Read "marbel" as marble. Built the entire app in one go: dockerized postgres (port 5435 — three other apps had taken the neighbors), a Paste model with unguessable tokens, drag-and-drop upload, share links, a sandboxed preview (user HTML runs but can never touch the site), and an elegant white-marble design with serif headlines. Tests green, security scan clean, running on port 3000.

The great retcon! Asked which Marvel — Ali picked comic-book energy. Rebuilt the whole look: Bangers display type with hard red shadows, ink-outlined panels, Ben-Day halftone dots, a FREE! starburst on the drop zone, and a footer signed "issue #1". Same app, infinitely more kapow.

Server-side syntax highlighting (Rouge, zero JS), and the preview became a faux browser window — traffic-light dots, filename in the title bar — that expands to fill the viewport while staying visibly inside the site.

Tokens grew to 32 characters (~165 bits — nobody is guessing one), and the scroll position is saved on entry and restored on exit, so the page stays exactly where you left it.

A drawn-on-load success checkmark, panels that slide in with a cross-blur, the copy button cross-fading to "Copied!", page-to-page view transitions — every animation with a reduced-motion guard. The mobile audit caught real bugs: the headline's comic shadow collided with itself on small screens, and a rogue starburst caused a 1px horizontal scroll. Both fixed.

Plain F toggles fullscreen — but never while you're typing in a field, never hijacking Cmd+F, and never while the preview is hidden behind the Source tab.

Trimmed five unused Rails frameworks and three gems, fixed a CI workflow that would never have passed, then shipped the public face: installable PWA (minimal network-first service worker, comic offline page, maskable icons), comic-styled error pages for every status, and a generated 1200×630 OG banner with proper meta tags. Verified the offline page by actually killing the server mid-browse.

Sharp eye — the favicon's "P" was a serif fallback because SVG text can't load web fonts. Extracted the real Bangers glyph as a vector path and rebuilt every icon from it. Then proved with pixel checks that pastehtml's splash icon already had transparent rounded corners (the good case), explained the any-vs-maskable mechanics, and patched faqieh's icon build script so its splash stops showing a sharp mismatched block.

Called it: the workflow smelled like sharing AI-generated artifacts. The gap was that publishing was human-only. So: a JSON API (curl -F [email protected] pastehtml.dev/api/pastes → share link), paste-from-clipboard with ⌘V (including copied files from Finder, after Ali caught that one), <title> extraction so links read like documents, and rate limits + SSL + host protection for production.

Endorsed the capability-token contract, flagged the two collisions (the "sealed forever" promise and the 1-year cache), laid out options — Ali chose in-place updates. Shipped: an update_token revealed exactly once (only a SHA-256 digest is stored), PATCH with a Bearer header, ETag caching, and honest UI ("published · updated"). Deletion stays impossible for everyone, forever.

Loved it, with one catch: most agent fetch tools strip HTML comments before the model ever sees them. So the idea became three layers — a full /llms.txt integration guide, a visible "Built for AI agents" section, and the "Hey beautiful agent!" comment for raw fetchers. Then role-played the whole flow as the agent: discovered the contract from the site, published a doc, saved the token, updated it later. It worked end to end.

Not today — the sandbox forbids it by design, and simply allowing it would let any paste read the site's cookies and every other paste's data. The right fix, as the big user-content hosts do it: give each paste its own origin — https://<token>.pastehtml.dev/. Real isolated storage, stronger security than the sandbox.

Verified before promising: free-plan wildcard DNS + one-level Universal SSL cover it, kamal-proxy routes wildcards with a free Origin CA cert, and other apps on the server are untouched. Then built it — and hit the plot twist: browsers lowercase hostnames, so case-sensitive tokens died in subdomains. The token alphabet went lowercase, and a live browser test proved localStorage persists per paste (visits: 1 → 2 → 3 across reloads, neighbors see nothing).

Agreed — readers want the document, not chrome around it. The subdomain became the canonical share link everywhere (copy button, agent guidance), while /p/<token> stayed as the publisher's inspector: copy, preview, highlighted source.

An independent reviewer agent swept every file and found two real ones: the modern-browser gate was returning 406 to older browsers opening share links (the one thing that must always work), and syntax highlighting was an unthrottled CPU amplifier. Both fixed, plus route confinement so paste origins serve nothing but their document. History collapsed to one clean commit.

You're reading it. And in the most fitting ending possible — this page is itself a single HTML file, published as a paste, living on its own little subdomain. The product shipped itself.

فهمتُ "marbel" على أنها marble ‏(رخام)‏، وبنيتُ التطبيق بالكامل دفعةً واحدة: postgres داخل Docker (على المنفذ 5435 — فقد سبقتني ثلاثة تطبيقات أخرى واحتلّت المنافذ المجاورة)، ونموذج Paste بمُعرِّفات يستحيل عمليًا تخمينها، ورفع الملفات بالسحب والإفلات، وروابط مشاركة، ومعاينة معزولة يعمل فيها HTML المستخدم دون أن يصل أبدًا إلى الموقع، وتصميم أنيق من الرخام الأبيض بعناوين بخط serif. الاختبارات ناجحة، والفحص الأمني نظيف، وكل شيء يعمل على المنفذ 3000.

التراجع الكبير! سألتُ: أيُّ Marvel تقصد؟ فاختار علي طاقة عوالم الكوميكس. فأعدتُ بناء المظهر من الصفر: خط Bangers العريض بظلال حمراء حادّة، وألواحٌ محدّدةٌ بخطوط الحبر، ونقاط Ben-Day هاف-تون، ونجمةٌ مدبّبة تصرخ FREE! فوق منطقة الإفلات، وفي الأسفل توقيعٌ يقول "issue #1". التطبيق نفسه، لكن بطاقة kapow لا تنتهي.

أضفتُ تلوين الصياغة من جهة الخادم باستخدام Rouge دون أي JS، وصارت المعاينة أشبه بنافذة متصفح — نقاط بألوان إشارة المرور، واسم الملف في شريط العنوان — تتمدّد لتملأ الشاشة بالكامل دون أن تغادر الموقع، فتبقى ظاهرةً داخله.

رفعتُ طول المُعرِّفات إلى 32 محرفًا (≈165 bits — يستحيل عمليًا تخمين أيٍّ منها)، وصرتُ أحفظ موضع التمرير عند الدخول وأستعيده عند الخروج، فتبقى الصفحة تمامًا حيث تركتها.

علامة نجاح تُرسَم أمام عينك ما إن تُحمَّل الصفحة، ولوحات تنزلق إلى مكانها بتمويه عابر، وزر نسخ يتلاشى بنعومة ليصير "تم النسخ!"، وانتقالات تنساب بين الصفحات — وكل حركة منها مضبوطة لتحترم تفضيل تقليل الحركة. أمّا تدقيق نسخة الجوّال فقد كشف أخطاءً حقيقية: كان ظلّ العنوان الكوميكسي يصطدم بنفسه على الشاشات الصغيرة، وتسبّبت نجمةٌ مدبّبة شاردة في تمريرٍ أفقي بمقدار 1px. أصلحتُ الاثنين.

مفتاح F وحده يبدّل ملء الشاشة دخولاً وخروجاً — لكن لا يفعل ذلك أبداً وأنت تكتب داخل حقل، ولا يخطف Cmd+F، ولا حين تكون المعاينة مختبئة خلف تبويب المصدر.

تخلّصتُ من خمسة أطر Rails غير مستخدمة ومن ثلاث جواهر، وأصلحتُ مسارَ CI ما كان له أن ينجح أبدًا، ثم أطلقتُ الواجهة العامة: تطبيق PWA قابل للتثبيت (مع service worker بسيط يعتمد الشبكة أولًا، وصفحة عدم اتصال بطابع كوميكي، وأيقونات قابلة للتقنيع)، وصفحات أخطاء بالطابع نفسه لكل حالة، ولافتة OG مولّدة بقياس 1200×630 بوسوم وصفية سليمة. وللتأكّد من صفحة عدم الاتصال، أوقفتُ الخادم فعليًا في منتصف التصفّح.

ملاحظة دقيقة — كان حرف الـ"P" في الـfavicon يظهر بخط serif احتياطي، لأن نص الـSVG لا يستطيع تحميل خطوط الويب. فاستخرجتُ شكل حرف Bangers الأصلي كمسارٍ متّجه، وأعدتُ بناء كل أيقونة منه. ثم أثبتُّ بفحص البكسل أن أيقونة شاشة البدء في pastehtml كانت أصلاً بزوايا مدوّرة شفّافة (وهي الحالة المثالية)، وشرحتُ الفرق بين آليّتَي any وmaskable، ورقّعتُ سكربت بناء أيقونة faqieh كي تكفّ شاشة بدئها عن إظهار مربّع حادّ غير متناسق.

صدَق الحدس: سير العمل تفوح منه رائحة مشاركة مخرجات الذكاء الاصطناعي، والثغرة أن النشر كان حِكرًا على البشر. فكان الحل: واجهة JSON برمجية (curl -F [email protected] pastehtml.dev/api/pastes ← رابط مشاركة)، ولصقٌ من الحافظة بـ ⌘V (حتى الملفات المنسوخة من Finder، بعد أن تنبّه إليها علي)، واستخراج <title> كي تُقرأ الروابط كأنها مستندات، إضافةً إلى حدود لمعدّل الطلبات و SSL وحماية المضيف في بيئة الإنتاج.

أيّدتُ فكرة عقد رمز الصلاحية، ونبّهتُ إلى تعارُضين: وعد «مختوم إلى الأبد» وتخزين النسخة المؤقتة لسنة كاملة. عرضتُ الخيارات، فاختار علي التحديث في المكان نفسه. وأطلقتُ: update_token يظهر لمرة واحدة فقط لا غير (ولا نخزّن منه سوى بصمة SHA-256)، وطلب PATCH يحمل ترويسة Bearer، وتخزين مؤقت عبر ETag، وواجهة صادقة («منشور · مُحدَّث»). أما الحذف فيبقى مستحيلاً على الجميع، إلى الأبد.

أعجبتني الفكرة، غير أنّ ثمّة عقبة واحدة: تحذف معظم أدوات الجلب لدى الوكلاء تعليقات HTML قبل أن يراها النموذج أصلاً. فتحوّلت الفكرة إلى ثلاث طبقات — دليل تكامل كامل عبر /llms.txt، وقسم ظاهر بعنوان "Built for AI agents"، وإلى جانب ذلك تعليق "Hey beautiful agent!" لمن يجلب الصفحة خاماً. ثم تقمّصتُ دور الوكيل ومررتُ بالمسار كاملاً: اكتشفتُ العقد من الموقع، ونشرتُ مستنداً، وحفظتُ الرمز، ثم حدّثتُه لاحقاً. ونجح من أوله إلى آخره.

ليس اليوم — فالبيئة المعزولة تمنع ذلك عمدًا، ولو سمحنا به لاستطاعت أي صفحة ببساطة قراءة كوكيز الموقع وبيانات كل صفحة أخرى. الحل الصحيح، تمامًا كما تفعله كبرى منصات استضافة محتوى المستخدمين: نمنح كل صفحة أصلاً مستقلاً خاصًا بها — https://<token>.pastehtml.dev/. تخزين معزول حقيقي، وأمان أقوى من البيئة المعزولة نفسها.

تحقّقتُ قبل أن أَعِد بشيء: تكفي نطاقات DNS الشاملة في الخطة المجانية مع Universal SSL بمستوى واحد، ويوجّه kamal-proxy النطاقات الشاملة بشهادة Origin CA مجانية، وتبقى بقية التطبيقات على الخادم كما هي دون أن يمسّها شيء. ثم بنيتُه — وهنا جاءت المفاجأة: تَخفِض المتصفّحات أحرف أسماء المضيف إلى أحرف صغيرة، فماتت المُعرِّفات الحسّاسة لحالة الأحرف داخل النطاقات الفرعية. حوّلتُ أبجدية المُعرِّف كلّها إلى أحرف صغيرة، وأثبتَ اختبارٌ حيّ في المتصفّح أن localStorage يبقى محفوظًا لكل صفحة على حدة (الزيارات: 1 → 2 → 3 مع كل إعادة تحميل، والجيران لا يرون شيئًا).

اتفقنا — القارئ يريد المستند نفسه، لا الإطار المحيط به. فصار النطاق الفرعي هو رابط المشاركة المعتمد في كل مكان (زر النسخ وإرشادات الوكلاء)، بينما بقي /p/<token> أداةَ فحصٍ للناشر يتفقّد بها صفحته: ينسخ ويعاين ويرى الكود مع تلوين الصياغة.

مرّ وكيل مراجعة مستقل على كل ملف، فوقع على مشكلتين حقيقيتين: كانت بوّابة المتصفّحات الحديثة تردّ بالحالة 406 على المتصفّحات الأقدم وهي تفتح روابط المشاركة — وهذا تحديدًا ما يجب ألّا يتعطّل أبدًا — وكان تلوين الكود يلتهم المعالج بلا أي كبح. أصلحتُ الاثنتين، وأضفتُ حصرًا للمسارات حتى لا تخدم أصول الصفحات سوى مستندها لا غير. ثم طويتُ التاريخ كلّه في كومِت واحد نظيف.

أنت تقرؤها الآن. وفي أبلغ نهاية ممكنة — ليست هذه الصفحة سوى ملف HTML واحد، نُشِر بوصفه صفحة، ويعيش على نطاقٍ فرعيٍّ صغيرٍ خاصٍّ به. أطلق المنتج نفسه بنفسه.