## [0.6.0] - 2026-09-20

İki büyük yetenek: yedeklerin herhangi bir bulut sağlayıcısına gitmesi ve
panelin yapay zeka istemcilerine açılması.

### Eklenenler — Yapay zeka (MCP)

- **Panel artık bir MCP sunucusu.** Claude gibi istemciler `/mcp` adresine
  bağlanıp panelin kendi işlemlerini çalıştırabiliyor: siteleri ve
  container'ları görüntüleme, logları ve tanılama raporunu okuma, container
  yeniden başlatma, site silme, sunucuda komut çalıştırma. İşler panelin
  kendi kod yolundan geçiyor; yapay zeka kullanıcının gördüğü hata metnini ve
  sebep zincirini birebir görüyor.
- **Yapay Zeka sayfası.** Kimlik bilgileri, bekleyen onaylar, bağlantı
  talimatı ve MCP etkinliğinin akışı tek yerde.
- **Onay kuyruğu.** Yıkıcı işlemler (site silme, komut çalıştırma) doğrudan
  çalışmıyor: kuyruğa düşüyor ve kullanıcı panelden onayladığında panel işi
  kendisi yürütüyor. Kimlik bilgisi başına kapatılabiliyor, varsayılan açık.
  Yapay zeka logları ve komut çıktılarını okuduğu için bu metinlere gömülmüş
  bir talimatın tek başına sunucuyu değiştirmesini engeller.
- **Granular yetkiler.** `sites:read`, `docker:write`, `shell:exec`,
  `system:power` gibi 17 yetenek; kimlik bilgisine yalnız gerekenler verilir.
  Arayüzde "Okuma / İşlem / Tam" hazır kümeleri var.
- **Tek tıkla bağlanma (OAuth 2.1).** OAuth bilen istemciler yalnız sunucu
  adresini istiyor; izin ekranı panelde açılıyor ve kullanıcı istenen
  yetkileri orada daraltabiliyor. PKCE zorunlu, erişim token'ı saatlik ve
  kendiliğinden yenileniyor.
- **Kişisel erişim token'ları** OAuth desteklemeyen istemciler için:
  arayüzden ya da `webpanel mcp-token <ad> [yetenekler]` ile üretilir,
  yalnız bir kez gösterilir, süre verilebilir ve iptal edilebilir.
- **Sunucuda komut çalıştırma** (`shell.exec`) — web terminalinin tek
  seferlik karşılığı; ayrı bir yetenek ister ve onay kuyruğundan geçer.

### Eklenenler — Bulut Yöneticisi

- **Yedek arşivleri artık rclone'un tanıdığı herhangi bir sağlayıcıya**
  kopyalanabiliyor: S3 uyumlu depolar, Google Drive, OneDrive, Dropbox,
  pCloud, SFTP, WebDAV, B2, Azure Blob ve diğerleri. Sağlayıcı formu panele
  gömülü değil, kurulu rclone'un bildirdiği alanlardan üretiliyor.
- **Görev başına yükleme kipi**: yalnız sunucu, sunucu + bulut, yalnız bulut.
  Son kipte yerel arşiv, uzak kopya listelenip boyutu doğrulandıktan **sonra**
  siliniyor; yükleme düşerse dosya yerinde kalıyor ve görev kısmen başarısız
  işaretleniyor.
- **Uzak saklama sayısı** ve uzak arşivlerden geri yükleme. Başka bir
  sunucunun klasöründeki arşivler de listeleniyor — yeni sunucuya taşınma
  senaryosu.
- **OAuth aracısı.** Google Drive gibi hesaplar panelden, tarayıcı üzerinden
  bağlanıyor; kullanıcı token kopyalamıyor. Aracı ayrı bir servis
  (`oauth-broker/`), token saklamıyor ve yalnız yetkilendirme anında devrede:
  yükleme akışı ona bağlı değil. `rclone authorize` ile elle token girme yolu
  yedek olarak duruyor.
- rclone ikilisi panel tarafından kuruluyor; sürüm sabit ve indirilen arşiv
  koda gömülü SHA-256 özetiyle doğrulanıyor.

### Değişenler

- **S3'e özel uzak yedek hedefleri kaldırıldı**; kayıtlı hedefler göçte rclone
  remote'una çevriliyor ve var olan görevler aynı davranışı sürdürüyor
  (kopyalama açık kalır). Yedeğin nereye gittiği tek yerden yönetiliyor.
- Uyarı merkezi yeniden yetkilendirme bekleyen bulut hedeflerini bildiriyor.
- **Proje siteleri artık Siteler sayfasından doğrudan silinemiyor.** Böyle bir
  silme, projenin rota kayıtlarını da sessizce kaldırıyordu; bileşenler
  yayındaymış gibi görünmeye devam ediyordu. Site, bileşenin son rotası
  kaldırılınca panel tarafından budanıyor.
- **Container başlatma, durdurma ve yeniden başlatma denetim günlüğüne
  düşüyor.** Bu işlemler daha önce hiçbir yere yazılmıyordu.

### Güvenlik

- MCP kimlik bilgileri veritabanında yalnız SHA-256 özeti olarak duruyor
  (oturum çerezleriyle aynı model) ve panel yönetimi yetkisi (`panel:admin`)
  bir kimlik bilgisine verilemiyor — token kendi yetkisini yükseltemez.
- Yapay zekaya açılan panel uçları **varsayılan olarak kapalı**: yalnız
  açıkça izin verilen uçlar geçiyor, yeni bir rota eklemek onu kendiliğinden
  açmıyor.
- Yetkilendirmede yalnız `https://` ve yerel döngü dönüş adresleri kabul
  ediliyor; kayıtlı olmayan bir adrese yönlendirme yapılmıyor.