let Hermes manage MCPHub through its API

platform/mcphub/README.md

@@ -22,8 +22,8 @@ sie sich einen Docker-Container und ein Appdata-Backup teilen.
 
 `/mnt/nvme-storage/appdata/MCPHub` on Unraid contains:
 
-- `mcp_settings.json` (users, server registrations and tool toggles)
-- `config/mcp-registry.json` (produktive deklarative Serverliste)
+- `mcp_settings.json` (produktive Serverliste, Benutzer und Tool-Schalter)
+- `config/mcp-registry.json` (Seed und Extension-Metadaten für Recovery)
 - `extensions/<id>/` (geprüfte portable MCP-Laufzeiten)
 - `work/<id>/` (Manifest, Build- und Resume-Zwischenstand)
 - `jwt-secret` (stable login sessions)
@@ -56,9 +56,10 @@ generierten Bearer-Schlüssel in `client-token`. Dadurch ist kein OAuth-Ablauf
 pro Client nötig, ohne die MCP-Routen anonym zu öffnen. Port 8787 darf nicht ins
 öffentliche Internet weitergeleitet werden.
 
-`configure-settings.py` erhält bestehende MCPHub-Benutzer und rendert die
-externe Produktionsliste. Das Image liefert nur den Seed für einen leeren
-Neuaufbau. `verify-hub.py` führt
+`configure-settings.py` rendert die Registry ausschließlich bei einer frischen
+Wiederherstellung. Danach sind MCPHubs eigene Oberfläche und offizielle API die
+Quelle der Wahrheit; ein Image-Update überschreibt neue MCPs nicht.
+`verify-hub.py` führt
 Handshakes und Tool-Listen ohne Schreibzugriff aus. `probe-hub.py` führt genau
 eine ausdrücklich benannte, begrenzte Funktionsprobe aus.
 
@@ -73,11 +74,16 @@ docker exec MCPHub python3 /opt/casaderoll/deploy-extension.py stage \
   --manifest /app/data/work/<id>/manifest.json
 ```
 
-Der Helfer prüft Checksummen, kopiert atomar nach `extensions/<id>` und setzt
-den Server immer zuerst auf deaktiviert. Fehlt die dedizierte Secret-Datei oder
-ein Pflichtfeld, verweigert er die Aktivierung technisch und veröffentlicht
-den Server an keinen Client. Erst nach Handshake und begrenzter read-only Probe
-wird aktiviert und die Client-Konfiguration aus derselben Registry erzeugt.
+Der Helfer prüft Checksummen, kopiert atomar nach `extensions/<id>`, registriert
+den Server über MCPHubs offizielle API und setzt ihn immer zuerst auf
+deaktiviert. Fehlt die dedizierte Secret-Datei oder ein Pflichtfeld, verweigert
+er die Aktivierung technisch. Ein Neustart des MCPHub-Containers ist nicht
+erforderlich.
+
+Hermes verbindet sich nur mit dem gemeinsamen Endpunkt `/mcp`. Dadurch werden
+neu aktivierte Server nach **MCP neu laden** sichtbar, ohne pro MCP eine weitere
+Hermes-Konfiguration zu erzeugen. Der interne Server `mcphub-admin` stellt die
+üblichen Installationswege für HTTP-, npm- und Python-MCPs als Werkzeuge bereit.
 
 ## Migrationsregel