masks-server 0.11.0 → 0.12.0

data/config/locales/es/manage/forward_auth_rules.yml

@@ -0,0 +1,29 @@
+es:
+  manage:
+    forward_auth_rules:
+      title: "Reglas"
+      lede: "La primera regla que cubre una solicitud la decide. Una solicitud sin regla necesita una persona con sesión iniciada que pueda iniciar sesión."
+      empty: "No hay reglas. Cada solicitud necesita una persona con sesión iniciada que pueda iniciar sesión."
+      paths: "Rutas"
+      paths_hint: "Una por línea. * cubre un segmento y ** cualquier profundidad, así que /admin/** cubre /admin y todo lo que hay debajo. Vacío cubre todas las rutas."
+      methods: "Métodos"
+      methods_hint: "GET, POST y los demás. Vacío cubre todos los métodos."
+      networks: "Redes"
+      networks_hint: "Direcciones o rangos, como 192.168.0.0/16. Vacío cubre todas las direcciones."
+      groups: "Grupos"
+      groups_hint: "Claves de grupo, o roles como clave:rol. Vacío cubre a todos."
+      outcome: "Resultado"
+      outcomes:
+        open: "Abierto a todos, sin iniciar sesión"
+        one_factor: "Una persona con sesión iniciada, sin segundo factor"
+        two_factor: "Una persona con sesión iniciada, con su segundo factor"
+        token: "Una persona con sesión iniciada, o un script con un token de acceso"
+        deny: "Cerrado para todos"
+      rule: "Regla %{number}"
+      add: "Añadir regla"
+      remove: "Quitar"
+      up: "Subir"
+      down: "Bajar"
+      save: "Guardar reglas"
+      saved: "Reglas guardadas."
+      trust: "Una regla de red confía en la dirección que envía el proxy. Asegúrate de que el proxy establece X-Forwarded-For por sí mismo."

data/config/locales/es/manage/group_sources.yml

@@ -0,0 +1,44 @@
+es:
+  manage:
+    group_sources:
+      source: "Se llena desde"
+      sources:
+        manual: "Personas añadidas a mano"
+        rule: "Una regla"
+        provider: "Un proveedor"
+        group: "Otros grupos"
+      ledes:
+        manual: "Un gestor añade y quita personas desde sus propias páginas."
+        rule: "Todas las personas que cumplen cada condición. Una dirección de correo cuenta cuando está verificada. Un campo del perfil cuenta solo cuando lo fija un directorio, porque las personas no pueden cambiarlo. Se comprueba al cambiar un perfil y cada hora."
+        provider: "Todas las personas cuyo último inicio de sesión con el proveedor incluyó el grupo."
+        group: "Todas las personas en alguno de los grupos o roles de organización superiores."
+      change: "Cambiar cómo se llena %{name}"
+      kinds:
+        email_domain: "La dirección de correo termina en"
+        profile: "El campo del perfil es igual a"
+      field: "Campo"
+      value: "Valor"
+      add_condition: "Añadir condición"
+      remove_condition: "Quitar condición"
+      provider: "Proveedor"
+      choose_provider: "Elige un proveedor"
+      no_providers: "Añade primero un proveedor."
+      upstream_group: "Nombre del grupo en el proveedor"
+      parent_labels: "Grupos superiores"
+      parent_labels_hint: "Claves de grupo o roles de organización como clave:rol, separados por comas."
+      save: "Guardar"
+      cancel: "Cancelar"
+      saved: "%{name} ahora se llena desde %{source}."
+      refresh: "Actualizar ahora"
+      refreshed: "%{name} se actualizó."
+      refreshed_at: "Actualizado %{when}."
+      never_refreshed: "Aún no se actualizó."
+      summary:
+        rule: "Se llena por regla"
+        provider: "Se llena desde %{provider}"
+        group: "Se llena desde %{parents}"
+      by_hand: "Añadido a mano, así que solo un gestor lo quita."
+      from:
+        rule: "En el grupo por su regla, así que la regla decide."
+        provider: "En el grupo por un inicio de sesión con el proveedor, así que el proveedor decide."
+        group: "En el grupo a través de un grupo superior, así que ese grupo decide."

data/config/locales/es/manage/health.yml

@@ -0,0 +1,78 @@
+es:
+  manage:
+    health:
+      title: "Estado"
+      lede: "Las comprobaciones se ejecutan cada 10 minutos. Cada una dice qué encontró y qué hacer."
+      check_now: "Comprobar ahora"
+      checking: "Comprobando"
+      checked: "Comprobado %{when}"
+      never: "Las comprobaciones aún no se han ejecutado. Se ejecutan cada 10 minutos cuando hay un worker en marcha."
+      failed: "Las comprobaciones no pudieron ejecutarse: %{failure}"
+      statuses:
+        ok: "Bien"
+        warning: "Merece un vistazo"
+        failing: "Fallando"
+      checks:
+        jobs:
+          title: "Tareas en segundo plano"
+          elsewhere: "Las tareas se ejecutan en otro servidor."
+          none: "Ninguna tarea falló en el último día."
+          failed:
+            one: "Un tipo de tarea falló en el último día: %{jobs}."
+            other: "%{count} tipos de tarea fallaron en el último día: %{jobs}."
+          advice: "Lee el error en el registro del servidor. Cada tarea vuelve a ejecutarse según su horario."
+        worker:
+          title: "Worker"
+          elsewhere: "Las tareas se ejecutan en otro servidor."
+          unchecked: "La comprobación del worker está desactivada."
+          reporting: "Hay un worker en marcha."
+          silent: "Ningún worker ha informado en los últimos %{minutes} minutos."
+          advice: "Inicia el proceso de tareas, o pon MASKS_JOBS_IN_WEB_SERVER en true para que el servidor web ejecute las tareas."
+        queue:
+          title: "Cola"
+          elsewhere: "Las tareas se ejecutan en otro servidor."
+          unchecked: "La comprobación de la cola está desactivada."
+          moving: "Las tareas empiezan a tiempo."
+          stuck: "Una tarea espera para empezar desde %{since}, más de %{minutes} minutos."
+          advice: "Añade un worker, o sube JOB_CONCURRENCY para que se ejecuten más tareas a la vez."
+        ldap:
+          title: "LDAP"
+          tls: "LDAP responde con TLS."
+          local: "LDAP responde solo en la propia máquina del servidor."
+          plain: "LDAP responde en el puerto %{port} sin TLS, así que las contraseñas cruzan la red en claro."
+          advice: "Define MASKS_LDAP_CERT y MASKS_LDAP_KEY, o quita MASKS_LDAP_PLAINTEXT."
+        metrics:
+          title: "Métricas"
+          "off": "La página de métricas está desactivada."
+          "on": "La página de métricas responde a una petición que lleva su token."
+          short: "El token de métricas tiene %{length} caracteres, así que se puede adivinar."
+          advice: "Define MASKS_METRICS_TOKEN con al menos %{needed} caracteres aleatorios."
+        mail:
+          title: "Correo"
+          none: "No hay ningún servicio de correo configurado."
+          answers: "El servidor de correo responde."
+          silent: "El servidor de correo no respondió: %{error}."
+          advice: "Revisa el servidor, el puerto y el ajuste TLS en la página Mensajes, y que el servidor permita conexiones desde aquí."
+        origin:
+          title: "Dirección pública"
+          unset: "No hay dirección pública definida, así que masks sigue la cabecera Host de cada petición."
+          matches: "Las peticiones llegan a la dirección pública de este inquilino."
+          mismatch: "Las peticiones llegan como %{seen}, pero la dirección de este inquilino es %{origin}."
+          advice: "Haz que el proxy envíe X-Forwarded-Proto y X-Forwarded-Host, y añádelo a MASKS_TRUSTED_PROXIES."
+        domains:
+          title: "Dominios"
+          none: "No hay ningún dominio reclamado."
+          proven: "Cada dominio reclamado conserva su registro TXT."
+          missing: "Falta el registro TXT de %{domains}. Una reclamación se libera una semana después de que desaparezca su registro."
+          advice: "Vuelve a poner el registro TXT en el nombre que muestra la página Dominios."
+        keys:
+          title: "Claves de firma"
+          missing: "Este inquilino no tiene ninguna clave de firma activa, así que no se puede firmar nada."
+          manual: "Las claves se rotan a mano. La clave activa tiene %{days} días."
+          fresh: "La clave activa tiene %{days} días y rota cada %{period} días."
+          stale: "La clave activa tiene %{days} días, más que su rotación de %{period} días."
+          advice: "Rota la clave en la página Configuración, o lee la tarea signing_keys en el registro del servidor."
+      release:
+        available: "La versión %{version} está disponible."
+        operator: "Esta versión necesita un paso de un operador. Lee sus notas antes de actualizar."
+        notes: "Notas de la versión"

data/config/locales/es/manage/links.yml

@@ -0,0 +1,20 @@
+es:
+  manage:
+    links:
+      title: "Enlaces"
+      help: "Cuánto tiempo es válido cada enlace que masks envía por correo. Un enlace ya enviado conserva la validez con la que se envió. Una invitación a una organización cuenta desde la última vez que se envió."
+      invitation: "Invitación a una cuenta"
+      organization_invitation: "Invitación a una organización"
+      password_reset: "Restablecer la contraseña"
+      email_verification: "Confirmación del correo"
+      default: "%{length} (predeterminado)"
+      updated: "Validez del enlace guardada."
+      minutes:
+        one: "%{count} minuto"
+        other: "%{count} minutos"
+      hours:
+        one: "%{count} hora"
+        other: "%{count} horas"
+      days:
+        one: "%{count} día"
+        other: "%{count} días"

data/config/locales/fr/access_requests.yml

@@ -0,0 +1,43 @@
+fr:
+  authorize:
+    error:
+      asking: "Votre compte n’est dans aucun groupe autorisé à utiliser %{app}. Vous pouvez demander l’accès. Les personnes qui gèrent %{app} décident, et vous recevez un courriel dans tous les cas."
+      ask: "Demander l’accès"
+      asked: "Votre demande a été envoyée. Vous recevrez un courriel une fois qu’elle sera décidée."
+      waiting: "Votre demande pour utiliser %{app} est en attente. Vous recevrez un courriel une fois qu’elle sera décidée."
+      slow_down: "Vous avez demandé l’accès à cette application il y a moins d’une heure. Attendez la réponse."
+      back: "Retour à %{app}"
+      the_app: "l’application"
+
+  account:
+    index:
+      access:
+        heading: "Demandes d’accès"
+        lede: "Ces personnes ont été refusées par une application qui admet les membres de %{organization}. Approuver en fait des membres avec le rôle que vous choisissez."
+        asked: "A demandé à utiliser %{app} il y a %{age}"
+        role_of: "Rôle pour %{name}"
+        grant: "Approuver"
+        decline: "Refuser"
+        confirm_decline: "Refuser la demande de %{identifier} pour utiliser %{app} ? La personne reçoit un courriel et peut redemander dans une heure."
+
+  organization_access:
+    granted: "%{identifier} est maintenant %{role} de %{organization} et peut utiliser %{app}."
+    declined: "La demande de %{identifier} pour utiliser %{app} est refusée."
+    unknown: "Cette demande n’est pas en attente auprès de %{organization}."
+
+  actor_mailer:
+    access_granted:
+      subject: "Vous pouvez maintenant utiliser %{app}"
+      lede: "Votre demande pour utiliser %{app} sur %{tenant} a été approuvée. Reconnectez-vous à %{app} et vous serez admis."
+      action: "Ouvrir %{app}"
+    access_declined:
+      subject: "Votre demande pour utiliser %{app} a été refusée"
+      lede: "Une personne qui gère %{app} sur %{tenant} a refusé votre demande d’accès."
+      again: "Si vous pensez qu’il s’agit d’une erreur, demandez-lui directement. Vous pouvez redemander dans une heure."
+
+  events:
+    actions:
+      access:
+        requested: "A demandé l’accès à une application"
+        granted: "Accès à une application accordé"
+        declined: "Accès à une application refusé"

data/config/locales/fr/account/app_passwords.yml

@@ -0,0 +1,42 @@
+fr:
+  account:
+    index:
+      app_passwords:
+        heading: "Mots de passe d’application"
+        entry: "Mots de passe d’application"
+        state:
+          none: "Aucun"
+        lede: "Un mot de passe d’application permet à une seule application, comme un serveur multimédia ou un NAS, de se connecter en votre nom sans votre second facteur. Il ne fonctionne que pour l’application pour laquelle il a été créé."
+        shown_once: "Voici le mot de passe d’application de %{name}. Il n’est affiché qu’une fois. Saisissez-le maintenant dans %{app}."
+        made_ago: "créé il y a %{age}"
+        used_ago: "utilisé pour la dernière fois il y a %{age}"
+        never_used: "jamais utilisé"
+        revoke: "Révoquer"
+        confirm_revoke: "Révoquer %{name} ? L’application ne peut plus se connecter avec lui dès maintenant."
+        name: "Nom"
+        name_placeholder: "Jellyfin sur la télé"
+        app: "Application"
+        make: "Créer un mot de passe d’application"
+        make_again: "Reconnectez-vous pour en créer un"
+        hint: "Votre propre mot de passe et vos clés d’accès restent inchangés. Révoquer un mot de passe d’application ne change rien d’autre."
+        none_offered: "Aucune application n’accepte encore de mot de passe d’application."
+  app_passwords:
+    again: "Reconnectez-vous pour créer un mot de passe d’application. Votre dernière connexion remonte à un moment."
+    unknown: "Ce compte n’a pas ce mot de passe d’application."
+    revoked: "%{name} est révoqué."
+    refused:
+      name: "Donnez au mot de passe d’application un nom de 64 caractères au plus."
+      app: "Cette application n’accepte pas les mots de passe d’application."
+      too_many: "Vous avez déjà %{most} mots de passe d’application. Révoquez-en un d’abord."
+  events:
+    actions:
+      app_password:
+        created: "Mot de passe d’application créé"
+        used: "Connexion avec un mot de passe d’application"
+        revoked: "Mot de passe d’application révoqué"
+  actor_mailer:
+    notification:
+      said:
+        app_password:
+          created: "Un mot de passe d’application a été créé sur votre compte %{tenant}. Il connecte une application sans votre second facteur."
+          revoked: "Un mot de passe d’application de votre compte %{tenant} a été révoqué."

data/config/locales/fr/events.yml

@@ -159,6 +159,11 @@ fr:
         updated: "Modèle d’e-mail modifié"
       job:
         failed: "Tâche de fond échouée pour ce locataire"
+      health:
+        failing: "Vérification d'état en échec"
+        recovered: "Vérification d'état rétablie"
+      release:
+        available: "Nouvelle version disponible"
       stream:
         created: "Flux d’événements ajouté"
         updated: "Flux d’événements modifié"

data/config/locales/fr/flashes.yml

@@ -163,3 +163,4 @@ fr:
   forward_auth:
     unknown: "Aucune application derrière un proxy n’est enregistrée à cette adresse."
     not_admitted: "Votre compte ne peut pas utiliser %{app}."
+    denied: "Cette page de %{app} est fermée à tout le monde."

data/config/locales/fr/group_sources.yml

@@ -0,0 +1,5 @@
+fr:
+  events:
+    actions:
+      group:
+        refreshed: "Groupe rempli depuis sa source"

data/config/locales/fr/manage/access_requests.yml

@@ -0,0 +1,12 @@
+fr:
+  manage:
+    access_requests:
+      title: "Demandes d’accès"
+      lede: "Acteurs refusés par ce client qui ont demandé l’accès. Approuver les place dans l’un des groupes qu’il admet, et ils reçoivent un courriel dans tous les cas."
+      empty: "Personne n’attend d’accès."
+      asked: "Demandé %{day}"
+      as: "Groupe dans lequel les placer"
+      grant: "Approuver"
+      decline: "Refuser"
+      granted: "%{identifier} est maintenant dans %{label} et peut se connecter."
+      declined: "La demande de %{identifier} est refusée."

data/config/locales/fr/manage/app_passwords.yml

@@ -0,0 +1,16 @@
+fr:
+  manage:
+    client:
+      sign_in:
+        app_passwords: "Accepter les mots de passe d’application"
+        app_passwords_help: "Les acteurs créent un mot de passe d’application pour ce client sur leur page de compte. Il les connecte par LDAP et forward auth sans second facteur, pour ce client seulement."
+      notices:
+        app_passwords_on: "Les acteurs peuvent maintenant créer un mot de passe d’application pour lui."
+        app_passwords_off: "Ses mots de passe d’application sont refusés dès maintenant."
+    ldap:
+      connect:
+        app: "Application"
+        no_app: "Aucune application"
+        app_help: "Choisissez le client sous lequel le service est enregistré. Les mots de passe d’application des acteurs pour ce client se lient alors sur une connexion qui s’est d’abord liée avec cet identifiant."
+      credentials:
+        app: "Accepte les mots de passe d’application de %{name}"

data/config/locales/fr/manage/forward_auth_rules.yml

@@ -0,0 +1,29 @@
+fr:
+  manage:
+    forward_auth_rules:
+      title: "Règles"
+      lede: "La première règle qui couvre une requête la décide. Une requête sans règle demande une personne connectée qui peut se connecter."
+      empty: "Il n’y a aucune règle. Chaque requête demande une personne connectée qui peut se connecter."
+      paths: "Chemins"
+      paths_hint: "Un par ligne. * couvre un segment et ** toute profondeur, donc /admin/** couvre /admin et tout ce qui est dessous. Vide couvre tous les chemins."
+      methods: "Méthodes"
+      methods_hint: "GET, POST et les autres. Vide couvre toutes les méthodes."
+      networks: "Réseaux"
+      networks_hint: "Des adresses ou des plages, comme 192.168.0.0/16. Vide couvre toutes les adresses."
+      groups: "Groupes"
+      groups_hint: "Des clés de groupe, ou des rôles en clé:rôle. Vide couvre tout le monde."
+      outcome: "Résultat"
+      outcomes:
+        open: "Ouvert à tous, sans connexion"
+        one_factor: "Une personne connectée, sans deuxième facteur"
+        two_factor: "Une personne connectée, avec son deuxième facteur"
+        token: "Une personne connectée, ou un script avec un jeton d’accès"
+        deny: "Fermé à tout le monde"
+      rule: "Règle %{number}"
+      add: "Ajouter une règle"
+      remove: "Retirer"
+      up: "Monter"
+      down: "Descendre"
+      save: "Enregistrer les règles"
+      saved: "Règles enregistrées."
+      trust: "Une règle de réseau fait confiance à l’adresse envoyée par le proxy. Vérifiez que le proxy définit X-Forwarded-For lui-même."

data/config/locales/fr/manage/group_sources.yml

@@ -0,0 +1,44 @@
+fr:
+  manage:
+    group_sources:
+      source: "Se remplit depuis"
+      sources:
+        manual: "Des personnes ajoutées à la main"
+        rule: "Une règle"
+        provider: "Un fournisseur"
+        group: "D’autres groupes"
+      ledes:
+        manual: "Un gestionnaire ajoute et retire les personnes depuis leur propre page."
+        rule: "Toute personne qui remplit chaque condition. Une adresse e-mail compte une fois vérifiée. Un champ du profil compte seulement quand un annuaire le fixe, car les personnes ne peuvent pas le changer. Vérifié à chaque changement de profil et toutes les heures."
+        provider: "Toute personne dont la dernière connexion par le fournisseur listait le groupe."
+        group: "Toute personne dans l’un des groupes ou rôles d’organisation parents."
+      change: "Changer la façon dont %{name} se remplit"
+      kinds:
+        email_domain: "L’adresse e-mail se termine par"
+        profile: "Le champ du profil est égal à"
+      field: "Champ"
+      value: "Valeur"
+      add_condition: "Ajouter une condition"
+      remove_condition: "Retirer la condition"
+      provider: "Fournisseur"
+      choose_provider: "Choisir un fournisseur"
+      no_providers: "Ajoutez d’abord un fournisseur."
+      upstream_group: "Nom du groupe chez le fournisseur"
+      parent_labels: "Groupes parents"
+      parent_labels_hint: "Clés de groupe ou rôles d’organisation sous la forme clé:rôle, séparés par des virgules."
+      save: "Enregistrer"
+      cancel: "Annuler"
+      saved: "%{name} se remplit maintenant depuis %{source}."
+      refresh: "Actualiser maintenant"
+      refreshed: "%{name} est actualisé."
+      refreshed_at: "Actualisé %{when}."
+      never_refreshed: "Pas encore actualisé."
+      summary:
+        rule: "Se remplit par règle"
+        provider: "Se remplit depuis %{provider}"
+        group: "Se remplit depuis %{parents}"
+      by_hand: "Ajouté à la main, donc seul un gestionnaire le retire."
+      from:
+        rule: "Dans le groupe par sa règle, donc la règle décide."
+        provider: "Dans le groupe par une connexion chez le fournisseur, donc le fournisseur décide."
+        group: "Dans le groupe par un groupe parent, donc ce groupe décide."

data/config/locales/fr/manage/health.yml

@@ -0,0 +1,78 @@
+fr:
+  manage:
+    health:
+      title: "État"
+      lede: "Les vérifications tournent toutes les 10 minutes. Chacune dit ce qu'elle a trouvé et quoi faire."
+      check_now: "Vérifier maintenant"
+      checking: "Vérification"
+      checked: "Vérifié %{when}"
+      never: "Les vérifications n'ont pas encore tourné. Elles tournent toutes les 10 minutes dès qu'un worker est lancé."
+      failed: "Les vérifications n'ont pas pu tourner : %{failure}"
+      statuses:
+        ok: "Bon"
+        warning: "À regarder"
+        failing: "En échec"
+      checks:
+        jobs:
+          title: "Tâches de fond"
+          elsewhere: "Les tâches tournent sur un autre serveur."
+          none: "Aucune tâche n'a échoué le dernier jour."
+          failed:
+            one: "Un type de tâche a échoué le dernier jour : %{jobs}."
+            other: "%{count} types de tâche ont échoué le dernier jour : %{jobs}."
+          advice: "Lisez l'erreur dans le journal du serveur. Chaque tâche retourne selon son horaire."
+        worker:
+          title: "Worker"
+          elsewhere: "Les tâches tournent sur un autre serveur."
+          unchecked: "La vérification du worker est désactivée."
+          reporting: "Un worker tourne."
+          silent: "Aucun worker ne s'est signalé depuis %{minutes} minutes."
+          advice: "Lancez le processus de tâches, ou mettez MASKS_JOBS_IN_WEB_SERVER à true pour que le serveur web exécute les tâches."
+        queue:
+          title: "File d'attente"
+          elsewhere: "Les tâches tournent sur un autre serveur."
+          unchecked: "La vérification de la file est désactivée."
+          moving: "Les tâches démarrent à l'heure."
+          stuck: "Une tâche attend de démarrer depuis %{since}, plus de %{minutes} minutes."
+          advice: "Ajoutez un worker, ou montez JOB_CONCURRENCY pour que plus de tâches tournent en même temps."
+        ldap:
+          title: "LDAP"
+          tls: "LDAP répond avec TLS."
+          local: "LDAP ne répond que sur la machine du serveur."
+          plain: "LDAP répond sur le port %{port} sans TLS, donc les mots de passe traversent le réseau en clair."
+          advice: "Définissez MASKS_LDAP_CERT et MASKS_LDAP_KEY, ou retirez MASKS_LDAP_PLAINTEXT."
+        metrics:
+          title: "Métriques"
+          "off": "La page des métriques est désactivée."
+          "on": "La page des métriques répond à une requête qui porte son jeton."
+          short: "Le jeton des métriques fait %{length} caractères, donc il peut être deviné."
+          advice: "Définissez MASKS_METRICS_TOKEN avec au moins %{needed} caractères aléatoires."
+        mail:
+          title: "Courriel"
+          none: "Aucun service de courriel n'est configuré."
+          answers: "Le serveur de courriel répond."
+          silent: "Le serveur de courriel n'a pas répondu : %{error}."
+          advice: "Vérifiez le serveur, le port et le réglage TLS sur la page Messages, et que le serveur accepte les connexions d'ici."
+        origin:
+          title: "Adresse publique"
+          unset: "Aucune adresse publique n'est définie, donc masks suit l'en-tête Host de chaque requête."
+          matches: "Les requêtes arrivent à l'adresse publique de ce locataire."
+          mismatch: "Les requêtes arrivent en %{seen}, mais l'adresse de ce locataire est %{origin}."
+          advice: "Faites envoyer X-Forwarded-Proto et X-Forwarded-Host par le proxy, et ajoutez-le à MASKS_TRUSTED_PROXIES."
+        domains:
+          title: "Domaines"
+          none: "Aucun domaine n'est revendiqué."
+          proven: "Chaque domaine revendiqué a toujours son enregistrement TXT."
+          missing: "L'enregistrement TXT manque pour %{domains}. Une revendication est libérée une semaine après la disparition de son enregistrement."
+          advice: "Remettez l'enregistrement TXT au nom indiqué sur la page Domaines."
+        keys:
+          title: "Clés de signature"
+          missing: "Ce locataire n'a aucune clé de signature active, donc rien ne peut être signé."
+          manual: "Les clés tournent à la main. La clé active a %{days} jours."
+          fresh: "La clé active a %{days} jours et tourne tous les %{period} jours."
+          stale: "La clé active a %{days} jours, au-delà de sa rotation de %{period} jours."
+          advice: "Faites tourner la clé sur la page Paramètres, ou lisez la tâche signing_keys dans le journal du serveur."
+      release:
+        available: "La version %{version} est disponible."
+        operator: "Cette version demande une étape d'un opérateur. Lisez ses notes avant de mettre à jour."
+        notes: "Notes de version"

data/config/locales/fr/manage/links.yml

@@ -0,0 +1,20 @@
+fr:
+  manage:
+    links:
+      title: "Liens"
+      help: "Durée de validité de chaque lien que masks envoie par e-mail. Un lien déjà envoyé garde la durée avec laquelle il a été envoyé. Une invitation dans une organisation compte depuis son dernier envoi."
+      invitation: "Invitation à un compte"
+      organization_invitation: "Invitation dans une organisation"
+      password_reset: "Réinitialisation du mot de passe"
+      email_verification: "Confirmation de l’e-mail"
+      default: "%{length} (par défaut)"
+      updated: "Durée du lien enregistrée."
+      minutes:
+        one: "%{count} minute"
+        other: "%{count} minutes"
+      hours:
+        one: "%{count} heure"
+        other: "%{count} heures"
+      days:
+        one: "%{count} jour"
+        other: "%{count} jours"

data/config/routes.rb

@@ -20,6 +20,7 @@ Masks::Server::Engine.routes.draw do
 
   match "/authorize", to: "authorize#show", via: %i[get post], as: :authorize
   get "/authorize/refused", to: "authorize#refused", as: :authorize_refused
+  post "/authorize/refused/access", to: "authorize#ask", as: :authorize_access_request
   post "/par", to: "pushed_authorizations#create", as: :pushed_authorization
   post "/device_authorization", to: "device_authorizations#create", as: :device_authorization
 
@@ -78,6 +79,8 @@ Masks::Server::Engine.routes.draw do
   delete "/account/avatar", to: "avatars#destroy"
 
   delete "/account/apps/:client_id", to: "apps#destroy", as: :account_app
+  post "/account/app_passwords", to: "app_passwords#create", as: :account_app_passwords
+  delete "/account/app_passwords/:id", to: "app_passwords#destroy", as: :account_app_password
   post "/account/connections", to: "connections#create", as: :account_connections
   delete "/account/connections/:id", to: "connections#detach", as: :account_connection
   delete "/account/delegations/:id", to: "delegations#destroy", as: :account_delegation
@@ -89,6 +92,8 @@ Masks::Server::Engine.routes.draw do
     post "/account/organizations/:key/members/:id/resend", to: "organization_members#resend",
                                                            as: :account_organization_member_resend
     post "/account/organizations/:key/accept", to: "organization_members#accept", as: :account_organization_acceptance
+    post "/account/organizations/:key/access/:id", to: "organization_access#create", as: :account_organization_access
+    delete "/account/organizations/:key/access/:id", to: "organization_access#destroy"
   end
 
   scope constraints: { style: Regexp.union(Masks::Server::Avatars::STYLES), digest: /[0-9a-f]{16}/ } do

data/db/migrate/20261020100000_create_access_requests.rb

@@ -0,0 +1,28 @@
+class CreateAccessRequests < ActiveRecord::Migration[8.1]
+  include Masks::Server::TenantIsolation
+
+  def up
+    create_table :access_requests do |t|
+      t.references :tenant, null: false, foreign_key: { on_delete: :cascade }, index: false
+      t.references :actor, null: false, foreign_key: { on_delete: :cascade }, index: false
+      t.references :client, null: false, foreign_key: { on_delete: :cascade }, index: false
+      t.references :decided_by, foreign_key: { to_table: :actors, on_delete: :nullify }, index: false
+      t.string :label
+      t.datetime :granted_at
+      t.datetime :declined_at
+      t.timestamps
+    end
+
+    add_index :access_requests, %i[tenant_id actor_id client_id], unique: true,
+              where: "granted_at IS NULL AND declined_at IS NULL", name: "index_access_requests_on_open"
+    add_index :access_requests, %i[tenant_id client_id]
+    add_index :access_requests, :created_at
+
+    enable_row_level_security(:access_requests)
+  end
+
+  def down
+    disable_row_level_security(:access_requests)
+    drop_table :access_requests
+  end
+end

data/db/migrate/20261020110000_add_app_passwords_to_clients.rb

@@ -0,0 +1,5 @@
+class AddAppPasswordsToClients < ActiveRecord::Migration[8.1]
+  def change
+    add_column :clients, :app_passwords, :boolean, null: false, default: false
+  end
+end

data/db/migrate/20261020120000_add_forward_auth_rules_to_clients.rb

@@ -0,0 +1,6 @@
+class AddForwardAuthRulesToClients < ActiveRecord::Migration[8.1]
+  def change
+    add_column :clients, :forward_auth_rules, :jsonb, null: false, default: []
+    add_column :sessions, :second_factor_skipped, :boolean, null: false, default: false
+  end
+end

data/db/migrate/20261020130000_add_sources_to_groups.rb

@@ -0,0 +1,15 @@
+class AddSourcesToGroups < ActiveRecord::Migration[8.1]
+  def change
+    add_column :groups, :source, :string, null: false, default: "manual"
+    add_column :groups, :rule, :jsonb, null: false, default: []
+    add_reference :groups, :provider, foreign_key: { on_delete: :nullify }
+    add_column :groups, :upstream_group, :string
+    add_column :groups, :parent_labels, :jsonb, null: false, default: []
+    add_column :groups, :refreshed_at, :datetime
+    add_index :groups, %i[tenant_id source]
+
+    add_column :group_members, :sourced_by, :string
+
+    add_column :connections, :upstream_groups, :jsonb, null: false, default: []
+  end
+end

data/db/migrate/20261020140000_create_health_checks.rb

@@ -0,0 +1,25 @@
+class CreateHealthChecks < ActiveRecord::Migration[8.1]
+  include Masks::Server::TenantIsolation
+
+  def up
+    create_table :health_checks do |t|
+      t.references :tenant, null: false, foreign_key: { on_delete: :cascade }, index: false
+      t.string :name, null: false
+      t.string :status, null: false
+      t.string :summary, null: false
+      t.jsonb :details, null: false, default: {}
+      t.datetime :checked_at, null: false
+      t.datetime :changed_at, null: false
+      t.timestamps
+    end
+
+    add_index :health_checks, %i[tenant_id name], unique: true
+
+    enable_row_level_security(:health_checks)
+  end
+
+  def down
+    disable_row_level_security(:health_checks)
+    drop_table :health_checks
+  end
+end

data/db/migrate/20261020150000_add_link_lifetimes_to_tenants.rb

@@ -0,0 +1,8 @@
+class AddLinkLifetimesToTenants < ActiveRecord::Migration[8.1]
+  def change
+    add_column :tenants, :invitation_lifetime, :integer, null: false, default: 7 * 24 * 60 * 60
+    add_column :tenants, :organization_invitation_lifetime, :integer, null: false, default: 14 * 24 * 60 * 60
+    add_column :tenants, :password_reset_lifetime, :integer, null: false, default: 30 * 60
+    add_column :tenants, :email_verification_lifetime, :integer, null: false, default: 2 * 24 * 60 * 60
+  end
+end

data/db/migrate/20261021100000_add_pinned_origin_to_tenants.rb

@@ -0,0 +1,5 @@
+class AddPinnedOriginToTenants < ActiveRecord::Migration[8.1]
+  def change
+    add_column :tenants, :pinned_origin, :string
+  end
+end

data/lib/generators/masks/server/install/install_generator.rb

@@ -40,8 +40,9 @@ module Masks
 
           engine? ? say_engine_database : say_server_database
 
-          say "In production, set MASKS_PUBLIC_ORIGIN_TEMPLATE to #{origin_example}, so the issuer and every"
-          say "emailed link are built from it and never from a request's Host header."
+          say "In production, masks keeps the address its setup screen was first opened at, and builds the"
+          say "issuer and every emailed link from it. To name the address yourself, set"
+          say "MASKS_PUBLIC_ORIGIN_TEMPLATE to #{origin_example}."
           say ""
           say "Then run bin/rails db:prepare and bin/rails masks:tenants, and open #{login_path} to set up"
           say "the first account with the setup token masks prints."