masks-server 0.13.0 → 0.14.0

checksums.yaml

@@ -1,7 +1,7 @@
 ---
 SHA256:
-  metadata.gz: c268c36afc7aa404d7cb904ef65cb1f67db51d6b84bdb3a5f83d5aae7d84bf48
-  data.tar.gz: '09285b0606e241c323c82f16555328830421c7d97338d9aa32f38055e6972353'
+  metadata.gz: 475ac0de6cacc1cec932c465ef03e11e494cca4c53c2e4450a8bbd1299b07830
+  data.tar.gz: 305e006530de29f816aef4e49f6173ca18f524ad5a21631700bc09efbf463f98
 SHA512:
-  metadata.gz: a253ac4a9e52258b001f1a7424a189728979a5363255d1d9c4d306e70385ea2eecdd8f93e2859603f6959e43786f90be43921d5ed7bc523fa81477f06384f507
-  data.tar.gz: 844b3eb9927070dfddbea67dbbb17992772e84348c35ffdc9feba33fd1b079f718e9d986b8f9da591f77498a54a8404c7240a6dd5ad22d320a04500ec57641f6
+  metadata.gz: 2856b2e35e55cf7fb8724dcfd00e3007eaedf14ff49f8bce48b2936d8afc987dd13506c476e3d4efb1f492b5c25db557a73f37b9edb9efc60dcd3b4b30dd664b
+  data.tar.gz: c588ee7cd4211a8205e08cb8a2957448981c6c8ae34c1e0723987f06c7675cb380084564d09e2ee5ba596af6baf83476a484b5a3c5a84fadd575aecde8d33a6d

data/app/controllers/masks/server/manage_controller.rb

@@ -9,6 +9,7 @@ module Masks
           resource: issuer.manage_resource,
           graphql: manage_graphql_path,
           root: manage_path,
+          clientId: Client.console!(issuer).client_id,
           account: root_path,
           tenant: current_tenant.to_identity,
           copy: I18n.t("manage", default: {})

data/app/controllers/masks/server/scim/metadata_controller.rb

@@ -7,7 +7,7 @@ module Masks
         def service_provider_config
           scim({
             "schemas" => [ Scim::SERVICE_PROVIDER_CONFIG ],
-            "documentationUri" => "#{::Rails.configuration.masks.docs_url}/guides/sso-saml/#provisioning",
+            "documentationUri" => "#{::Rails.configuration.masks.docs_url}/build/sso-saml/#provisioning",
             "patch" => { "supported" => true },
             "bulk" => { "supported" => false, "maxOperations" => 0, "maxPayloadSize" => 0 },
             "filter" => { "supported" => true, "maxResults" => Scim::MAX_RESULTS },

data/app/models/masks/server/app_preset.rb

@@ -10,7 +10,7 @@ module Masks
           key: "proxy", name: "Any app behind Caddy, Traefik, or nginx", forward: true,
           redirects: [ "{base}/masks-auth/callback" ],
           scopes: %w[openid],
-          guide: "https://masks.pages.dev/guides/forward-auth/",
+          guide: "https://masks.pages.dev/build/forward-auth/",
           settings: [
             [ "Caddy", "{host} {\n  forward_auth {masks_origin} {\n    uri /forward-auth\n    header_up Host {masks_host}\n" \
                        "    copy_headers Remote-User Remote-Email Remote-Name Remote-Groups\n  }\n  reverse_proxy your-app:8080\n}" ],

data/app/models/masks/server/client.rb

@@ -101,6 +101,9 @@ module Masks
       belongs_to :enrolled_by, class_name: "Client", optional: true, inverse_of: :enrolled
       belongs_to :sign_in_policy, optional: true
 
+      CONSOLE_ID = "masks-manage".freeze
+      CONSOLE_SCOPES = [ Scopes::OPENID, Scopes::PROFILE, Scopes::EMAIL, Scopes::MANAGE, *ManageRoles::SCOPES ].uniq.freeze
+
       scope :approved, -> { where.not(approved_at: nil) }
       scope :speaking, ->(protocol) { active.where(protocol: protocol) }
 
@@ -113,6 +116,27 @@ module Masks
           LOOPBACK.include?(host) || host.end_with?(".localhost")
         end
 
+        def console!(issuer)
+          approved_for(issuer.manage_resource) || create!(
+            client_id: CONSOLE_ID,
+            name: "Manage #{Current.tenant.name}",
+            redirect_uris: [ "#{issuer.manage_resource}/callback" ],
+            post_logout_redirect_uris: [ issuer.manage_resource ],
+            resources: [ issuer.manage_resource ],
+            allowed_scopes: Scopes.join(CONSOLE_SCOPES),
+            grant_types: %w[authorization_code refresh_token],
+            response_types: [ "code" ],
+            token_endpoint_auth_method: "none",
+            client_uri: issuer.url,
+            handshake_return_to: issuer.manage_resource,
+            consent_required: false,
+            dynamic: false,
+            approved_at: Time.current
+          )
+        rescue ActiveRecord::RecordNotUnique
+          find_by!(client_id: CONSOLE_ID)
+        end
+
         def approve!(handshake, actor:)
           client = approved_for(handshake.resource) || new(client_id: SecureRandom.uuid)
 

data/app/views/masks/server/handshakes/show.html.erb

@@ -12,21 +12,15 @@
 <% hot, rest = @scopes.to_a.partition { |scope, _| heeded_scope?(scope) } %>
 <% after_sign_out = @handshake.try(:post_logout_redirect_uri) %>
 
-<div class="auth-pair">
+<div class="auth-solo">
   <span class="auth-mark auth-mark-client" aria-hidden="true"><%= name.to_s.first&.upcase %></span>
-  <span class="auth-wire"></span>
-  <%= tenant_mark(Masks::Server::Current.tenant) %>
 </div>
 
 <div class="prompt-head">
   <h1 class="prompt-title"><%= t(@existing ? ".title_again" : ".title", name: name, tenant: tenant) %></h1>
 
-  <p class="handshake-origin">
-    <span class="handshake-origin-label"><%= t(".runs_at") %></span>
-    <span class="handshake-origin-value"><%= @handshake.origin %></span>
-  </p>
-
   <p class="prompt-lede">
+    <%= t(".runs_at", name: name, origin: @handshake.origin) %>
     <%= t(@existing ? ".lede_again_html" : ".lede_html", name: name, tenant: tenant) %>
   </p>
 </div>

data/app/views/masks/server/logins/_consent.html.erb

@@ -1,15 +1,14 @@
 <% state = login.state("consent") %>
 <% client = login.client_json || {} %>
 <% hot, rest = ranked_scopes(Masks::Server::ResourceMetadata.describe(state.audience, state.scopes)) %>
+<% all = hot + rest %>
 
-<div class="auth-pair">
+<div class="auth-solo">
   <% if client["logo"] %>
     <%= image_tag client["logo"], alt: "", class: "auth-mark auth-mark-client auth-mark-logo", referrerpolicy: "no-referrer" %>
   <% else %>
     <span class="auth-mark auth-mark-client" aria-hidden="true"><%= client["name"].to_s.strip.first&.upcase %></span>
   <% end %>
-  <span class="auth-wire"></span>
-  <%= tenant_mark(Masks::Server::Current.tenant) %>
 </div>
 
 <%= render "masks/server/logins/head", title: t(".title", client: login.client&.name) %>
@@ -20,48 +19,30 @@
   <div class="ledger-row">
     <span class="ledger-label"><%= t(".access") %></span>
 
-    <% if hot.empty? && rest.empty? %>
+    <% if all.empty? %>
       <p class="empty"><%= t(".no_access") %></p>
+    <% else %>
+      <ul class="plain-list">
+        <% all.each do |_, description| %>
+          <li><%= description %></li>
+        <% end %>
+      </ul>
     <% end %>
-
-    <ul class="grant-scopes">
-      <% hot.each do |scope, description| %>
-        <li class="grant-scope grant-scope-hot">
-          <span><%= description %></span>
-          <span class="chip-key"><%= scope %></span>
-        </li>
-      <% end %>
-
-      <% if hot.any? && rest.any? %>
-        <li class="grant-scope-split"></li>
-      <% end %>
-
-      <% rest.each do |scope, description| %>
-        <li class="grant-scope">
-          <span><%= description %></span>
-          <span class="chip-key"><%= scope %></span>
-        </li>
-      <% end %>
-    </ul>
   </div>
 
   <% if state.audience.any? %>
     <div class="ledger-row">
-      <span class="ledger-label"><%= t(".audience") %></span>
-      <% state.audience.each do |resource| %>
-        <span class="ledger-value aside-mono"><%= resource %></span>
-      <% end %>
+      <span class="aside"><%= t(".audience", resources: state.audience.join(", ")) %></span>
     </div>
   <% end %>
 
   <% if (details = state.details&.described).present? %>
     <div class="ledger-row">
       <span class="ledger-label"><%= t(".details") %></span>
-      <ul class="grant-scopes">
+      <ul class="plain-list">
         <% details.each do |detail| %>
-          <li class="grant-scope grant-scope-hot grant-detail">
-            <span><%= detail["label"] %></span>
-            <span class="chip-key"><%= detail["type"] %></span>
+          <li>
+            <%= detail["label"] %>
             <% if detail["fields"].any? %>
               <dl class="grant-fields">
                 <% detail["fields"].each do |name, value| %>
@@ -75,23 +56,41 @@
       </ul>
     </div>
   <% end %>
+</div>
 
-  <% if client["returnsTo"] %>
+<% links = { "site" => t(".site", client: client["name"]), "terms" => t(".terms"), "privacy" => t(".privacy") }.select { |key, _| client[key] } %>
+<details class="disclosure handshake-more">
+  <summary class="textlink"><%= t(".more") %></summary>
+
+  <div class="slab">
     <div class="ledger-row">
-      <span class="ledger-label"><%= t(".returns_to") %></span>
-      <span class="ledger-value aside-mono"><%= client["returnsTo"] %></span>
+      <span class="ledger-label"><%= t(".scopes") %></span>
+      <ul class="grant-scopes">
+        <% all.each do |scope, description| %>
+          <li class="grant-scope">
+            <span><%= description %></span>
+            <span class="chip-key"><%= scope %></span>
+          </li>
+        <% end %>
+      </ul>
     </div>
-  <% end %>
-</div>
 
-<% links = { "site" => t(".site", client: client["name"]), "terms" => t(".terms"), "privacy" => t(".privacy") }.select { |key, _| client[key] } %>
-<% if links.any? %>
-  <p class="aside client-links">
-    <% links.each do |key, label| %>
-      <%= link_to label, client[key], class: "textlink", rel: "noopener noreferrer", target: "_blank" %>
+    <% if client["returnsTo"] %>
+      <div class="ledger-row">
+        <span class="ledger-label"><%= t(".returns_to") %></span>
+        <span class="ledger-value aside-mono"><%= client["returnsTo"] %></span>
+      </div>
     <% end %>
-  </p>
-<% end %>
+
+    <% if links.any? %>
+      <p class="aside client-links">
+        <% links.each do |key, label| %>
+          <%= link_to label, client[key], class: "textlink", rel: "noopener noreferrer", target: "_blank" %>
+        <% end %>
+      </p>
+    <% end %>
+  </div>
+</details>
 
 <div class="action-row">
   <%= form_with url: login_path, method: :post, id: "consent", class: "action-grow" do |form| %>

data/app/views/masks/server/logins/_enrol.html.erb

@@ -7,7 +7,7 @@
 
 <div class="flow<%= " setup" if signing_up %>">
   <% if signing_up %>
-    <%= render "masks/server/logins/signup_head", login: login, at: 2, mark: login.actor&.identifier.to_s %>
+    <%= render "masks/server/logins/signup_head", login: login, at: 2 %>
 
     <p class="aside"><%= enrolment["required"] ? t(".lede") : t(".lede_optional") %></p>
   <% else %>

data/app/views/masks/server/logins/_setup_configure.html.erb

@@ -1,7 +1,7 @@
 <% configure = login.state("configure").as_json["configure"] %>
 
 <div class="setup flow">
-  <%= render "masks/server/logins/signup_head", login: login, at: 3, mark: login.actor&.identifier.to_s %>
+  <%= render "masks/server/logins/signup_head", login: login, at: 3 %>
 
   <%= form_with url: login_path, method: :post, id: "setup-configure", class: "flow" do |form| %>
     <%= hidden_field_tag :rid, login.rid %>
@@ -12,11 +12,6 @@
         <%= form.text_field :called, value: configure["called"], class: "control" %>
         <span class="field-hint"><%= t(".called_hint") %></span>
       </label>
-
-      <div class="ledger-row">
-        <span class="ledger-label"><%= t("logins.signing_up.origin") %></span>
-        <span class="ledger-value aside-mono"><%= Masks::Server::Current.origin %></span>
-      </div>
     </div>
 
     <button type="submit" name="event" value="setup-configure" class="action">
@@ -25,6 +20,7 @@
   <% end %>
 
   <p class="aside">
+    <%= t("logins.signing_up.origin", origin: Masks::Server::Current.origin) %>
     <%= t("logins.signing_up.once") %>
     <%= link_to t("logins.signing_up.docs"), Rails.configuration.masks.docs_url,
           class: "textlink", rel: "noopener", target: "_blank" %>

data/app/views/masks/server/logins/_signup.html.erb

@@ -4,8 +4,7 @@
 <% done = ->(field) { " ledger-step-done" if value.(field).present? } %>
 
 <div class="setup flow">
-  <%= render "masks/server/logins/signup_head", login: login, at: 1,
-                                   mark: value.("nickname").presence || value.("email") %>
+  <%= render "masks/server/logins/signup_head", login: login, at: 1 %>
 
   <%= form_with url: login_path, method: :post, id: "signup", class: "flow" do |form| %>
     <%= hidden_field_tag :rid, login.rid %>
@@ -51,13 +50,6 @@
           <%= render "masks/server/logins/hint", login: login, field: "phone" %>
         </label>
       <% end %>
-
-      <% if login.signing_up["firstRun"] %>
-        <div class="ledger-row">
-          <span class="ledger-label"><%= t("logins.signing_up.origin") %></span>
-          <span class="ledger-value aside-mono"><%= Masks::Server::Current.origin %></span>
-        </div>
-      <% end %>
     </div>
 
     <% if signup["work"] %>
@@ -71,6 +63,7 @@
 
   <% if login.signing_up["firstRun"] %>
     <p class="aside">
+      <%= t("logins.signing_up.origin", origin: Masks::Server::Current.origin) %>
       <%= t("logins.signing_up.once") %>
       <%= link_to t("logins.signing_up.docs"), Rails.configuration.masks.docs_url,
             class: "textlink", rel: "noopener", target: "_blank" %>

data/app/views/masks/server/logins/_signup_credentials.html.erb

@@ -2,8 +2,7 @@
 <% rows = %w[name nickname email phone].filter_map { |field| [ field, signup[field] ] if signup[field].present? } %>
 
 <div class="setup flow">
-  <%= render "masks/server/logins/signup_head", login: login, at: 2,
-                                   mark: signup["nickname"].presence || signup["email"] %>
+  <%= render "masks/server/logins/signup_head", login: login, at: 2 %>
 
   <%= form_with url: login_path, method: :post, id: "signup-credentials", class: "flow" do |form| %>
     <%= hidden_field_tag :rid, login.rid %>

data/app/views/masks/server/logins/_signup_head.html.erb

@@ -1,20 +1,10 @@
 <% tenant = Masks::Server::Current.tenant&.name.to_s %>
 <% signing_up = login.signing_up %>
 
-<div class="auth-pair">
-  <span class="auth-mark auth-mark-client<%= " auth-mark-pending" if mark.blank? %>" aria-hidden="true"><%= mark.to_s.first&.upcase %></span>
-  <span class="auth-wire"></span>
-  <% if signing_up["firstRun"] %>
-    <img src="/masks-public/icon.svg" alt="" class="auth-mark auth-mark-rose">
-  <% else %>
-    <%= tenant_mark(Masks::Server::Current.tenant) %>
-  <% end %>
-</div>
-
 <% if signing_up["firstRun"] %>
   <%= render "masks/server/logins/head", cap: t("logins.signing_up.setup_cap"), title: t("logins.signing_up.setup_title"), name: tenant %>
 <% else %>
-  <%= render "masks/server/logins/head", title: t("logins.signing_up.signup_title"), name: tenant %>
+  <%= render "masks/server/logins/head", title: t("logins.signing_up.signup_title") %>
 <% end %>
 
 <%= render "masks/server/logins/steps", steps: signing_up["steps"], at: local_assigns[:at] || signing_up["steps"].length %>

data/config/locales/de/account.yml

@@ -62,7 +62,7 @@ de:
           set:
             one: "1 eingerichtet"
             other: "%{count} eingerichtet"
-        explained: "Statt ein Passwort einzugeben, prüft Ihr Gerät auf dieselbe Weise, wie es sich entsperrt, dass Sie es sind. Das zählt als beide Faktoren zugleich, daher müssen Sie auf keinen Code warten."
+        explained: "Statt ein Passwort einzutippen, prüft Ihr Gerät so, dass Sie es sind, wie es sich ohnehin entsperrt. Es zählt auch als Ihr zweiter Schritt, also müssen Sie auf keinen Code warten."
         used: "zuletzt verwendet vor %{age}"
         never_used: "nie verwendet"
         remove: "Entfernen"
@@ -209,11 +209,11 @@ de:
         remembered: "%{label}, ohne Nachfrage bis %{date}"
         heading: "Apps, die Sie zugelassen haben"
         none_yet: "Bisher hat nichts angefragt. Eine App erscheint hier, sobald Sie sich bei ihr anmelden, zusammen mit dem, was sie sehen darf."
-        revoke: "Zugriff widerrufen"
+        revoke: "Zugriff entfernen"
         more:
           one: "und eine weitere"
           other: "und %{count} weitere"
-        confirm_revoke: "%{client} widerrufen? Alles, was die App hält, funktioniert nicht mehr, und sie muss bei Ihrer nächsten Anmeldung erneut fragen."
+        confirm_revoke: "%{client} den Zugriff entfernen? Alles, was es gerade hält, funktioniert nicht mehr, und es muss bei der nächsten Anmeldung erneut fragen."
 
       connections:
         heading: "Verbundene Konten"
@@ -258,7 +258,7 @@ de:
 
       export:
         heading: "Ihr Konto herunterladen"
-        state: "JSON"
+        state: "Eine Datei"
         lede: "Eine Datei mit Ihrem Profil, Ihren Anmeldemethoden, Organisationen, Apps, verbundenen Konten und Geräten sowie der Aktivität, die masks aufbewahrt hat. Sie enthält keine Passwörter, Codes oder Schlüssel."
         again: "Ihre Anmeldung ist eine Weile her, daher werden Sie zuerst gebeten, sich erneut anzumelden."
         submit: "Herunterladen"

data/config/locales/de/handshakes.yml

@@ -3,29 +3,29 @@ de:
     show:
       page_title: "%{name} verbinden"
       page_title_again: "%{name} neu verbinden"
-      title: "%{name} mit %{tenant} verbinden?"
+      title: "%{name} verbinden?"
       title_again: "%{name} neu verbinden?"
-      runs_at: "Läuft unter"
+      runs_at: "%{name} läuft unter %{origin}."
       lede_html: "Alle können sich dann mit ihrem %{tenant}-Konto bei <strong>%{name}</strong> anmelden. Vorerst haben nur Sie Zugang, und Sie legen später fest, wer noch hinein darf."
       lede_again_html: "<strong>%{name}</strong> ist bereits mit %{tenant} verbunden. Beim neuen Verbinden wird die App neu eingerichtet. Vorerst haben nur Sie Zugang, und Sie legen später fest, wer noch hinein darf."
       stops_working: "Die bisherige Verbindung zu %{name} funktioniert dann nicht mehr."
       connected_by_you: "Sie haben %{name} am %{date} verbunden."
       connected_by: "%{who} hat %{name} am %{date} verbunden."
-      signed_in_as: "Sie stimmen zu als"
+      signed_in_as: "Sie verbinden als"
       unconfirmed: "(E-Mail noch nicht bestätigt)"
-      check: "Sehen Sie sich das zuerst an"
+      check: "Bevor Sie verbinden"
       heed:
         offline_access: "%{name} kann Personen angemeldet halten, ohne erneut zu fragen, bis sie sich abmelden."
         delegates_title: "Personen bitten, ihre anderen Konten zu verbinden"
         delegates: "Jede Person entscheidet selbst. %{name} kann diese Konten dann nutzen, während sie nicht da sind."
         delegate: "%{name} kann dieses Konto nutzen, während Sie nicht da sind, bis Sie es beenden."
         manage: "Alle, die sich über %{name} anmelden, können jede Einstellung auf diesem Server ändern."
-      sees: "%{name} sieht"
+      sees: "%{name} erfährt"
       area: "Eigene Berechtigungen von %{name}"
       area_says_html: "%{name} erhält eigene Berechtigungen mit dem Namen %{namespaces}. Sie entscheiden, wer sie bekommt."
       area_yours: " Sie erhalten sie jetzt alle."
       also: "%{name} kann außerdem"
-      details: "Technische Details"
+      details: "Details"
       scopes: "Scopes"
       client: "Zugangsdaten"
       credentials:

data/config/locales/de/logins.yml

@@ -16,7 +16,7 @@ de:
       name: "Name"
       phone: "Telefon"
       password: "Passwort"
-      not_you: "Nicht Sie?"
+      not_you: "Ein anderes Konto verwenden"
       sign_out: "Abmelden"
       use_passkey: "Passkey verwenden"
       or: "oder"
@@ -40,10 +40,12 @@ de:
       tab_confirmation: "Bestätigung"
       setup_cap: "Willkommen!"
       setup_title: "Einrichten"
-      signup_title: "Konto erstellen bei"
+      signup_title: "Konto anlegen"
       token: "Einrichtungstoken"
-      token_hint: "Steht in den Server-Logs, die nur lesen kann, wer masks betreibt."
-      origin: "Einrichten unter"
+      token_hint: "Es steht im Protokoll des Servers."
+      origin: "Dieses masks antwortet unter %{origin}."
+      pick_nickname: "Einen Spitznamen wählen"
+      nickname_hint: "Andere sehen ihn. Lassen Sie es, wie es ist, um %{suggested} zu verwenden."
       once: "Dieser Bildschirm erscheint nicht wieder."
       docs: "Dokumentation lesen."
       confirm: "Passwort bestätigen"
@@ -57,15 +59,15 @@ de:
       proving: "Browser wird geprüft"
 
     identify:
-      heading: "Melden Sie sich an, um fortzufahren"
+      heading: "Anmelden"
       heading_to: "Bei %{client} anmelden"
-      identifier: "Spitzname oder E-Mail-Adresse"
-      signup_hint: "Neu hier? Geben Sie die Adresse ein, die Sie verwenden möchten, und dafür wird ein Konto erstellt."
+      identifier: "E-Mail oder Spitzname"
+      signup_hint: "Neu hier? Geben Sie Ihre E-Mail-Adresse ein, und masks legt ein Konto für Sie an."
 
     first_factor:
       title: "Geben Sie Ihr Passwort ein"
       title_code: "Mit einem Code anmelden"
-      forgot: "Vergessen?"
+      forgot: "Passwort vergessen?"
       email_me: "Stattdessen einen Code per E-Mail senden"
       email_only: "Code per E-Mail senden"
 
@@ -76,16 +78,16 @@ de:
       sent_again: "Gesendet"
 
     second_factor:
-      title: "Geben Sie Ihren Code ein"
-      title_passkey: "Verwenden Sie Ihren zweiten Faktor"
-      trust: "Diesem Gerät %{duration} lang vertrauen"
+      title: "Bestätigen Sie, dass Sie es sind"
+      title_passkey: "Bestätigen Sie mit Ihrem Passkey, dass Sie es sind"
+      trust: "Auf diesem Gerät %{duration} lang überspringen"
       use_backup_code: "Backup-Code verwenden"
       stuck_insecure: "Der zweite Faktor dieses Kontos ist ein Passkey, und der Browser bietet Passkeys nur Seiten an, die über HTTPS ausgeliefert werden. Öffnen Sie diese Seite über HTTPS, um fortzufahren."
       stuck_unsupported: "Der zweite Faktor dieses Kontos ist ein Passkey, und dieser Browser unterstützt keine Passkeys. Öffnen Sie diese Seite in einem Browser, der sie unterstützt, um fortzufahren."
       stuck_no_script: "Der zweite Faktor dieses Kontos ist ein Passkey, und ein Passkey braucht JavaScript. Aktivieren Sie JavaScript, um fortzufahren."
       stuck_inbox: "Diese Anmeldung hat in Ihrem Posteingang begonnen, daher kann ein dorthin gesendeter Code sie nicht bestätigen. Beginnen Sie von vorn und melden Sie sich mit Ihrem Passwort an, um einen Code per E-Mail zu verwenden."
       stuck_nothing: "Dieses Konto hat keinen zweiten Faktor, den diese Anmeldung verwenden kann. Ein Verwalter kann ihn zurücksetzen."
-      recovery_request: "Ich kann nichts davon verwenden"
+      recovery_request: "Ich kann keinen davon verwenden"
       recovery_ask: "Einen Verwalter um Hilfe bitten"
       recovery_requested: "Ein Verwalter wurde gebeten, Ihre zweiten Faktoren zurückzusetzen. Er wird Sie möglicherweise kontaktieren, um sicherzugehen, dass Sie es sind. Danach melden Sie sich erneut an, um einen neuen einzurichten."
       sent_to: "Gesendet an %{to}."
@@ -101,16 +103,26 @@ de:
       approval_checked: "Ich habe genehmigt"
 
     enrol:
-      title: "Sichern Sie Ihr Konto"
-      lede: "Fügen Sie beliebig viele zweite Faktoren hinzu. Dieses Konto braucht mindestens einen."
-      lede_optional: "Fügen Sie beliebig viele zweite Faktoren hinzu."
+      title: "Konto schützen"
+      lede: "Wählen Sie einen Weg, mit dem Sie bei der Anmeldung bestätigen, dass Sie es sind. Weitere können Sie später hinzufügen."
+      lede_optional: "Wählen Sie einen Weg, mit dem Sie bei der Anmeldung bestätigen, dass Sie es sind, oder überspringen Sie das vorerst."
+      on_title: "Ihr Konto ist geschützt"
+      on_lede: "So bestätigen Sie bei der Anmeldung, dass Sie es sind."
+      on_label: "Eingeschaltet"
+      passkey: "Passkey"
       otp: "Authenticator-App"
+      otp_about: "Eine App wie Google Authenticator oder 1Password zeigt einen sechsstelligen Code."
       otp_on: "Aktiv"
-      scan_hint: "Scannen Sie ihn, oder geben Sie diesen Schlüssel von Hand ein:"
+      scan_hint: "Scannen Sie das mit Ihrer Authenticator-App, oder tippen Sie den Schlüssel dort ein:"
+      passkey_about: "Ihr Telefon oder Computer prüft mit Gesicht, Fingerabdruck oder PIN, dass Sie es sind."
+      codes_email_about: "Bei jeder Anmeldung geht ein Code an %{to}."
+      codes_sms_about: "Bei jeder Anmeldung geht ein Code per SMS an %{to}."
+      another_way: "Einen anderen Weg wählen"
+      add_way: "Einen weiteren Weg hinzufügen"
       open: "In Ihrer Authenticator-App öffnen"
       turn_on: "Aktivieren"
       passkeys: "Passkeys"
-      passkeys_none: "Noch keine. Einer, der eine PIN oder einen Fingerabdruck prüft, zählt."
+      passkeys_none: "Noch keiner."
       passkeys_some: "%{count} hinzugefügt"
       add_passkey: "Passkey hinzufügen"
       add_another_passkey: "Weiteren hinzufügen"
@@ -118,17 +130,17 @@ de:
       codes_email_hint: "Ein an %{to} gesendeter Code bestätigt jede Anmeldung."
       codes_sms: "Codes per SMS"
       codes_sms_hint: "Ein per SMS an %{to} gesendeter Code bestätigt jede Anmeldung."
-      send_code: "Code senden, um es zu aktivieren"
+      send_code: "Code schicken"
       sent_to: "Gesendet an %{to}."
       backup_codes: "Backup-Codes"
-      backup_codes_waiting: "Werden für Sie erstellt, sobald oben ein Faktor aktiv ist."
-      backup_codes_hint: "Jeder meldet einmal an, wenn nichts anderes zur Hand ist. Sie werden nicht erneut angezeigt."
+      backup_codes_waiting: "Werden erstellt, sobald ein Weg oben eingeschaltet ist."
+      backup_codes_hint: "Jeder Code meldet Sie einmal an, falls Sie Ihren anderen Weg verlieren. Sichern Sie sie jetzt. Sie werden nicht noch einmal gezeigt."
       backup_codes_left: "%{count} übrig"
       backup_codes_file: "Backup-Codes für %{account} bei %{origin}"
       copy: "Kopieren"
       copied: "Kopiert"
       download: "Herunterladen"
-      kept: "Ich habe meine Backup-Codes sicher aufbewahrt"
+      kept: "Ich habe meine Backup-Codes gesichert"
       done: "Weiter"
       skip: "Vorerst überspringen"
 
@@ -163,7 +175,7 @@ de:
     prove_email:
       title: "Prüfen Sie Ihre E-Mails"
       lede: "Ein sechsstelliger Code ist unterwegs an %{email}. Geben Sie ihn ein, um fortzufahren."
-      no_mailer: "Dieser Server kann noch keine E-Mails senden, daher kann keine Adresse zur Anmeldung verwendet werden. Verwenden Sie Ihren Spitznamen oder wenden Sie sich an einen Verwalter."
+      no_mailer: "Dieser Server kann noch keine E-Mails senden, also kann er Ihre Adresse nicht prüfen. Melden Sie sich mit Ihrem Spitznamen an, oder bitten Sie den Betreiber, die Adresse für Sie zu bestätigen."
 
     setup_configure:
       called: "Dieser Server heißt"
@@ -202,17 +214,19 @@ de:
       as: "%{organization}, als %{role}"
 
     consent:
-      title: "%{client} erlauben?"
-      access: "Zugriff"
-      no_access: "Nichts außer der Bestätigung, wer Sie sind."
-      audience: "In Ihrem Namen bei"
+      title: "%{client} möchte Sie anmelden"
+      access: "Es erfährt"
+      no_access: "Nur, dass Sie hier ein Konto haben."
+      audience: "Es kann für Sie handeln bei %{resources}."
       details: "Genau dies"
       returns_to: "Danach zurück zu"
+      more: "Details"
+      scopes: "Berechtigungen"
       site: "Über %{client}"
       terms: "Nutzungsbedingungen"
       privacy: "Datenschutzerklärung"
       allow: "Erlauben"
-      deny: "Ablehnen"
+      deny: "Jetzt nicht"
       working: "Wird erlaubt"
 
     settled:
@@ -221,7 +235,7 @@ de:
       waiting: "Sie werden zurückgeleitet"
 
     warnings:
-      invalid-credentials: "Spitzname und Passwort passen nicht zusammen."
+      invalid-credentials: "Diese E-Mail oder dieser Spitzname und das Passwort passen nicht zusammen."
       invalid-code: "Dieser Code ist ungültig."
       invalid-backup-code: "Dieser Backup-Code ist ungültig."
       invalid-passkey: "Dieser Passkey konnte nicht verwendet werden."
@@ -233,7 +247,7 @@ de:
       passkey-crowded: "Dieses Konto hat bereits so viele Passkeys, wie dieser Server speichert."
       second-factor-required: "Aktivieren Sie mindestens einen zweiten Faktor, um fortzufahren."
       backup-codes-unkept: "Bewahren Sie Ihre Backup-Codes auf, bevor Sie fortfahren."
-      missing-identifier: "Geben Sie Ihren Spitznamen oder Ihre E-Mail-Adresse ein."
+      missing-identifier: "Geben Sie Ihre E-Mail oder Ihren Spitznamen ein."
       missing-first-factor: "Dieser Schritt ist abgelaufen. Beginnen Sie von vorn."
       too-many-attempts: "Zu viele Versuche. Warten Sie einige Minuten."
       too-many-attempts-for-account: "Zu viele Versuche für dieses Konto."
@@ -258,7 +272,7 @@ de:
       work-unsolved: "Dieser Browser hat die Prüfung gegen automatisierte Registrierungen nicht abgeschlossen. Versuchen Sie es erneut."
       invitation-expired: "Diese Einladung ist nicht mehr gültig. Fordern Sie eine neue an."
       reset-expired: "Dieser Link zum Zurücksetzen ist nicht mehr gültig. Fordern Sie einen neuen an."
-      no-mailer: "Dieser Server kann keine E-Mails senden. Wenden Sie sich an einen Verwalter."
+      no-mailer: "Dieser Server kann noch keine E-Mails senden, also kann er Ihr Passwort nicht zurücksetzen. Bitten Sie den Betreiber um einen Link zum Zurücksetzen."
       sso-failed: "Diese Anmeldung wurde nicht abgeschlossen. Versuchen Sie es erneut."
       sso-expired: "Diese Anmeldung hat zu lange gedauert. Versuchen Sie es erneut."
       sso-unavailable: "Diese Art der Anmeldung ist nicht verfügbar."

data/config/locales/en/account.yml

@@ -62,7 +62,7 @@ en:
           set:
             one: "1 set up"
             other: "%{count} set up"
-        explained: "Instead of typing a password, your device checks it is you the way it already unlocks. It counts as both factors at once, so there is no code to wait for."
+        explained: "Instead of typing a password, your device checks it is you the way it already unlocks. It also counts as your second step, so there is no code to wait for."
         used: "last used %{age} ago"
         never_used: "never used"
         remove: "Remove"
@@ -209,11 +209,11 @@ en:
         remembered: "%{label}, without asking until %{date}"
         heading: "Apps you have let in"
         none_yet: "Nothing has asked yet. An app appears here once you sign in to it, with what you agreed it may see."
-        revoke: "Revoke access"
+        revoke: "Remove access"
         more:
           one: "and one more"
           other: "and %{count} more"
-        confirm_revoke: "Revoke %{client}? Anything it is holding stops working, and it has to ask again the next time you sign in."
+        confirm_revoke: "Remove %{client}'s access? Anything it is holding stops working, and it has to ask again the next time you sign in."
 
       connections:
         heading: "Connected accounts"
@@ -258,7 +258,7 @@ en:
 
       export:
         heading: "Download your account"
-        state: "JSON"
+        state: "A file"
         lede: "A file with your profile, how you sign in, your organizations, apps, connected accounts, and devices, and the activity masks has kept. It holds no passwords, codes, or keys."
         again: "You signed in a while ago, so you will be asked to sign in again first."
         submit: "Download"