リリースノート

• ―セキュリティ：公開REST エンドポイント（log／lead／qa）が、既存のIP単位のレート制限・質問文字数上限に加えて REST nonce を検証するようになり、クロスサイトや自動化された不正利用を軽減します。
• ―セキュリティ：保存時に受け取るシナリオ／ルールデータ（エディタ保存および「テンプレートから作成」の両方）を、保存前に再帰的にサニタイズするようにしました。
• ―読み込み：チャットボット一覧画面の小さなインラインスタイルを、生の `<style>` タグではなく `wp_add_inline_style()` で追加するようにしました。
• ―国際化（i18n）：`load_plugin_textdomain()` を削除し（WordPress 4.6 以降は翻訳を自動読み込み）、同梱の翻訳ファイルも削除して、翻訳を translate.wordpress.org から配信するようにしました。
• ―ドキュメント：`api-db.grip.website` の業種マスタエンドポイントを「外部サービス」に記載しました。

• ―セキュリティ：アップロードしたAI Q&A参照PDF（`wp-content/uploads/grip-chatbot/` 内）を、`.htaccess` の拒否ルールとインデックスファイルで直接Webアクセスから保護するようにしました。PDFはサーバー側でのみ読み取られる（AI回答用にローカルで、または連携時は grip space経由で）ため、配信には影響しません。保護は有効化時および各アップロード時に適用されます。
• ―表示ルール：表示URLが未設定のチャットボットが、すべてのページに表示されなくなりました。メインアプリと同様に、チャットボットの表示にはURLルールが必要です。サイト全体に表示するには、サイトのルートに前方一致ルールを追加してください。これにより、チャットボットが意図せず全ページに表示される不具合を修正しました。

• ―AI Q&A＋grip space連携：AI Q&Aチャットボットを grip spaceに連携すると、参照PDFが grip space にアップロードされ、grip spaceが同じPDFにもとづいて訪問者の質問に回答するようになりました（単体動作時と同じ挙動）。新しいデータフローは「外部サービス」に記載しています。
• ―AI Q&A：「最大回答回数」設定を追加しました（メインアプリと同様）。AIがその回数だけ回答した後は、次の入力欄の代わりにCTA（メッセージ＋ボタン）を表示し、訪問者を問い合わせページへ誘導できます。CTAは、AI回答が利用できない場合のフォールバックとしても使われます。
• ―AI Q&A：訪問者の質問入力欄を複数行のテキストエリアにしました（Enterで送信、Shift+Enterで改行。メインアプリと同様）。
• ―エディタ：チャットボットエディタの公開コントロールを、他の設定と揃えてトグルスイッチにしました。

• ―新規追加：「FAQ（AI Q&A）」テンプレートを追加し、AI Q&Aチャットボットをワンクリックで作成できるようにしました。
• ―シナリオフローエディタ：エディタ内に「AIで生成」ボタンを追加しました（メインアプリと同様）。
• ―grip space連携：grip space連携済みチャットボットを非公開にすると、grip 上でも非表示になるようにしました（表示同期の対象がバナーだけでなくチャットボットにも拡大）。非公開にしたチャットボットが grip spaceの計測タグ経由で表示され続けることがなくなりました。
• ―AI機能：既定の Gemini モデルを【gemini-3.5-flash-lite】にし、より高品質な選択肢として【gemini-3.6-flash】を選べるようにしました。モデルはサポート対象モデルのドロップダウンから選択します（従来の自由入力欄と、提供終了した gemini-2.5-flash は削除。gemini-2.5-flash は新規APIユーザーには提供されなくなったため）。
• ―アバター：「サイトロゴ／アイコン」オプションを削除し、アバターは「なし」またはアップロード画像になりました。
• ―コード品質：ヒアドキュメント構文を通常の文字列連結に置き換え、WordPress Plugin Check に対応しました。

• ―AI機能（任意）：「設定 → AI機能」で、ご自身の Gemini APIキー（Google AI Studio）を登録できるようにしました。キーはサーバー側に保存され、フロントエンドには一切公開されません。
• ―シナリオビルダー：新しい「AI Q&A」ステップを追加。参照PDFをアップロードしてトーンを選ぶと、訪問者は自由記述で質問でき、AIがそれらのPDFのみにもとづいて回答します（Gemini Files API を使用。小さいファイルはインラインのフォールバックあり）。キー／PDFが未設定の場合は、設定可能なリンクボタンにフォールバックします。
• ―シナリオビルダー：「AIで生成」— 目的・トーン・収集したい情報・CTAを記述すると、指定したサイトURLを読み取って文脈を把握したうえで、AIがステップフロー全体を下書きします（置き換えまたは追記）。
• ―セキュリティ：公開Q&AエンドポイントをIP単位でレート制限（分単位・日単位）し、質問の文字数上限を設けました。参照PDFのファイルパスは、フロントエンドのシナリオJSONに出力されなくなりました。

• ―管理画面：別のgrip spaceプラグイン（Popup Banner／Contact Form）が異なるgrip spaceアカウントまたはサイトに接続されている場合に警告するようにしました。すべてのgrip spaceプラグインは共有の計測タグを1つ読み込むため、アカウント／サイトが混在すると一部の連携計測が計上されません。この通知は、すべて同じアカウント・サイトに接続するよう促します。

• ―リード通知メール／リード一覧：分割された氏名フィールドのラベルが不整合だった問題を修正しました（姓の部分がフィールド名全体で、名の部分は汎用の既定値でラベル付けされていました）。現在はそれぞれ「（姓）」「（名）」と表示されます。
• ―リードメール処理に、任意の診断ログを追加しました（`WP_DEBUG` が有効な場合のみ動作）。通知が送信されたか、および `wp_mail()` の結果を記録します。

• ―メール設定：管理者通知と自動返信のトグルが設定モーダルを開くようにしました（grip spaceアプリと同様）。宛先／CC／BCC、件名、本文を設定できます。本文は `{values}`、`{conversation}`、`{page}` のプレースホルダーに対応し、空欄のフィールドは組み込みの既定テンプレートを使用します。
• ―シナリオビルダー：2つの選択肢が同じ次ステップを指す場合に、結合コネクタ線を描画するようにしました（grip アプリのフロービューと同様）。

• ―初回リリース：ノーコードのチャットボットビルダー（メッセージ／選択肢／入力／リードフォーム／リンクの各ステップ）、ページURL・タイミング・期間のルール、ランチャーバブル・チャットウィンドウ・アバターのスタイル設定、ローカルでのリード獲得、配信・計測のための任意の grip space連携。
• ―すべてのスタイル／スクリプトは `wp_enqueue_style()`／`wp_enqueue_script()` で読み込み、生のインライン `<script>`／`<style>` は出力しません。アクセス計測は既定でオフ（オプトイン）。外部サービス（grip space）は上記に記載しています。