-          rps: 4,           // opsiyonel; 0 = sınırsız
+          perPage: 20,      // sayfa başına en fazla link; tavan 20
+          concurrency: 2,   // tavan 2
+          rps: 2,           // tavan 2; 0 da 2'ye çekilir
         },
       },
     };
@@ -1163,7 +1167,14 @@ Kurallar:
   `private`, degraded veya `no-store` yanıtlar link çıkarmaz.
 - Isıtma isteğinin kendi UA'sı (`brand.prewarmUserAgent`) tetiklemez — sonsuz
   crawl olmaz.
-- Zaten taze olan yollar kuyruğa girmez.
+- Zaten taze olan yollar kuyruğa girmez. Anahtar `h=host|/yol?` biçimindedir;
+  kontrol vary önekini ve sondaki `?` işaretini de görür. `vary.host` açıkken
+  yalnızca bu isteğin host'u sıcak sayılır.
+- Bekleyen kuyruk en fazla 64 yoldur; taşan link bu turda alınmaz.
+- `perPage` 20, `rps` 2, `concurrency` 2 tavanıdır. Daha yükseği (ve `rps: 0`)
+  uyarıyla tavana çekilir. Isıtma isteği loopback'e gider; `vary.host` açıkken
+  public host `x-forwarded-host` ile taşınır, `h=127.0.0.1` diye ikinci girdi
+  açılmaz.
 - `nofollow`, `target="_blank"`, `data-no-prefetch`, `prewarmSkip` ve
   `navigation.exclude` Speculation Rules ile aynı muafiyetleri paylaşır.
 - Query string ısıtılmaz (varsayılan cache politikası query'yi dinamik sayar).
@@ -1306,8 +1317,8 @@ turlar upstream'e iki kat yük bindirirdi.
 `accept-encoding: br, gzip` başlıklarıyla gider; ikincisi sıkıştırılmış gövdenin
 de önbelleğe girmesi için.
 
-`DEV_TOKEN` ayarlıysa ısıtma token'ı çerez olarak taşır; yoksa dev gate tüm
-sayfalara 404 döner ve önbellek hiç dolmaz.
+Dev gate açıksa ısıtma token'ı çerez olarak taşır; yoksa gate tüm sayfalara
+404 döner ve önbellek hiç dolmaz. `DEV_TOKEN` tek başına gate'i açmaz.
 
 Dev panelindeki istek listesi ve terminal, `prewarmUserAgent` taşıyan istekleri
 filtreler: yüzlerce ısıtma isteği görünümü doldurmasın. İlerleme baloncuğun

package/docs/07-yapilandirma.md

@@ -293,14 +293,28 @@ static: {
 }
 ```
 
+## `devGate`
+
+**Tip:** `boolean` — **Varsayılan:** `false`
+
+Yayına açılmamış ortamı gizler. **`DEV_TOKEN` tek başına siteyi kilitlemez.**
+Paylaşılan bir task tanımı production'a da aynı değişkeni taşıyabilir; o
+durumda ziyaretçi token vermek zorunda kalmaz, site açık kalır.
+
+Gate'i açmak için `devGate: true` ya da `DEV_GATE=1`. İkisi de varken token
+taşımayan isteğe 404 döner. `DEV_GATE=0` config'teki açığı da kapatır. Token
+boşsa gate açık olsa da istekler geçer.
+
+Ayrıntı: [09-dev-araclari.md](./09-dev-araclari.md).
+
 ## `devGateBypass`
 
 **Tip:** `string[]` — **Varsayılan:**
 `["/api/healthcheck", "/robots.txt", "/sitemap.xml", "/site.webmanifest", "/favicon.ico"]`
 
 Dev gate'in hiçbir koşulda kapatmadığı **tam** yollar (önek değil, birebir
-eşleşme). `DEV_TOKEN` ayarlı bir ortamda sağlık kontrolünün ve robots
-dosyalarının erişilebilir kalması için. Verilirse varsayılanın yerine geçer.
+eşleşme). Gate açıkken sağlık kontrolünün ve robots dosyalarının erişilebilir
+kalması için. Verilirse varsayılanın yerine geçer.
 
 Ayrıntı: [09-dev-araclari.md](./09-dev-araclari.md).
 
@@ -429,7 +443,9 @@ body > footer { view-transition-name: site-footer; }
 ::view-transition-new(root) { animation-duration: 180ms; }
 ```
 
-Çalışan hâli `examples/marketing/styles/globals.css` içinde.
+Çalışan bir örnek için Tailwind `@source` ve view-transition CSS'ini kendi
+uygulamanızın `styles/globals.css` dosyasına taşıyın; yukarıdaki bloklar
+başlangıç noktasıdır.
 
 **CSP kullanıyorsanız** kurallar satır içi bir `<script type="speculationrules">`
 olarak basılır; `script-src` politikanızın buna izin vermesi gerekir.
@@ -755,13 +771,16 @@ HTML önbelleğinin girdi sınırı. Girdi başına yüz kilobayt düştüğü i
 yükseltmek belleği hızla tüketir; on binlerce yollu bir siteyi buradan çözmeye
 çalışmak yanlış katman, doğru yer `cache().data`.
 
+**Tavan 800.** Daha yükseği yüklemede uyarıyla 800'e çekilir. Süreç içi HTML +
+sıkıştırılmış gövde ayrıca 256 MB'yi geçemez; bu bütçe config'den yükseltilmez.
+
 ### `cache().data`
 
 Upstream veri önbelleği (`withDataCache`). Ayrıntı: [06-cache.md](./06-cache.md).
 
 | Alan | Tip | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
-| `maxEntries` | `number` | `10000` | LRU girdi sınırı. JSON, HTML'e göre onlarca kat küçük olduğu için sınır yüksek. |
+| `maxEntries` | `number` | `10000` | LRU girdi sınırı. JSON, HTML'e göre onlarca kat küçük olduğu için sınır yüksek. **Tavan 20000**; üstü uyarıyla kesilir. |
 | `staleFactor` | `number` | `10` | TTL dolduktan sonra girdinin kaç TTL boyunca daha kullanılabileceği. `0` → bayat servis yok. |
 
 ### `cache().trackUpstream`
@@ -1001,13 +1020,13 @@ prewarm: {
 | Alan | Tip | Varsayılan | Anlamı |
 | --- | --- | --- | --- |
 | `onVisit` | `true \| false \| object` | kapalı | Ziyaret tabanlı ısıtma |
-| `onVisit.perPage` | `number` | `20` | Sayfa başına üstten alta en fazla link |
-| `onVisit.concurrency` | `number` | klasik ile aynı | Paralel işçi |
-| `onVisit.rps` | `number` | klasik ile aynı | Saniyedeki tavan; `0` sınırsız |
+| `onVisit.perPage` | `number` | `20` | Sayfa başına üstten alta en fazla link. **Tavan 20** |
+| `onVisit.concurrency` | `number` | `2` | Paralel işçi. **Tavan 2** |
+| `onVisit.rps` | `number` | `2` | Saniyedeki tavan. **Tavan 2**; `0` da 2'ye çekilir |
 
 ```js
 prewarm: {
-  onVisit: { perPage: 20, rps: 4 },
+  onVisit: { perPage: 20, rps: 2 },
 }
 ```
 
@@ -1106,7 +1125,8 @@ basılmaz.
 | `PORT` | `startServer` | `3000` | Dinlenecek port. Doluysa süreç başlamaz; `jskelet start|dev --murder` dinleyiciyi öldürür |
 | `HOST` | `startServer` | `::` | Bağlanılacak arayüz. Varsayılan çift yığın dinler (IPv6 + IPv4); IPv6 yoksa `0.0.0.0`'a düşer |
 | `JSKELET_SECRET` | `jskelet/cookies` | — | İmzalı cookie sırrı. `security.cookieSecret` verilmediğinde buradan okunur; ikisi de yoksa imzalı cookie API'si hata verir. [12](./12-panel-ve-oturum.md) |
-| `DEV_TOKEN` | `devGate`, `prewarm` | — | Ayarlıysa token taşımayan her isteğe 404 döner. Isıtma token'ı çerez olarak taşır. [09](./09-dev-araclari.md) |
+| `DEV_GATE` | `devGate` | kapalı | `1` gate'i açar, `0` config'te açık olsa da kapatır. `DEV_TOKEN` tek başına açmaz. [09](./09-dev-araclari.md) |
+| `DEV_TOKEN` | `devGate`, `prewarm` | — | Gate açıkken beklenen sır. Yoksa veya gate kapalıysa site açık kalır. Isıtma, gate açıkken token'ı çerez olarak taşır. [09](./09-dev-araclari.md) |
 | `JSKELET_ADMIN` | `createApp` | — | Ayarlıysa yönetim panelini açar; `0` config'te açık olan paneli kapatır. Env config'i ezer, çünkü panel genelde bir arıza sırasında tek seferlik açılır. [06](./06-cache.md) |
 | `JSKELET_LOG_BUCKET` | `logs.s3` | — | Log hedefi: bucket ya da `bucket/prefix` yolu. Credential ile birlikte varsa sink otomatik açılır |
 | `JSKELET_S3_BUCKET` | `logs.s3` | — | `JSKELET_LOG_BUCKET` yoksa bucket; `JSKELET_S3_KEY_PREFIX` ile birleşir |

package/docs/09-dev-araclari.md

@@ -298,11 +298,19 @@ hiçbir şey yüklenmez.
 
 ## Dev gate — `DEV_TOKEN`
 
-Yayına açılmamış bir ortamı gizlemek için: `DEV_TOKEN` ayarlıyken token
-taşımayan **her** isteğe 404 döner.
+Yayına açılmamış bir ortamı gizlemek için. **Framework token'ı zorunlu tutmaz:**
+`DEV_TOKEN` ortamda durması siteyi kilitlemez. Gate'i siz açarsınız.
 
 ```bash
-DEV_TOKEN=uzun-rastgele-bir-dize npm start
+DEV_GATE=1 DEV_TOKEN=uzun-rastgele-bir-dize npm start
+```
+
+Aynı şey config ile:
+
+```js
+export default {
+  devGate: true,
+};
 ```
 
 Erişim:
@@ -322,10 +330,12 @@ Davranış:
   `/api/healthcheck`, `/robots.txt`, `/sitemap.xml`, `/site.webmanifest`,
   `/favicon.ico`. Sağlık kontrolünüz farklı bir yolda ise bu listeye eklemeyi
   unutmayın, aksi hâlde orkestratör 404 görür.
-- `DEV_TOKEN` yoksa middleware tamamen devre dışıdır ve üretimde hiçbir maliyeti
-  olmaz.
-- Isıtma kendi sunucusuna istek attığı için token'ı çerez olarak taşır; yoksa tüm
-  sayfalar 404 alır ve önbellek hiç dolmaz ([06-cache.md](./06-cache.md)).
+- `devGate` kapalıyken (varsayılan) veya `DEV_TOKEN` boşken middleware isteği
+  olduğu gibi geçirir. Production task'ına sızmış bir `DEV_TOKEN` ziyaretçiden
+  token istemez; açılışta bir uyarı basılır.
+- `DEV_GATE=0` config'te `devGate: true` olsa da gate'i kapatır.
+- Isıtma, gate açıkken token'ı çerez olarak taşır; yoksa tüm sayfalar 404 alır
+  ve önbellek hiç dolmaz ([06-cache.md](./06-cache.md)).
 
 Gate middleware zincirinde `headers`tan sonra, `redirects`ten **önce** durur:
 yayına açılmamış bir ortam yönlendirme kurallarını bile dışarıya sızdırmamalı.