masks-server 0.10.0 → 0.12.0

data/app/models/masks/server/tenant.rb

@@ -64,6 +64,12 @@ module Masks
 
       IDLE_DAYS = (60..3650)
       RETENTION_DAYS = (30..2555)
+      LINK_LIFETIMES = {
+        invitation_lifetime: (1.hour.to_i..30.days.to_i),
+        organization_invitation_lifetime: (1.hour.to_i..30.days.to_i),
+        password_reset_lifetime: (5.minutes.to_i..1.day.to_i),
+        email_verification_lifetime: (1.hour.to_i..14.days.to_i)
+      }.freeze
 
       validates :named_by, inclusion: { in: NAMES }, allow_nil: true
       validates :accent_color, format: { with: ACCENT }, allow_nil: true
@@ -71,6 +77,18 @@ module Masks
       validates :dynamic_registration, inclusion: { in: REGISTRATIONS }, allow_nil: true
       validates :suspend_after, :delete_after, numericality: { only_integer: true, in: IDLE_DAYS }, allow_nil: true
       validates :event_retention_days, numericality: { only_integer: true, in: RETENTION_DAYS }, allow_nil: true
+      def self.spoken(seconds)
+        unit, length = { "day" => 1.day, "hour" => 1.hour, "minute" => 1.minute }.find { |_, held| (seconds % held).zero? }
+        count = seconds / length
+
+        "#{count} #{unit.pluralize(count)}"
+      end
+
+      LINK_LIFETIMES.each do |name, range|
+        shortest, longest = [ range.begin, range.end ].map { |seconds| spoken(seconds) }
+
+        validates name, numericality: { only_integer: true, in: range, message: "must be from #{shortest} to #{longest}" }
+      end
       validates :delete_after, comparison: { greater_than: :suspend_after, message: "must be longer than suspend after" },
                                if: -> { suspend_after && delete_after }
 
@@ -104,8 +122,20 @@ module Masks
         event_retention_days&.days || Event::RETENTION
       end
 
+      def self.link_lifetime(name, tenant = Current.tenant)
+        (tenant ? tenant[name] : column_defaults.fetch(name.to_s)).seconds
+      end
+
+      def self.default_link_lifetime(name)
+        column_defaults.fetch(name.to_s)
+      end
+
       def public_origin
-        custom_origin || templated_origin
+        custom_origin || templated_origin || held_origin
+      end
+
+      def held_origin
+        pinned_origin if self.class.pins_origin?
       end
 
       def templated_origin
@@ -246,6 +276,10 @@ module Masks
           serving(host) || named(host)
         end
 
+        def pins_origin?
+          ::Rails.configuration.masks.public_origin_template.nil? && ::Rails.configuration.masks.pin_origin
+        end
+
         def served_domain
           template = ::Rails.configuration.masks.public_origin_template
 
@@ -403,7 +437,10 @@ module Masks
       end
 
       def set_up!
-        update!(setup_token: nil) if setup_token.present?
+        self.setup_token = nil
+        self.pinned_origin ||= Current.origin.presence if self.class.pins_origin?
+
+        save! if changed?
       end
 
       def setup_announcement

data/app/models/masks/server/token.rb

@@ -22,7 +22,8 @@ module Masks
         "pushed" => "PushedRequest",
         "approval" => "SignInApproval",
         "forward_code" => "ForwardCode",
-        "forward_session" => "ForwardSession"
+        "forward_session" => "ForwardSession",
+        "app_password" => "AppPassword"
       }.freeze
 
       self.inheritance_column = "kind"

data/app/views/masks/server/account/_app_passwords.html.erb

@@ -0,0 +1,83 @@
+<section class="group" id="app-passwords">
+  <h2><%= account_text("app_passwords.heading") %></h2>
+
+  <div class="entries">
+    <details class="entry" <%= "open" if app_password %>>
+      <summary>
+        <span class="entry-icon"><%= account_icon(:password) %></span>
+        <span class="entry-label"><%= account_text("app_passwords.entry") %></span>
+        <span class="entry-state">
+          <%= app_passwords.any? ? app_passwords.size : account_text("app_passwords.state.none") %>
+        </span>
+        <span class="entry-mark" aria-hidden="true"></span>
+      </summary>
+
+      <div class="entry-body">
+        <p class="aside"><%= account_text("app_passwords.lede") %></p>
+
+        <% if app_password %>
+          <p class="aside aside-bad" role="alert">
+            <%= account_text("app_passwords.shown_once", name: app_password["name"], app: app_password["app"]) %>
+          </p>
+
+          <ol class="codes">
+            <li><code><%= app_password["secret"] %></code></li>
+          </ol>
+        <% end %>
+
+        <% if app_passwords.any? %>
+          <div class="items">
+            <% app_passwords.each do |held| %>
+              <div class="item">
+                <span class="item-name">
+                  <span><%= held.name %></span>
+                  <span class="tag"><%= held.client.name %></span>
+                </span>
+
+                <span class="item-meta">
+                  <%= account_text("app_passwords.made_ago", age: time_ago_in_words(held.created_at)) %>
+                  ·
+                  <% if held.used_at %>
+                    <%= account_text("app_passwords.used_ago", age: time_ago_in_words(held.used_at)) %>
+                  <% else %>
+                    <%= account_text("app_passwords.never_used") %>
+                  <% end %>
+                </span>
+
+                <%= button_to account_text("app_passwords.revoke"),
+                      account_app_password_path(held.id), method: :delete,
+                      class: "action action-quiet action-sm", form_class: "item-act",
+                      form: { data: { turbo_confirm: account_text("app_passwords.confirm_revoke", name: held.name) } } %>
+              </div>
+            <% end %>
+          </div>
+        <% end %>
+
+        <% if offered.any? %>
+          <%= form_with url: account_app_passwords_path, method: :post, class: "member-add" do |form| %>
+            <label class="field member-add-email">
+              <span class="field-label"><%= account_text("app_passwords.name") %></span>
+              <%= form.text_field :name, required: true, autocomplete: "off", class: "control", id: "app-password-name",
+                                  maxlength: Masks::Server::AppPassword::NAME_LIMIT,
+                                  placeholder: account_text("app_passwords.name_placeholder") %>
+            </label>
+
+            <label class="field member-add-role">
+              <span class="field-label"><%= account_text("app_passwords.app") %></span>
+              <%= form.select :client_id, offered.map { |client| [ client.name, client.client_id ] }, {}, class: "control",
+                              id: "app-password-client" %>
+            </label>
+
+            <button type="submit" class="action action-sm member-add-go">
+              <%= account_text(fresh ? "app_passwords.make" : "app_passwords.make_again") %>
+            </button>
+
+            <span class="field-hint member-add-hint"><%= account_text("app_passwords.hint") %></span>
+          <% end %>
+        <% else %>
+          <p class="aside"><%= account_text("app_passwords.none_offered") %></p>
+        <% end %>
+      </div>
+    </details>
+  </div>
+</section>

data/app/views/masks/server/account/_organizations.html.erb

@@ -135,6 +135,39 @@
               <% end %>
             </div>
 
+            <% asked = account_access_requests(organization) %>
+            <% if asked.any? %>
+              <p class="aside"><strong><%= account_text("access.heading") %></strong> <%= account_text("access.lede", organization: organization.name) %></p>
+
+              <div class="items" id="access-requests-<%= organization.key %>">
+                <% asked.each do |request| %>
+                  <% roles = request.organization_roles.filter_map { |key, role| role if key == organization.key } %>
+                  <div class="item item-member access-request" id="access-request-<%= request.id %>">
+                    <span class="item-name"><%= request.actor.identifier %></span>
+                    <span class="item-meta">
+                      <%= account_text("access.asked", app: request.client.name, age: time_ago_in_words(request.created_at)) %>
+                    </span>
+
+                    <div class="item-act item-acts">
+                      <%= form_with url: account_organization_access_path(organization.key, request.id), method: :post,
+                                    class: "item-acts" do |form| %>
+                        <%= form.select :role, roles, {}, class: "control control-sm",
+                                        id: "access-role-#{organization.key}-#{request.id}",
+                                        aria: { label: account_text("access.role_of", name: request.actor.identifier) } %>
+                        <button type="submit" class="action action-sm"><%= account_text("access.grant") %></button>
+                      <% end %>
+
+                      <%= button_to account_text("access.decline"),
+                            account_organization_access_path(organization.key, request.id), method: :delete,
+                            class: "action action-quiet action-sm",
+                            form: { data: { turbo_confirm: account_text("access.confirm_decline", identifier: request.actor.identifier,
+                                                                                                  app: request.client.name) } } %>
+                    </div>
+                  </div>
+                <% end %>
+              </div>
+            <% end %>
+
             <%= form_with url: account_organization_members_path(organization.key), method: :post, class: "member-add" do |form| %>
               <label class="field member-add-email">
                 <span class="field-label"><%= account_text("organizations.add_email") %></span>

data/app/views/masks/server/account/index.html.erb

@@ -31,6 +31,11 @@
 
   <%= render "masks/server/account/apps", apps: @apps, connections: @connections, linkable: @linkable %>
 
+  <% if @app_passwords.any? || @app_password_clients.any? %>
+    <%= render "masks/server/account/app_passwords", app_passwords: @app_passwords, offered: @app_password_clients,
+                                                     app_password: @app_password, fresh: @fresh %>
+  <% end %>
+
   <%= render "masks/server/account/info", actor: @actor, directed: @directed, fresh: @fresh %>
 
   <%= render "masks/server/account/activity", events: @events %>

data/app/views/masks/server/actor_mailer/access_declined.html.erb

@@ -0,0 +1,5 @@
+<%= render layout: "message" do %>
+<p class="lede"><%= t(".lede", app: @app.name, tenant: @tenant_name) %></p>
+<% end %>
+
+<p class="meta"><%= t(".again") %></p>

data/app/views/masks/server/actor_mailer/access_declined.text.erb

@@ -0,0 +1,5 @@
+<%= render layout: "message" do %>
+<%= t(".lede", app: @app.name, tenant: @tenant_name) %>
+<% end %>
+
+<%= t(".again") %>

data/app/views/masks/server/actor_mailer/access_granted.html.erb

@@ -0,0 +1,7 @@
+<%= render layout: "message" do %>
+<p class="lede"><%= t(".lede", app: @app.name, tenant: @tenant_name) %></p>
+<% end %>
+
+<% if @url %>
+  <%= render "action", url: @url, label: t(".action", app: @app.name) %>
+<% end %>

data/app/views/masks/server/actor_mailer/access_granted.text.erb

@@ -0,0 +1,7 @@
+<%= render layout: "message" do %>
+<%= t(".lede", app: @app.name, tenant: @tenant_name) %>
+<% end %>
+<% if @url %>
+
+<%= @url %>
+<% end %>

data/app/views/masks/server/authorize/error.html.erb

@@ -9,4 +9,29 @@
   <p class="said"><%= @error_code %> — <%= @error_description %></p>
 
   <p class="prompt-lede"><%= @refused ? t(".nothing_shared") : t(".contact") %></p>
+
+  <% if @asking %>
+    <div id="ask-access" class="flow" data-waiting="<%= @waiting.present? %>">
+      <% if flash[:alert].present? %>
+        <p class="note note-bad" role="alert"><%= flash[:alert] %></p>
+      <% elsif flash[:notice].present? %>
+        <p class="note note-plain" role="status"><%= flash[:notice] %></p>
+      <% end %>
+
+      <% if @waiting %>
+        <p class="prompt-lede"><%= t(".waiting", app: @asking.name) %></p>
+      <% else %>
+        <p class="prompt-lede"><%= t(".asking", app: @asking.name) %></p>
+
+        <%= form_with url: authorize_access_request_path, method: :post do |form| %>
+          <%= form.hidden_field :rid, value: params[:rid] %>
+          <button type="submit" class="action"><%= t(".ask") %></button>
+        <% end %>
+      <% end %>
+    </div>
+  <% end %>
+
+  <% if @return_to %>
+    <a class="action action-quiet" id="back-to-app" href="<%= @return_to %>"><%= t(".back", app: @asking&.name || t(".the_app")) %></a>
+  <% end %>
 </div>

data/config/locales/de/access_requests.yml

@@ -0,0 +1,43 @@
+de:
+  authorize:
+    error:
+      asking: "Ihr Konto ist in keiner Gruppe, die %{app} nutzen darf. Sie können um Zugang bitten. Die Betreiber von %{app} entscheiden, und Sie erhalten in jedem Fall eine E-Mail."
+      ask: "Um Zugang bitten"
+      asked: "Ihre Anfrage wurde gesendet. Sie erhalten eine E-Mail, sobald sie entschieden ist."
+      waiting: "Ihre Anfrage, %{app} zu nutzen, wartet. Sie erhalten eine E-Mail, sobald sie entschieden ist."
+      slow_down: "Sie haben vor weniger als einer Stunde um Zugang zu dieser App gebeten. Warten Sie auf die Antwort."
+      back: "Zurück zu %{app}"
+      the_app: "der App"
+
+  account:
+    index:
+      access:
+        heading: "Um Zugang gebeten"
+        lede: "Diese Personen wurden von einer App abgewiesen, die Mitglieder von %{organization} zulässt. Mit Genehmigen werden sie Mitglied mit der Rolle, die Sie wählen."
+        asked: "Hat vor %{age} gebeten, %{app} zu nutzen"
+        role_of: "Rolle für %{name}"
+        grant: "Genehmigen"
+        decline: "Ablehnen"
+        confirm_decline: "Die Anfrage von %{identifier}, %{app} zu nutzen, ablehnen? Die Person erhält eine E-Mail und kann in einer Stunde erneut bitten."
+
+  organization_access:
+    granted: "%{identifier} ist jetzt %{role} von %{organization} und kann %{app} nutzen."
+    declined: "Die Anfrage von %{identifier}, %{app} zu nutzen, ist abgelehnt."
+    unknown: "Diese Anfrage wartet nicht auf %{organization}."
+
+  actor_mailer:
+    access_granted:
+      subject: "Sie können %{app} jetzt nutzen"
+      lede: "Ihre Anfrage, %{app} bei %{tenant} zu nutzen, wurde genehmigt. Melden Sie sich erneut bei %{app} an, und Sie werden eingelassen."
+      action: "%{app} öffnen"
+    access_declined:
+      subject: "Ihre Anfrage, %{app} zu nutzen, wurde abgelehnt"
+      lede: "Jemand, der %{app} bei %{tenant} betreibt, hat Ihre Anfrage um Zugang abgelehnt."
+      again: "Wenn Sie das für einen Fehler halten, fragen Sie die Person direkt. In einer Stunde können Sie erneut bitten."
+
+  events:
+    actions:
+      access:
+        requested: "Um Zugang zu einer App gebeten"
+        granted: "Zugang zu einer App genehmigt"
+        declined: "Zugang zu einer App abgelehnt"

data/config/locales/de/account/app_passwords.yml

@@ -0,0 +1,42 @@
+de:
+  account:
+    index:
+      app_passwords:
+        heading: "App-Passwörter"
+        entry: "App-Passwörter"
+        state:
+          none: "Keine"
+        lede: "Mit einem App-Passwort meldet sich eine einzelne App, etwa ein Medienserver oder ein NAS, ohne Ihren zweiten Faktor als Sie an. Es gilt nur für die App, für die es erstellt wurde."
+        shown_once: "Das ist das App-Passwort für %{name}. Es wird nur einmal angezeigt. Geben Sie es jetzt in %{app} ein."
+        made_ago: "erstellt vor %{age}"
+        used_ago: "zuletzt verwendet vor %{age}"
+        never_used: "nie verwendet"
+        revoke: "Widerrufen"
+        confirm_revoke: "%{name} widerrufen? Die App kann sich damit sofort nicht mehr anmelden."
+        name: "Name"
+        name_placeholder: "Jellyfin auf dem Fernseher"
+        app: "App"
+        make: "App-Passwort erstellen"
+        make_again: "Zum Erstellen erneut anmelden"
+        hint: "Ihr eigenes Passwort und Ihre Passkeys bleiben unverändert. Das Widerrufen eines App-Passworts ändert sonst nichts."
+        none_offered: "Noch keine App akzeptiert App-Passwörter."
+  app_passwords:
+    again: "Melden Sie sich erneut an, um ein App-Passwort zu erstellen. Ihre letzte Anmeldung liegt eine Weile zurück."
+    unknown: "Dieses Konto hat kein solches App-Passwort."
+    revoked: "%{name} ist widerrufen."
+    refused:
+      name: "Geben Sie dem App-Passwort einen Namen mit höchstens 64 Zeichen."
+      app: "Diese App akzeptiert keine App-Passwörter."
+      too_many: "Sie haben bereits %{most} App-Passwörter. Widerrufen Sie zuerst eines."
+  events:
+    actions:
+      app_password:
+        created: "App-Passwort erstellt"
+        used: "Mit einem App-Passwort angemeldet"
+        revoked: "App-Passwort widerrufen"
+  actor_mailer:
+    notification:
+      said:
+        app_password:
+          created: "Für Ihr %{tenant}-Konto wurde ein App-Passwort erstellt. Damit meldet sich eine App ohne Ihren zweiten Faktor an."
+          revoked: "Ein App-Passwort Ihres %{tenant}-Kontos wurde widerrufen."

data/config/locales/de/events.yml

@@ -157,6 +157,13 @@ de:
         exported: "Aktivität exportiert"
       mail_template:
         updated: "E-Mail-Vorlage geändert"
+      job:
+        failed: "Hintergrundjob für diesen Mandanten fehlgeschlagen"
+      health:
+        failing: "Zustandsprüfung fehlgeschlagen"
+        recovered: "Zustandsprüfung wieder in Ordnung"
+      release:
+        available: "Neue Version verfügbar"
       stream:
         created: "Event-Stream hinzugefügt"
         updated: "Event-Stream geändert"
@@ -171,6 +178,8 @@ de:
       signal:
         undelivered: "Shared Signal nicht zugestellt"
         received: "Anbieter hat Abmeldung signalisiert"
+      text:
+        undelivered: "SMS nicht zugestellt"
       organization:
         created: "Organisation hinzugefügt"
         updated: "Organisation geändert"

data/config/locales/de/flashes.yml

@@ -163,3 +163,4 @@ de:
   forward_auth:
     unknown: "Unter dieser Adresse ist keine App hinter einem Proxy registriert."
     not_admitted: "Ihr Konto darf %{app} nicht verwenden."
+    denied: "Diese Seite von %{app} ist für alle gesperrt."

data/config/locales/de/group_sources.yml

@@ -0,0 +1,5 @@
+de:
+  events:
+    actions:
+      group:
+        refreshed: "Gruppe aus ihrer Quelle gefüllt"

data/config/locales/de/manage/access_requests.yml

@@ -0,0 +1,12 @@
+de:
+  manage:
+    access_requests:
+      title: "Zugangsanfragen"
+      lede: "Akteure, die von diesem Client abgewiesen wurden und um Zugang gebeten haben. Mit Genehmigen kommen sie in eine der Gruppen, die er zulässt, und sie erhalten in jedem Fall eine E-Mail."
+      empty: "Niemand wartet auf Zugang."
+      asked: "Gebeten %{day}"
+      as: "Gruppe, in die sie kommen"
+      grant: "Genehmigen"
+      decline: "Ablehnen"
+      granted: "%{identifier} ist jetzt in %{label} und kann sich anmelden."
+      declined: "Die Anfrage von %{identifier} ist abgelehnt."

data/config/locales/de/manage/app_passwords.yml

@@ -0,0 +1,16 @@
+de:
+  manage:
+    client:
+      sign_in:
+        app_passwords: "App-Passwörter akzeptieren"
+        app_passwords_help: "Akteure erstellen auf ihrer Kontoseite ein App-Passwort für diesen Client. Es meldet sie über LDAP und Forward-Auth ohne zweiten Faktor an, nur bei diesem Client."
+      notices:
+        app_passwords_on: "Akteure können jetzt ein App-Passwort dafür erstellen."
+        app_passwords_off: "Seine App-Passwörter werden ab jetzt abgelehnt."
+    ldap:
+      connect:
+        app: "App"
+        no_app: "Keine App"
+        app_help: "Wählen Sie den Client, als der der Dienst registriert ist. App-Passwörter der Akteure für diesen Client binden dann auf einer Verbindung, die sich zuerst mit diesem Zugang gebunden hat."
+      credentials:
+        app: "Akzeptiert App-Passwörter für %{name}"

data/config/locales/de/manage/client.yml

@@ -174,7 +174,7 @@ de:
       uris:
         title: "URIs"
         acs: "Assertion Consumer Services"
-        redirect: "Redirect"
+        redirect: "Weiterleitung"
         post_logout: "Redirect nach dem Logout"
         resources: "Ressourcen"
       details:

data/config/locales/de/manage/forward_auth_rules.yml

@@ -0,0 +1,29 @@
+de:
+  manage:
+    forward_auth_rules:
+      title: "Regeln"
+      lede: "Die erste Regel, die eine Anfrage abdeckt, entscheidet sie. Eine Anfrage ohne passende Regel braucht eine angemeldete Person, die sich anmelden darf."
+      empty: "Es gibt keine Regeln. Jede Anfrage braucht eine angemeldete Person, die sich anmelden darf."
+      paths: "Pfade"
+      paths_hint: "Einer pro Zeile. * deckt ein Segment ab und ** jede Tiefe, also deckt /admin/** /admin und alles darunter ab. Leer deckt jeden Pfad ab."
+      methods: "Methoden"
+      methods_hint: "GET, POST und so weiter. Leer deckt jede Methode ab."
+      networks: "Netzwerke"
+      networks_hint: "Adressen oder Bereiche wie 192.168.0.0/16. Leer deckt jede Adresse ab."
+      groups: "Gruppen"
+      groups_hint: "Gruppenschlüssel oder Rollen als schlüssel:rolle. Leer deckt alle ab."
+      outcome: "Ergebnis"
+      outcomes:
+        open: "Offen für alle, ohne Anmeldung"
+        one_factor: "Eine angemeldete Person, ohne zweiten Faktor"
+        two_factor: "Eine angemeldete Person, mit ihrem zweiten Faktor"
+        token: "Eine angemeldete Person oder ein Skript mit einem Zugriffstoken"
+        deny: "Für alle gesperrt"
+      rule: "Regel %{number}"
+      add: "Regel hinzufügen"
+      remove: "Entfernen"
+      up: "Nach oben"
+      down: "Nach unten"
+      save: "Regeln speichern"
+      saved: "Regeln gespeichert."
+      trust: "Eine Netzwerkregel vertraut der Adresse, die der Proxy sendet. Stellen Sie sicher, dass der Proxy X-Forwarded-For selbst setzt."

data/config/locales/de/manage/group_sources.yml

@@ -0,0 +1,44 @@
+de:
+  manage:
+    group_sources:
+      source: "Füllt sich aus"
+      sources:
+        manual: "Von Hand hinzugefügte Personen"
+        rule: "Einer Regel"
+        provider: "Einem Anbieter"
+        group: "Anderen Gruppen"
+      ledes:
+        manual: "Ein Verwalter fügt Personen auf deren eigenen Seiten hinzu und entfernt sie dort."
+        rule: "Alle, die jede Bedingung erfüllen. Eine E-Mail-Adresse zählt, sobald sie bestätigt ist. Ein Profilfeld zählt nur, wenn ein Verzeichnis es setzt, denn solche Felder können Personen nicht ändern. Geprüft bei jeder Profiländerung und jede Stunde."
+        provider: "Alle, deren letzte Anmeldung über den Anbieter die Gruppe aufgeführt hat."
+        group: "Alle in einer der übergeordneten Gruppen oder Organisationsrollen."
+      change: "Ändern, wie sich %{name} füllt"
+      kinds:
+        email_domain: "E-Mail-Adresse endet auf"
+        profile: "Profilfeld ist gleich"
+      field: "Feld"
+      value: "Wert"
+      add_condition: "Bedingung hinzufügen"
+      remove_condition: "Bedingung entfernen"
+      provider: "Anbieter"
+      choose_provider: "Anbieter wählen"
+      no_providers: "Fügen Sie zuerst einen Anbieter hinzu."
+      upstream_group: "Gruppenname beim Anbieter"
+      parent_labels: "Übergeordnete Gruppen"
+      parent_labels_hint: "Gruppenschlüssel oder Organisationsrollen als schlüssel:rolle, durch Kommas getrennt."
+      save: "Speichern"
+      cancel: "Abbrechen"
+      saved: "%{name} füllt sich jetzt aus %{source}."
+      refresh: "Jetzt auffrischen"
+      refreshed: "%{name} ist aufgefrischt."
+      refreshed_at: "Aufgefrischt %{when}."
+      never_refreshed: "Noch nicht aufgefrischt."
+      summary:
+        rule: "Füllt sich per Regel"
+        provider: "Füllt sich aus %{provider}"
+        group: "Füllt sich aus %{parents}"
+      by_hand: "Von Hand hinzugefügt, daher entfernt nur ein Verwalter die Person."
+      from:
+        rule: "Durch die Regel in der Gruppe, daher entscheidet die Regel."
+        provider: "Durch eine Anmeldung beim Anbieter in der Gruppe, daher entscheidet der Anbieter."
+        group: "Über eine übergeordnete Gruppe in der Gruppe, daher entscheidet diese."

data/config/locales/de/manage/health.yml

@@ -0,0 +1,78 @@
+de:
+  manage:
+    health:
+      title: "Zustand"
+      lede: "Die Prüfungen laufen alle 10 Minuten. Jede sagt, was sie gefunden hat und was zu tun ist."
+      check_now: "Jetzt prüfen"
+      checking: "Prüft"
+      checked: "Geprüft %{when}"
+      never: "Die Prüfungen sind noch nicht gelaufen. Sie laufen alle 10 Minuten, sobald ein Worker läuft."
+      failed: "Die Prüfungen konnten nicht laufen: %{failure}"
+      statuses:
+        ok: "In Ordnung"
+        warning: "Braucht einen Blick"
+        failing: "Fehlgeschlagen"
+      checks:
+        jobs:
+          title: "Hintergrundjobs"
+          elsewhere: "Jobs laufen auf einem anderen Server."
+          none: "Am letzten Tag ist kein Job fehlgeschlagen."
+          failed:
+            one: "Eine Art Job ist am letzten Tag fehlgeschlagen: %{jobs}."
+            other: "%{count} Arten von Jobs sind am letzten Tag fehlgeschlagen: %{jobs}."
+          advice: "Lesen Sie den Fehler im Serverprotokoll. Jeder Job läuft nach seinem Zeitplan erneut."
+        worker:
+          title: "Worker"
+          elsewhere: "Jobs laufen auf einem anderen Server."
+          unchecked: "Die Worker-Prüfung ist aus."
+          reporting: "Ein Worker läuft."
+          silent: "In den letzten %{minutes} Minuten hat sich kein Worker gemeldet."
+          advice: "Starten Sie den Jobs-Prozess, oder setzen Sie MASKS_JOBS_IN_WEB_SERVER auf true, damit der Webserver die Jobs ausführt."
+        queue:
+          title: "Warteschlange"
+          elsewhere: "Jobs laufen auf einem anderen Server."
+          unchecked: "Die Warteschlangen-Prüfung ist aus."
+          moving: "Jobs starten pünktlich."
+          stuck: "Ein Job wartet seit %{since} auf seinen Start, länger als %{minutes} Minuten."
+          advice: "Fügen Sie einen Worker hinzu, oder erhöhen Sie JOB_CONCURRENCY, damit mehr Jobs gleichzeitig laufen."
+        ldap:
+          title: "LDAP"
+          tls: "LDAP antwortet mit TLS."
+          local: "LDAP antwortet nur auf der eigenen Maschine des Servers."
+          plain: "LDAP antwortet auf Port %{port} ohne TLS, also gehen Passwörter im Klartext durchs Netz."
+          advice: "Setzen Sie MASKS_LDAP_CERT und MASKS_LDAP_KEY, oder entfernen Sie MASKS_LDAP_PLAINTEXT."
+        metrics:
+          title: "Metriken"
+          "off": "Die Metrikseite ist aus."
+          "on": "Die Metrikseite beantwortet Anfragen, die ihr Token tragen."
+          short: "Das Metrik-Token ist %{length} Zeichen lang und lässt sich erraten."
+          advice: "Setzen Sie MASKS_METRICS_TOKEN auf mindestens %{needed} zufällige Zeichen."
+        mail:
+          title: "E-Mail"
+          none: "Kein E-Mail-Dienst ist eingerichtet."
+          answers: "Der Mailserver antwortet."
+          silent: "Der Mailserver hat nicht geantwortet: %{error}."
+          advice: "Prüfen Sie Server, Port und TLS-Einstellung auf der Seite Nachrichten, und ob der Server Verbindungen von hier zulässt."
+        origin:
+          title: "Öffentliche Adresse"
+          unset: "Keine öffentliche Adresse ist gesetzt, also folgt masks dem Host-Header jeder Anfrage."
+          matches: "Anfragen kommen an der öffentlichen Adresse dieses Mandanten an."
+          mismatch: "Anfragen kommen als %{seen} an, aber die Adresse dieses Mandanten ist %{origin}."
+          advice: "Lassen Sie den Proxy X-Forwarded-Proto und X-Forwarded-Host senden, und tragen Sie ihn in MASKS_TRUSTED_PROXIES ein."
+        domains:
+          title: "Domains"
+          none: "Keine Domain ist beansprucht."
+          proven: "Jede beanspruchte Domain hat noch ihren TXT-Eintrag."
+          missing: "Der TXT-Eintrag fehlt für %{domains}. Ein Anspruch wird eine Woche nach dem Verschwinden seines Eintrags freigegeben."
+          advice: "Legen Sie den TXT-Eintrag wieder unter dem Namen an, der auf der Seite Domains steht."
+        keys:
+          title: "Signaturschlüssel"
+          missing: "Dieser Mandant hat keinen aktiven Signaturschlüssel, also kann nichts signiert werden."
+          manual: "Schlüssel werden von Hand rotiert. Der aktive Schlüssel ist %{days} Tage alt."
+          fresh: "Der aktive Schlüssel ist %{days} Tage alt und rotiert alle %{period} Tage."
+          stale: "Der aktive Schlüssel ist %{days} Tage alt, älter als seine Rotation von %{period} Tagen."
+          advice: "Rotieren Sie den Schlüssel auf der Seite Einstellungen, oder lesen Sie den Job signing_keys im Serverprotokoll."
+      release:
+        available: "Version %{version} ist verfügbar."
+        operator: "Diese Version braucht einen Schritt von einem Betreiber. Lesen Sie ihre Hinweise vor dem Upgrade."
+        notes: "Versionshinweise"

data/config/locales/de/manage/links.yml

@@ -0,0 +1,20 @@
+de:
+  manage:
+    links:
+      title: "Links"
+      help: "Wie lange jeder Link gültig ist, den masks per E-Mail sendet. Ein bereits gesendeter Link behält die Gültigkeit, mit der er gesendet wurde. Eine Einladung in eine Organisation zählt ab dem letzten Senden."
+      invitation: "Einladung zu einem Konto"
+      organization_invitation: "Einladung in eine Organisation"
+      password_reset: "Passwort zurücksetzen"
+      email_verification: "E-Mail-Bestätigung"
+      default: "%{length} (Standard)"
+      updated: "Gültigkeit des Links gespeichert."
+      minutes:
+        one: "%{count} Minute"
+        other: "%{count} Minuten"
+      hours:
+        one: "%{count} Stunde"
+        other: "%{count} Stunden"
+      days:
+        one: "%{count} Tag"
+        other: "%{count} Tage"

data/config/locales/de/manage/machines.yml

@@ -0,0 +1,13 @@
+de:
+  manage:
+    machines:
+      title: "Maschinen"
+      lede: "Clients, die diese App mit einem Registrierungstoken angemeldet hat. Jeder meldet sich mit einem eigenen Schlüssel an."
+      empty: "Diese App hat noch keine Maschine angemeldet."
+      last_seen: "Zuletzt angemeldet %{day}"
+      never: "Nie angemeldet"
+      enrolled: "Angemeldet %{day}"
+      enrolled_by: "Eine Maschine, angemeldet von"
+      revoke: "Widerrufen"
+      revoke_confirm: "%{name} widerrufen? Sie wird archiviert, jedes Token endet, und sie kann sich nicht mehr anmelden."
+      revoked: "%{name} ist widerrufen und kann sich nicht mehr anmelden."