Guide agent : publier un article sur blog.vfg.lol selon l'environnement

TL;DR

Publier sur blog.vfg.lol ne passe jamais par un git push seul : il faut écrire un .md sous devblog/posts/ puis l'envoyer à l'admin API (POST /admin/api/articles). Selon où tourne l'agent — Cursor Windows, WSL ou Cursor Cloud — le transport change (MCP vfg_commands_devblog_publish, script publish-local.mjs, ou UI admin locale), mais le contrat reste le même. La Communauté de l'Anneau (Gandalf → Palantír → Bilbo → Galadriel → Sauron → Samwise) impose brouillon par défaut, gates SHA-256 et autorisation explicite pour la prod. Ce guide est la matrice de décision : quel outil, quel clone, quelles variables, quelle vérification — avec renvois aux articles techniques déjà publiés.

1. Le principe unique derrière tous les chemins

Trois transports mènent au même endpoint :

1. Admin API directe — curl, UI /admin/, ou scripts/publish-local.mjs
2. MCP — vfg_commands_devblog_publish (serveur vfg-commands-vps, client dans VFVFGPT)
3. Agent Samwise — choisit MCP ou Admin API, jamais les deux

Ce qui n'est pas un chemin de publication éditoriale : vfg_hotfix_deploy, SCP/rsync de articles.json, ou édition manuelle de index.html.

2. Matrice environnement → outils disponibles

Variables d'environnement par silo

Ne jamais committer ces valeurs. Référence setup : docs/SETUP-CURSOR-WSL-BLOG-AGENTS.md.

3. La Communauté de l'Anneau — workflow agent

Le role-play structure les permissions, pas la magie :

demande utilisateur
  → Gandalf (cadre l'intention, draft ou prod)
  → Palantír (faits datés, doublons via MCP read-only)
  → Bilbo (Markdown status:draft)
  → parent matérialise le fichier
  → Galadriel (APPROVE_DRAFT)
  → Sauron (PASS sur SHA-256 exact)
  → Samwise (prepublish + dry-run + un seul transport)
  → vérification URL publique

Règles prod (blog.vfg.lol) :

1. Autorisation explicite dans le tour courant (nommer la prod).
2. galadriel_verdict: APPROVE_DRAFT + sauron_verdict: PASS sur le SHA-256 du fichier.
3. npm run prepublish puis node scripts/publish-local.mjs <fichier> --dry-run.
4. Un seul transport : MCP ou Admin API.

Manifeste machine : config/blog-roleplay-agents.json · Architecture : docs/BLOG-AGENTS-ROLEPLAY.md.

4. Procédures par environnement

4.1 Cursor Windows — brouillon local

cd RAPPORT-EXPERIENTIEL
npm run dev                    # :5195 lecture
# autre terminal :
node --env-file=.env admin/server.mjs   # :5220 admin

Créer ou éditer devblog/posts/<cat>/<fichier>.md avec status: draft, puis :

node scripts/publish-local.mjs devblog/posts/<cat>/<fichier>.md --dry-run
node scripts/publish-local.mjs devblog/posts/<cat>/<fichier>.md

Vérifier : http://127.0.0.1:5195/api/articles.

Sandbox isolée (ne touche pas devblog/posts/) : npm run dev:sandbox + npm run admin:sandbox — voir docs/WORKFLOW-PUBLICATION-BLOG.md §1.

4.2 WSL — publication prod via Samwise / script

source ~/.config/vfg/blog-agents.env   # MCP + VFG_ADMIN_PASSWORD
cd /path/to/RAPPORT-EXPERIENTIEL     # voir SETUP-CURSOR-WSL-BLOG-AGENTS.md
npm run prepublish
node scripts/publish-local.mjs devblog/posts/<cat>/<fichier>.md --dry-run
VFG_ADMIN_BACKEND_URL=https://blog.vfg.lol \
  node scripts/publish-local.mjs devblog/posts/<cat>/<fichier>.md

Invocation agent : /samwise-blog-publisher publie ce dossier scellé sur blog.vfg.lol.

4.3 Cursor Cloud — prod sans serveur local

Le pod Cloud n'a en général ni :5220 ni le MCP vfg-commands-vps (serveur logique vfg-commands). Chemin documenté :

1. Rédiger le .md dans le clone (status: pub après gates et autorisation prod).
2. Configurer VFG_ADMIN_PASSWORD dans l'environnement Cloud Cursor (dashboard → secrets).
3. Exécuter npm run prepublish puis node scripts/publish-local.mjs <fichier> --dry-run.
4. Publier (le script lit le fichier local ; un git commit versionne le dépôt mais ne met pas l'article en ligne) :

VFG_ADMIN_BACKEND_URL=https://blog.vfg.lol \
  node scripts/publish-local.mjs devblog/posts/<cat>/<fichier>.md

5. Vérifier https://blog.vfg.lol/api/articles et l'URL .md.html retournée.

Sans secret injecté → blocage attendu (401). Ne pas utiliser le mot de passe dev vfg-admin-change-me en prod.

4.4 VFVFGPT — MCP depuis le chat

Si vfg-commands-vps est authentifié :

{
  "server": "vfg-commands-vps",
  "toolName": "vfg_commands_devblog_publish",
  "arguments": {
    "category": "workflows-agentiques",
    "slug": "2026-07-17-mon-article",
    "title": "Mon article",
    "markdown": "## Section\n\nContenu sans frontmatter.",
    "tags": ["demo"],
    "status": "pub"
  }
}

Le tool appelle scripts/lib/mcp-auto-publish.mjs → même admin API. Détails : article 2026-07-09-2023_workflow-publication-blog-local-prod-mcp et annonce initiale du tool 2026-06-27-vfg-commands-devblog-publish.

5. Frontmatter minimal

---
title: "Titre factuel"
subtitle: "Optionnel"
date: 2026-07-17
time: "20:01"
author: cursor-agent
category: workflows-agentiques
status: pub          # draft tant que prod non autorisée
tags: [workflows-agentiques, guide]
---

• date / time : Europe/Paris, jamais dans le futur.
• category ou cat : dossier existant sous devblog/posts/.
• Le corps commence après le second --- (pas de frontmatter dans body API).

6. Vérification après publication

Une réponse HTTP 200 du POST ne suffit pas.

MCP lecture (sans publier) : vfg_health, vfg_gate_health sur vfg-feed / vfg-gate.

7. Dépannage rapide

8. Où approfondir

9. Arbre de décision (résumé)

L'utilisateur demande-t-il blog.vfg.lol explicitement ?
├─ Non → status:draft, preview locale optionnelle, STOP avant Samwise
└─ Oui → gates Galadriel + Sauron sur SHA-256
         → npm run prepublish && publish-local --dry-run
         → Environnement ?
            ├─ Windows/WSL avec MCP commands OK → Samwise via vfg_commands_devblog_publish
            ├─ Windows/WSL sans MCP → publish-local.mjs + VFG_ADMIN_*
            └─ Cursor Cloud → publish-local.mjs + secret Cloud obligatoire
         → GET /api/articles + URL .md.html → VÉRIFIÉ

La publication reste un acte volontaire : le dépôt versionne le texte, l'admin API le rend visible. Les agents portent l'Anneau jusqu'à la prod ; seul Samwise le dépose, une fois, avec preuve.