> ## Documentation Index
> Fetch the complete documentation index at: https://docs.evox.wraithesports.app/llms.txt
> Use this file to discover all available pages before exploring further.

# Capability API’leri

> Host kontrollü key, settings, storage, network, credential ve sistem çağrılarını öğrenin.

| Permission        | Host yöntemleri                    | Not                                   |
| ----------------- | ---------------------------------- | ------------------------------------- |
| `key.display`     | title, image, state, success/error | Active binding context gerekir        |
| `storage.private` | `storage.get/set/delete`           | Plugin-scoped bounded kota            |
| `network.fetch`   | `network.fetch`                    | Declared HTTPS host/method/byte scope |
| `secret.manage`   | `secret.has/delete`                | Raw getter yoktur                     |
| `oauth`           | `oauth.begin/status`               | Token byte plugin mesajına girmez     |
| `action.invoke`   | `action.invoke`                    | İzinli provider hedefleriyle sınırlı  |

<Note>
  **T1 (yerel dev) vs T2 (public sandbox) — hangi capability nerede çalışır:** Bugün **T1** host'unda çalışan host-brokered capability'ler: `key.display` (title / **image** / state / success/error) ve `settings.get/patch`. Diğerleri (`storage`, `network.fetch`, `secret`, `oauth`, `clipboard`, `profile`, `system`, `input`, `action.invoke`) **T2** içindir.

  **T1 sandboxsız Node** olduğu için bunlara host-brokered gerek yoktur — doğrudan platform API'lerini kullanın: ağ için `fetch()`, dosya/kalıcılık için `node:fs`, kendi token/OAuth yönetiminizi doğrudan yapın. Host-brokered sürümler kodunuzu **T2'ye taşınabilir** kılmak içindir (public upload açılınca). Ayrıntı: <a href="/sdk/trust-tiers">Güven katmanları</a>.
</Note>

## Key display

```js theme={}
await client.setTitle(context.bindingInstanceId, 'Hazır');
await client.showSuccess(context.bindingInstanceId);
```

Static image manifest-hash doğrulamalı `assetId`; dynamic image bounded PNG/JPEG/WebP raster descriptorı kullanır. Raw path veya external URL kabul edilmez.

## Credential lifecycle ve authenticated fetch

```js theme={}
await client.hasSecret('serviceToken');
await client.beginOAuth('providerName');
await client.networkFetchWithCredential({
  url: 'https://api.example.com/status',
  method: 'GET',
  credential: { kind: 'secret', name: 'serviceToken' }
});
```

Credential reference yalnız `{kind:'secret',name}` veya `{kind:'oauth',provider}` biçimindedir. Host şifreyi kendi encrypted vaultundan çözer ve izinli HTTPS isteğine enjekte eder; raw credential plugin request/response’una girmez. Host, permission host/method/header/request/response limitlerini yine uygular.

<Warning>Raw tokenı normal settings, manifest defaultu, log veya `network.fetch` headerına yerleştirmeyin.</Warning>