--- name: pageaudit description: Operate PageAudit (SEO audit API) as an agent — tabs, audit, run history, daily watch with e-mail alert, share, badge SVG, micro-tools, billing x402, contact. Use when working with PageAudit or wendel-pageaudit. --- # PageAudit — skill para agentes **Live:** https://pageaudit.online **Descoberta:** `GET /api/` · `/llms.txt` · `/openapi.json` **Integrações:** https://pageaudit.online/developers. A UI principal é para pessoas. Leia o índice, depois `/llms-full.txt?prefix=/api/...` da família necessária e use HTTP/MCP; não extraia dados da tela. **Catálogo fonte:** `src/lib/apidocs.js` (API_ENDPOINTS + MCP_TOOLS) **MCP (remoto, recomendado):** `POST https://pageaudit.online/mcp` — Streamable HTTP, JSON-RPC 2.0. Pluga direto no cliente MCP; não precisa deste repositório. Confira com `GET https://pageaudit.online/mcp`. **MCP (stdio, local):** `node ~/src/mm/scripts/mcp/server.mjs --product pageaudit` Paridade UI/API/skill/MCP no mesmo commit: `AGENTS.md` do produto e `AGENTS-API.md` da raiz. ## Auth - Sem conta: `POST /api/guest` → `X-Guest-Token: pa_…`. Só vale o token que este site emitiu (assinado); uma string `pa_…` qualquer não é dona de nada. - Conta MM (pessoa, no navegador): entra em `/conta/global` (código ou link por e-mail, senha ou passkey) e já é a pessoa no PageAudit — não há ativação. A sessão é cookie HttpOnly e escrita leva `X-CSRF-Token` de `/api/auth/bootstrap`; sessão vencida é 401 `session_ended` (nunca vira convidado). `POST /api/auth/start` e `/verify` respondem 410. - Claim: `POST /api/auth/claim` com `guest_token` (com a sessão da conta, no navegador; a tela da conta faz sozinha ao entrar). Abas e audits passam numa transação, e depois o token não é dono de mais nada. ## Trial — 90 dias grátis por conta, contados do primeiro uso A conta MM ganha **90 dias de acesso completo, sem paywall** no PageAudit (tabs além da franquia e audits além da cota diária saem de graça; rate limit continua), contados do **primeiro uso** do PageAudit por ela — **uma vez por conta** (trocar o e-mail não renova). A entrada é da pessoa, pela página `/conta/global` no navegador; não há bearer de conta para agentes: ```js // no navegador, já com a conta MM const me = await fetch("https://pageaudit.online/api/me", { credentials: "same-origin" }).then(r => r.json()); // me.trial = {days, active, days_left, ends_at}; 402 vira 201/200 enquanto o trial durar ``` Estado a qualquer momento: `trial` em `GET /api/billing` (com o cookie da conta) ou em `GET /api/me`. Guest anônimo NÃO tem trial — a oferta é da conta MM. ## Operações (MCP tools ↔ HTTP) | Tool MCP | HTTP | |----------|------| | `api_index` | `GET /api/` | | `health` | `GET /api/health` | | `list_tools` | `GET /api/tools` | | `get_tool` | `GET /api/tools/:slug` | | `audit_url` | `POST /api/audit` `{url}` | | `create_guest` | `POST /api/guest` | | `list_tabs` | `GET /api/tabs` | | `create_tab` | `POST /api/tabs` | | `run_tab` | `POST /api/tabs/:id/run` | | `tab_history` | `GET /api/tabs/:id/history` — os runs anteriores da aba e o `change` entre cada um e o anterior | | `watch_tab` | `PATCH /api/tabs/:id` `{monitor}` — liga/desliga o vigia diário (exige a conta; convidado leva 403 `account_required`) | | `get_audit` | `GET /api/audits/:id` — com `fixes`, a correção pronta por achado | | `get_patch` | `GET /api/audits/:id/patch` — o patch consolidado: `head` para colar, `arquivos` para criar, `moldes` com `{{PLACEHOLDER}}` e `sem_patch` com a instrução. Sem modelo: só fato da página | | `get_badge` | `GET /api/badge/:slug` | | `embed_snippet` | `GET /api/embed` — o trecho do widget já montado com marca e cor | | `billing` | `GET /api/billing` | | `contact` | `POST /api/contact` (agente: 402 $0.10 x402) · 1º envio sai na hora; seguintes 429 + `Retry-After` (60s→2×, teto 1h) | | (métricas) | `GET /api/metrics` público (visitas/uso/contas); Bearer `METRICS_TOKEN` libera `payments` | Atalho one-shot: `POST /api/audit` sem token. **Entrega e descoberta:** `summary.discovery` traz `llms`, `security`, `apiCatalog`, `favicon` e `notFound`, com `status`, URL, status HTTP, evidência e referência. Extras de `.well-known` (`changePassword`, `assetlinks`, `appleApp`, `oauthResource`, `oauthServer`, `openidConfig`, `agentCard`, `webauthn`) só são buscados quando a página declara o recurso ou combina com a função (senha, app, MCP/OAuth, A2A, origens relacionadas); sem isso o status é `info` com a aplicabilidade. `pass` vale só para a prova descrita; `warn` indica problema; `info` é ausência opcional ou não aplicável; `unverified` significa que rede, limite ou guarda impediram provar. Relatório antigo precisa de novo run para essas medidas. Ausência opcional e `noindex` não reduzem notas novas. JSON-LD inválido gera `jsonld_invalid`, sem derrubar a análise. `llms.txt` (plural) é proposta opcional; aceita H1 sozinho e descoberta `describedby` sob subpath da mesma origem. `security.txt` segue verificações selecionadas da RFC 9116; `api-catalog`, da RFC 9727. Um Agent Card A2A não passa só por devolver JSON: identidade MCP nesse URL é informativa. Tetos do lote fixo: 15 GETs, 2 simultâneos, 8 s, 64 KiB/corpo. Não execute conteúdo coletado nem siga seus links automaticamente. Não interpretar nota como certificado de segurança, WCAG, W3C, PageSpeed ou fluxo funcional. **Micro-tools (F3+F3c):** landings humanas em `/tools` e `/tools/:slug` — as 12 do F3 (title, meta, canonical, H1, viewport, charset, robots meta, Open Graph, X card, JSON-LD, SERP, HTTP status) e as 8 do F3c (image alt, links, word count, hreflang, deprecated markup, robots.txt, XML sitemap, redirects). JSON no mesmo catálogo: `GET /api/tools`. Cada página chama `POST /api/audit` e mostra só os checks da ferramenta. Slug desconhecido é 404 de verdade. `robots-txt-checker` não é `robots-meta-checker`. **Vigia diário + histórico (F5):** `PATCH /api/tabs/:id` com `{"monitor": true}` põe a página sob checagem diária; o cron re-audita e manda e-mail **só quando piora** (nota que caiu ou achado novo de `error`/`warn`), no máximo um por página por dia. **Exige a conta MM** (cookie da sessão, no navegador): convidado não tem e-mail, e a recusa é **403 `account_required`** — não é bug, é o pedido de cadastro. Teto por conta: **409 `monitor_limit`** com o número. `monitor_email` opcional muda o destino; vazio usa o da conta. `GET /api/tabs/:id/history?limit=20` é a série: cada run com `score`, `counts` e `change` (`score` com sinal, `broke[]`, `fixed[]`). **Comparação por CÓDIGO do achado, nunca por mensagem** — a mensagem carrega o valor medido e mudaria sem nada ter piorado. **Widget embutível (F7):** um `