utn-mcp 0.8.0 → 0.8.2

package/README.md

@@ -48,7 +48,7 @@ Necesitás [Node.js](https://nodejs.org) 20 o superior. No hace falta clonar el
 ```bash
 npx -y utn-mcp login
 ```
-Te pide tu regional, tu usuario y tu contraseña: los mismos con los que entrás al aula virtual. Si no tenés usuario institucional (por ejemplo, en el curso de ingreso), usá el que te dieron para el aula. Se hace una sola vez: después el servidor renueva la sesión solo.
+Te pide tu regional, tu usuario y tu contraseña: los mismos con los que entrás al aula virtual. Si no tenés usuario institucional (por ejemplo, en el curso de ingreso), usá el que te dieron para el aula. En Córdoba (FRC) los alumnos entran con el mail completo (`<legajo>@<especialidad>.frc.utn.edu.ar`), no con el legajo solo; con una cuenta `@frc.utn.edu.ar`, con lo que va antes de la `@`. En Haedo (FRH) y San Nicolás (FRSN) se entra con el mail completo de Office 365 (en FRH, del estilo `<inicial><apellido><3 dígitos del legajo>@alumnos.frh.utn.edu.ar`). Se hace una sola vez: después el servidor renueva la sesión solo.
 
 ### 2. Agregarlo a tu cliente
 
@@ -120,14 +120,14 @@ utn-mcp login
 y en la config del cliente usás `"command": "utn-mcp"` sin argumentos.
 
 ### Regionales
-La regional se elige al iniciar sesión, de una lista con las regionales de la UTN. Buenos Aires (FRBA), Resistencia (FRRE) y Tucumán (FRT) ya están probadas. El login se adapta solo: si el aula entra por SSO (Keycloak), como FRBA, usa el SSO; si no, el login directo de Moodle.
+La regional se elige al iniciar sesión, de una lista con las regionales de la UTN. Buenos Aires (FRBA), Córdoba (FRC), Resistencia (FRRE) y Tucumán (FRT) ya están probadas. También está el aula de la Tecnicatura en Programación a distancia del SIED (TUP). El login se adapta solo: si el aula entra por SSO, sea un Keycloak propio (FRBA) u Office 365 (Haedo, FRH, y San Nicolás, FRSN), usa el SSO; si no, el login directo de Moodle. Si tu cuenta de Office 365 pide segundo factor (MFA), el login te pregunta con qué método seguir y te pide el código o que apruebes en el celular. Como el servidor renueva la sesión sin vos delante, con MFA te va a pedir que vuelvas a iniciar sesión cuando venza (dura semanas).
 
 La lista puede traer regionales que nadie probó todavía: su aula tiene habilitado el servicio que usa UTN-MCP, así que casi seguro anda. En un servidor hosteado, la primera persona que entra con una de esas la deja verificada para el resto. Las que no tienen el servicio habilitado aparecen como "todavía sin soporte": se pueden elegir, pero el login avisa que por ahora no se puede usar y no manda la contraseña.
 
 Si tu campus no está en la lista, abrí un [issue](https://github.com/nialvape/utn-mcp/issues) con la URL de su aula virtual para sumarlo. Mientras tanto, podés usarlo definiendo en un `.env` en la carpeta desde donde corrés `utn-mcp` (o en el entorno):
 ```bash
 UTN_AULA_BASE_URL=https://tu-campus.utn.edu.ar
-# UTN_SSO_HOST=auth.tu-campus.utn.edu.ar  # solo si usa Keycloak
+# UTN_SSO_HOST=auth.tu-campus.utn.edu.ar  # solo si entra por SSO: Keycloak, o login.microsoftonline.com si es Office 365
 ```
 Aparece como una opción más al iniciar sesión.
 

package/build/aula-virtual/client/link.js

@@ -6,9 +6,10 @@ import { AULA_PLATFORM } from "./stored-session.js";
  * guarda la sesión (el token). La contraseña se usa solo acá: no se guarda en ningún lado.
  * Lo usan `utn-mcp login --http`, el login por OAuth de la versión hosteada y `/admin/verificar`.
  * `regional` tiene que venir con su soporte en este servidor (`availableRegionals` con las verificadas).
+ * `secondFactor` contesta el MFA de Microsoft si la cuenta lo pide.
  */
-export async function linkAulaAccount(store, regional, credentials) {
-    const token = await fetchToken(regional, credentials);
+export async function linkAulaAccount(store, regional, credentials, secondFactor) {
+    const token = await fetchToken(regional, credentials, secondFactor);
     // El token recién emitido: si falla, no hay con qué renovarlo.
     const fresh = {
         getRegional: async () => regional,
@@ -20,14 +21,15 @@ export async function linkAulaAccount(store, regional, credentials) {
     const own = await getOwnUser(fresh);
     // La primera vez que alguien entra a una regional sin verificar se prueban también los cursos: si
     // anda, queda verificada para todos los de este servidor.
+    let firstVerifier = false;
     if (regional.support === "candidate") {
         await getUserCourses(fresh);
-        await store.markRegionalVerified(regional.id);
+        firstVerifier = await store.markRegionalVerified(regional.id);
     }
     // El de Moodle, en minúscula, igual que en `users`: es con lo que se compara al renovar.
     const username = own.username.toLowerCase();
     const userId = await store.findOrCreateUser(regional.id, username, own.email ?? undefined);
     const data = { username, token };
     await store.saveSession(userId, AULA_PLATFORM, JSON.stringify(data));
-    return { userId, regional, username, fullname: own.fullname, email: own.email };
+    return { userId, regional, username, fullname: own.fullname, email: own.email, firstVerifier };
 }

package/build/aula-virtual/client/local-session.js

@@ -31,12 +31,12 @@ export class LocalSession {
         });
         return this.refreshing;
     }
-    /** Obtiene un token nuevo y lo guarda. */
-    async login(regional, credentials) {
+    /** Obtiene un token nuevo y lo guarda. Sin `secondFactor` (al renovar solo), una cuenta con MFA no entra. */
+    async login(regional, credentials, secondFactor) {
         if (!credentials)
             throw new LoginRequiredError();
         logger.info(`Obteniendo token del aula virtual de ${regional.name}...`);
-        const token = await fetchToken(regional, credentials);
+        const token = await fetchToken(regional, credentials, secondFactor);
         await this.write({ token, obtainedAt: new Date().toISOString(), regional: regional.id });
         return token;
     }

package/build/aula-virtual/client/regionals.js

@@ -1,3 +1,5 @@
+/** Office 365: cada regional tiene su tenant, pero el login es siempre en este host. */
+const MICROSOFT_SSO = { provider: "microsoft", host: "login.microsoftonline.com" };
 /**
  * El soporte de las que no son `verified` sale de `tool_mobile_get_public_config`, que Moodle contesta
  * sin login (octubre de 2026). Falta Villa María (FRVM): no encontramos su aula.
@@ -9,7 +11,7 @@ const REGIONALS = [
         id: "frba",
         name: "Buenos Aires (FRBA)",
         baseUrl: "https://aulasvirtuales.frba.utn.edu.ar",
-        ssoHost: "auth.frba.utn.edu.ar",
+        sso: { provider: "keycloak", host: "auth.frba.utn.edu.ar" },
         support: "verified",
     },
     { id: "frch", name: "Chubut (FRCh)", baseUrl: "https://frch.cvg.utn.edu.ar", support: "candidate" },
@@ -18,11 +20,11 @@ const REGIONALS = [
     { id: "frc", name: "Córdoba (FRC)", baseUrl: "https://uv.frc.utn.edu.ar", support: "verified" },
     { id: "frd", name: "Delta (FRD)", baseUrl: "https://frd.cvg.utn.edu.ar", support: "candidate" },
     { id: "frgp", name: "General Pacheco (FRGP)", baseUrl: "https://frgp.cvg.utn.edu.ar", support: "candidate" },
-    // Office 365.
-    { id: "frh", name: "Haedo (FRH)", baseUrl: "https://frh.cvg.utn.edu.ar", support: "unsupported" },
+    { id: "frh", name: "Haedo (FRH)", baseUrl: "https://frh.cvg.utn.edu.ar", sso: MICROSOFT_SSO, support: "candidate" },
     { id: "frlp", name: "La Plata (FRLP)", baseUrl: "https://frlp.cvg.utn.edu.ar", support: "candidate" },
     { id: "frlr", name: "La Rioja (FRLR)", baseUrl: "https://frlr.cvg.utn.edu.ar", support: "candidate" },
-    // Tiene también frmdp.cvg.utn.edu.ar, pero ese no tiene el servicio habilitado y entra con Office 365.
+    // Tiene también frmdp.cvg.utn.edu.ar, pero ese entra con Office 365 y no tiene el mobile web service
+    // habilitado, así que no puede emitir token aunque se resuelva el login.
     { id: "frmdp", name: "Mar del Plata (FRMDP)", baseUrl: "https://campus.mdp.utn.edu.ar", support: "candidate" },
     // Sin el servicio habilitado.
     { id: "frm", name: "Mendoza (FRM)", baseUrl: "https://campusvirtual.frm.utn.edu.ar", support: "unsupported" },
@@ -33,8 +35,7 @@ const REGIONALS = [
     { id: "frre", name: "Resistencia (FRRE)", baseUrl: "https://frre.cvg.utn.edu.ar", support: "verified" },
     { id: "frro", name: "Rosario (FRRo)", baseUrl: "https://frro.cvg.utn.edu.ar", support: "candidate" },
     { id: "frsfco", name: "San Francisco (FRSFco)", baseUrl: "https://frsfco.cvg.utn.edu.ar", support: "candidate" },
-    // Office 365.
-    { id: "frsn", name: "San Nicolás (FRSN)", baseUrl: "https://frsn.cvg.utn.edu.ar", support: "unsupported" },
+    { id: "frsn", name: "San Nicolás (FRSN)", baseUrl: "https://frsn.cvg.utn.edu.ar", sso: MICROSOFT_SSO, support: "candidate" },
     { id: "frsr", name: "San Rafael (FRSR)", baseUrl: "https://campus.frsr.utn.edu.ar/moodle", support: "candidate" },
     { id: "frsc", name: "Santa Cruz (FRSC)", baseUrl: "https://frsc.cvg.utn.edu.ar", support: "candidate" },
     { id: "frsf", name: "Santa Fe (FRSF)", baseUrl: "https://campusvirtual.frsf.utn.edu.ar", support: "candidate" },
@@ -42,6 +43,8 @@ const REGIONALS = [
     { id: "frtdf", name: "Tierra del Fuego (FRTDF)", baseUrl: "https://cvg.frtdf.utn.edu.ar", support: "unsupported" },
     { id: "frtl", name: "Trenque Lauquen (FRTL)", baseUrl: "https://frtl.cvg.utn.edu.ar", support: "candidate" },
     { id: "frt", name: "Tucumán (FRT)", baseUrl: "https://frt.cvg.utn.edu.ar", support: "verified" },
+    // No es una regional sino el aula de la Tecnicatura en Programación a distancia del SIED.
+    { id: "tup", name: "Tecnicatura en Programación (SIED)", baseUrl: "https://tup.sied.utn.edu.ar", support: "verified" },
     // Sin el servicio habilitado.
     { id: "frvt", name: "Venado Tuerto (FRVT)", baseUrl: "https://frvt.cvg.utn.edu.ar", support: "unsupported" },
 ];
@@ -52,7 +55,7 @@ export class UnknownRegionalError extends Error {
     constructor(regional) {
         super(`"${regional}" no es una regional conocida. Las válidas son: ${availableRegionals().map((r) => r.id).join(", ")}. ` +
             "Si tu campus no está en la lista, borrá UTN_REGIONAL y definí UTN_AULA_BASE_URL con la URL del aula " +
-            "(y UTN_SSO_HOST si usa Keycloak).");
+            "(y UTN_SSO_HOST si entra por SSO: el host del Keycloak, o login.microsoftonline.com si es Office 365).");
     }
 }
 /** Su aula no tiene el servicio habilitado o entra por un SSO que no sabemos usar: ni se intenta entrar. */
@@ -72,7 +75,13 @@ function customRegional() {
         return undefined;
     const baseUrl = raw.replace(/\/+$/, "");
     const host = new URL(baseUrl).host;
-    return { id: host, name: host, baseUrl, ssoHost: process.env.UTN_SSO_HOST?.trim() || undefined, support: "verified" };
+    const ssoHost = process.env.UTN_SSO_HOST?.trim();
+    const sso = !ssoHost
+        ? undefined
+        : ssoHost === MICROSOFT_SSO.host
+            ? MICROSOFT_SSO
+            : { provider: "keycloak", host: ssoHost };
+    return { id: host, name: host, baseUrl, sso, support: "verified" };
 }
 /**
  * Las que se pueden elegir al iniciar sesión: el catálogo y, si está definida, la de UTN_AULA_BASE_URL.

package/build/aula-virtual/client/sso-login.js

@@ -1,4 +1,5 @@
 import { randomInt } from "node:crypto";
+import { setTimeout as sleep } from "node:timers/promises";
 import { CookieJar } from "tough-cookie";
 import { UnsupportedRegionalError } from "./regionals.js";
 import { MoodleError } from "./moodle-api.js";
@@ -17,22 +18,37 @@ export class InvalidCredentialsError extends Error {
 }
 const MAX_REDIRECTS = 20;
 const TIMEOUT_MS = 30_000;
+const PROVIDERS = {
+    keycloak: {
+        link: /href="([^"]*\/auth\/oauth2\/login\.php[^"]*)"/,
+        submit: submitKeycloakForm,
+        loginError: extractLoginError,
+    },
+    microsoft: {
+        link: /href="([^"]*\/auth\/oidc\/[^"]*)"/,
+        submit: submitMicrosoftForm,
+        loginError: microsoftLoginError,
+    },
+};
 /**
  * Obtiene un token del web service. Dos estrategias según la regional:
- * - Regionales con SSO (Keycloak, ej. FRBA): flujo de launch.php, que usa la sesión del SSO. Si el
- *   SSO rechaza las credenciales, `login/token.php`: hay usuarios sin cuenta en el SSO.
+ * - Regionales con SSO (Keycloak como FRBA, Office 365 como FRH): flujo de launch.php, que usa la
+ *   sesión del SSO. Si el SSO rechaza las credenciales, `login/token.php`: hay usuarios sin cuenta en
+ *   el SSO.
  * - Regionales con login directo de Moodle (ej. FRT): primero `login/token.php` (no depende del
  *   plugin de mobile launch, que puede estar deshabilitado); si falla, flujo de launch.php.
  * Las cookies se usan solo durante el login y se descartan: las sesiones de Moodle y del SSO duran
  * horas y el token, semanas, así que no sirven para renovarlo.
+ * `secondFactor` contesta el MFA de Microsoft; sin él (las renovaciones solas), una cuenta con MFA da
+ * `MfaRequiredError`.
  */
-export async function fetchToken(regional, credentials) {
+export async function fetchToken(regional, credentials, secondFactor) {
     if (regional.support === "unsupported")
         throw new UnsupportedRegionalError(regional);
-    const { baseUrl, ssoHost } = regional;
+    const { baseUrl, sso } = regional;
     const jar = new CookieJar();
     // Regionales con login directo: intentamos token.php primero (no depende de launch.php).
-    if (!ssoHost) {
+    if (!sso) {
         const viaTokenPhp = await tryTokenPhp(baseUrl, credentials);
         if (viaTokenPhp)
             return viaTokenPhp;
@@ -42,21 +58,22 @@ export async function fetchToken(regional, credentials) {
     let landing = await follow(jar, launchUrl);
     if ("token" in landing)
         return landing.token;
-    const oauthUrl = landing.html.match(/href="([^"]*\/auth\/oauth2\/login\.php[^"]*)"/)?.[1];
-    if (oauthUrl) {
-        landing = await follow(jar, decodeHtml(oauthUrl));
+    const ssoProvider = sso ? PROVIDERS[sso.provider] : undefined;
+    const ssoHref = ssoProvider && landing.html.match(ssoProvider.link)?.[1];
+    if (sso && ssoProvider && ssoHref) {
+        landing = await follow(jar, new URL(decodeHtml(ssoHref), landing.url).toString());
         if ("token" in landing)
             return landing.token;
-        if (ssoHost && new URL(landing.url).host === ssoHost) {
-            landing = await submitSsoForm(jar, landing.html, credentials);
+        if (new URL(landing.url).host === sso.host) {
+            landing = await ssoProvider.submit(jar, landing, credentials, secondFactor);
             if ("token" in landing)
                 return landing.token;
-            if (ssoHost && new URL(landing.url).host === ssoHost) {
+            if (new URL(landing.url).host === sso.host) {
                 // Aspirantes del ingreso y algunas tecnicaturas no tienen cuenta en el SSO: entran con el login de Moodle.
                 const viaTokenPhp = await tryTokenPhp(baseUrl, credentials);
                 if (viaTokenPhp)
                     return viaTokenPhp;
-                throw new InvalidCredentialsError(extractLoginError(landing.html));
+                throw new InvalidCredentialsError(ssoProvider.loginError(landing.html));
             }
         }
     }
@@ -79,13 +96,268 @@ export async function fetchToken(regional, credentials) {
     landing = await follow(jar, launchUrl);
     if ("token" in landing)
         return landing.token;
-    if (!ssoHost) {
+    if (!sso) {
         const viaTokenPhp = await tryTokenPhp(baseUrl, credentials);
         if (viaTokenPhp)
             return viaTokenPhp;
     }
     throw unexpected(landing.url);
 }
+/** La cuenta pide MFA y no hay quién lo conteste: pasa al renovar solo, sin el usuario delante. */
+export class MfaRequiredError extends LoginRequiredError {
+    constructor() {
+        super("Tu cuenta de Microsoft pide un segundo factor (MFA), que solo se completa al iniciar sesión: " +
+            "corré `utn-mcp login`.");
+        this.name = "MfaRequiredError";
+    }
+}
+/** El segundo factor no se pudo completar; el mensaje dice por qué y se le puede mostrar al usuario. */
+export class MfaError extends Error {
+    constructor(message) {
+        super(message);
+        this.name = "MfaError";
+    }
+}
+/** Los `authMethodId` que se completan sin navegador: los demás (FIDO, Windows Hello) necesitan uno. */
+const MFA_METHODS = {
+    PhoneAppNotification: { kind: "approve", label: "Notificación de Microsoft Authenticator" },
+    CompanionAppsNotification: { kind: "approve", label: "Notificación de Microsoft Authenticator" },
+    PhoneAppOTP: { kind: "code", label: "Código de Microsoft Authenticator" },
+    OneWaySMS: { kind: "code", label: "Código por SMS" },
+    TwoWayVoiceMobile: { kind: "approve", label: "Llamada al celular" },
+    TwoWayVoiceAlternateMobile: { kind: "approve", label: "Llamada al celular alternativo" },
+    TwoWayVoiceOffice: { kind: "approve", label: "Llamada al teléfono de la oficina" },
+};
+/** Intentos de código antes de cortar: Microsoft también bloquea después de varios. */
+const MAX_CODE_ATTEMPTS = 3;
+/** Cada cuánto se pregunta si ya se aprobó, en milisegundos, y cuántas veces (un minuto en total). */
+const APPROVE_POLL_MS = 2_000;
+const APPROVE_POLLS = 30;
+/** Cantidad máxima de pasos de Microsoft entre la contraseña y la vuelta al aula (MFA, KMSI y similares). */
+const MAX_MICROSOFT_STEPS = 8;
+/**
+ * Formulario de Office 365 (Microsoft Entra ID). No es un `<form>`: los datos están en el `$Config` de
+ * la página. Después de la contraseña pueden venir el segundo factor y "¿Mantener la sesión iniciada?"
+ * antes del formulario que vuelve al aula con el `code`. No completa logins federados (ADFS).
+ */
+async function submitMicrosoftForm(jar, page, { username, password }, secondFactor) {
+    const ssoHost = new URL(page.url).host;
+    const cfg = parseAadConfig(page.html);
+    if (!cfg?.urlPost || !cfg.sFT) {
+        throw new Error("No se encontró el formulario de Microsoft; puede que haya cambiado o que el login sea federado.");
+    }
+    let landing = await follow(jar, new URL(cfg.urlPost, page.url).toString(), {
+        method: "POST",
+        body: new URLSearchParams({
+            login: username,
+            loginfmt: username,
+            passwd: password,
+            type: "11",
+            LoginOptions: "3",
+            flowToken: cfg.sFT,
+            ctx: cfg.sCtx ?? "",
+            canary: cfg.canary ?? "",
+            i13: "0",
+            ps: "2",
+        }),
+    });
+    for (let i = 0; i < MAX_MICROSOFT_STEPS; i++) {
+        if ("token" in landing)
+            return landing;
+        const form = findPostForm(landing.html);
+        const action = form && new URL(form.action, landing.url).toString();
+        if (form && action && new URL(action).host !== ssoHost) {
+            return follow(jar, action, { method: "POST", body: new URLSearchParams(form.inputs) });
+        }
+        const step = parseAadConfig(landing.html);
+        if (step?.arrUserProofs?.length) {
+            if (!secondFactor)
+                throw new MfaRequiredError();
+            landing = await completeMfa(jar, landing, step, username, secondFactor);
+            continue;
+        }
+        if (step?.sErrorCode)
+            return landing;
+        if (step?.urlPost) {
+            landing = await follow(jar, new URL(step.urlPost, landing.url).toString(), {
+                method: "POST",
+                body: new URLSearchParams({
+                    LoginOptions: "1",
+                    type: "28",
+                    ctx: step.sCtx ?? "",
+                    flowToken: step.sFT ?? "",
+                    canary: step.canary ?? "",
+                }),
+            });
+            continue;
+        }
+        if (form && action) {
+            landing = await follow(jar, action, { method: "POST", body: new URLSearchParams(form.inputs) });
+            continue;
+        }
+        throw unexpected(landing.url);
+    }
+    throw new Error("Demasiados pasos en el login de Microsoft.");
+}
+/**
+ * El segundo factor de Microsoft, con los mismos endpoints que usa su página: `BeginAuth` lo arranca
+ * (manda la notificación, el SMS o la llamada), `EndAuth` lo verifica (con el código, o preguntando si
+ * ya se aprobó) y `ProcessAuth` sigue el login, que vuelve a la página siguiente (KMSI o el aula).
+ */
+async function completeMfa(jar, page, cfg, username, secondFactor) {
+    const proofs = cfg.arrUserProofs ?? [];
+    const methods = proofs.flatMap(({ authMethodId: id, display }) => {
+        const known = id ? MFA_METHODS[id] : undefined;
+        return id && known ? [{ id, kind: known.kind, label: display ? `${known.label} · ${display}` : known.label }] : [];
+    });
+    if (!methods.length) {
+        const ids = proofs.map((p) => p.authMethodId).join(", ");
+        throw new MfaError(`Tu cuenta de Microsoft solo tiene métodos de segundo factor que necesitan el navegador (${ids}). ` +
+            "Agregá Microsoft Authenticator o un teléfono en https://mysignins.microsoft.com/security-info y volvé a intentar.");
+    }
+    if (!cfg.urlBeginAuth || !cfg.urlEndAuth || !cfg.urlPost) {
+        throw new Error("No se encontró el formulario del segundo factor de Microsoft; puede que haya cambiado.");
+    }
+    const preferred = proofs.find((p) => p.isDefault)?.authMethodId;
+    methods.sort((a, b) => Number(b.id === preferred) - Number(a.id === preferred));
+    const chosenId = methods.length > 1 ? await secondFactor({ step: "choose", methods }) : methods[0].id;
+    const method = methods.find((m) => m.id === chosenId);
+    if (!method)
+        throw new MfaError("Ese método de segundo factor no está entre los de tu cuenta.");
+    const sasUrl = (url) => new URL(url, page.url).toString();
+    const begin = await postSas(jar, sasUrl(cfg.urlBeginAuth), {
+        AuthMethodId: method.id,
+        Method: "BeginAuth",
+        ctx: cfg.sCtx ?? "",
+        flowToken: cfg.sFT ?? "",
+    });
+    if (!begin.Success)
+        throw new MfaError(`Microsoft no pudo arrancar el segundo factor (${begin.Message || begin.ResultValue}).`);
+    const endAuth = (extra) => postSas(jar, sasUrl(cfg.urlEndAuth), {
+        Method: "EndAuth",
+        AuthMethodId: method.id,
+        SessionId: begin.SessionId,
+        FlowToken: begin.FlowToken,
+        Ctx: begin.Ctx,
+        ...extra,
+    });
+    let end;
+    let otc = "";
+    if (method.kind === "code") {
+        for (let attempt = 0; attempt < MAX_CODE_ATTEMPTS && !end?.Success; attempt++) {
+            otc = (await secondFactor({ step: "code", method, retry: attempt > 0 })).replace(/\s/g, "");
+            end = await endAuth({ AdditionalAuthData: otc, PollCount: 1 });
+            if (!end.Success && !/incorrect|wrongcode/i.test(end.ResultValue ?? ""))
+                break;
+        }
+    }
+    else {
+        await secondFactor({ step: "approve", method, number: begin.Entropy || undefined });
+        for (let poll = 1; poll <= APPROVE_POLLS; poll++) {
+            end = await endAuth({ PollCount: poll });
+            if (end.Success || end.ResultValue !== "AuthenticationPending")
+                break;
+            await sleep(APPROVE_POLL_MS);
+        }
+    }
+    if (!end?.Success) {
+        const reason = end?.ResultValue === "AuthenticationPending" ? "no llegó la aprobación a tiempo" : end?.Message || end?.ResultValue;
+        throw new MfaError(`Microsoft no aceptó el segundo factor (${reason}). Volvé a iniciar sesión para probar de nuevo.`);
+    }
+    return follow(jar, sasUrl(cfg.urlPost), {
+        method: "POST",
+        body: new URLSearchParams({
+            request: end.Ctx ?? begin.Ctx ?? "",
+            mfaAuthMethod: method.id,
+            flowToken: end.FlowToken ?? begin.FlowToken ?? "",
+            canary: cfg.canary ?? "",
+            otc,
+            login: username,
+            hideSmsInMfaProofs: "false",
+        }),
+    });
+}
+/** POST JSON a `SAS/BeginAuth` o `SAS/EndAuth`, con las cookies del login. */
+async function postSas(jar, url, body) {
+    const cookie = await jar.getCookieString(url);
+    const res = await fetch(url, {
+        method: "POST",
+        headers: { "content-type": "application/json", accept: "application/json", ...(cookie ? { cookie } : {}) },
+        body: JSON.stringify(body),
+        signal: AbortSignal.timeout(TIMEOUT_MS),
+    });
+    for (const setCookie of res.headers.getSetCookie()) {
+        await jar.setCookie(setCookie, url, { ignoreError: true });
+    }
+    try {
+        return (await res.json());
+    }
+    catch {
+        throw new Error(`Respuesta inesperada del segundo factor de Microsoft (${res.status}).`);
+    }
+}
+/** El motivo del rechazo en una página de Microsoft (ej. AADSTS50126: usuario o contraseña incorrectos). */
+function microsoftLoginError(html) {
+    const cfg = parseAadConfig(html);
+    if (!cfg?.sErrorCode)
+        return undefined;
+    return cfg.strServiceExceptionMessage || `AADSTS${cfg.sErrorCode}`;
+}
+/**
+ * Extrae el objeto `$Config={...}` que Microsoft embebe en sus páginas de login, recorriendo las
+ * llaves a mano (el objeto es grande y una regex no lo acota bien). Devuelve null si no está.
+ */
+function parseAadConfig(html) {
+    const at = html.indexOf("$Config=");
+    if (at < 0)
+        return null;
+    const start = html.indexOf("{", at);
+    if (start < 0)
+        return null;
+    let depth = 0;
+    let inStr = false;
+    let esc = false;
+    for (let i = start; i < html.length; i++) {
+        const c = html[i];
+        if (inStr) {
+            if (esc)
+                esc = false;
+            else if (c === "\\")
+                esc = true;
+            else if (c === '"')
+                inStr = false;
+        }
+        else if (c === '"')
+            inStr = true;
+        else if (c === "{")
+            depth++;
+        else if (c === "}" && --depth === 0) {
+            try {
+                return JSON.parse(html.slice(start, i + 1));
+            }
+            catch {
+                return null;
+            }
+        }
+    }
+    return null;
+}
+/** El primer `<form method="post">` de la página: su `action` y sus inputs ocultos. */
+function findPostForm(html) {
+    const m = html.match(/<form\b[^>]*>([\s\S]*?)<\/form>/i);
+    if (!m || !/method\s*=\s*["']?post/i.test(m[0]))
+        return null;
+    const action = m[0].match(/action\s*=\s*["']([^"']*)["']/i)?.[1];
+    if (!action)
+        return null;
+    const inputs = {};
+    for (const input of m[1].matchAll(/<input\b[^>]*>/gi)) {
+        const name = input[0].match(/name\s*=\s*["']([^"']*)["']/i)?.[1];
+        if (name)
+            inputs[name] = decodeHtml(input[0].match(/value\s*=\s*["']([^"']*)["']/i)?.[1] ?? "");
+    }
+    return { action: decodeHtml(action), inputs };
+}
 /**
  * Pide el token a /login/token.php (Moodle estándar). Devuelve null si el aula no lo expone
  * (no contesta JSON), para seguir con launch.php; si contesta con un error, lo propaga.
@@ -113,14 +385,20 @@ async function tryTokenPhp(baseUrl, credentials) {
     if (data.errorcode === "invalidlogin" || /invalid login/i.test(data.error ?? "")) {
         throw new InvalidCredentialsError(data.error);
     }
+    // Hay aulas (ej. la TUP) a las que se les rompe un plugin de autenticación con cada login
+    // rechazado: contestan `generalexceptionmessage`, y el formulario web muestra la misma excepción.
+    if (data.errorcode === "generalexceptionmessage") {
+        throw new InvalidCredentialsError(`${data.error} (es un error interno del aula, que en algunas aparece cuando el usuario o la contraseña están mal)`);
+    }
     // El mismo servicio lo usa launch.php: si token.php lo rechaza, seguir no sirve.
     throw new MoodleError(`El aula no dio el token (${data.errorcode ?? res.status}): ${data.error ?? "respuesta sin token"}. ` +
         "Si dice que el servicio web no está disponible, lo tiene que habilitar el admin del aula.", data.errorcode);
 }
-async function submitSsoForm(jar, html, { username, password }) {
+/** Formulario de Keycloak: el `action` viene en el `loginAction` del JSON que arma la página. */
+async function submitKeycloakForm(jar, { html }, { username, password }) {
     const action = html.match(/"loginAction"\s*:\s*("(?:[^"\\]|\\.)*")/)?.[1];
     if (!action)
-        throw new Error("No se encontró el formulario del SSO; puede que haya cambiado.");
+        throw new Error("No se encontró el formulario de Keycloak; puede que haya cambiado.");
     const body = new URLSearchParams({ username, password, rememberMe: "on", credentialId: "" });
     return follow(jar, JSON.parse(action), { method: "POST", body });
 }

package/build/aula-virtual/client/stored-session.js

@@ -1,6 +1,6 @@
 import { loadCredentials } from "./credentials.js";
 import { defaultRegional, findRegional } from "./regionals.js";
-import { fetchToken, LoginRequiredError } from "./sso-login.js";
+import { fetchToken, LoginRequiredError, MfaRequiredError } from "./sso-login.js";
 /** Con qué nombre guarda el aula su sesión en el store. */
 export const AULA_PLATFORM = "aula";
 /**
@@ -47,7 +47,9 @@ export class StoredAulaSession {
             (credentials.regional ?? defaultRegional().id) === regional.id;
         if (!credentials || !sameUser)
             throw this.loginRequired("La sesión del aula venció.");
-        const token = await fetchToken(regional, credentials);
+        const token = await fetchToken(regional, credentials).catch((e) => {
+            throw e instanceof MfaRequiredError ? this.loginRequired("Tu cuenta de Microsoft pide un segundo factor (MFA).") : e;
+        });
         // Sin `...stored`: las sesiones guardadas antes traen cookies, que ya no se usan.
         const data = { username: stored.username, token };
         await this.store.saveSession(this.userId, AULA_PLATFORM, JSON.stringify(data));

package/build/aula-virtual/login.js

@@ -12,7 +12,8 @@ import { availableRegionals, defaultRegional } from "./client/regionals.js";
  */
 export async function runLogin(http) {
     const regional = await askRegional();
-    const username = (await ask("Usuario de la UTN: ")).trim();
+    const prompt = regional.sso?.provider === "microsoft" ? "Mail de Office 365: " : "Usuario de la UTN: ";
+    const username = (await ask(prompt)).trim();
     if (!username)
         throw new Error("Falta el usuario.");
     const password = await askHidden("Contraseña: ");
@@ -21,7 +22,7 @@ export async function runLogin(http) {
     if (http)
         accessToken = await loginToStore(regional, credentials);
     else
-        await new LocalSession().login(regional, credentials);
+        await new LocalSession().login(regional, credentials, askSecondFactor);
     // Se guardan recién después de comprobar que el aula las aceptó.
     if (await saveCredentials(credentials)) {
         logger.info("Credenciales guardadas en el keychain del sistema.");
@@ -49,9 +50,21 @@ async function askRegional() {
     const labels = regionals.map((r) => r.name + SUPPORT_LABEL[r.support]);
     return regionals[await askChoice("Regional:", labels, Math.max(initial, 0))];
 }
+/** Contesta por la terminal el segundo factor de Microsoft, si la cuenta lo pide. */
+const askSecondFactor = async (prompt) => {
+    if (prompt.step === "choose") {
+        const labels = prompt.methods.map((m) => m.label);
+        return prompt.methods[await askChoice("Microsoft pide un segundo factor:", labels)].id;
+    }
+    if (prompt.step === "code") {
+        return ask(prompt.retry ? "El código no era correcto. Probá de nuevo: " : `${prompt.method.label}: `);
+    }
+    const number = prompt.number ? ` y tocá el número ${prompt.number}` : "";
+    return ask(`Aprobá el inicio de sesión en el celular (${prompt.method.label})${number}. Después apretá Enter. `);
+};
 /** Crea el usuario si no existe, guarda su sesión del aula y le emite un token que no vence. */
 async function loginToStore(regional, credentials) {
     const store = await SqliteStore.open();
-    const { userId } = await linkAulaAccount(store, regional, credentials);
+    const { userId } = await linkAulaAccount(store, regional, credentials, askSecondFactor);
     return store.issueToken(userId, { kind: "access", clientId: "local" });
 }

package/build/oauth/admin.js

@@ -2,7 +2,7 @@ import { timingSafeEqual } from "node:crypto";
 import express from "express";
 import { linkAulaAccount } from "../aula-virtual/client/link.js";
 import { availableRegionals } from "../aula-virtual/client/regionals.js";
-import { InvalidCredentialsError } from "../aula-virtual/client/sso-login.js";
+import { InvalidCredentialsError, MfaError, MfaRequiredError } from "../aula-virtual/client/sso-login.js";
 import { AULA_PLATFORM } from "../aula-virtual/client/stored-session.js";
 import { logger } from "../shared/logger.js";
 import { RateLimiter } from "./expiring.js";
@@ -77,8 +77,8 @@ export function mountAdmin(app, store, secret) {
     });
     /**
      * `{ regional, usuario, contrasena }` → entra al aula como el login de OAuth: crea el usuario si no
-     * existe y le guarda la sesión, así ya puede usar las tools. Devuelve `{ usuario, nombre, email }`; si
-     * no entra, `{ error, motivo }`.
+     * existe y le guarda la sesión, así ya puede usar las tools. Devuelve `{ usuario, nombre, email,
+     * primero? }`, con `primero` si fue el primero en verificar la regional; si no entra, `{ error, motivo }`.
      */
     app.post("/admin/verificar", requireSecret, json, async (req, res) => {
         const id = typeof req.body?.regional === "string" ? req.body.regional : "";
@@ -97,12 +97,23 @@ export function mountAdmin(app, store, secret) {
         try {
             const account = await linkAulaAccount(store, regional, { username, password });
             logger.info(`Admin: ${account.username} (${regional.id}) vinculó su aula.`);
-            res.json({ usuario: account.username, nombre: account.fullname, email: account.email ?? undefined });
+            res.json({
+                usuario: account.username,
+                nombre: account.fullname,
+                email: account.email ?? undefined,
+                primero: account.firstVerifier || undefined,
+            });
         }
         catch (e) {
             if (e instanceof InvalidCredentialsError) {
                 return void res.status(401).json({ error: "credenciales", motivo: "El aula rechazó el usuario o la contraseña." });
             }
+            if (e instanceof MfaRequiredError || e instanceof MfaError) {
+                return void res.status(422).json({
+                    error: "mfa",
+                    motivo: "La cuenta de Microsoft pide un segundo factor (MFA): que entre por la página de login.",
+                });
+            }
             logger.warn(`Verificación de ${username} (${regional.id}): ${e.message}`);
             res.status(502).json({ error: "aula", motivo: `No pudimos entrar al aula de ${regional.name}.` });
         }

package/build/oauth/pending-login.js

@@ -0,0 +1,33 @@
+/**
+ * Un login que queda esperando el segundo factor entre un request y otro: corre en segundo plano y,
+ * cuando le pregunta algo al usuario, `next` lo devuelve para mostrárselo en una página; `answer` le
+ * pasa lo que el usuario contestó en el request siguiente.
+ */
+export class PendingLogin {
+    run;
+    waiting = null;
+    listeners = [];
+    constructor(start) {
+        this.run = start((prompt) => new Promise((resolve) => {
+            this.waiting = { prompt, resolve };
+            for (const listener of this.listeners.splice(0))
+                listener(prompt);
+        }));
+        this.run.catch(() => { });
+    }
+    /** Espera a que el login termine o le pregunte algo al usuario. */
+    next() {
+        if (this.waiting)
+            return Promise.resolve({ prompt: this.waiting.prompt });
+        return Promise.race([
+            this.run.then((done) => ({ done })),
+            new Promise((resolve) => this.listeners.push((prompt) => resolve({ prompt }))),
+        ]);
+    }
+    /** Contesta lo que está preguntando; si no pregunta nada (un formulario mandado dos veces), no hace nada. */
+    answer(value) {
+        const waiting = this.waiting;
+        this.waiting = null;
+        waiting?.resolve(value);
+    }
+}

package/build/oauth/server.js

@@ -3,10 +3,11 @@ import express from "express";
 import { buildOAuthProtectedResourceMetadata, checkResourceAllowed, getOAuthProtectedResourceMetadataUrl, } from "@modelcontextprotocol/server";
 import { linkAulaAccount } from "../aula-virtual/client/link.js";
 import { availableRegionals, defaultRegional } from "../aula-virtual/client/regionals.js";
-import { InvalidCredentialsError } from "../aula-virtual/client/sso-login.js";
+import { InvalidCredentialsError, MfaError } from "../aula-virtual/client/sso-login.js";
 import { logger } from "../shared/logger.js";
 import { escapeHtml, page } from "../shared/pages.js";
 import { Expiring, RateLimiter } from "./expiring.js";
+import { PendingLogin } from "./pending-login.js";
 import { describeRedirect, redirectTrust } from "./redirects.js";
 /** Duración del access token, en segundos: una baja de acceso se aplica a más tardar en este tiempo. */
 const ACCESS_TTL = 60 * 60;
@@ -49,6 +50,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
     });
     const pending = new Expiring(PENDING_TTL_MS);
     const codes = new Expiring(CODE_TTL_MS);
+    const secondFactors = new Expiring(PENDING_TTL_MS);
     const limiter = new RateLimiter(LOGIN_ATTEMPTS, LOGIN_WINDOW_MS);
     const registerLimiter = new RateLimiter(REGISTER_ATTEMPTS, REGISTER_WINDOW_MS);
     const form = express.urlencoded({ extended: false, limit: "16kb" });
@@ -130,7 +132,7 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
         if (!request)
             return void errorPage(res, 400, "Pedido vencido", "Pasó demasiado tiempo. Volvé a conectar desde tu app.");
         const list = await regionals();
-        const retry = (error) => res.type("html").send(loginPage({
+        const retry = (res, error) => res.type("html").send(loginPage({
             action: "/authorize",
             regionals: list,
             pendingId: id,
@@ -141,23 +143,24 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
             error,
         }));
         if (request.unknownRedirect && req.body?.acepto !== "si") {
-            return void retry("Para conectar una app que no es un cliente conocido tenés que aceptar el aviso.");
+            return void retry(res, "Para conectar una app que no es un cliente conocido tenés que aceptar el aviso.");
         }
-        const account = await login(req, list, retry);
-        if (!account)
-            return;
-        const decision = await access({ regional: account.regional.id, username: account.username, email: account.email });
-        if (!decision.allowed)
-            return void deniedPage(res, decision.reason, decision.url);
-        pending.take(id);
-        const code = codes.add({
-            userId: account.userId,
-            clientId: request.clientId,
-            redirectUri: request.redirectUri,
-            codeChallenge: request.codeChallenge,
+        await login(req, res, list, retry, async (res, account) => {
+            const decision = await access({ regional: account.regional.id, username: account.username, email: account.email });
+            if (!decision.allowed)
+                return void deniedPage(res, decision.reason, decision.url);
+            if (!pending.take(id)) {
+                return void errorPage(res, 400, "Pedido vencido", "Pasó demasiado tiempo. Volvé a conectar desde tu app.");
+            }
+            const code = codes.add({
+                userId: account.userId,
+                clientId: request.clientId,
+                redirectUri: request.redirectUri,
+                codeChallenge: request.codeChallenge,
+            });
+            logger.info(`OAuth: ${account.username} (${account.regional.id}) autorizó a ${request.clientName ?? request.clientId}.`);
+            redirectWith(res, request.redirectUri, { code, state: request.state, iss: issuer });
         });
-        logger.info(`OAuth: ${account.username} (${account.regional.id}) autorizó a ${request.clientName ?? request.clientId}.`);
-        redirectWith(res, request.redirectUri, { code, state: request.state, iss: issuer });
     });
     app.post("/token", cors, form, express.json({ limit: "16kb" }), async (req, res) => {
         const body = (req.body ?? {});
@@ -213,54 +216,74 @@ export function mountOAuth(app, { issuer, store, access, sameOrigin, redirects }
     app.get("/login", async (_req, res) => void res.type("html").send(loginPage({ action: "/login", regionals: await regionals() })));
     app.post("/login", sameOrigin, form, async (req, res) => {
         const list = await regionals();
-        const account = await login(req, list, (error) => res.type("html").send(loginPage({
+        const retry = (res, error) => res.type("html").send(loginPage({
             action: "/login",
             regionals: list,
             regional: req.body?.regional,
             error,
-        })));
-        if (!account)
-            return;
-        logger.info(`OAuth: ${account.username} (${account.regional.id}) renovó su sesión del aula.`);
-        res.type("html").send(page("Listo", "<p>Ya renovamos tu sesión del aula. Volvé al chat y pedile al agente que reintente.</p>"));
+        }));
+        await login(req, res, list, retry, async (res, account) => {
+            logger.info(`OAuth: ${account.username} (${account.regional.id}) renovó su sesión del aula.`);
+            res.type("html").send(page("Listo", "<p>Ya renovamos tu sesión del aula. Volvé al chat y pedile al agente que reintente.</p>"));
+        });
+    });
+    app.post("/segundo-factor", sameOrigin, form, async (req, res) => {
+        const id = String(req.body?.login ?? "");
+        const utnLogin = secondFactors.get(id);
+        if (!utnLogin)
+            return void errorPage(res, 400, "Login vencido", "Pasó demasiado tiempo. Volvé a iniciar sesión.");
+        utnLogin.flow.answer(String(req.body?.respuesta ?? ""));
+        await advance(res, utnLogin, id);
     });
     /** Entra al aula con lo que mandó el formulario; si falla, vuelve a mostrarlo con el error. */
-    async function login(req, list, retry) {
+    async function login(req, res, list, retry, finish) {
         if (!limiter.allow(req.ip ?? "desconocida")) {
-            retry("Demasiados intentos. Esperá unos minutos y probá de nuevo.");
-            return null;
+            return retry(res, "Demasiados intentos. Esperá unos minutos y probá de nuevo.");
         }
         const username = String(req.body?.usuario ?? "").trim();
         const password = String(req.body?.contrasena ?? "");
-        if (!username || !password) {
-            retry("Completá usuario y contraseña.");
-            return null;
-        }
+        if (!username || !password)
+            return retry(res, "Completá usuario y contraseña.");
         const regional = list.find((r) => r.id === String(req.body?.regional ?? ""));
-        if (!regional) {
-            retry("Elegí tu regional de la lista.");
-            return null;
-        }
+        if (!regional)
+            return retry(res, "Elegí tu regional de la lista.");
         if (regional.support === "unsupported") {
-            retry(`Todavía no hay soporte para ${regional.name}: su aula todavía no funciona con UTN-MCP.`);
-            return null;
+            return retry(res, `Todavía no hay soporte para ${regional.name}: su aula todavía no funciona con UTN-MCP.`);
         }
+        const flow = new PendingLogin((secondFactor) => linkAulaAccount(store, regional, { username, password }, secondFactor));
+        await advance(res, { flow, regional, username, retry, finish });
+    }
+    /**
+     * Sigue el login hasta que termina o pide el segundo factor: entonces muestra la página para
+     * contestarlo y lo guarda hasta la respuesta. `id` es el de un login que ya estaba esperando.
+     */
+    async function advance(res, utnLogin, id) {
+        const { flow, regional, username, retry, finish } = utnLogin;
         try {
-            return await linkAulaAccount(store, regional, { username, password });
+            const step = await flow.next();
+            if ("prompt" in step) {
+                return void res.type("html").send(secondFactorPage(id ?? secondFactors.add(utnLogin), step.prompt));
+            }
+            if (id)
+                secondFactors.take(id);
+            await finish(res, step.done);
         }
         catch (e) {
+            if (id)
+                secondFactors.take(id);
             if (e instanceof InvalidCredentialsError)
-                retry("La UTN rechazó el usuario o la contraseña.");
+                retry(res, "La UTN rechazó el usuario o la contraseña.");
+            else if (e instanceof MfaError)
+                retry(res, e.message);
             else if (regional.support === "candidate") {
                 // Nadie la había usado acá: lo más probable es que todavía no ande, no que esté caída.
                 logger.warn(`Regional ${regional.id} sin verificar, falló el login de ${username}: ${e.message}`);
-                retry(`No pudimos usar el aula de ${regional.name}: puede que todavía no ande con UTN-MCP.`);
+                retry(res, `No pudimos usar el aula de ${regional.name}: puede que todavía no ande con UTN-MCP.`);
             }
             else {
                 logger.error(`Login de ${username} (${regional.id}): ${e.message}`);
-                retry("No pudimos entrar al aula. Puede que esté caída: probá de nuevo en unos minutos.");
+                retry(res, "No pudimos entrar al aula. Puede que esté caída: probá de nuevo en unos minutos.");
             }
-            return null;
         }
     }
     return getOAuthProtectedResourceMetadataUrl(new URL(resource));
@@ -299,6 +322,28 @@ function deniedPage(res, reason, url) {
     const link = url ? `<p><a href="${escapeHtml(url)}">${escapeHtml(url)}</a></p>` : "";
     res.status(403).type("html").send(page("Sin acceso", `<p>${escapeHtml(reason)}</p>${link}`));
 }
+/** La página del segundo factor de Microsoft: elegir el método, tipear el código o avisar que ya se aprobó. */
+function secondFactorPage(id, prompt) {
+    const hidden = `<input type="hidden" name="login" value="${escapeHtml(id)}">`;
+    const formWith = (fields, button) => `<form method="post" action="/segundo-factor">${hidden}${fields}<button type="submit">${button}</button></form>`;
+    if (prompt.step === "choose") {
+        const options = prompt.methods
+            .map((m, i) => `<label class=acepto><input type="radio" name="respuesta" value="${escapeHtml(m.id)}"${i === 0 ? " checked" : ""}>` +
+            `<span>${escapeHtml(m.label)}</span></label>`)
+            .join("");
+        return page("Segundo factor", "<p>Tu cuenta de Microsoft pide un segundo factor. ¿Con cuál seguís?</p>" + formWith(options, "Seguir"));
+    }
+    if (prompt.step === "code") {
+        const error = prompt.retry ? "<p class=error>El código no era correcto. Probá de nuevo.</p>" : "";
+        const field = `<label>${escapeHtml(prompt.method.label)}<input name="respuesta" inputmode="numeric" ` +
+            `autocomplete="one-time-code" autocapitalize="none" required></label>`;
+        return page("Segundo factor", error + formWith(field, "Verificar"));
+    }
+    const number = prompt.number ? `<p>Cuando te lo pida, tocá este número:</p><p class=numero>${prompt.number}</p>` : "";
+    return page("Segundo factor", `<p>Aprobá el inicio de sesión en el celular (${escapeHtml(prompt.method.label)}).</p>` +
+        number +
+        formWith(`<input type="hidden" name="respuesta" value="ok">`, "Ya aprobé"));
+}
 function loginPage(o) {
     const where = o.redirectUri ? `<strong>${escapeHtml(describeRedirect(o.redirectUri))}</strong>` : "";
     const destination = where && !o.unknownRedirect ? ` Al terminar vas a volver a ${where}: si no es la app que estás conectando, no sigas.` : "";

package/build/server.js

@@ -7,7 +7,7 @@ import { registerAulaVirtualTools } from "./aula-virtual/tools.js";
 export function createServer(aula, files) {
     const server = new McpServer({
         name: "UTN-MCP",
-        version: "0.8.0",
+        version: "0.8.2",
     });
     registerAulaVirtualTools(server, aula, files);
     return server;

package/build/shared/pages.js

@@ -41,7 +41,8 @@ button:hover{background:var(--accent)}
 .aviso{border:1px solid var(--err);padding:0 1rem;margin:1rem 0}
 label.acepto{flex-direction:row;align-items:flex-start;gap:.6rem;font:13px/1.5 ui-sans-serif,system-ui,sans-serif;
 text-transform:none;letter-spacing:normal;color:var(--ink)}
-input[type=checkbox]{padding:0;margin:.2rem 0 0;accent-color:var(--accent)}
+input[type=checkbox],input[type=radio]{padding:0;margin:.2rem 0 0;accent-color:var(--accent)}
+.numero{margin:1rem 0;font:600 2.5rem/1 ui-monospace,SFMono-Regular,Menlo,Consolas,monospace;text-align:center}
 ul{padding-left:1.2rem}
 ::selection{background:var(--accent);color:var(--paper)}
 `.replace(/\n/g, "");

package/build/shared/store/sqlite-store.js

@@ -143,9 +143,10 @@ export class SqliteStore {
         return rows.map((r) => r.regional);
     }
     async markRegionalVerified(regional) {
-        this.db
+        const { changes } = this.db
             .prepare("INSERT INTO verified_regionals (regional, verified_at) VALUES (?, ?) ON CONFLICT DO NOTHING")
             .run(regional, now());
+        return Number(changes) > 0;
     }
     async saveClient(client) {
         this.db

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "utn-mcp",
-  "version": "0.8.0",
+  "version": "0.8.2",
   "description": "Este es el Model Context Protocol server NO OFICIAL de la UTN para buscar informacion o archivos en el aula virtual.",
   "main": "build/index.js",
   "bin": {