masks-server 0.11.0 → 0.12.0

data/app/models/masks/server/membership.rb

@@ -18,8 +18,8 @@ module Masks
 
       before_create { self.invited_at ||= Time.current if pending? }
 
-      def self.lifetime
-        ::Rails.configuration.masks.organization_invitation_lifetime
+      def self.lifetime(tenant = Current.tenant)
+        Tenant.link_lifetime(:organization_invitation_lifetime, tenant)
       end
 
       normalizes :external_id, with: Actor::EXTERNAL_ID
@@ -29,13 +29,14 @@ module Masks
       validate :an_owner_remains, on: :update
 
       before_destroy :keep_an_owner
+      after_commit :settle_nested_groups
 
       def owner?
         role == Organization::OWNER && !pending?
       end
 
       def expires_at
-        invited_at + self.class.lifetime if pending?
+        invited_at + self.class.lifetime(tenant) if pending?
       end
 
       def expired?
@@ -72,6 +73,12 @@ module Masks
 
       private
 
+        def settle_nested_groups
+          return if organization.nil? || actor.nil?
+
+          Group.nested_under_organization(organization.key).find_each { |group| group.settle!(actor) }
+        end
+
         def role_is_offered
           errors.add(:role, "is not one #{organization&.name} offers") unless organization&.role?(role)
         end

data/app/models/masks/server/notifications.rb

@@ -18,7 +18,9 @@ module Masks
           Event::TEXT_CODES_ENABLED,
           Event::TEXT_CODES_DISABLED,
           Event::RECOVERY_REQUESTED,
-          Event::SECOND_FACTORS_RESET
+          Event::SECOND_FACTORS_RESET,
+          Event::APP_PASSWORD_CREATED,
+          Event::APP_PASSWORD_REVOKED
         ],
         "sessions" => [
           Event::SESSION_STARTED,

data/app/models/masks/server/password_reset.rb

@@ -5,8 +5,8 @@ module Masks
 
       path "reset"
 
-      def self.lifetime
-        ::Rails.configuration.masks.password_reset_lifetime
+      def self.lifetime(tenant = Current.tenant)
+        Tenant.link_lifetime(:password_reset_lifetime, tenant)
       end
 
       def self.settle!(secret, password)

data/app/models/masks/server/provider.rb

@@ -42,6 +42,7 @@ module Masks
       encrypts :private_key
 
       has_many :connections, dependent: :destroy
+      has_many :groups, dependent: :nullify
       has_many :delegations, through: :connections
 
       belongs_to :organization, optional: true

data/app/models/masks/server/queue.rb

@@ -0,0 +1,60 @@
+module Masks
+  module Server
+    module Queue
+      module_function
+
+      def run?
+        ::Rails.application.config.active_job.queue_adapter == :solid_queue
+      end
+
+      def silence
+        ::Rails.configuration.masks.worker_silence
+      end
+
+      def wait
+        ::Rails.configuration.masks.queue_wait
+      end
+
+      def failing_jobs
+        ::SolidQueue::FailedExecution.where(created_at: 1.day.ago..).joins(:job)
+                                     .distinct.pluck("solid_queue_jobs.class_name").sort
+      end
+
+      def worker_heartbeat_at
+        ::SolidQueue::Process.where(kind: "Worker").maximum(:last_heartbeat_at)
+      end
+
+      def oldest_waiting_at
+        ::SolidQueue::ReadyExecution.minimum(:created_at)
+      end
+
+      def worker_silent?
+        return false unless run? && silence.positive?
+
+        heartbeat = worker_heartbeat_at
+
+        heartbeat.nil? || heartbeat < silence.ago
+      end
+
+      def stuck_since
+        return nil unless run? && wait.positive?
+
+        oldest = oldest_waiting_at
+
+        oldest if oldest && oldest < wait.ago
+      end
+
+      def plain(duration)
+        ActiveSupport::Duration.build(duration.to_i).inspect
+      end
+
+      def worker_problem
+        return "no worker has reported in the last #{plain(silence)}" if worker_silent?
+
+        stuck = stuck_since
+
+        "a job has waited since #{stuck.utc.iso8601}, longer than #{plain(wait)}" if stuck
+      end
+    end
+  end
+end

data/app/models/masks/server/release.rb

@@ -0,0 +1,74 @@
+module Masks
+  module Server
+    module Release
+      URL = "https://api.github.com/repos/masksrb/masks/releases?per_page=20".freeze
+      KEY = "masks:release".freeze
+      KEEP = 3.days
+      TAG = /\Aserver-v(\d+\.\d+\.\d+)\z/
+      OPERATOR = /^\s*Operator:/i
+      TIMEOUT = 5
+      CEILING = 1.megabyte
+      UNREADABLE = [ Outbound::Refused, JSON::ParserError, TypeError, NoMethodError ].freeze
+
+      module_function
+
+      def check!
+        found = fetch
+
+        return nil if found.nil?
+
+        was = latest
+        remember!(found)
+
+        found if newer?(found["version"]) && was&.dig("version") != found["version"]
+      end
+
+      def fetch
+        headers = { "Accept" => "application/vnd.github+json", "User-Agent" => "masks-server/#{VERSION}" }
+        body = Outbound.get!(URI(URL), open: TIMEOUT, read: TIMEOUT, within: TIMEOUT, ceiling: CEILING, headers: headers).body
+
+        JSON.parse(body).each do |release|
+          version = release["tag_name"].to_s[TAG, 1]
+
+          next if version.nil? || release["draft"] || release["prerelease"]
+
+          return {
+            "version" => version,
+            "url" => release["html_url"].to_s,
+            "operator_step" => release["body"].to_s.match?(OPERATOR),
+            "checked_at" => Time.current.utc.iso8601
+          }
+        end
+
+        nil
+      rescue *UNREADABLE => error
+        ::Rails.logger.warn("the release check could not read the releases: #{error.class}")
+        nil
+      end
+
+      def remember!(found)
+        ::Rails.cache.write(KEY, found, expires_in: KEEP)
+      end
+
+      def forget!
+        ::Rails.cache.delete(KEY)
+      end
+
+      def latest
+        ::Rails.cache.read(KEY)
+      end
+
+      def available
+        found = latest
+
+        found if found && newer?(found["version"])
+      end
+
+      def newer?(version)
+        Gem::Version.new(version) > Gem::Version.new(VERSION)
+      rescue ArgumentError
+        false
+      end
+    end
+  end
+end

data/app/models/masks/server/session.rb

@@ -118,6 +118,14 @@ module Masks
         true
       end
 
+      def multi_factored?
+        Array(amr).include?(Issuer::MULTI_FACTOR) || !actor.second_factor?
+      end
+
+      def complete?
+        !second_factor_skipped?
+      end
+
       def fresh?
         authenticated_at.present? && authenticated_at > FRESHNESS.ago
       end

data/app/models/masks/server/tenant.rb

@@ -64,6 +64,12 @@ module Masks
 
       IDLE_DAYS = (60..3650)
       RETENTION_DAYS = (30..2555)
+      LINK_LIFETIMES = {
+        invitation_lifetime: (1.hour.to_i..30.days.to_i),
+        organization_invitation_lifetime: (1.hour.to_i..30.days.to_i),
+        password_reset_lifetime: (5.minutes.to_i..1.day.to_i),
+        email_verification_lifetime: (1.hour.to_i..14.days.to_i)
+      }.freeze
 
       validates :named_by, inclusion: { in: NAMES }, allow_nil: true
       validates :accent_color, format: { with: ACCENT }, allow_nil: true
@@ -71,6 +77,18 @@ module Masks
       validates :dynamic_registration, inclusion: { in: REGISTRATIONS }, allow_nil: true
       validates :suspend_after, :delete_after, numericality: { only_integer: true, in: IDLE_DAYS }, allow_nil: true
       validates :event_retention_days, numericality: { only_integer: true, in: RETENTION_DAYS }, allow_nil: true
+      def self.spoken(seconds)
+        unit, length = { "day" => 1.day, "hour" => 1.hour, "minute" => 1.minute }.find { |_, held| (seconds % held).zero? }
+        count = seconds / length
+
+        "#{count} #{unit.pluralize(count)}"
+      end
+
+      LINK_LIFETIMES.each do |name, range|
+        shortest, longest = [ range.begin, range.end ].map { |seconds| spoken(seconds) }
+
+        validates name, numericality: { only_integer: true, in: range, message: "must be from #{shortest} to #{longest}" }
+      end
       validates :delete_after, comparison: { greater_than: :suspend_after, message: "must be longer than suspend after" },
                                if: -> { suspend_after && delete_after }
 
@@ -104,8 +122,20 @@ module Masks
         event_retention_days&.days || Event::RETENTION
       end
 
+      def self.link_lifetime(name, tenant = Current.tenant)
+        (tenant ? tenant[name] : column_defaults.fetch(name.to_s)).seconds
+      end
+
+      def self.default_link_lifetime(name)
+        column_defaults.fetch(name.to_s)
+      end
+
       def public_origin
-        custom_origin || templated_origin
+        custom_origin || templated_origin || held_origin
+      end
+
+      def held_origin
+        pinned_origin if self.class.pins_origin?
       end
 
       def templated_origin
@@ -246,6 +276,10 @@ module Masks
           serving(host) || named(host)
         end
 
+        def pins_origin?
+          ::Rails.configuration.masks.public_origin_template.nil? && ::Rails.configuration.masks.pin_origin
+        end
+
         def served_domain
           template = ::Rails.configuration.masks.public_origin_template
 
@@ -403,7 +437,10 @@ module Masks
       end
 
       def set_up!
-        update!(setup_token: nil) if setup_token.present?
+        self.setup_token = nil
+        self.pinned_origin ||= Current.origin.presence if self.class.pins_origin?
+
+        save! if changed?
       end
 
       def setup_announcement

data/app/models/masks/server/token.rb

@@ -22,7 +22,8 @@ module Masks
         "pushed" => "PushedRequest",
         "approval" => "SignInApproval",
         "forward_code" => "ForwardCode",
-        "forward_session" => "ForwardSession"
+        "forward_session" => "ForwardSession",
+        "app_password" => "AppPassword"
       }.freeze
 
       self.inheritance_column = "kind"

data/app/views/masks/server/account/_app_passwords.html.erb

@@ -0,0 +1,83 @@
+<section class="group" id="app-passwords">
+  <h2><%= account_text("app_passwords.heading") %></h2>
+
+  <div class="entries">
+    <details class="entry" <%= "open" if app_password %>>
+      <summary>
+        <span class="entry-icon"><%= account_icon(:password) %></span>
+        <span class="entry-label"><%= account_text("app_passwords.entry") %></span>
+        <span class="entry-state">
+          <%= app_passwords.any? ? app_passwords.size : account_text("app_passwords.state.none") %>
+        </span>
+        <span class="entry-mark" aria-hidden="true"></span>
+      </summary>
+
+      <div class="entry-body">
+        <p class="aside"><%= account_text("app_passwords.lede") %></p>
+
+        <% if app_password %>
+          <p class="aside aside-bad" role="alert">
+            <%= account_text("app_passwords.shown_once", name: app_password["name"], app: app_password["app"]) %>
+          </p>
+
+          <ol class="codes">
+            <li><code><%= app_password["secret"] %></code></li>
+          </ol>
+        <% end %>
+
+        <% if app_passwords.any? %>
+          <div class="items">
+            <% app_passwords.each do |held| %>
+              <div class="item">
+                <span class="item-name">
+                  <span><%= held.name %></span>
+                  <span class="tag"><%= held.client.name %></span>
+                </span>
+
+                <span class="item-meta">
+                  <%= account_text("app_passwords.made_ago", age: time_ago_in_words(held.created_at)) %>
+                  ·
+                  <% if held.used_at %>
+                    <%= account_text("app_passwords.used_ago", age: time_ago_in_words(held.used_at)) %>
+                  <% else %>
+                    <%= account_text("app_passwords.never_used") %>
+                  <% end %>
+                </span>
+
+                <%= button_to account_text("app_passwords.revoke"),
+                      account_app_password_path(held.id), method: :delete,
+                      class: "action action-quiet action-sm", form_class: "item-act",
+                      form: { data: { turbo_confirm: account_text("app_passwords.confirm_revoke", name: held.name) } } %>
+              </div>
+            <% end %>
+          </div>
+        <% end %>
+
+        <% if offered.any? %>
+          <%= form_with url: account_app_passwords_path, method: :post, class: "member-add" do |form| %>
+            <label class="field member-add-email">
+              <span class="field-label"><%= account_text("app_passwords.name") %></span>
+              <%= form.text_field :name, required: true, autocomplete: "off", class: "control", id: "app-password-name",
+                                  maxlength: Masks::Server::AppPassword::NAME_LIMIT,
+                                  placeholder: account_text("app_passwords.name_placeholder") %>
+            </label>
+
+            <label class="field member-add-role">
+              <span class="field-label"><%= account_text("app_passwords.app") %></span>
+              <%= form.select :client_id, offered.map { |client| [ client.name, client.client_id ] }, {}, class: "control",
+                              id: "app-password-client" %>
+            </label>
+
+            <button type="submit" class="action action-sm member-add-go">
+              <%= account_text(fresh ? "app_passwords.make" : "app_passwords.make_again") %>
+            </button>
+
+            <span class="field-hint member-add-hint"><%= account_text("app_passwords.hint") %></span>
+          <% end %>
+        <% else %>
+          <p class="aside"><%= account_text("app_passwords.none_offered") %></p>
+        <% end %>
+      </div>
+    </details>
+  </div>
+</section>

data/app/views/masks/server/account/_organizations.html.erb

@@ -135,6 +135,39 @@
               <% end %>
             </div>
 
+            <% asked = account_access_requests(organization) %>
+            <% if asked.any? %>
+              <p class="aside"><strong><%= account_text("access.heading") %></strong> <%= account_text("access.lede", organization: organization.name) %></p>
+
+              <div class="items" id="access-requests-<%= organization.key %>">
+                <% asked.each do |request| %>
+                  <% roles = request.organization_roles.filter_map { |key, role| role if key == organization.key } %>
+                  <div class="item item-member access-request" id="access-request-<%= request.id %>">
+                    <span class="item-name"><%= request.actor.identifier %></span>
+                    <span class="item-meta">
+                      <%= account_text("access.asked", app: request.client.name, age: time_ago_in_words(request.created_at)) %>
+                    </span>
+
+                    <div class="item-act item-acts">
+                      <%= form_with url: account_organization_access_path(organization.key, request.id), method: :post,
+                                    class: "item-acts" do |form| %>
+                        <%= form.select :role, roles, {}, class: "control control-sm",
+                                        id: "access-role-#{organization.key}-#{request.id}",
+                                        aria: { label: account_text("access.role_of", name: request.actor.identifier) } %>
+                        <button type="submit" class="action action-sm"><%= account_text("access.grant") %></button>
+                      <% end %>
+
+                      <%= button_to account_text("access.decline"),
+                            account_organization_access_path(organization.key, request.id), method: :delete,
+                            class: "action action-quiet action-sm",
+                            form: { data: { turbo_confirm: account_text("access.confirm_decline", identifier: request.actor.identifier,
+                                                                                                  app: request.client.name) } } %>
+                    </div>
+                  </div>
+                <% end %>
+              </div>
+            <% end %>
+
             <%= form_with url: account_organization_members_path(organization.key), method: :post, class: "member-add" do |form| %>
               <label class="field member-add-email">
                 <span class="field-label"><%= account_text("organizations.add_email") %></span>

data/app/views/masks/server/account/index.html.erb

@@ -31,6 +31,11 @@
 
   <%= render "masks/server/account/apps", apps: @apps, connections: @connections, linkable: @linkable %>
 
+  <% if @app_passwords.any? || @app_password_clients.any? %>
+    <%= render "masks/server/account/app_passwords", app_passwords: @app_passwords, offered: @app_password_clients,
+                                                     app_password: @app_password, fresh: @fresh %>
+  <% end %>
+
   <%= render "masks/server/account/info", actor: @actor, directed: @directed, fresh: @fresh %>
 
   <%= render "masks/server/account/activity", events: @events %>

data/app/views/masks/server/actor_mailer/access_declined.html.erb

@@ -0,0 +1,5 @@
+<%= render layout: "message" do %>
+<p class="lede"><%= t(".lede", app: @app.name, tenant: @tenant_name) %></p>
+<% end %>
+
+<p class="meta"><%= t(".again") %></p>

data/app/views/masks/server/actor_mailer/access_declined.text.erb

@@ -0,0 +1,5 @@
+<%= render layout: "message" do %>
+<%= t(".lede", app: @app.name, tenant: @tenant_name) %>
+<% end %>
+
+<%= t(".again") %>

data/app/views/masks/server/actor_mailer/access_granted.html.erb

@@ -0,0 +1,7 @@
+<%= render layout: "message" do %>
+<p class="lede"><%= t(".lede", app: @app.name, tenant: @tenant_name) %></p>
+<% end %>
+
+<% if @url %>
+  <%= render "action", url: @url, label: t(".action", app: @app.name) %>
+<% end %>

data/app/views/masks/server/actor_mailer/access_granted.text.erb

@@ -0,0 +1,7 @@
+<%= render layout: "message" do %>
+<%= t(".lede", app: @app.name, tenant: @tenant_name) %>
+<% end %>
+<% if @url %>
+
+<%= @url %>
+<% end %>

data/app/views/masks/server/authorize/error.html.erb

@@ -9,4 +9,29 @@
   <p class="said"><%= @error_code %> — <%= @error_description %></p>
 
   <p class="prompt-lede"><%= @refused ? t(".nothing_shared") : t(".contact") %></p>
+
+  <% if @asking %>
+    <div id="ask-access" class="flow" data-waiting="<%= @waiting.present? %>">
+      <% if flash[:alert].present? %>
+        <p class="note note-bad" role="alert"><%= flash[:alert] %></p>
+      <% elsif flash[:notice].present? %>
+        <p class="note note-plain" role="status"><%= flash[:notice] %></p>
+      <% end %>
+
+      <% if @waiting %>
+        <p class="prompt-lede"><%= t(".waiting", app: @asking.name) %></p>
+      <% else %>
+        <p class="prompt-lede"><%= t(".asking", app: @asking.name) %></p>
+
+        <%= form_with url: authorize_access_request_path, method: :post do |form| %>
+          <%= form.hidden_field :rid, value: params[:rid] %>
+          <button type="submit" class="action"><%= t(".ask") %></button>
+        <% end %>
+      <% end %>
+    </div>
+  <% end %>
+
+  <% if @return_to %>
+    <a class="action action-quiet" id="back-to-app" href="<%= @return_to %>"><%= t(".back", app: @asking&.name || t(".the_app")) %></a>
+  <% end %>
 </div>

data/config/locales/de/access_requests.yml

@@ -0,0 +1,43 @@
+de:
+  authorize:
+    error:
+      asking: "Ihr Konto ist in keiner Gruppe, die %{app} nutzen darf. Sie können um Zugang bitten. Die Betreiber von %{app} entscheiden, und Sie erhalten in jedem Fall eine E-Mail."
+      ask: "Um Zugang bitten"
+      asked: "Ihre Anfrage wurde gesendet. Sie erhalten eine E-Mail, sobald sie entschieden ist."
+      waiting: "Ihre Anfrage, %{app} zu nutzen, wartet. Sie erhalten eine E-Mail, sobald sie entschieden ist."
+      slow_down: "Sie haben vor weniger als einer Stunde um Zugang zu dieser App gebeten. Warten Sie auf die Antwort."
+      back: "Zurück zu %{app}"
+      the_app: "der App"
+
+  account:
+    index:
+      access:
+        heading: "Um Zugang gebeten"
+        lede: "Diese Personen wurden von einer App abgewiesen, die Mitglieder von %{organization} zulässt. Mit Genehmigen werden sie Mitglied mit der Rolle, die Sie wählen."
+        asked: "Hat vor %{age} gebeten, %{app} zu nutzen"
+        role_of: "Rolle für %{name}"
+        grant: "Genehmigen"
+        decline: "Ablehnen"
+        confirm_decline: "Die Anfrage von %{identifier}, %{app} zu nutzen, ablehnen? Die Person erhält eine E-Mail und kann in einer Stunde erneut bitten."
+
+  organization_access:
+    granted: "%{identifier} ist jetzt %{role} von %{organization} und kann %{app} nutzen."
+    declined: "Die Anfrage von %{identifier}, %{app} zu nutzen, ist abgelehnt."
+    unknown: "Diese Anfrage wartet nicht auf %{organization}."
+
+  actor_mailer:
+    access_granted:
+      subject: "Sie können %{app} jetzt nutzen"
+      lede: "Ihre Anfrage, %{app} bei %{tenant} zu nutzen, wurde genehmigt. Melden Sie sich erneut bei %{app} an, und Sie werden eingelassen."
+      action: "%{app} öffnen"
+    access_declined:
+      subject: "Ihre Anfrage, %{app} zu nutzen, wurde abgelehnt"
+      lede: "Jemand, der %{app} bei %{tenant} betreibt, hat Ihre Anfrage um Zugang abgelehnt."
+      again: "Wenn Sie das für einen Fehler halten, fragen Sie die Person direkt. In einer Stunde können Sie erneut bitten."
+
+  events:
+    actions:
+      access:
+        requested: "Um Zugang zu einer App gebeten"
+        granted: "Zugang zu einer App genehmigt"
+        declined: "Zugang zu einer App abgelehnt"

data/config/locales/de/account/app_passwords.yml

@@ -0,0 +1,42 @@
+de:
+  account:
+    index:
+      app_passwords:
+        heading: "App-Passwörter"
+        entry: "App-Passwörter"
+        state:
+          none: "Keine"
+        lede: "Mit einem App-Passwort meldet sich eine einzelne App, etwa ein Medienserver oder ein NAS, ohne Ihren zweiten Faktor als Sie an. Es gilt nur für die App, für die es erstellt wurde."
+        shown_once: "Das ist das App-Passwort für %{name}. Es wird nur einmal angezeigt. Geben Sie es jetzt in %{app} ein."
+        made_ago: "erstellt vor %{age}"
+        used_ago: "zuletzt verwendet vor %{age}"
+        never_used: "nie verwendet"
+        revoke: "Widerrufen"
+        confirm_revoke: "%{name} widerrufen? Die App kann sich damit sofort nicht mehr anmelden."
+        name: "Name"
+        name_placeholder: "Jellyfin auf dem Fernseher"
+        app: "App"
+        make: "App-Passwort erstellen"
+        make_again: "Zum Erstellen erneut anmelden"
+        hint: "Ihr eigenes Passwort und Ihre Passkeys bleiben unverändert. Das Widerrufen eines App-Passworts ändert sonst nichts."
+        none_offered: "Noch keine App akzeptiert App-Passwörter."
+  app_passwords:
+    again: "Melden Sie sich erneut an, um ein App-Passwort zu erstellen. Ihre letzte Anmeldung liegt eine Weile zurück."
+    unknown: "Dieses Konto hat kein solches App-Passwort."
+    revoked: "%{name} ist widerrufen."
+    refused:
+      name: "Geben Sie dem App-Passwort einen Namen mit höchstens 64 Zeichen."
+      app: "Diese App akzeptiert keine App-Passwörter."
+      too_many: "Sie haben bereits %{most} App-Passwörter. Widerrufen Sie zuerst eines."
+  events:
+    actions:
+      app_password:
+        created: "App-Passwort erstellt"
+        used: "Mit einem App-Passwort angemeldet"
+        revoked: "App-Passwort widerrufen"
+  actor_mailer:
+    notification:
+      said:
+        app_password:
+          created: "Für Ihr %{tenant}-Konto wurde ein App-Passwort erstellt. Damit meldet sich eine App ohne Ihren zweiten Faktor an."
+          revoked: "Ein App-Passwort Ihres %{tenant}-Kontos wurde widerrufen."

data/config/locales/de/events.yml

@@ -159,6 +159,11 @@ de:
         updated: "E-Mail-Vorlage geändert"
       job:
         failed: "Hintergrundjob für diesen Mandanten fehlgeschlagen"
+      health:
+        failing: "Zustandsprüfung fehlgeschlagen"
+        recovered: "Zustandsprüfung wieder in Ordnung"
+      release:
+        available: "Neue Version verfügbar"
       stream:
         created: "Event-Stream hinzugefügt"
         updated: "Event-Stream geändert"

data/config/locales/de/flashes.yml

@@ -163,3 +163,4 @@ de:
   forward_auth:
     unknown: "Unter dieser Adresse ist keine App hinter einem Proxy registriert."
     not_admitted: "Ihr Konto darf %{app} nicht verwenden."
+    denied: "Diese Seite von %{app} ist für alle gesperrt."

data/config/locales/de/group_sources.yml

@@ -0,0 +1,5 @@
+de:
+  events:
+    actions:
+      group:
+        refreshed: "Gruppe aus ihrer Quelle gefüllt"

data/config/locales/de/manage/access_requests.yml

@@ -0,0 +1,12 @@
+de:
+  manage:
+    access_requests:
+      title: "Zugangsanfragen"
+      lede: "Akteure, die von diesem Client abgewiesen wurden und um Zugang gebeten haben. Mit Genehmigen kommen sie in eine der Gruppen, die er zulässt, und sie erhalten in jedem Fall eine E-Mail."
+      empty: "Niemand wartet auf Zugang."
+      asked: "Gebeten %{day}"
+      as: "Gruppe, in die sie kommen"
+      grant: "Genehmigen"
+      decline: "Ablehnen"
+      granted: "%{identifier} ist jetzt in %{label} und kann sich anmelden."
+      declined: "Die Anfrage von %{identifier} ist abgelehnt."

data/config/locales/de/manage/app_passwords.yml

@@ -0,0 +1,16 @@
+de:
+  manage:
+    client:
+      sign_in:
+        app_passwords: "App-Passwörter akzeptieren"
+        app_passwords_help: "Akteure erstellen auf ihrer Kontoseite ein App-Passwort für diesen Client. Es meldet sie über LDAP und Forward-Auth ohne zweiten Faktor an, nur bei diesem Client."
+      notices:
+        app_passwords_on: "Akteure können jetzt ein App-Passwort dafür erstellen."
+        app_passwords_off: "Seine App-Passwörter werden ab jetzt abgelehnt."
+    ldap:
+      connect:
+        app: "App"
+        no_app: "Keine App"
+        app_help: "Wählen Sie den Client, als der der Dienst registriert ist. App-Passwörter der Akteure für diesen Client binden dann auf einer Verbindung, die sich zuerst mit diesem Zugang gebunden hat."
+      credentials:
+        app: "Akzeptiert App-Passwörter für %{name}"