Regra de Ouro adicionada ao topo da skill: SDK v2 (@modelcontextprotocol/server),
API de alto nível McpServer+registerTool (API de baixo nível Server+setRequestHandler
proibida), transporte HTTP obrigatório (stdio só como excepção documentada), e
proibição explícita de interpolação de dados em comandos shell/SSH.
Motivado por revisão de segurança ao mcp-kivicare (19-08-2026): 8 bugs reais
corrigidos em produção, incluindo injecção de comandos shell crítica e hooks
nativos disparados com o tipo errado. Regras adicionadas para nunca mais acontecer
em silêncio.
- SKILL.md: nova secção Regra de Ouro, API/annotations/capabilities actualizadas
para v2, transportes HTTP obrigatório, changelog v3.0.0, healing log com os
3 bugs mais graves do incidente.
- references/templates.md: reescrito para createMcpHandler + createMcpExpressApp
(HTTP) e serveStdio (excepção), package.json com pacotes v2.
- references/best-practices.md: capabilities/annotations/error handling
actualizados para API v2, checklist de segurança com regra anti-injecção de
comandos shell, tabela de transportes com HTTP obrigatório.
- references/evaluation-guide.md: script de evaluations reescrito para
Client+StreamableHTTPClientTransport in-process (sem porta/socket).
- infraestrutura: 1.2.2 -> 1.3.0
- Estado do plugin, catalogo dos 15 icon packs, listar icones de um
pack activo, activar/desactivar pack.
- Plugin so encontrado activo em descomplicar.pt (producao); os
outros 7 sites do bundle confirmados sem ele.
- MCP maioritariamente so-leitura: unica escrita real e o toggle
on/off por pack (skb_cife_manage_icon), testada em ciclo idempotente
contra producao.
Documenta a taxonomia happyfiles_category (hierárquica, attachments), o
gotcha include_children=true por omissão no WP_Query (corrigido no MCP),
query_var=false na taxonomia (wp post list --happyfiles_category não
funciona), e confirma no código-fonte que apagar pasta nunca apaga
ficheiros. 9 tools, verificação ponta-a-ponta contra descomplicar.pt
(produção) e starter.descomplicar.pt documentada.
24 tools tipadas cobrindo o ecossistema clinico KiviCare (Free e Pro)
em WordPress via WP-CLI/SSH (familyclinic.pt): clinicas, medicos, sessoes
e horarios semanais, pacientes (perfil 360 e historico medico),
consultas (listar, detalhe, agendar, mudar estado com disparo de hooks
nativos kc_appointment_status_update, reagendar), encontros clinicos,
prescricoes e facturacao/contas.
Arquitectura de dupla ponte: bridge SQL directo com JSON_OBJECT/JSON_ARRAYAGG
e paginacao por subquery para leituras instantaneas em milissegundos;
bridge PHP seguro com wp eval-file para criacao de pacientes, agendamentos
e mudancas de estado que exigem integridade e disparo de hooks.
Documenta as 9 tools do MCP dedicado multi-site (mcp-full-cliente, porta 3204) para gestão
do broker de licenças WordPress premium (full-customer, api.full.services) — estado de ligação,
plugins geridos, catálogo, extracto de licenças da conta e reactivação controlada.
- 9 tools: idiomas activos/ordem, estilo/posicao do widget, idioma de
origem, estado da licenca Pro/Enterprise (read-only)
- Documenta formato de armazenamento (array PHP nativo, --format=json
correcto) e o gotcha de escrita idempotente do wp option patch update
- Confirmado ao vivo: so descomplicar.pt tem o plugin instalado
Documenta as 14 tools do MCP dedicado (mcp-seriously-simple-podcasting, porta 3203) para
episódios/shows/definições de show em emanuelalmeida.pt, complementado pela skill de
conhecimento seriously-simple-podcasting (achado central: REST nativo do plugin é
escrita-capaz para episódios mas read-only para definições de show).
Único documento de referência para o schema btcbi_* (sem skill de conhecimento separada):
flows, logs de execução, connections, mapeamento completo de flow_details por app
(PerfexCRM/Desk, Google Contacts), mascaramento recursivo de credenciais, verificação
ponta-a-ponta contra produção (10 flows/75 logs) e staging.
Documenta o MCP dedicado mcp-fluentform (descomplicar.pt + starter.descomplicar.pt):
9 tools sobre a camada de serviço oficial do plugin (FormService/
SubmissionService/GlobalSettingsService), mapeamento de tabelas custom
fluentform_*, gotchas confirmados ao vivo (serialização de datas Carbon-like,
race condition em escritas paralelas dependentes) e evidência de verificação
ponta-a-ponta contra produção/staging.
Documenta o novo MCP standalone /media/ealmeida/Dados/Dev/mcp-wpforms/ (12 tools,
descomplicar.pt + emanuelalmeida.pt): formularios, entries (listar/ler/contar/
marcar lida/estrela/spam), entries abandonadas com contexto capturado, settings
gerais e estado Akismet. Sem skill de conhecimento wpforms separada — esta skill
inclui o mapeamento completo de tabelas/options (unica documentacao).
Estado geral, connections com segredos sempre mascarados, logs de email com
filtros/paginacao, detalhe de log, estatisticas de envio, reenvio controlado
(confirm:true). Documenta tambem o mapeamento de dados do plugin (unica
fonte, nao existe skill de conhecimento separada) e a decisao deliberada de
nao expor escrita de configuracao de connections.
27 tools via WP-CLI/SSH (bridge SQL para tabelas planas + wp eval-file
para dados serializados/side-effects): meta de post/taxonomia, schema
markup, redirects (via RankMath\Redirections\DB), modulos, sitemap,
404 monitor, analytics GSC, IndexNow, validacao SEO ao vivo por HTTP.
Cobre exactamente o que o MCP oficial rank-math-mcp (abilities
rank-math/* via WP Abilities API, documentado nesta sessao por outro
agente em rank-math/SKILL.md secao 17) nao cobre: esse e read-only/
analise (audit-site-seo, get-post-schema, scores, AI Visibility); este
e escrita/gestao (redirects, modulos, 404s, sitemap, options). Os dois
coexistem - rank-math/SKILL.md secao 17.4 actualizada com tabela de
quando usar qual dos tres caminhos (rank-math-mcp / mcp-rank-math /
WP-CLI).
Testado ponta-a-ponta em producao 19-08-2026: leituras com dados reais
(383 posts score bom, 21 modulos activos, 3 redirects, sitemap 9
entradas) e escritas verificadas sem mutar dados (no-op em option/meta
existentes, ciclo completo create+delete de um redirect de teste). Bug
real apanhado no smoke test: rank_math_modules tem chaves nao-
sequenciais na BD -> json_encode serializa como objecto, nao array -
normalizado em normalizeStringArray() antes de considerar pronto.
Adiciona references/playbooks.md (7 fluxos: ler antes de criar, modulos
opcionais, CPT+taxonomia+meta-box, CCT, glossario, query builder+listing,
levantar contexto) + indice curto em SKILL.md + keywords de trigger.
Documenta 2 gotchas confirmados contra o schema nativo (tools/list
19-08-2026, nao exercidos como writes em producao): CCT exige o modulo
'custom-content-types' activo (so 'booking-forms' estava activo);
query_type 'custom-content-type' aparece na descricao de tool-add-query
mas nao no enum real - usar 'posts' com post_type 'slug/name'.
Documenta o MCP jetengine (proxy stdio<->HTTPS ao MCP nativo do plugin,
Features API v3.8.0+): 11 tools, seguranca, verificacao, relacao com a
skill jetengine e com mcp-wpfc/mcp-webp-express.
20 tools (10 leitura + 10 escrita) para descomplicar.pt (produção, 291k contactos). Escritas via FluentCrmApi()/modelos do próprio plugin por SSH+wp eval, sem escrever ficheiros no servidor. Guardas de status explícitas (force_update/confirm) para nunca rebaixar/ressuscitar contactos sem intenção clara.
- documenta as 8 tools do MCP wpmeteor: status, config, toggle de modulo,
delay, exclusoes, telemetria detected
- wp-meteor actualizada: estado real confirmado nos 8 sites do bundle
(so emanuelalmeida.pt tem o plugin), cross-referencia para mcp-wpmeteor
- mesma convencao de mcp-wpfc/mcp-element-pack/mcp-cloudflare-app: esta
skill e o 'como executar', wp-meteor continua a ser o mapeamento
Skill mcp-webp-express: MCP dedicado (webpx) para WebP Express multi-site
via WP-CLI/SSH, mesmo padrao mcp-wpfc. webp-express/SKILL.md: nova seccao
14 documentando o MCP construido e testado ao vivo em emanuelalmeida.pt.
Cobre: calendarios, event types, reservas (listar/detalhe/mudar
estado/reenviar confirmacao), actividade, disponibilidade, reports,
definicoes gerais, anfitrioes, estado do plugin/licenca Pro. 15
tools via REST API real com Application Password (nao SSH/SQL como
mcp-bit-social - o FluentBooking regista register_rest_route com
permission_callback por capability). Testado ponta-a-ponta em
producao 19-08-2026, incluindo escrita sem mutar dados reais (422
'No changes found' do proprio plugin). references/api-reference.md
com os endpoints/filtros/enums confirmados e references/diagnostics.md
com o playbook de uso (agenda, cancelamento, health check).
- documenta as 18 tools do MCP wpfc (site como parametro, guarda-corpo
Premium, allowlist fixa de 7 option keys)
- mesma convencao das skills mcp-element-pack/mcp-bit-social/mcp-cloudflare-app:
esta skill e o 'como executar', wp-fastest-cache continua a ser o
mapeamento completo das options
- cross-referencia wp-fastest-cache <-> mcp-wpfc nos dois sentidos
- estado real por site actualizado: 8 sites WP reais do bundle, nao 7
(ccv, care, ecommerce-demo, ecommerce, e-commerce mapeados)
- pergunta em aberto sobre camada de cache em descomplicar.pt respondida:
nenhum plugin de page-cache activo hoje, so edge Cloudflare
- achado critico documentado: options WPFC sao strings PHP planas com
JSON dentro, nao JSON tipado do WP-CLI -- usar --format=json causa
dupla codificacao e corrompe a option (reproduzido e corrigido)
- 18 tools testados ponta-a-ponta contra producao (descomplicar.pt, ccv)
Cobre: contas sociais ligadas (+ activar/desactivar), schedules de
auto-post e Share Now, logs de publicacao, resumo de falhas por
plataforma, analytics, estado da licenca Pro. 12 tools, testado
ponta-a-ponta em producao 19-08-2026. references/data-model.md com o
schema completo wpah_bit_social_* e references/diagnostics.md com o
playbook de investigacao de falhas (inclui o caso real recorrente do
Pinterest sem imagem).
- descomplicar.pt tem wp-fastest-cache-premium 1.7.7 no disco mas INACTIVO
(corrige a afirmacao anterior de que Premium nao estava instalado em
nenhum site do bundle -- so era verdade para emanuelalmeida.pt)
- emanuelalmeida.pt e starter.descomplicar.pt: Free activo
- descomplicar.pt: nem Free nem Premium activos -- pergunta em aberto
sobre o que serve cache HTML la hoje
- decisao de ambito: MCP multi-site (parametro site), activar Premium
em descomplicar.pt (ainda por executar), catalogo de 18 tools previsto
- rank-math-mcp via mcp-adapter-default-server, mesma infra wp mcp-adapter
ja vendored no EMCP Tools, sem instalacao nova
- 13 abilities rank-math/* catalogadas com descricoes reais, testadas
ao vivo em descomplicar.pt (get-seo-scores devolveu dados reais)
- tabela quando usar MCP vs WP-CLI
- element-pack-widgets: catalogo verificado 168 widgets core + 95 integracao
Element Pack Pro (BdThemes), get_name() extraido do codigo-fonte, 11
excepcoes de nome confirmadas
- mcp-element-pack: documenta o MCP dedicado (node stdio) para licenca/
modulos/mega-menu/white-label/custom-code do Element Pack Pro
Confirmado via WordPress/mcp-adapter README + wp eval ao vivo: o plugin
nao esta invisivel por falta do WP MCP Adapter instalado, mas por nunca
ter marcado nenhuma das 89 abilities com meta.public/meta.mcp.public
nem criado servidor MCP custom. get_meta() confirma ausencia da flag.
Plugin Devenia instalado e testado em emanuelalmeida.pt (19-08-2026):
89 abilities elementor/* via WordPress Abilities API nativa. Confirmado
nao acessivel por MCP nesta sessao (sem servidor MCP proprio) - testado
via wp eval-file + WP_Ability::execute(). Achados reais: camada de
auditoria de design funcional (evaluate-design score 88/100 em pagina
real), delete-template funcional (preenche gap do EMCP), gate
template-first em authoring primitives, bug de poluicao de settings
em add-heading, bug de PHP warning em list-experiments, update-element
exige objecto completo (nao merge parcial como EMCP). Artefactos de
teste removidos (post 18166, template 18168).
Adaptado de jainshwetank/elementor-pro-designer-skill (MIT) - painel
General/Style/Interactions, Class Manager, Variables Manager, breakpoints,
padroes de layout e troubleshooting para o editor visual Elementor Pro V4.
Complementa emcp-page-building (mesma versao Elementor, mas via MCP/API).
Cobre: auditoria de ligacao/licencas por site, ligar sites a conta FULL,
reactivacao de plugins premium, e diagnostico de licencas fora da FULL
(fabricante directo, CodeCanyon). Baseada em leitura directa do codigo do
plugin full-customer v4.1.3 durante sessao real de auditoria da frota WP.
Fase 2 passo 7b invoca today-security-block.py (71.Seguranca, Hub) -- le
relatorios/*.md ja gerados (sem correr scans novos), score+delta+alertas
por dominio. Secao '## Seguranca' nova no formato do dashboard. v12.0.0 -> v12.1.0.
A cache do plugin e versionada por directorio (cache/.../1.2.0/), pelo que
as correccoes de ca6c56c ao gateway-check nao chegavam ao carregador sem
bump de versao.
Corrige a próxima porta livre (a 3188 documentada estava ocupada e causou um
deploy falhado), regista o router youtube e o ssh-unified, e acrescenta três
regras: backups do nginx nunca em sites-enabled/, cruzar sempre ss -tlnH com
as portas roteadas, e contar ~40s de arranque nos MCPs Python/FastMCP.
O commit 0e2c832 bumpou só o marketplace.json agregado. A fonte de verdade
para o /plugin update é <plugin>/.claude-plugin/plugin.json, que ficou nas
versões antigas — resultado: o catálogo mostrava marketing 2.0.0 mas o
/plugin update respondia "already at the latest version (1.0.0)" e o cache
continuou a servir a superfície SEO morta.
Alinha as quatro fontes com o agregado e documenta o acoplamento no README:
os dois ficheiros têm de ser bumpados juntos, não há automação a sincronizá-los.
2026-07-30 22:58:46 +01:00
354 changed files with 14142 additions and 364 deletions
Subprojecto dev-tools do ecossistema Descomplicar.
Some files were not shown because too many files have changed in this diff
Show More
Reference in New Issue
Block a user
Blocking a user prevents them from interacting with repositories, such as opening or commenting on pull requests or issues. Learn more about blocking a user.
Claude Code
ealmeida