simplify MCPHub extensions and restore Hermes web tools

platform/mcphub/README.md

@@ -9,7 +9,8 @@ sie sich einen Docker-Container und ein Appdata-Backup teilen.
 - ARR, Deemix, Navidrome und GitHub laufen als lokale stdio-Unterprozesse.
 - Home Assistant und MUA/Unraid sind vorhandene HTTP-MCP-Endpunkte und werden
   vom Hub direkt weitergereicht.
-- Allgemeine Webrecherche bleibt ein eingebautes Hermes-Werkzeug. Der alte
+- Allgemeine Webrecherche bleibt ein eingebautes Hermes-Werkzeug. Hermes nutzt
+  den schlüssellosen Keenable-Provider für Suche und Seitenabruf. Der alte
   Athena-Webadapter sowie SearXNG/TinySearch gehören nicht zum MCPHub-Image.
 - Athenas administrativer Operator ist hostgebunden und bleibt auf Athena.
   MCPHub reicht den vorhandenen, nur über WireGuard erreichbaren HTTP-Endpunkt
@@ -22,6 +23,9 @@ sie sich einen Docker-Container und ein Appdata-Backup teilen.
 `/mnt/nvme-storage/appdata/MCPHub` on Unraid contains:
 
 - `mcp_settings.json` (users, server registrations and tool toggles)
+- `config/mcp-registry.json` (produktive deklarative Serverliste)
+- `extensions/<id>/` (geprüfte portable MCP-Laufzeiten)
+- `work/<id>/` (Manifest, Build- und Resume-Zwischenstand)
 - `jwt-secret` (stable login sessions)
 - `secrets/*.env` (local credentials, mode `0600`)
 
@@ -52,11 +56,29 @@ generierten Bearer-Schlüssel in `client-token`. Dadurch ist kein OAuth-Ablauf
 pro Client nötig, ohne die MCP-Routen anonym zu öffnen. Port 8787 darf nicht ins
 öffentliche Internet weitergeleitet werden.
 
-`configure-settings.py` erhält bestehende MCPHub-Benutzer und ersetzt
-Demo-Server durch die deklarative Produktionsliste. `verify-hub.py` führt
+`configure-settings.py` erhält bestehende MCPHub-Benutzer und rendert die
+externe Produktionsliste. Das Image liefert nur den Seed für einen leeren
+Neuaufbau. `verify-hub.py` führt
 Handshakes und Tool-Listen ohne Schreibzugriff aus. `probe-hub.py` führt genau
 eine ausdrücklich benannte, begrenzte Funktionsprobe aus.
 
+## Portable MCPs installieren
+
+Neue portable MCPs erfordern keinen Image-Neubau und keine Änderung am
+Unraid-Template. Laufzeitdateien werden zunächst unter `work/<id>` gebaut und
+per Manifest mit dem geprüften Helfer übernommen:
+
+```bash
+docker exec MCPHub python3 /opt/casaderoll/deploy-extension.py stage \
+  --manifest /app/data/work/<id>/manifest.json
+```
+
+Der Helfer prüft Checksummen, kopiert atomar nach `extensions/<id>` und setzt
+den Server immer zuerst auf deaktiviert. Fehlt die dedizierte Secret-Datei oder
+ein Pflichtfeld, verweigert er die Aktivierung technisch und veröffentlicht
+den Server an keinen Client. Erst nach Handshake und begrenzter read-only Probe
+wird aktiviert und die Client-Konfiguration aus derselben Registry erzeugt.
+
 ## Migrationsregel
 
 Jeweils nur einen Server verschieben, seinen Handshake und einen begrenzten