masks-server 0.12.0 → 0.14.0

data/config/locales/es/logins.yml

@@ -16,7 +16,7 @@ es:
       name: "Nombre"
       phone: "Teléfono"
       password: "Contraseña"
-      not_you: "¿No eres tú?"
+      not_you: "Usar otra cuenta"
       sign_out: "Cerrar sesión"
       use_passkey: "Usar una llave de acceso"
       or: "o"
@@ -40,10 +40,12 @@ es:
       tab_confirmation: "Confirmación"
       setup_cap: "¡Te damos la bienvenida!"
       setup_title: "Configurar"
-      signup_title: "Crear una cuenta en"
+      signup_title: "Crea tu cuenta"
       token: "Token de configuración"
-      token_hint: "Aparece en los registros del servidor, donde solo puede leerlo quien ejecuta masks."
-      origin: "Configurar en"
+      token_hint: "Está impreso en el registro del servidor."
+      origin: "Este masks responde en %{origin}."
+      pick_nickname: "Elegir un apodo"
+      nickname_hint: "Otras personas lo ven. Déjalo como está para usar %{suggested}."
       once: "Esta pantalla no volverá a aparecer."
       docs: "Lee la documentación."
       confirm: "Confirmar contraseña"
@@ -57,15 +59,15 @@ es:
       proving: "Comprobando este navegador"
 
     identify:
-      heading: "Inicia sesión para continuar"
+      heading: "Iniciar sesión"
       heading_to: "Iniciar sesión en %{client}"
-      identifier: "Apodo o correo"
-      signup_hint: "¿Eres nuevo? Escribe la dirección que quieres usar y se creará una cuenta para ella."
+      identifier: "Correo o apodo"
+      signup_hint: "¿Nuevo aquí? Escribe tu correo y masks te crea una cuenta."
 
     first_factor:
       title: "Escribe tu contraseña"
       title_code: "Iniciar sesión con un código"
-      forgot: "¿La olvidaste?"
+      forgot: "¿Olvidaste tu contraseña?"
       email_me: "Enviarme un código por correo"
       email_only: "Enviarme un código por correo"
 
@@ -76,9 +78,9 @@ es:
       sent_again: "Enviado"
 
     second_factor:
-      title: "Escribe tu código"
-      title_passkey: "Usa tu segundo factor"
-      trust: "Confiar en este dispositivo durante %{duration}"
+      title: "Confirma que eres tú"
+      title_passkey: "Confirma que eres tú con tu llave de acceso"
+      trust: "Saltar esto en este dispositivo durante %{duration}"
       use_backup_code: "Usar un código de respaldo"
       stuck_insecure: "El segundo factor de esta cuenta es una llave de acceso, y el navegador solo ofrece llaves de acceso a páginas servidas por HTTPS. Abre esta página por HTTPS para continuar."
       stuck_unsupported: "El segundo factor de esta cuenta es una llave de acceso, y este navegador no admite llaves de acceso. Abre esta página en un navegador que las admita para continuar."
@@ -102,15 +104,25 @@ es:
 
     enrol:
       title: "Protege tu cuenta"
-      lede: "Añade tantos segundos factores como quieras. Esta cuenta necesita al menos uno."
-      lede_optional: "Añade tantos segundos factores como quieras."
+      lede: "Elige una forma de confirmar que eres tú al iniciar sesión. Puedes añadir más después."
+      lede_optional: "Elige una forma de confirmar que eres tú al iniciar sesión, o sáltalo por ahora."
+      on_title: "Tu cuenta está protegida"
+      on_lede: "Así confirmas que eres tú al iniciar sesión."
+      on_label: "Activado"
+      passkey: "Llave de acceso"
       otp: "Aplicación de autenticación"
+      otp_about: "Una app como Google Authenticator o 1Password muestra un código de seis dígitos."
       otp_on: "Activada"
-      scan_hint: "Escanéalo o escribe esta clave a mano:"
+      scan_hint: "Escanea esto con tu app de autenticación, o escribe la clave en ella:"
+      passkey_about: "Tu teléfono o computadora comprueba que eres tú con tu cara, tu huella o tu PIN."
+      codes_email_about: "Un código llega a %{to} cada vez que inicias sesión."
+      codes_sms_about: "Un código llega a %{to} por mensaje de texto cada vez que inicias sesión."
+      another_way: "Elegir otra forma"
+      add_way: "Añadir otra forma"
       open: "Abrir en tu aplicación de autenticación"
       turn_on: "Activarla"
       passkeys: "Llaves de acceso"
-      passkeys_none: "Ninguna todavía. Sirve una que compruebe un PIN o una huella."
+      passkeys_none: "Ninguna todavía."
       passkeys_some: "%{count} añadidas"
       add_passkey: "Añadir una llave de acceso"
       add_another_passkey: "Añadir otra"
@@ -118,17 +130,17 @@ es:
       codes_email_hint: "Un código enviado a %{to} confirma cada inicio de sesión."
       codes_sms: "Códigos por SMS"
       codes_sms_hint: "Un código enviado por SMS a %{to} confirma cada inicio de sesión."
-      send_code: "Enviar un código para activarlo"
+      send_code: "Enviarme un código"
       sent_to: "Enviado a %{to}."
       backup_codes: "Códigos de respaldo"
-      backup_codes_waiting: "Se generan cuando actives uno de los factores de arriba."
-      backup_codes_hint: "Cada uno sirve para iniciar sesión una vez, cuando no tienes nada más a mano. No se vuelven a mostrar."
+      backup_codes_waiting: "Se crean cuando una forma de arriba esté activada."
+      backup_codes_hint: "Cada código te deja entrar una vez si pierdes tu otra forma de entrar. Guárdalos ahora. No se muestran otra vez."
       backup_codes_left: "Quedan %{count}"
       backup_codes_file: "Códigos de respaldo de %{account} en %{origin}"
       copy: "Copiarlos"
       copied: "Copiados"
       download: "Descargarlos"
-      kept: "Guardé mis códigos de respaldo en un lugar seguro"
+      kept: "Guardé mis códigos de respaldo"
       done: "Continuar"
       skip: "Omitir por ahora"
 
@@ -163,7 +175,7 @@ es:
     prove_email:
       title: "Revisa tu correo"
       lede: "Te enviamos un código de seis dígitos a %{email}. Escríbelo para continuar."
-      no_mailer: "Este servidor todavía no puede enviar correo, así que no se puede usar una dirección para iniciar sesión. Usa tu apodo o pregunta a un gestor."
+      no_mailer: "Este servidor aún no puede enviar correo, así que no puede comprobar tu dirección. Inicia sesión con tu apodo, o pide a quien lo administra que confirme la dirección por ti."
 
     setup_configure:
       called: "Este servidor se llama"
@@ -202,17 +214,19 @@ es:
       as: "%{organization}, como %{role}"
 
     consent:
-      title: "¿Permitir %{client}?"
-      access: "Acceso"
-      no_access: "Nada más allá de confirmar quién eres."
-      audience: "En tu nombre en"
+      title: "%{client} quiere iniciar tu sesión"
+      access: "Sabrá"
+      no_access: "Solo que tienes una cuenta aquí."
+      audience: "Puede actuar por ti en %{resources}."
       details: "Exactamente esto"
       returns_to: "Después vuelve a"
+      more: "Detalles"
+      scopes: "Permisos"
       site: "Acerca de %{client}"
       terms: "Sus condiciones"
       privacy: "Su política de privacidad"
       allow: "Permitir"
-      deny: "Denegar"
+      deny: "Ahora no"
       working: "Permitiendo"
 
     settled:
@@ -221,7 +235,7 @@ es:
       waiting: "Te llevamos de vuelta"
 
     warnings:
-      invalid-credentials: "Ese apodo y esa contraseña no coinciden."
+      invalid-credentials: "Ese correo o apodo y la contraseña no coinciden."
       invalid-code: "Ese código no es válido."
       invalid-backup-code: "Ese código de respaldo no es válido."
       invalid-passkey: "No se pudo usar esa llave de acceso."
@@ -233,7 +247,7 @@ es:
       passkey-crowded: "Esta cuenta ya tiene tantas llaves de acceso como admite este servidor."
       second-factor-required: "Activa al menos un segundo factor para continuar."
       backup-codes-unkept: "Guarda tus códigos de respaldo antes de continuar."
-      missing-identifier: "Escribe tu apodo o tu correo."
+      missing-identifier: "Escribe tu correo o tu apodo."
       missing-first-factor: "Ese paso caducó. Empieza de nuevo."
       too-many-attempts: "Demasiados intentos. Espera unos minutos."
       too-many-attempts-for-account: "Demasiados intentos para esa cuenta."
@@ -258,7 +272,7 @@ es:
       work-unsolved: "Este navegador no terminó la comprobación que frena los registros automáticos. Inténtalo de nuevo."
       invitation-expired: "Esa invitación ya no es válida. Pide otra."
       reset-expired: "Ese enlace de restablecimiento ya no es válido. Pide otro."
-      no-mailer: "Este servidor no puede enviar correo. Pregunta a un gestor."
+      no-mailer: "Este servidor aún no puede enviar correo, así que no puede restablecer tu contraseña. Pide a quien lo administra un enlace para restablecerla."
       sso-failed: "Ese inicio de sesión no se completó. Vuelve a intentarlo."
       sso-expired: "Ese inicio de sesión tardó demasiado. Vuelve a intentarlo."
       sso-unavailable: "Esa forma de iniciar sesión no está disponible."

data/config/locales/es/manage/health.yml

@@ -65,13 +65,20 @@ es:
           proven: "Cada dominio reclamado conserva su registro TXT."
           missing: "Falta el registro TXT de %{domains}. Una reclamación se libera una semana después de que desaparezca su registro."
           advice: "Vuelve a poner el registro TXT en el nombre que muestra la página Dominios."
+        proxy:
+          title: "Proxy inverso"
+          quiet: "Las cabeceras reenviadas llegan solo desde proxies de confianza, por HTTPS."
+          untrusted: "Llegaron cabeceras reenviadas desde %{addresses}, que no figura en MASKS_TRUSTED_PROXIES, así que se ignoraron. Todos los visitantes detrás de ese proxy comparten una dirección y un mismo límite."
+          plain: "El proxy en %{addresses} reenvía las peticiones como HTTP sin cifrar. masks marca sus cookies solo para HTTPS, así que los navegadores las descartan y el inicio de sesión se repite en bucle."
+          one: "Los %{count} eventos de la última hora llegaron todos desde %{address}, una dirección privada, que casi seguro es el propio proxy."
+          advice: "Añade el proxy a MASKS_TRUSTED_PROXIES y haz que envíe X-Forwarded-For y X-Forwarded-Proto. Busca en el registro del servidor las líneas que empiezan por proxy:."
         keys:
           title: "Claves de firma"
           missing: "Este inquilino no tiene ninguna clave de firma activa, así que no se puede firmar nada."
-          manual: "Las claves se rotan a mano. La clave activa tiene %{days} días."
+          manual: "Las claves se rotan a mano, así que nada sustituye la clave activa por sí solo. Tiene %{days} días."
           fresh: "La clave activa tiene %{days} días y rota cada %{period} días."
           stale: "La clave activa tiene %{days} días, más que su rotación de %{period} días."
-          advice: "Rota la clave en la página Configuración, o lee la tarea signing_keys en el registro del servidor."
+          advice: "Elige un calendario de rotación en la página Configuración, rota la clave allí, o lee la tarea signing_keys en el registro del servidor."
       release:
         available: "La versión %{version} está disponible."
         operator: "Esta versión necesita un paso de un operador. Lee sus notas antes de actualizar."

data/config/locales/fr/account.yml

@@ -62,7 +62,7 @@ fr:
           set:
             one: "1 configurée"
             other: "%{count} configurées"
-        explained: "Au lieu de saisir un mot de passe, votre appareil vérifie que c’est bien vous, de la même façon qu’il se déverrouille déjà. Une clé d’accès compte pour les deux facteurs à la fois, donc il n’y a aucun code à attendre."
+        explained: "Au lieu de saisir un mot de passe, votre appareil vérifie que c'est vous comme il se déverrouille déjà. Il compte aussi comme votre deuxième étape, donc aucun code à attendre."
         used: "utilisée il y a %{age}"
         never_used: "jamais utilisée"
         remove: "Supprimer"
@@ -209,11 +209,11 @@ fr:
         remembered: "%{label}, sans demander jusqu’au %{date}"
         heading: "Applications que vous avez autorisées"
         none_yet: "Aucune demande pour l’instant. Une application apparaît ici dès que vous vous y connectez, avec ce que vous avez accepté qu’elle voie."
-        revoke: "Révoquer l’accès"
+        revoke: "Retirer l'accès"
         more:
           one: "et une autre"
           other: "et %{count} autres"
-        confirm_revoke: "Révoquer %{client} ? Tout ce qu’elle détient cesse de fonctionner, et elle devra redemander l’accès lors de votre prochaine connexion."
+        confirm_revoke: "Retirer l'accès de %{client} ? Tout ce qu'il détient cesse de fonctionner, et il devra redemander à votre prochaine connexion."
 
       connections:
         heading: "Comptes associés"
@@ -258,7 +258,7 @@ fr:
 
       export:
         heading: "Télécharger votre compte"
-        state: "JSON"
+        state: "Un fichier"
         lede: "Un fichier contenant votre profil, vos modes de connexion, vos organisations, applications, comptes associés et appareils, ainsi que l’activité conservée par masks. Il ne contient aucun mot de passe, code ni clé."
         again: "Votre connexion date d’un moment, il vous sera donc d’abord demandé de vous reconnecter."
         submit: "Télécharger"

data/config/locales/fr/handshakes.yml

@@ -3,29 +3,29 @@ fr:
     show:
       page_title: "Connecter %{name}"
       page_title_again: "Reconnecter %{name}"
-      title: "Connecter %{name} à %{tenant} ?"
+      title: "Connecter %{name} ?"
       title_again: "Reconnecter %{name} ?"
-      runs_at: "Fonctionne à"
+      runs_at: "%{name} fonctionne à %{origin}."
       lede_html: "Les gens pourront se connecter à <strong>%{name}</strong> avec leur compte %{tenant}. Pour l’instant, vous seul y avez accès, et vous choisissez plus tard qui d’autre peut entrer."
       lede_again_html: "<strong>%{name}</strong> est déjà connectée à %{tenant}. La reconnecter la configure à nouveau. Pour l’instant, vous seul y avez accès, et vous choisissez plus tard qui d’autre peut entrer."
       stops_working: "La connexion actuelle de %{name} cesse de fonctionner."
       connected_by_you: "Vous avez connecté %{name} le %{date}."
       connected_by: "%{who} a connecté %{name} le %{date}."
-      signed_in_as: "Vous approuvez en tant que"
+      signed_in_as: "Vous connectez en tant que"
       unconfirmed: "(adresse e-mail pas encore confirmée)"
-      check: "Regardez d’abord ceci"
+      check: "Avant de connecter"
       heed:
         offline_access: "%{name} peut garder les gens connectés sans redemander, jusqu’à ce qu’ils se déconnectent."
         delegates_title: "Demander aux gens d’associer leurs autres comptes"
         delegates: "Chaque personne choisit elle-même. %{name} peut ensuite utiliser ces comptes en leur absence."
         delegate: "%{name} peut utiliser ce compte en votre absence, jusqu’à ce que vous l’arrêtiez."
         manage: "Toute personne qui se connecte via %{name} peut modifier tous les paramètres de ce serveur."
-      sees: "%{name} peut voir"
+      sees: "%{name} saura"
       area: "Les autorisations propres à %{name}"
       area_says_html: "%{name} reçoit son propre ensemble d’autorisations, nommé %{namespaces}. Vous décidez qui les reçoit."
       area_yours: " Vous les recevez toutes dès maintenant."
       also: "%{name} peut aussi"
-      details: "Détails techniques"
+      details: "Détails"
       scopes: "Portées"
       client: "Identifiants"
       credentials:

data/config/locales/fr/logins.yml

@@ -16,7 +16,7 @@ fr:
       name: "Nom"
       phone: "Téléphone"
       password: "Mot de passe"
-      not_you: "Ce n’est pas vous ?"
+      not_you: "Utiliser un autre compte"
       sign_out: "Se déconnecter"
       use_passkey: "Utiliser une clé d’accès"
       or: "ou"
@@ -40,10 +40,12 @@ fr:
       tab_confirmation: "Confirmation"
       setup_cap: "Bienvenue !"
       setup_title: "Configurer"
-      signup_title: "Créer un compte sur"
+      signup_title: "Créez votre compte"
       token: "Jeton de configuration"
-      token_hint: "Inscrit dans les journaux du serveur, que seule la personne qui exploite masks peut lire."
-      origin: "Configurer sur"
+      token_hint: "Il est imprimé dans le journal du serveur."
+      origin: "Ce masks répond à %{origin}."
+      pick_nickname: "Choisir un pseudo"
+      nickname_hint: "Les autres le voient. Laissez tel quel pour utiliser %{suggested}."
       once: "Cet écran ne s’affichera plus."
       docs: "Lire la documentation."
       confirm: "Confirmer le mot de passe"
@@ -57,10 +59,10 @@ fr:
       proving: "Vérification du navigateur"
 
     identify:
-      heading: "Connectez-vous pour continuer"
+      heading: "Se connecter"
       heading_to: "Se connecter à %{client}"
-      identifier: "Pseudo ou e-mail"
-      signup_hint: "Nouveau ici ? Saisissez l’adresse que vous voulez utiliser, et un compte est créé pour elle."
+      identifier: "E-mail ou pseudo"
+      signup_hint: "Nouveau ici ? Saisissez votre e-mail et masks vous crée un compte."
 
     first_factor:
       title: "Saisissez votre mot de passe"
@@ -76,16 +78,16 @@ fr:
       sent_again: "Envoyé"
 
     second_factor:
-      title: "Saisissez votre code"
-      title_passkey: "Utilisez votre second facteur"
-      trust: "Faire confiance à cet appareil pendant %{duration}"
+      title: "Confirmez que c'est vous"
+      title_passkey: "Confirmez que c'est vous avec votre clé d'accès"
+      trust: "Passer cette étape sur cet appareil pendant %{duration}"
       use_backup_code: "Utiliser un code de secours"
       stuck_insecure: "Le second facteur de ce compte est une clé d’accès, et le navigateur ne propose les clés d’accès qu’aux pages servies en HTTPS. Ouvrez cette page en HTTPS pour continuer."
       stuck_unsupported: "Le second facteur de ce compte est une clé d’accès, et ce navigateur ne prend pas en charge les clés d’accès. Ouvrez cette page dans un navigateur compatible pour continuer."
       stuck_no_script: "Le second facteur de ce compte est une clé d’accès, et une clé d’accès nécessite JavaScript. Activez JavaScript pour continuer."
       stuck_inbox: "Cette connexion a commencé depuis votre boîte de réception, donc un code envoyé à cette adresse ne peut pas la confirmer. Recommencez et connectez-vous avec votre mot de passe pour utiliser un code par e-mail."
       stuck_nothing: "Ce compte n’a aucun second facteur utilisable pour cette connexion. Un gestionnaire peut le réinitialiser."
-      recovery_request: "Je ne peux utiliser aucune de ces options"
+      recovery_request: "Je ne peux utiliser aucun de ces moyens"
       recovery_ask: "Demander de l’aide à un gestionnaire"
       recovery_requested: "Un gestionnaire a été invité à réinitialiser vos seconds facteurs. Il peut vous contacter pour s’assurer qu’il s’agit bien de vous. Ensuite, reconnectez-vous pour en configurer un nouveau."
       sent_to: "Envoyé à %{to}."
@@ -101,16 +103,26 @@ fr:
       approval_checked: "Je l’ai approuvée"
 
     enrol:
-      title: "Sécurisez votre compte"
-      lede: "Ajoutez autant de seconds facteurs que vous le souhaitez. Ce compte en exige au moins un."
-      lede_optional: "Ajoutez autant de seconds facteurs que vous le souhaitez."
+      title: "Protégez votre compte"
+      lede: "Choisissez une façon de confirmer que c'est vous à la connexion. Vous pourrez en ajouter d'autres plus tard."
+      lede_optional: "Choisissez une façon de confirmer que c'est vous à la connexion, ou passez pour l'instant."
+      on_title: "Votre compte est protégé"
+      on_lede: "Voici comment vous confirmez que c'est vous à la connexion."
+      on_label: "Activé"
+      passkey: "Clé d'accès"
       otp: "Application d’authentification"
+      otp_about: "Une application comme Google Authenticator ou 1Password affiche un code à six chiffres."
       otp_on: "Activée"
-      scan_hint: "Scannez-le, ou saisissez cette clé à la main :"
+      scan_hint: "Scannez ceci avec votre application d'authentification, ou saisissez-y la clé :"
+      passkey_about: "Votre téléphone ou ordinateur vérifie que c'est vous avec votre visage, votre empreinte ou votre code PIN."
+      codes_email_about: "Un code est envoyé à %{to} à chaque connexion."
+      codes_sms_about: "Un code est envoyé à %{to} par SMS à chaque connexion."
+      another_way: "Choisir un autre moyen"
+      add_way: "Ajouter un autre moyen"
       open: "Ouvrir dans votre application d’authentification"
       turn_on: "L’activer"
       passkeys: "Clés d’accès"
-      passkeys_none: "Aucune pour l’instant. Une clé qui vérifie un code PIN ou une empreinte digitale convient."
+      passkeys_none: "Aucune pour l'instant."
       passkeys_some: "%{count} ajoutée(s)"
       add_passkey: "Ajouter une clé d’accès"
       add_another_passkey: "En ajouter une autre"
@@ -118,17 +130,17 @@ fr:
       codes_email_hint: "Un code envoyé à %{to} confirme chaque connexion."
       codes_sms: "Codes par SMS"
       codes_sms_hint: "Un code envoyé par SMS au %{to} confirme chaque connexion."
-      send_code: "Envoyer un code pour l’activer"
+      send_code: "M'envoyer un code"
       sent_to: "Envoyé à %{to}."
       backup_codes: "Codes de secours"
-      backup_codes_waiting: "Générés pour vous dès qu’un facteur ci-dessus est activé."
-      backup_codes_hint: "Chacun permet une seule connexion, quand vous n’avez rien d’autre sous la main. Ils ne seront plus affichés."
+      backup_codes_waiting: "Créés dès qu'un moyen ci-dessus est activé."
+      backup_codes_hint: "Chaque code vous connecte une fois si vous perdez votre autre moyen. Enregistrez-les maintenant. Ils ne sont plus affichés ensuite."
       backup_codes_left: "%{count} restant(s)"
       backup_codes_file: "Codes de secours pour %{account} sur %{origin}"
       copy: "Les copier"
       copied: "Copiés"
       download: "Les télécharger"
-      kept: "J’ai conservé mes codes de secours en lieu sûr"
+      kept: "J'ai enregistré mes codes de secours"
       done: "Continuer"
       skip: "Ignorer pour l’instant"
 
@@ -163,7 +175,7 @@ fr:
     prove_email:
       title: "Consultez vos e-mails"
       lede: "Un code à six chiffres est en route vers %{email}. Saisissez-le pour continuer."
-      no_mailer: "Ce serveur ne peut pas encore envoyer d’e-mails, donc une adresse ne peut pas servir à se connecter. Utilisez votre pseudo, ou adressez-vous à un gestionnaire."
+      no_mailer: "Ce serveur ne peut pas encore envoyer d'e-mail, donc il ne peut pas vérifier votre adresse. Connectez-vous avec votre pseudo, ou demandez à la personne qui l'administre de confirmer l'adresse pour vous."
 
     setup_configure:
       called: "Ce serveur s’appelle"
@@ -202,17 +214,19 @@ fr:
       as: "%{organization}, en tant que %{role}"
 
     consent:
-      title: "Autoriser %{client} ?"
-      access: "Accès"
-      no_access: "Rien d’autre que la confirmation de votre identité."
-      audience: "En votre nom sur"
+      title: "%{client} veut vous connecter"
+      access: "Il saura"
+      no_access: "Seulement que vous avez un compte ici."
+      audience: "Il peut agir pour vous sur %{resources}."
       details: "Exactement ceci"
       returns_to: "Puis retour à"
+      more: "Détails"
+      scopes: "Autorisations"
       site: "À propos de %{client}"
       terms: "Ses conditions d’utilisation"
       privacy: "Sa politique de confidentialité"
       allow: "Autoriser"
-      deny: "Refuser"
+      deny: "Pas maintenant"
       working: "Autorisation"
 
     settled:
@@ -221,7 +235,7 @@ fr:
       waiting: "Retour en cours"
 
     warnings:
-      invalid-credentials: "Ce pseudo et ce mot de passe ne correspondent pas."
+      invalid-credentials: "Cet e-mail ou pseudo et ce mot de passe ne correspondent pas."
       invalid-code: "Ce code n’est pas valide."
       invalid-backup-code: "Ce code de secours n’est pas valide."
       invalid-passkey: "Cette clé d’accès n’a pas pu être utilisée."
@@ -233,7 +247,7 @@ fr:
       passkey-crowded: "Ce compte a déjà le nombre maximal de clés d’accès que ce serveur conserve."
       second-factor-required: "Activez au moins un second facteur pour continuer."
       backup-codes-unkept: "Conservez vos codes de secours avant de continuer."
-      missing-identifier: "Saisissez votre pseudo ou votre e-mail."
+      missing-identifier: "Saisissez votre e-mail ou votre pseudo."
       missing-first-factor: "Cette étape a expiré. Recommencez."
       too-many-attempts: "Trop de tentatives. Patientez quelques minutes."
       too-many-attempts-for-account: "Trop de tentatives pour ce compte."
@@ -258,7 +272,7 @@ fr:
       work-unsolved: "Ce navigateur n'a pas terminé la vérification qui écarte les inscriptions automatisées. Réessayez."
       invitation-expired: "Cette invitation n’est plus valide. Demandez-en une autre."
       reset-expired: "Ce lien de réinitialisation n’est plus valide. Demandez-en un autre."
-      no-mailer: "Ce serveur ne peut pas envoyer d’e-mails. Adressez-vous à un gestionnaire."
+      no-mailer: "Ce serveur ne peut pas encore envoyer d'e-mail, donc il ne peut pas réinitialiser votre mot de passe. Demandez un lien de réinitialisation à la personne qui l'administre."
       sso-failed: "Cette connexion n’a pas abouti. Réessayez."
       sso-expired: "Cette connexion a pris trop de temps. Réessayez."
       sso-unavailable: "Ce mode de connexion n’est pas disponible."

data/config/locales/fr/manage/health.yml

@@ -65,13 +65,20 @@ fr:
           proven: "Chaque domaine revendiqué a toujours son enregistrement TXT."
           missing: "L'enregistrement TXT manque pour %{domains}. Une revendication est libérée une semaine après la disparition de son enregistrement."
           advice: "Remettez l'enregistrement TXT au nom indiqué sur la page Domaines."
+        proxy:
+          title: "Proxy inverse"
+          quiet: "Les en-têtes transmis ne viennent que de proxys de confiance, en HTTPS."
+          untrusted: "Des en-têtes transmis sont arrivés de %{addresses}, qui ne figure pas dans MASKS_TRUSTED_PROXIES, et ont donc été ignorés. Tous les visiteurs derrière ce proxy partagent une adresse et une même limite."
+          plain: "Le proxy à %{addresses} transmet les requêtes en HTTP non chiffré. masks réserve ses cookies au HTTPS, donc les navigateurs les rejettent et la connexion tourne en boucle."
+          one: "Les %{count} événements de la dernière heure viennent tous de %{address}, une adresse privée, qui est presque sûrement le proxy lui-même."
+          advice: "Ajoutez le proxy à MASKS_TRUSTED_PROXIES et faites-lui envoyer X-Forwarded-For et X-Forwarded-Proto. Cherchez dans le journal du serveur les lignes qui commencent par proxy:."
         keys:
           title: "Clés de signature"
           missing: "Ce locataire n'a aucune clé de signature active, donc rien ne peut être signé."
-          manual: "Les clés tournent à la main. La clé active a %{days} jours."
+          manual: "Les clés tournent à la main, donc rien ne remplace la clé active de lui-même. Elle a %{days} jours."
           fresh: "La clé active a %{days} jours et tourne tous les %{period} jours."
           stale: "La clé active a %{days} jours, au-delà de sa rotation de %{period} jours."
-          advice: "Faites tourner la clé sur la page Paramètres, ou lisez la tâche signing_keys dans le journal du serveur."
+          advice: "Choisissez un calendrier de rotation sur la page Paramètres, faites tourner la clé là, ou lisez la tâche signing_keys dans le journal du serveur."
       release:
         available: "La version %{version} est disponible."
         operator: "Cette version demande une étape d'un opérateur. Lisez ses notes avant de mettre à jour."

data/db/migrate/20261031100000_default_key_rotation_to_ninety_days.rb

@@ -0,0 +1,5 @@
+class DefaultKeyRotationToNinetyDays < ActiveRecord::Migration[8.1]
+  def change
+    change_column_default :tenants, :key_rotation_days, from: nil, to: 90
+  end
+end

data/lib/generators/masks/server/install/install_generator.rb

@@ -39,6 +39,7 @@ module Masks
           say ""
 
           engine? ? say_engine_database : say_server_database
+          say_cache_store if engine?
 
           say "In production, masks keeps the address its setup screen was first opened at, and builds the"
           say "issuer and every emailed link from it. To name the address yourself, set"
@@ -105,6 +106,24 @@ module Masks
             say ""
           end
 
+          def say_cache_store
+            say "masks holds one-time sign-in state, rate limits, and health findings in Rails.cache, so"
+            say "every process that serves it must share one cache store, such as :solid_cache_store,"
+            say ":redis_cache_store or :mem_cache_store. In production, masks refuses to boot on"
+            say ":memory_store or :null_store."
+
+            if Configuration.unshared_cache_store?(cache_store)
+              say ""
+              say "This app's cache_store is #{Array(cache_store).first.inspect}. Change it before you deploy.", :yellow
+            end
+
+            say ""
+          end
+
+          def cache_store
+            ::Rails.application&.config&.cache_store if defined?(::Rails.application)
+          end
+
           def say_server_database
             say "masks keeps its tables in the primary database. Connect as a role holding neither"
             say "SUPERUSER nor BYPASSRLS, and set config.active_record.schema_format = :sql, since"

data/lib/masks/server/configuration.rb

@@ -4,6 +4,7 @@ module Masks
   module Server
     module Configuration
       MODES = %i[server engine].freeze
+      UNSHARED_CACHE_STORES = %i[memory_store null_store].freeze
 
       module_function
 
@@ -12,13 +13,6 @@ module Masks
         config.mode = ENV.fetch("MASKS_MODE", "server").to_sym
         config.database = nil
         config.secret = nil
-        config.attempt_limit = ENV.fetch("MASKS_ATTEMPT_LIMIT", 10).to_i
-        config.account_attempt_limit = ENV.fetch("MASKS_ACCOUNT_ATTEMPT_LIMIT", 5).to_i
-        config.registration_limit = ENV.fetch("MASKS_REGISTRATION_LIMIT", 10).to_i
-        config.recovery_limit = ENV.fetch("MASKS_RECOVERY_LIMIT", 5).to_i
-        config.device_code_limit = ENV.fetch("MASKS_DEVICE_CODE_LIMIT", 30).to_i
-        config.claim_limit = ENV.fetch("MASKS_CLAIM_LIMIT", 3).to_i
-        config.claim_ceiling = ENV.fetch("MASKS_CLAIM_CEILING", 30).to_i
         config.setup_token = ENV["MASKS_SETUP_TOKEN"].presence
         config.recover = ENV["MASKS_RECOVER"].presence
         config.config_path = ENV["MASKS_CONFIG"].presence
@@ -88,7 +82,11 @@ module Masks
         }.compact
       end
 
-      def validate!(config, local:, building:)
+      def unshared_cache_store?(cache_store)
+        UNSHARED_CACHE_STORES.include?(Array(cache_store).first&.to_sym)
+      end
+
+      def validate!(config, local:, building:, cache_store: nil)
         unless MODES.include?(config.mode)
           raise "masks runs in server or engine mode, and config.masks.mode is #{config.mode.inspect}."
         end
@@ -131,6 +129,14 @@ module Masks
           raise "masks in engine mode needs a database of its own. Set config.masks.database to " \
                 "the name of a database.yml entry whose role cannot bypass row-level security."
         end
+
+        if unshared_cache_store?(cache_store)
+          raise "config.cache_store is #{Array(cache_store).first.inspect}, which every process keeps " \
+                "to itself. masks holds one-time sign-in state, rate limits, and health findings in " \
+                "Rails.cache, so a provider's callback redeemed in one process is lost in the next. " \
+                "Use a store every process shares, such as :solid_cache_store, :redis_cache_store " \
+                "or :mem_cache_store."
+        end
       end
     end
   end

data/lib/masks/server/engine.rb

@@ -20,7 +20,8 @@ module Masks
         Configuration.validate!(
           app.config.masks,
           local: ::Rails.env.local?,
-          building: ENV["SECRET_KEY_BASE_DUMMY"].present?
+          building: ENV["SECRET_KEY_BASE_DUMMY"].present?,
+          cache_store: app.config.cache_store
         )
 
         middleware.insert_before Tenancy::Middleware, Isolation if app.config.masks.mode == :engine

data/lib/masks/server/forwarding.rb

@@ -1,7 +1,11 @@
 module Masks
   module Server
     class Forwarding
-      HEADERS = %w[HTTP_X_FORWARDED_FOR HTTP_X_FORWARDED_HOST HTTP_CLIENT_IP HTTP_FORWARDED].freeze
+      HEADERS = %w[
+        HTTP_X_FORWARDED_FOR HTTP_X_FORWARDED_HOST HTTP_CLIENT_IP HTTP_FORWARDED
+        HTTP_X_FORWARDED_PROTO HTTP_X_FORWARDED_SCHEME HTTP_X_FORWARDED_SSL HTTP_X_FORWARDED_PORT
+      ].freeze
+      PROTO = "HTTP_X_FORWARDED_PROTO".freeze
 
       def initialize(app, proxies)
         @app = app
@@ -9,9 +13,20 @@ module Masks
       end
 
       def call(env)
-        HEADERS.each { |header| env.delete(header) } unless trusted?(env["REMOTE_ADDR"])
+        address = env["REMOTE_ADDR"]
+        trusted = trusted?(address)
 
-        @app.call(env)
+        unless trusted
+          Health.note_proxy!("untrusted", address) if HEADERS.any? { |header| env.key?(header) }
+          HEADERS.each { |header| env.delete(header) }
+        end
+
+        plain = trusted && plain?(env)
+        status, headers, body = @app.call(env)
+
+        Health.note_proxy!("plain", address) if plain && !sent_to_https?(status, headers)
+
+        [ status, headers, body ]
       end
 
       private
@@ -24,6 +39,14 @@ module Masks
         rescue IPAddr::InvalidAddressError, IPAddr::AddressFamilyError
           false
         end
+
+        def plain?(env)
+          env[PROTO].to_s.split(",").first.to_s.strip.casecmp?("http")
+        end
+
+        def sent_to_https?(status, headers)
+          (300..399).cover?(status) && headers["location"].to_s.downcase.start_with?("https://")
+        end
     end
   end
 end

data/lib/masks/server/schema_reference.rb

@@ -34,7 +34,7 @@ module Masks
 
             Everything `/manage` can ask for and everything it can change. `/manage/graphql` accepts a
             bearer carrying `masks:manage` or one of the narrower
-            [manage roles](/guides/security/#manage-roles), issued for this tenant's manage resource and
+            [manage roles](/build/security/#manage-roles), issued for this tenant's manage resource and
             no other. A mutation the bearer's roles do not cover answers with an error naming the scopes
             it needs.