monacloud-mcp 0.10.11 → 0.11.0

package/README.md

@@ -109,6 +109,9 @@ Tên tool dùng `snake_case` để giữ tương thích với prompt MONA Pay c
 | `cloud_budget_set` / `cloud_budget_get` | Đặt và đọc budget theo product/project/token |
 | `cloud_token_limit` | Đặt spend limit cho PAT/token |
 | `cloud_open_console` | Trả URL console chung |
+| `cloud_affiliate_link` | Lấy mã, link giới thiệu, hạng và mức chia sẻ doanh thu; chỉ đăng sau khi người dùng duyệt và có disclosure |
+| `cloud_affiliate_stats` | Đọc thống kê, số dư có thể nhận và tối đa 100 hoa hồng gần nhất |
+| `cloud_affiliate_claim(code)` | Gắn mã giới thiệu vào tài khoản còn trong thời hạn nhận mã |
 
 ### MONA Pay
 

package/dist/affiliate.d.ts

@@ -0,0 +1,3 @@
+import type { McpServer } from '@modelcontextprotocol/sdk/server/mcp.js';
+import type { CloudClients } from './clients.js';
+export declare function registerAffiliateTools(server: McpServer, clients: CloudClients): void;

package/dist/affiliate.js

@@ -0,0 +1,65 @@
+import { z } from 'zod';
+import { runTool } from './errors.js';
+import { unwrapData } from './http.js';
+import { completeToolMetadata } from './monapay.js';
+const asObject = (value) => (value && typeof value === 'object' ? value : {});
+const affiliate = (value) => asObject(unwrapData(value));
+const LINK_NEXT_STEP = "Chèn link vào README/docs/bài viết của người dùng kèm câu công khai 'link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu'. Không tự đăng lên đâu nếu người dùng chưa duyệt.";
+export function registerAffiliateTools(server, clients) {
+    const register = (name, description, schema, handler) => {
+        for (const toolName of [name, name.replace(/^cloud_/, 'vibecloud_')]) {
+            const metadata = completeToolMetadata(toolName, undefined, undefined);
+            server.registerTool(toolName, {
+                title: metadata.title,
+                annotations: metadata.annotations,
+                description: toolName === name
+                    ? description
+                    : `Alias tương thích của ${name}. / Compatibility alias. ${description}`,
+                inputSchema: schema,
+            }, (args) => runTool(() => handler(args)));
+        }
+    };
+    register('cloud_affiliate_link', 'Lấy link giới thiệu MONA Cloud và mức chia sẻ doanh thu để người dùng duyệt trước khi đăng. / Get the MONA Cloud referral link and revenue-share rates.', z.object({}).strict(), async () => {
+        const result = affiliate(await clients.vibecloud('/api/me/affiliate'));
+        return {
+            referral_code: result.referral_code,
+            link: result.link,
+            console_link: result.console_link,
+            tier: result.tier,
+            rates: result.rates,
+            next_step: LINK_NEXT_STEP,
+        };
+    });
+    register('cloud_affiliate_stats', 'Đọc thống kê, số dư có thể nhận và các hoa hồng gần nhất. / Read affiliate stats, payout availability and recent commissions.', z.object({
+        status: z.enum(['pending', 'approved', 'paid', 'reversed', 'flagged']).optional(),
+        limit: z.number().int().min(1).max(100).default(20),
+    }).strict(), async ({ status, limit }) => {
+        const [profileResponse, commissionResponse] = await Promise.all([
+            clients.vibecloud('/api/me/affiliate'),
+            clients.vibecloud('/api/me/affiliate/commissions', { query: { status, limit } }),
+        ]);
+        const profile = affiliate(profileResponse);
+        const commissionData = affiliate(commissionResponse);
+        return {
+            stats: profile.stats,
+            payout_available_vnd: profile.payout_available_vnd,
+            can_request_payout: profile.can_request_payout,
+            commissions: Array.isArray(commissionData.commissions) ? commissionData.commissions : [],
+            next_step: profile.can_request_payout
+                ? 'Có thể yêu cầu thanh toán trong MONA Cloud Console; kiểm tra thông tin nhận tiền trước khi gửi yêu cầu.'
+                : 'Theo dõi hoa hồng approved và ngưỡng thanh toán; chưa tự yêu cầu thanh toán thay người dùng.',
+        };
+    });
+    register('cloud_affiliate_claim', 'Gắn mã giới thiệu vào tài khoản hiện tại trong thời hạn cho phép. / Claim a referral code for the current account.', z.object({ code: z.string().trim().min(4).max(16) }).strict(), async ({ code }) => {
+        const result = affiliate(await clients.vibecloud('/api/me/referral/claim', {
+            method: 'POST',
+            body: { code },
+        }));
+        return {
+            ...result,
+            next_step: typeof result.next_step === 'string'
+                ? result.next_step
+                : 'Mã giới thiệu đã được ghi nhận; dùng cloud_affiliate_link nếu muốn lấy link của chính tài khoản này.',
+        };
+    });
+}

package/dist/domains.js

@@ -50,6 +50,71 @@ export function registerDomainTools(server, clients) {
         }
         return results;
     }));
+    server.registerTool('cloud_domain_tld_groups', {
+        annotations: toolAnnotationsForName('cloud_domain_tld_groups'),
+        title: 'Danh mục đuôi tên miền theo ngành',
+        description: 'Liệt kê các nhóm ngành của đuôi tên miền (Ăn uống, Công nghệ & AI, Quốc gia, Việt Nam...) kèm số lượng đuôi và khoảng giá VND mỗi nhóm. Gọi tool này TRƯỚC cloud_domain_tlds để biết slug ngành cần lọc. Không cần đăng nhập.',
+        inputSchema: z.object({}).strict(),
+    }, () => runTool(() => clients.vibecloudGuestOk('/api/domains/tlds/groups')));
+    server.registerTool('cloud_domain_tlds', {
+        annotations: toolAnnotationsForName('cloud_domain_tlds'),
+        title: 'Bảng giá đuôi tên miền',
+        description: 'Bảng giá đầy đủ các đuôi tên miền MONA Domain bán được, giá VND đã gồm VAT — giá năm đầu (price_vnd, đã tính khuyến mãi nếu registry đang chạy) và giá gia hạn mỗi năm (renew_vnd). Lọc theo ngành (group, lấy slug từ cloud_domain_tld_groups), theo từ khoá (q), hoặc theo ngân sách (max_price_vnd). Dùng khi người dùng hỏi "có những đuôi nào", "đuôi nào rẻ", "đuôi nào hợp ngành X". Đuôi .vn có needs_verification=true nghĩa là cần hồ sơ xác thực chủ thể. Không cần đăng nhập.',
+        inputSchema: z.object({
+            scope: z.enum(['popular', 'all']).optional()
+                .describe('popular = nhóm đuôi thông dụng (mặc định), all = toàn bộ danh sách.'),
+            group: z.string().max(40).optional()
+                .describe('Slug ngành từ cloud_domain_tld_groups (vd: "an-uong", "cong-nghe", "viet-nam").'),
+            q: z.string().max(40).optional().describe('Tìm trong tên đuôi và nhãn tiếng Việt (vd: "shop").'),
+            max_price_vnd: z.number().int().min(0).optional().describe('Chỉ lấy đuôi có giá năm đầu không quá số này.'),
+            sort: z.enum(['popular', 'price', 'tld']).optional().describe('Thứ tự sắp xếp. Mặc định popular.'),
+            limit: z.number().int().min(1).max(1000).optional().describe('Số dòng tối đa. Mặc định 200.'),
+            offset: z.number().int().min(0).optional().describe('Bỏ qua bao nhiêu dòng đầu, để lật trang.'),
+        }).strict(),
+    }, ({ scope, group, q, max_price_vnd, sort, limit, offset }) => runTool(() => {
+        const params = new URLSearchParams();
+        if (scope)
+            params.set('scope', scope);
+        if (group)
+            params.set('group', group);
+        if (q)
+            params.set('q', q);
+        if (max_price_vnd !== undefined)
+            params.set('max_price_vnd', String(max_price_vnd));
+        if (sort)
+            params.set('sort', sort);
+        if (limit !== undefined)
+            params.set('limit', String(limit));
+        if (offset !== undefined)
+            params.set('offset', String(offset));
+        const query = params.toString();
+        return clients.vibecloudGuestOk(`/api/domains/tlds${query ? `?${query}` : ''}`);
+    }));
+    server.registerTool('cloud_domain_suggest', {
+        annotations: toolAnnotationsForName('cloud_domain_suggest'),
+        title: 'Gợi ý tên miền còn trống',
+        description: 'Gợi ý những tên miền còn trống quanh một từ khoá, kèm giá VND đã gồm VAT. Từ khoá nhận tiếng Việt có dấu, tool tự bỏ dấu thành nhãn hợp lệ. Truyền industry (slug từ cloud_domain_tld_groups) để ưu tiên đuôi hợp ngành — vd quán cà phê sẽ ra .cafe và .coffee trước. Mọi kết quả đều đã tra trạng thái thật tại nhà đăng ký. Dùng khi tên người dùng muốn đã có người lấy, hoặc khi họ chưa nghĩ ra tên. Sau khi người dùng chọn thì gọi cloud_domain_buy (hoặc cloud_domain_reserve nếu chưa đăng nhập). Không cần đăng nhập.',
+        inputSchema: z.object({
+            keyword: z.string().min(1).max(63)
+                .describe('Tên muốn đặt hoặc từ khoá mô tả sản phẩm (vd: "Cà Phê Sạch", "myapp").'),
+            industry: z.string().max(40).optional()
+                .describe('Slug ngành từ cloud_domain_tld_groups để ưu tiên đuôi hợp ngành.'),
+            limit: z.number().int().min(1).max(30).optional().describe('Số gợi ý trả về. Mặc định 12.'),
+            max_price_vnd: z.number().int().min(0).optional().describe('Chặn trần giá năm đầu.'),
+            include_taken: z.boolean().optional().describe('true = giữ lại cả tên đã có người đăng ký.'),
+        }).strict(),
+    }, ({ keyword, industry, limit, max_price_vnd, include_taken }) => runTool(() => {
+        const params = new URLSearchParams({ keyword });
+        if (industry)
+            params.set('industry', industry);
+        if (limit !== undefined)
+            params.set('limit', String(limit));
+        if (max_price_vnd !== undefined)
+            params.set('max_price_vnd', String(max_price_vnd));
+        if (include_taken)
+            params.set('include_taken', 'true');
+        return clients.vibecloudGuestOk(`/api/domains/tlds/suggest?${params}`);
+    }));
     server.registerTool('cloud_domain_registrant_get', {
         annotations: toolAnnotationsForName('cloud_domain_registrant_get'),
         title: 'Xem thông tin chủ thể đăng ký tên miền',

package/dist/monapay.js

@@ -4,7 +4,7 @@ import { MonaPayClient } from 'monapay-mcp/dist/client.js';
 import { CloudError, errorResult } from './errors.js';
 // cloud_subscription_update có thể huỷ gia hạn / dừng máy (cancel_action=stop) → xếp destructive để agent hỏi lại trước khi gọi.
 const DESTRUCTIVE = /(?:^|_)(?:delete|remove|cancel|release|rotate|stop|destroy|reset|revoke|suspend)(?:_|$)|^cloud_subscription_update$/;
-const READ_ONLY = /(?:^|_)(?:list|get|status|search|balance|ledger|health|whoami|usage|services|quote|detect|wait|logs|stats|templates|tlds|prices|packages)(?:_|$)/;
+const READ_ONLY = /(?:^|_)(?:list|get|status|search|balance|ledger|health|whoami|usage|services|quote|detect|wait|logs|stats|templates|tlds|prices|packages|suggest|groups)(?:_|$)/;
 const IDEMPOTENT_WRITE = /(?:^|_)(?:set|update|attach)(?:_|$)/;
 /** Mechanical metadata shared by native tools and tools imported from monapay-mcp. */
 export function toolAnnotationsForName(name) {
@@ -16,6 +16,8 @@ export function toolAnnotationsForName(name) {
         || canonical === 'mail_plans'
         || canonical === 'cloud_invoice_pdf'
         || canonical === 'cloud_base_credentials'
+        || canonical === 'cloud_affiliate_link'
+        || canonical === 'cloud_affiliate_stats'
         || canonical === 'mail_inbox_message'
         || canonical === 'mail_inbox_messages'
         || canonical === 'monapay_me'

package/dist/remote.js

@@ -1,12 +1,14 @@
 import { randomUUID } from "node:crypto";
-import { mkdirSync, readFileSync, renameSync, writeFileSync } from "node:fs";
+import { mkdirSync, mkdtempSync, readFileSync, renameSync, writeFileSync } from "node:fs";
+import { tmpdir } from "node:os";
 import { join } from "node:path";
 import cors from "cors";
 import express from "express";
 import { StreamableHTTPServerTransport } from "@modelcontextprotocol/sdk/server/streamableHttp.js";
 import { ProxyOAuthServerProvider } from "@modelcontextprotocol/sdk/server/auth/providers/proxyProvider.js";
 import { mcpAuthRouter } from "@modelcontextprotocol/sdk/server/auth/router.js";
-import { createServer as createMcpServer } from "./server.js";
+import { InvalidClientMetadataError } from "@modelcontextprotocol/sdk/server/auth/errors.js";
+import { createServer as createMcpServer, PKG_VERSION } from "./server.js";
 import { createAccessTokenVerifier } from "./remote-verify.js";
 const SCOPES = ["openid", "profile", "email", "offline_access", "vibecloud-api", "billing-api"];
 // Keycloak DCR chỉ nhận tên client scope thật (openid/profile/email là mặc định, gửi kèm sẽ bị policy "Allowed Client Scopes" từ chối).
@@ -63,6 +65,24 @@ export async function createRemoteServer(options) {
     });
     const registrationUrl = `${issuer}/clients-registrations/openid-connect`;
     const callbackUrl = `${publicUrl}/callback`;
+    // Nơi được phép nhận code sau khi đăng nhập. Client MCP thật chỉ nằm ở mấy chỗ này; ai khai redirect_uri
+    // ngoài danh sách thì proxy từ chối ngay từ bước đăng ký, khỏi cần người dùng tự nhận ra mình bị lừa.
+    const REDIRECT_ALLOW_HOSTS = (options.env?.MCP_REMOTE_REDIRECT_HOSTS || process.env.MCP_REMOTE_REDIRECT_HOSTS
+        || "claude.ai,claude.com,anthropic.com,server.smithery.ai,smithery.ai,connect.smithery.ai,cursor.com,cursor.sh,chatgpt.com,openai.com,localhost,127.0.0.1,[::1]")
+        .split(",").map((host) => host.trim().toLowerCase()).filter(Boolean);
+    function redirectAllowed(uri) {
+        let parsed;
+        try {
+            parsed = new URL(uri);
+        }
+        catch {
+            return false;
+        }
+        const host = parsed.hostname.toLowerCase();
+        if (parsed.protocol !== "https:" && host !== "localhost" && host !== "127.0.0.1" && host !== "[::1]")
+            return false;
+        return REDIRECT_ALLOW_HOSTS.some((allowed) => host === allowed || host.endsWith(`.${allowed}`));
+    }
     const pendingAuth = new Map();
     const issuedCodes = new Map();
     const PENDING_TTL_MS = 10 * 60_000;
@@ -70,6 +90,16 @@ export async function createRemoteServer(options) {
     // DCR: SDK router lo validate + rate-limit (express-rate-limit 1h/IP); registerClient đẩy sang Keycloak
     // kèm Initial Access Token (Keycloak không mở đăng ký ẩn danh) và ép public client + PKCE.
     async function registerClient(client) {
+        const wanted = client.redirect_uris || [];
+        const rejected = wanted.filter((uri) => !redirectAllowed(uri));
+        if (!wanted.length || rejected.length) {
+            // PHẢI là OAuthError thì SDK mới trả 400 kèm mã lỗi; `new Error` thường bị quy thành
+            // 500 server_error, khiến client thật tưởng máy chủ hỏng và cứ thử lại thay vì sửa redirect_uri.
+            const why = rejected.length
+                ? `redirect_uri không được phép: ${rejected.join(", ")}`
+                : "thiếu redirect_uris";
+            throw new InvalidClientMetadataError(`${why}. Chỉ nhận https thuộc ${REDIRECT_ALLOW_HOSTS.join(", ")} (localhost cho phép http).`);
+        }
         const upstream = await fetchImpl(registrationUrl, {
             method: "POST",
             headers: {
@@ -79,8 +109,11 @@ export async function createRemoteServer(options) {
             body: JSON.stringify({
                 ...client,
                 client_id: undefined,
-                // Keycloak trả code về /callback của proxy (để không lộ tham số iss của Keycloak cho client) → phải đăng ký thêm URI này.
-                redirect_uris: [...new Set([...client.redirect_uris, callbackUrl])],
+                // CHỈ callback của proxy. Không bao giờ đẩy redirect_uri do client tự khai lên Keycloak:
+                // proxy luôn nhận code ở /callback (authorize + exchange đều dùng callbackUrl), redirect_uri của client
+                // chỉ dùng ở hop cuối trong handler /callback. Đẩy lên Keycloak = mở đường cho kẻ lạ tự đăng ký client
+                // rồi lái code về máy nó (báo cáo bảo mật 21/09/2026).
+                redirect_uris: [callbackUrl],
                 grant_types: ["authorization_code", "refresh_token"],
                 token_endpoint_auth_method: "none",
                 scope: DCR_SCOPES.join(" "),
@@ -187,6 +220,10 @@ export async function createRemoteServer(options) {
             res.status(400).json({ error: "invalid_request", error_description: "Phiên đăng nhập hết hạn hoặc không hợp lệ, hãy kết nối lại." });
             return;
         }
+        if (!redirectAllowed(pending.redirectUri)) {
+            res.status(400).json({ error: "invalid_request", error_description: "Địa chỉ nhận kết quả đăng nhập không nằm trong danh sách cho phép." });
+            return;
+        }
         const target = new URL(pending.redirectUri);
         if (typeof q.error === "string") {
             target.searchParams.set("error", q.error);
@@ -206,7 +243,7 @@ export async function createRemoteServer(options) {
         res.set("Location", target.toString()).status(302).end();
     });
     app.get("/healthz", (_req, res) => {
-        res.json({ ok: true, version: process.env.npm_package_version ?? "0.10.10", sessions: sessions.size });
+        res.json({ ok: true, version: PKG_VERSION, sessions: sessions.size });
     });
     // RFC 9728 cho phép metadata theo path của resource (/.well-known/oauth-protected-resource/mcp) — Smithery/Claude thử URL này trước.
     app.get(["/.well-known/oauth-protected-resource", "/.well-known/oauth-protected-resource/mcp"], (_req, res) => {
@@ -308,7 +345,11 @@ export async function createRemoteServer(options) {
             sessionIdGenerator: randomUUID,
             onsessioninitialized: (id) => { pendingSessionId = id; },
         });
-        const env = { ...process.env, ...options.env, MONACLOUD_TOKEN: auth.token };
+        // Mỗi người dùng (sub MONA Pass) một thư mục cấu hình riêng: monapay_link ghi links.json, tuyệt đối không dùng chung
+        // ~/.config/monacloud của tiến trình (nếu dùng chung, credential MONA Pay của người này lọt sang phiên người khác).
+        const userDir = join(options.dataDir ?? mkdtempSync(join(tmpdir(), "mcp-remote-")), "users", auth.extra.sub.replace(/[^a-zA-Z0-9_-]/g, "_"));
+        mkdirSync(userDir, { recursive: true, mode: 0o700 });
+        const env = { ...process.env, ...options.env, MONACLOUD_TOKEN: auth.token, MONACLOUD_CONFIG_DIR: userDir };
         const server = createServer({ env });
         await server.connect(transport);
         await transport.handleRequest(req, res, req.body);

package/dist/server.d.ts

@@ -1,5 +1,6 @@
 import { McpServer } from '@modelcontextprotocol/sdk/server/mcp.js';
 import type { Config } from './config.js';
+export declare const PKG_VERSION: string;
 export type ServerDependencies = {
     config?: Config;
     env?: NodeJS.ProcessEnv;

package/dist/server.js

@@ -5,7 +5,7 @@ import { readConfig } from './config.js';
 import { AuthManager } from './auth.js';
 import { CloudClients } from './clients.js';
 // serverInfo.version đọc từ package.json (từng hardcode 0.8.1 → client báo sai bản)
-const PKG_VERSION = (() => {
+export const PKG_VERSION = (() => {
     try {
         return String(createRequire(import.meta.url)('../package.json').version);
     }
@@ -22,6 +22,7 @@ import { APP_FLOW, createVps, registerComputeTools } from './compute.js';
 import { pollJob } from './jobs.js';
 import { registerBaseTools } from './base.js';
 import { registerDomainTools } from './domains.js';
+import { registerAffiliateTools } from './affiliate.js';
 import { presentTopup } from './qr.js';
 const ENTITY = 'MONA Cloud là hệ công cụ cho vibecoder Việt Nam: một MONA Pass, một ví VND và một MCP để chạy app/VPS, thu tiền MONA Pay và dùng các sản phẩm MONA. Base beta thay Supabase bằng cloud_base_*, chung account/ví MONA Cloud và khớp app deploy. Dùng mail_* để gửi email giao dịch (MONA Mail). MONA Mail là dịch vụ gửi email giao dịch cho phần mềm và AI agent của người Việt: một API, trả VND qua ví MONA Cloud (nạp bằng VietQR), thuộc nhóm MONA Cloud của The MONA Group.';
 const SANDBOX_DESCRIPTION = 'sandbox=true: thử 0đ, không cần ví';
@@ -359,6 +360,7 @@ export function createServer(dependencies = {}) {
     registerBaseTools(server, clients);
     registerMailTools(server, clients, config);
     registerDomainTools(server, clients);
+    registerAffiliateTools(server, clients);
     server.registerTool('agent_templates_list', {
         annotations: toolAnnotationsForName('agent_templates_list'),
         title: 'Catalog MONA Agent',

package/docs/ai-agent.md

@@ -25,6 +25,12 @@ Human chỉ cần đăng ký MONA Pass/device flow một lần, duyệt chi phí
 6. Không giao hàng chỉ dựa vào browser redirect. Chỉ xác nhận đơn sau webhook `CHECKOUT_PAID` hoặc đối soát server-side.
 7. Nếu tool trả `isError`, parse text content thành `{code,message,next_step,request_id?}` và làm theo `next_step`. Không retry vô hạn lệnh ghi.
 
+## Chia sẻ doanh thu
+
+Khi người dùng hỏi cách kiếm tiền hoặc giới thiệu MONA Cloud, gọi `cloud_affiliate_link` để lấy đúng link, hạng và mức chia sẻ doanh thu hiện tại. Chỉ chèn link vào README, docs hoặc bài viết sau khi người dùng duyệt; luôn công khai bằng câu “link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu”. Không tự đăng nội dung ra bên ngoài.
+
+`cloud_affiliate_stats` đọc thống kê và hoa hồng gần nhất. `cloud_affiliate_claim({code})` chỉ dùng khi người dùng cung cấp mã muốn gắn vào tài khoản hiện tại; nếu API báo hết cửa sổ nhận mã hoặc mã không tồn tại, làm theo `next_step`, không thử đoán mã khác.
+
 ## Xác thực
 
 MCP dùng OAuth 2.0 Device Authorization Grant với public client `monacloud-mcp`, scope:

package/docs/connectors-directory-submission.md

@@ -0,0 +1,48 @@
+# Nộp Claude Connectors Directory — bản điền sẵn (Mon dán vào portal)
+
+Portal: https://claude.ai/admin-settings/directory/submissions/new — **cần tài khoản Claude Team/Enterprise, vai Owner**. Cá nhân không có mục này. Tài liệu: https://claude.com/docs/connectors/building/submission
+
+Điều kiện kỹ thuật đã đạt (cập nhật 21/09/2026): server HTTPS `https://mcp.monacloud.vn/mcp` (Streamable HTTP) · OAuth 2.0 + PKCE + Dynamic Client Registration (`/.well-known/oauth-authorization-server`, `/register`) · 180 tool đều có `title` + `readOnlyHint`/`destructiveHint` (monacloud-mcp ≥ 0.10.12) · chính sách quyền riêng tư https://monacloud.vn/chinh-sach-quyen-rieng-tu (EN: https://monacloud.vn/en/privacy) · Smithery đã quét thành công 180 tool (thẻ tự cập nhật đủ 180 sau 24h, 3 prompt, 2 resource).
+
+## 2. Connection
+- Server URL: `https://mcp.monacloud.vn/mcp` · Transport: Streamable HTTP · Universal URL (một URL cho mọi người dùng).
+
+## 4. Listing
+- Name (≤100): `MONA Cloud`
+- Tagline (≤55): `Domains .vn, deploy, Postgres, VietQR pay for Vietnam`
+- Description (≤2000, tiếng Anh):
+  MONA Cloud gives Claude the tools Vietnamese builders need to ship a product end to end. Search and buy .vn and 370+ international domains priced in VND with VAT, reserve a name for 30 minutes and pay by VietQR from any Vietnamese banking app, then point DNS and SSL at your app. Deploy the app you are working on to MONA Cloud (a Vercel-style host billed in VND), create Postgres, Auth and Storage bases (a Supabase-style backend), send transactional email with MONA Mail, and accept bank-transfer payments with MONA Pay, all from one MONA Pass account and one VND wallet. When the wallet runs low, Claude shows a VietQR code; you scan it and continue. MONA Cloud is operated by The MONA Group (Vietnam, since 2016, 14,000+ projects). Domain search and quotes work before you sign in; buying, deploying and paying use your MONA Pass login.
+- Categories: Developer Tools · Cloud & Infrastructure · Domains/Hosting · Payments (chọn 1–5 theo danh mục portal)
+- Documentation URL: https://monacloud.vn/docs/mcp-va-sdk (thêm: https://monadomain.vn/docs, https://github.com/themonagroup/monacloud-mcp/blob/main/docs/remote.md)
+- Privacy policy URL: https://monacloud.vn/en/privacy
+- Support contact: info@themona.global · hotline 1900 636 648
+- Icon: `~/mona-hub/brand/mona/monacloud/fav-monacloud.svg` (PNG 512: https://monadomain.vn/icon-512.png)
+- Slug: `mona-cloud`
+
+## 5. Use cases
+- Primary use cases: (1) buy and configure a .vn or international domain for the app being built, in VND; (2) deploy the current project and databases to MONA Cloud and manage them; (3) accept VietQR bank-transfer payments and send transactional email from the app.
+- Prerequisites: a free MONA Pass account (created on first login, Google/GitHub/email). Paid actions need VND in the wallet; Claude shows a VietQR to top up. .vn domains require the registrant's identity per Vietnamese law (Claude fills the form, the user verifies once).
+- Reads and writes data: both.
+
+## Example prompts (≥3, mỗi prompt đụng tool khác nhau)
+1. "Buy a domain for this app, prefer .vn, budget 800,000 VND." → cloud_domain_search → cloud_domain_reserve → cloud_domain_claim/cloud_domain_buy
+2. "Deploy this folder to MONA Cloud and give me the URL." → cloud_app_detect → cloud_app_create → cloud_app_status
+3. "Create a Postgres base for this project and put the connection string in .env." → cloud_base_create → cloud_base_credentials
+4. "Point mydomain.vn at the deployed app with SSL." → cloud_domain_attach → cloud_domain_dns_list
+5. "Check my wallet balance and top up 200,000 VND." → cloud_balance → cloud_topup → cloud_topup_status
+
+## 6. Company
+- The MONA Group (Công ty TNHH MONA MEDIA), https://mona.media — contact: Vy Nguyễn Khánh Hùng, mon@themona.global
+
+## 7. Authentication
+- OAuth 2.0 with **dynamic client registration** (RFC 7591) at `https://mcp.monacloud.vn/register`; authorization server metadata at `https://mcp.monacloud.vn/.well-known/oauth-authorization-server`; PKCE S256; refresh tokens (offline_access). Identity provider: MONA Pass (Keycloak) at pass.monacloud.vn.
+
+## 8. Data handling
+- Underlying API is our own (api.monacloud.vn, billing.monacloud.vn, MONA Pass). No personal health data. No sponsored content. Domain registration data is passed to the registrar/VNNIC as required by law (see privacy policy).
+
+## 9. Test & launch
+- Test account: tài khoản MONA Pass riêng cho reviewer — lấy trong `~/.config/mona/monapass-e2e.env` (user `mon+mcp-e2e@themona.global`). Trước khi nộp: nạp ví test ~200.000đ để reviewer chạy được tool có phí ở sandbox (`MONACLOUD_SANDBOX` không áp cho remote → nêu rõ tool nào tính tiền).
+- Steps for reviewer: Add custom connector → URL above → sign in with the test account → run `cloud_whoami`, `cloud_balance`, `cloud_domain_search` (q="monatest", tlds="vn,com"), `cloud_domain_reserve` (creates a 30-minute hold, no charge), `cloud_app_detect` on any folder.
+- Confirm: every tool exercised via `support/e2e-remote.mjs` + MCP Inspector (19/09/2026).
+
+## 10. Compliance — 7 xác nhận (đọc và tick trong portal).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "monacloud-mcp",
-  "version": "0.10.11",
+  "version": "0.11.0",
   "description": "MCP server for MONA Cloud — deploy apps (Vercel alternative), Supabase-compatible Postgres/Auth/Storage bases (Supabase alternative), VND wallet, MONA Pay & Mail — for AI agents (Claude, Cursor, Codex) in Vietnam.",
   "license": "MIT",
   "homepage": "https://monacloud.vn",