orquestra-mcp 1.58.0 → 1.61.0

package/README.md

@@ -1,6 +1,6 @@
 # orquestra-mcp
 
-Servidor MCP (Model Context Protocol) para Orquestra. Expone **149 tools**
+Servidor MCP (Model Context Protocol) para Orquestra. Expone **158 tools**
 (conteo al 24 oct 2026, v1.49.0; la lista real está en `src/server.mjs`)
 que llaman a la API de `orquestra-infra`: lectura de contexto/dashboard/
 workspace/infra/paridad/listados, escritura de tareas/ideas/changelog/
@@ -42,6 +42,14 @@ de su caché.
 publicada. Con `@latest` cada arranque la usa; el servidor que ya está corriendo conserva
 la suya hasta que reconectas (en Claude Code: `/mcp` → reconectar).
 
+**Forzar la actualización:** reinicia la sesión (o `/mcp` → reconectar) y, si sigue la
+versión vieja, `npx clear-npx-cache`. Si registraste el MCP como `orquestra-mcp` sin
+`@latest`, migra con un comando:
+`claude mcp remove orquestra && claude mcp add orquestra -e ORQUESTRA_AGENT=claude-code -- npx -y orquestra-mcp@latest`.
+`diagnostico_conexion` (cuando no hay conexión) muestra la versión en uso frente a la
+última publicada y detecta configs sin `@latest`; con conexión, `get_project_context`
+trae `orquestraMcpUpdate` si hay versión nueva.
+
 Variable opcional `ORQUESTRA_WEB_URL` para apuntar el login a otro lugar
 (ej. `http://localhost:5173` mientras desarrollas `orquestra-web` local en
 vez de contra producción).
@@ -140,7 +148,9 @@ Lectura de contexto:
 | Tool | Args | Descripción |
 |---|---|---|
 | `get_project_context` | `projectId?` | Snapshot compacto del proyecto (fase, tareas abiertas/vencidas/bloqueadas, módulos, ideas, changelog reciente) |
-| `list_tasks` | `projectId?`, `statusId?` | Lista de tareas, filtro opcional por estatus |
+| `list_tasks` | `projectId?`, `statusId?`, `summary?`, `fields?`, `limit?`, `cursor?` | Lista de tareas, filtro opcional por estatus; en proyectos grandes usa `summary`/`fields`/`limit` y pagina con `nextCursor` |
+| `get_task` | `code?` o `id?` | Una tarea completa (checklist y verificaciones) por folio o id; 404 si no existe, 409 si el código es ambiguo |
+| `update_tasks` | `items[]` (1-50), `opId?` | Edita varias tareas en una llamada; respuesta parcial por ítem |
 | `search` | `projectId?`, `q` | Búsqueda por texto en tareas/notas/ideas/docs |
 | `get_dashboard_summary` | `projectId?` | Hoy/vencidas/bloqueadas, salud de módulos, actividad reciente |
 | `get_project_findings` | `projectId?` | Qué le falta al proyecto, priorizado por severidad (determinístico, sin créditos de IA) |
@@ -166,7 +176,7 @@ parcial: la lista completa está en `src/server.mjs`:
 | Entidad | Tools | Notas |
 |---|---|---|
 | Tareas | `create_task`, `update_task` | `update_task` incluye `scope` — úsalo para resolver desfases de paridad |
-| Verificaciones por plataforma | `list_verifications`, `add_verification`, `update_verification`, `delete_verification`, `verify_with_agent` | Confirmaciones (humanas o de agente) de que la tarea quedó bien en web/iOS/Android/API — NO van en el checklist. La tarea no cierra con verificaciones abiertas y se cierra sola al aprobarse la última; `failed` (con `note`) la regresa a su estatus anterior. También: `verifications` en `create_task`, `waiveVerifications` en `update_task` (solo con confirmación del usuario) y `verificationId` en `create_agent_run` |
+| Verificaciones por plataforma | `list_verifications`, `add_verification`, `add_verifications` (lote), `update_verification`, `delete_verification`, `verify_with_agent` | Confirmaciones (humanas o de agente) de que la tarea quedó bien en web/iOS/Android/API — NO van en el checklist. La tarea no cierra con verificaciones abiertas y se cierra sola al aprobarse la última; `failed` (con `note`) la regresa a su estatus anterior. También: `verifications` en `create_task`, `waiveVerifications` en `update_task` (solo con confirmación del usuario) y `verificationId` en `create_agent_run` |
 | Ideas | `list_ideas`, `create_idea`, `update_idea` | |
 | Changelog | `list_changelog`, `create_changelog_entry`, `update_changelog_entry` | Estilo Keep a Changelog |
 | Notas | `list_notes`, `create_note`, `update_note` | |
@@ -229,7 +239,7 @@ create/update sigue siendo criterio del agente y del humano.
 
 ## Estado
 
-149 tools (ver arriba): lectura (contexto, dashboard, workspace, infra, paridad, standup,
+158 tools (ver arriba): lectura (contexto, dashboard, workspace, infra, paridad, standup,
 sync report, setup guide, playbooks de etapa y de plataforma, catálogo de
 skills, search) + `list_*` de cada colección + creación/edición de tareas
 (con checklist, verificaciones por plataforma, tiempo, adjuntos, merge), ideas (con comentarios), notas,

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "orquestra-mcp",
-  "version": "1.58.0",
+  "version": "1.61.0",
   "description": "Servidor MCP de Orquestra -- 135 tools para leer y escribir tareas, ideas, changelog, infraestructura, contenido, QA y más desde un agente de IA",
   "type": "module",
   "bin": {

package/src/api.mjs

@@ -68,19 +68,20 @@ function buildUrl(config, path, params) {
 // Todas pasan por request() (http.mjs, ORQ-343): plazo por intento, cancelación de la tool y
 // reintentos acotados -- las lecturas ante fallas transitorias, las escrituras solo ante el
 // throttling del API Gateway (no llegó a la Lambda, no puede duplicar nada).
-const auth = config => ({ Authorization: `Bearer ${config.apiToken}` })
+// x-orquestra-client: la API lo lee para el origen de la bitácora de acceso (ORQ-480).
+const auth = config => ({ Authorization: `Bearer ${config.apiToken}`, 'x-orquestra-client': 'mcp' })
 const jsonHeaders = config => ({ ...auth(config), 'Content-Type': 'application/json' })
 
 export async function apiGet(config, path, params = {}) {
   return request(buildUrl(config, path, params), { headers: auth(config) })
 }
 
-export async function apiPost(config, path, { projectId, ...body }) {
-  return request(buildUrl(config, path, { projectId }), { method: 'POST', headers: jsonHeaders(config), body: JSON.stringify(body) })
+export async function apiPost(config, path, { projectId, ...body }, query = {}) {
+  return request(buildUrl(config, path, { projectId, ...query }), { method: 'POST', headers: jsonHeaders(config), body: JSON.stringify(body) })
 }
 
-export async function apiPatch(config, path, { projectId, id, ...body }) {
-  return request(buildUrl(config, `${path}/${id}`, { projectId }), { method: 'PATCH', headers: jsonHeaders(config), body: JSON.stringify(body) })
+export async function apiPatch(config, path, { projectId, id, ...body }, query = {}) {
+  return request(buildUrl(config, `${path}/${id}`, { projectId, ...query }), { method: 'PATCH', headers: jsonHeaders(config), body: JSON.stringify(body) })
 }
 
 // Mismo método que apiPatch, pero para un doc singleton SIN id en la ruta
@@ -94,8 +95,8 @@ export async function apiPatchPath(config, path, { projectId, ...body }) {
 // -- ver CLAUDE.md, "único delete_* real de la API/MCP"). Mismo shape que
 // apiPatch (arma la URL como `${path}/${id}`), sin body -- ningún delete de
 // esta API necesita mandar datos, solo identificar el recurso.
-export async function apiDelete(config, path, { projectId, id }) {
-  return request(buildUrl(config, `${path}/${id}`, { projectId }), { method: 'DELETE', headers: auth(config) })
+export async function apiDelete(config, path, { projectId, id }, query = {}) {
+  return request(buildUrl(config, `${path}/${id}`, { projectId, ...query }), { method: 'DELETE', headers: auth(config) })
 }
 
 // DELETE sobre un recurso singleton SIN id en la ruta (ej. /v1/client-portal,

package/src/platformPlaybooks.mjs

@@ -3,7 +3,7 @@
 // lo lee directo desde aca (mismo criterio que stages.mjs/foundations.mjs).
 // Puerto de TRACKING_TOOLS de la web: herramientas de medición conectables a una
 // distribución web. El ID vive en distributions.publishForm[key]. `pattern` valida
-// el formato (se serializa como string en la web, acá es el RegExp directo).
+// el formato (se serializa como string en la web, aquí es el RegExp directo).
 export const TRACKING_TOOLS = [
   { key: 'ga4_measurement_id', label: 'Google Analytics 4', idLabel: 'ID de medición', pattern: /^G-[A-Z0-9]{6,12}$/, example: 'G-ABC123DEF4', where: 'Google Analytics → Admin → Flujos de datos' },
   { key: 'meta_pixel_id',      label: 'Meta Pixel',         idLabel: 'ID del Pixel',    pattern: /^\d{8,20}$/,          example: '1234567890123456', where: 'Meta Business → Events Manager' },
@@ -312,7 +312,7 @@ export const PLATFORM_PLAYBOOKS = {
       {
         key: 'privacy_policy',
         title: 'Privacy policy URL',
-        body: 'Obligatoria para publicar -- Play Console valida que la URL responda 200 al guardarla, no solo que tenga formato de URL. Ojo con apps de una sola página (React Router y similares): si el hosting no tiene configurado el rewrite de SPA (servir index.html para cualquier ruta), una URL como /privacidad puede dar 404 real aunque el deploy haya salido bien -- probar la URL en el navegador ANTES de pegarla acá, no confiar en que "ya se desplegó" alcanza.',
+        body: 'Obligatoria para publicar -- Play Console valida que la URL responda 200 al guardarla, no solo que tenga formato de URL. Ojo con apps de una sola página (React Router y similares): si el hosting no tiene configurado el rewrite de SPA (servir index.html para cualquier ruta), una URL como /privacidad puede dar 404 real aunque el deploy haya salido bien -- probar la URL en el navegador ANTES de pegarla aquí, no confiar en que "ya se desplegó" alcanza.',
       },
       {
         key: 'ads_declaration',
@@ -332,7 +332,7 @@ export const PLATFORM_PLAYBOOKS = {
       {
         key: 'content_rating',
         title: 'Content rating questionnaire (IARC)',
-        body: 'Cuestionario largo, con sub-preguntas que se despliegan según tus respuestas. Puntos donde el criterio NO es obvio: "User Content Sharing" (¿la app permite nativamente intercambiar texto/voz/imágenes/audio entre usuarios?) es MÁS AMPLIO que el "User-Generated Content" de Apple -- Apple exime contenido privado dentro de un equipo, Google NO tiene esa excepción, así que comentarios/notas compartidas entre miembros de un workspace SÍ cuentan como "Yes" acá aunque sean privados. Si contestas "Yes" ahí, "¿las interacciones pueden limitarse a usuarios invitados?" responde "Yes" si el acceso es por invitación (esto ayuda a mantener la clasificación baja). El resto (violencia, sexual, lenguaje, drogas, apuestas) va en "No"/"None" para una app B2B típica -- resultado esperado: la clasificación más baja (3+/PEGI 3/Everyone).',
+        body: 'Cuestionario largo, con sub-preguntas que se despliegan según tus respuestas. Puntos donde el criterio NO es obvio: "User Content Sharing" (¿la app permite nativamente intercambiar texto/voz/imágenes/audio entre usuarios?) es MÁS AMPLIO que el "User-Generated Content" de Apple -- Apple exime contenido privado dentro de un equipo, Google NO tiene esa excepción, así que comentarios/notas compartidas entre miembros de un workspace SÍ cuentan como "Yes" aquí aunque sean privados. Si contestas "Yes" ahí, "¿las interacciones pueden limitarse a usuarios invitados?" responde "Yes" si el acceso es por invitación (esto ayuda a mantener la clasificación baja). El resto (violencia, sexual, lenguaje, drogas, apuestas) va en "No"/"None" para una app B2B típica -- resultado esperado: la clasificación más baja (3+/PEGI 3/Everyone).',
       },
       {
         key: 'target_audience',