@adonis-agora/authkit-server 0.46.0 → 0.47.0

package/build/host/views/otp-unlock.edge

@@ -15,7 +15,7 @@
         </div>
         <h1 class="mb-2 text-lg font-semibold text-gray-900">{{ t('otp_unlock.ok_title') }}</h1>
         <p class="mb-6 text-sm text-gray-600">{{ t('otp_unlock.ok_body') }}</p>
-        <a href="/account/login" class="inline-block rounded-lg bg-gray-900 px-4 py-2 text-sm font-medium text-white hover:bg-gray-700">{{ t('otp_unlock.login_link') }}</a>
+        <a href="{{ loginUrl ?? '/account/login' }}" class="inline-block rounded-lg bg-gray-900 px-4 py-2 text-sm font-medium text-white hover:bg-gray-700">{{ t('otp_unlock.login_link') }}</a>
       @else
         <div class="mb-4 flex justify-center">
           <span class="inline-flex h-12 w-12 items-center justify-center rounded-full bg-red-100 text-red-600">
@@ -32,7 +32,7 @@
             {{ t('otp_unlock.invalid_body') }}
           @end
         </p>
-        <a href="/account/login" class="inline-block rounded-lg bg-gray-900 px-4 py-2 text-sm font-medium text-white hover:bg-gray-700">{{ t('otp_unlock.login_link') }}</a>
+        <a href="{{ loginUrl ?? '/account/login' }}" class="inline-block rounded-lg bg-gray-900 px-4 py-2 text-sm font-medium text-white hover:bg-gray-700">{{ t('otp_unlock.login_link') }}</a>
       @end
     </div>
   </div>

package/build/providers/authkit_server_provider.js

@@ -13,6 +13,7 @@ import { resolveKeystoreVault, KeystoreManager } from '../src/keys/keystore_mana
 import { KeystoreCodec } from '../src/keys/keystore_codec.js';
 import { loadEncryptionService } from '../src/keys/keystore_crypto.js';
 import { resolveAppKey } from '../src/host/app_key.js';
+import { setBootedApp } from '../services/booted_app.js';
 export default class AuthkitServerProvider {
     app;
     constructor(app) {
@@ -85,6 +86,12 @@ export default class AuthkitServerProvider {
         }
     }
     register() {
+        // Entrega o app BOOTADO ao singleton de `services/main` (e ao
+        // `recordSubRevocation` do AdminSessionsService) para que nunca precisem
+        // `import`ar uma cópia de `@adonisjs/core`/`services/app` que pode não ser a
+        // que o `bin/server` bootou — dual-package hazard do core (ver
+        // `services/booted_app.ts`).
+        setBootedApp(this.app);
         this.app.container.singleton('authkit.server', async () => {
             const configProviderValue = this.app.config.get('authkit');
             const config = (await configProvider.resolve(this.app, configProviderValue));

package/build/services/booted_app.d.ts

@@ -0,0 +1,8 @@
+import type { ApplicationService } from '@adonisjs/core/types';
+/** Registra o app bootado. Chamado uma vez pelo {@link AuthkitServerProvider} no `register()`. */
+export declare function setBootedApp(app: ApplicationService): void;
+/**
+ * O app bootado capturado pelo provider. Lança se lido antes do provider registrar — um sinal claro
+ * de que `@adonis-agora/authkit-server/authkit_server_provider` está ausente dos providers do app.
+ */
+export declare function getBootedApp(): ApplicationService;

package/build/services/booted_app.js

@@ -0,0 +1,27 @@
+/**
+ * A {@link ApplicationService} BOOTADA, capturada por `AuthkitServerProvider.register()` — que o app
+ * instancia com a SUA própria cópia bootada do app.
+ *
+ * Por que capturar aqui em vez de `import app from '@adonisjs/core/services/app'`: num install pnpm
+ * (workspace / hoisted), este pacote pode resolver uma cópia FÍSICA de `@adonisjs/core` DIFERENTE da
+ * que o `bin/server` bootou. `services/app` expõe o app por um binding de nível de módulo definido no
+ * boot (`setApp`); numa cópia NÃO-bootada esse binding fica `undefined` — importar de lá devolve um
+ * app indefinido (`Cannot read properties of undefined (reading 'booted')`). A instância que o
+ * provider recebe é SEMPRE a bootada, então lê-la aqui é imune a splits de cópia / variantes de peer
+ * do core — o mesmo hazard de dual-package que já corrigimos no `'lucid.db'`.
+ */
+let bootedApp;
+/** Registra o app bootado. Chamado uma vez pelo {@link AuthkitServerProvider} no `register()`. */
+export function setBootedApp(app) {
+    bootedApp = app;
+}
+/**
+ * O app bootado capturado pelo provider. Lança se lido antes do provider registrar — um sinal claro
+ * de que `@adonis-agora/authkit-server/authkit_server_provider` está ausente dos providers do app.
+ */
+export function getBootedApp() {
+    if (!bootedApp) {
+        throw new Error('@adonis-agora/authkit-server: app acessado antes de AuthkitServerProvider registrar. Adicione "@adonis-agora/authkit-server/authkit_server_provider" aos providers do adonisrc.ts.');
+    }
+    return bootedApp;
+}

package/build/services/main.d.ts

@@ -10,6 +10,13 @@ import type { OidcService } from "../src/provider/oidc_service.js";
  * Roda `await app.booted()` no top-level, então SÓ funciona dentro de um app
  * booted — por isso `scripts/import-smoke.mjs` pula o diretório `services`.
  *
+ * O `app` vem do {@link getBootedApp} (capturado pelo provider no `register()`), NÃO de
+ * `import app from "@adonisjs/core/services/app"`: sob pnpm este pacote pode resolver uma cópia
+ * FÍSICA de `@adonisjs/core` diferente da que o `bin/server` bootou, cujo binding de `services/app`
+ * fica `undefined` — mesmo dual-package hazard do `'lucid.db'`, aqui para o singleton do core. Ver
+ * {@link ./booted_app.js}. A instância que o provider recebe é sempre a bootada. Back-compat total:
+ * o `default` continua sendo o {@link OidcService} resolvido.
+ *
  * Dentro da própria lib continuamos resolvendo via `ctx.containerResolver.make("authkit.server")`,
  * que é o idioma das libs first-party (ver `@adonisjs/auth`, `initialize_auth_middleware`).
  */

package/build/services/main.js

@@ -1,4 +1,4 @@
-import app from "@adonisjs/core/services/app";
+import { getBootedApp } from "./booted_app.js";
 /**
  * Acessor singleton do {@link OidcService}, seguindo a convenção `services/main` do
  * AdonisJS (igual `@adonisjs/lucid/services/db`, `@adonisjs/drive/services/main` e
@@ -10,10 +10,18 @@ import app from "@adonisjs/core/services/app";
  * Roda `await app.booted()` no top-level, então SÓ funciona dentro de um app
  * booted — por isso `scripts/import-smoke.mjs` pula o diretório `services`.
  *
+ * O `app` vem do {@link getBootedApp} (capturado pelo provider no `register()`), NÃO de
+ * `import app from "@adonisjs/core/services/app"`: sob pnpm este pacote pode resolver uma cópia
+ * FÍSICA de `@adonisjs/core` diferente da que o `bin/server` bootou, cujo binding de `services/app`
+ * fica `undefined` — mesmo dual-package hazard do `'lucid.db'`, aqui para o singleton do core. Ver
+ * {@link ./booted_app.js}. A instância que o provider recebe é sempre a bootada. Back-compat total:
+ * o `default` continua sendo o {@link OidcService} resolvido.
+ *
  * Dentro da própria lib continuamos resolvendo via `ctx.containerResolver.make("authkit.server")`,
  * que é o idioma das libs first-party (ver `@adonisjs/auth`, `initialize_auth_middleware`).
  */
 let service;
+const app = getBootedApp();
 await app.booted(async () => {
     service = await app.container.make("authkit.server");
 });

package/build/src/host/account_login_url.d.ts

@@ -0,0 +1,41 @@
+/**
+ * URL de login do console de conta — singleton de processo.
+ *
+ * Definida em tempo de registro das rotas (`registerAuthHost`, via a opção
+ * `accountLoginUrl`) e lida em runtime por TODOS os pontos que redirecionam o
+ * visitante não-autenticado para "faça login": os guards (`accountGuard`/
+ * `adminGuard`), o middleware `AccountAuthMiddleware`, o helper público
+ * `consoleLoginUrl()`, os redirects de fallback dos controllers de conta e a
+ * view Edge `otp-unlock` (injetada como prop `loginUrl` pelo renderer).
+ *
+ * Existe porque a tela `account/login` é DESMONTÁVEL (`account: { login: false }`):
+ * um host OIDC passwordless não monta o login por senha da lib e aponta o
+ * redirect de não-autenticado para a própria rota de login dele (ex.: `/login`).
+ * Sem esta indireção, esses destinos ficariam presos no `/account/login` que
+ * deixou de existir.
+ *
+ * Default `/account/login` (back-compat total: hosts que não passam a opção
+ * seguem redirecionando para a tela montada de sempre).
+ *
+ * Por que módulo singleton e não binding do container? Mesma razão do
+ * `admin_prefix`: os guards são closures construídas em tempo de registro,
+ * ANTES da primeira request, quando o container ainda não existe. Um módulo ESM
+ * é inicializado uma vez por processo — ideal para configuração imutável de boot.
+ */
+/**
+ * Define a URL de login do console de conta para este processo.
+ * Chamado UMA VEZ por `registerAuthHost` no boot da aplicação.
+ *
+ * Não normaliza o path: aceita qualquer caminho interno que o host queira
+ * (ex.: `'/login'`, `'/auth/entrar'`). Valor vazio/whitespace cai no default.
+ *
+ * @param url  Caminho de destino do redirect de não-autenticado.
+ */
+export declare function setAccountLoginUrl(url: string): void;
+/**
+ * Retorna a URL de login do console de conta (default `'/account/login'`).
+ * Usada por todo redirect/link de "faça login" da lib.
+ */
+export declare function getAccountLoginUrl(): string;
+/** Restaura o default — uso em testes (isola o singleton entre casos). */
+export declare function resetAccountLoginUrl(): void;

package/build/src/host/account_login_url.js

@@ -0,0 +1,50 @@
+/**
+ * URL de login do console de conta — singleton de processo.
+ *
+ * Definida em tempo de registro das rotas (`registerAuthHost`, via a opção
+ * `accountLoginUrl`) e lida em runtime por TODOS os pontos que redirecionam o
+ * visitante não-autenticado para "faça login": os guards (`accountGuard`/
+ * `adminGuard`), o middleware `AccountAuthMiddleware`, o helper público
+ * `consoleLoginUrl()`, os redirects de fallback dos controllers de conta e a
+ * view Edge `otp-unlock` (injetada como prop `loginUrl` pelo renderer).
+ *
+ * Existe porque a tela `account/login` é DESMONTÁVEL (`account: { login: false }`):
+ * um host OIDC passwordless não monta o login por senha da lib e aponta o
+ * redirect de não-autenticado para a própria rota de login dele (ex.: `/login`).
+ * Sem esta indireção, esses destinos ficariam presos no `/account/login` que
+ * deixou de existir.
+ *
+ * Default `/account/login` (back-compat total: hosts que não passam a opção
+ * seguem redirecionando para a tela montada de sempre).
+ *
+ * Por que módulo singleton e não binding do container? Mesma razão do
+ * `admin_prefix`: os guards são closures construídas em tempo de registro,
+ * ANTES da primeira request, quando o container ainda não existe. Um módulo ESM
+ * é inicializado uma vez por processo — ideal para configuração imutável de boot.
+ */
+const DEFAULT_ACCOUNT_LOGIN_URL = '/account/login';
+let _loginUrl = DEFAULT_ACCOUNT_LOGIN_URL;
+/**
+ * Define a URL de login do console de conta para este processo.
+ * Chamado UMA VEZ por `registerAuthHost` no boot da aplicação.
+ *
+ * Não normaliza o path: aceita qualquer caminho interno que o host queira
+ * (ex.: `'/login'`, `'/auth/entrar'`). Valor vazio/whitespace cai no default.
+ *
+ * @param url  Caminho de destino do redirect de não-autenticado.
+ */
+export function setAccountLoginUrl(url) {
+    const trimmed = (url ?? '').trim();
+    _loginUrl = trimmed || DEFAULT_ACCOUNT_LOGIN_URL;
+}
+/**
+ * Retorna a URL de login do console de conta (default `'/account/login'`).
+ * Usada por todo redirect/link de "faça login" da lib.
+ */
+export function getAccountLoginUrl() {
+    return _loginUrl;
+}
+/** Restaura o default — uso em testes (isola o singleton entre casos). */
+export function resetAccountLoginUrl() {
+    _loginUrl = DEFAULT_ACCOUNT_LOGIN_URL;
+}

package/build/src/host/admin_sessions_service.d.ts

@@ -55,7 +55,9 @@ export declare class AdminSessionsService {
      * a sessão na próxima request — INSTANTÂNEO, sem esperar o refresh token falhar.
      *
      * Best-effort: a destruição de grants/tokens acima já é a fonte da verdade; esta
-     * linha só acelera o efeito nos clients. Falha (tabela ausente) é silenciosa.
+     * linha só acelera o efeito nos clients. Falha (tabela ausente / lucid indisponível)
+     * NÃO propaga — mas NUNCA é silenciosa: é logada em `error`, porque uma revogação de
+     * sessão que não persiste é um risco de segurança que não pode ficar invisível.
      *
      * @param accountId Conta cujas sessões devem ser derrubadas (gravado em `sub`).
      * @param revokedAt Timestamp da revogação. Default: agora. A checagem do client

package/build/src/host/admin_sessions_service.js

@@ -1,3 +1,4 @@
+import { getBootedApp } from '../../services/booted_app.js';
 /**
  * Serviço de inspeção/revogação das SESSÕES e GRANTS ativos de uma conta,
  * persistidos pelo oidc-provider via o MESMO `AdapterClass` (mesmo padrão do
@@ -32,7 +33,9 @@ export class AdminSessionsService {
      * a sessão na próxima request — INSTANTÂNEO, sem esperar o refresh token falhar.
      *
      * Best-effort: a destruição de grants/tokens acima já é a fonte da verdade; esta
-     * linha só acelera o efeito nos clients. Falha (tabela ausente) é silenciosa.
+     * linha só acelera o efeito nos clients. Falha (tabela ausente / lucid indisponível)
+     * NÃO propaga — mas NUNCA é silenciosa: é logada em `error`, porque uma revogação de
+     * sessão que não persiste é um risco de segurança que não pode ficar invisível.
      *
      * @param accountId Conta cujas sessões devem ser derrubadas (gravado em `sub`).
      * @param revokedAt Timestamp da revogação. Default: agora. A checagem do client
@@ -43,7 +46,16 @@ export class AdminSessionsService {
      */
     async recordSubRevocation(accountId, revokedAt = new Date()) {
         try {
-            const db = (await import('@adonisjs/lucid/services/db')).default;
+            // Resolve o Lucid pelo ALIAS STRING `'lucid.db'` (o mesmo idioma de
+            // `runtime_settings.ts` e do provider), NUNCA por `import('@adonisjs/lucid/services/db')`
+            // — esse resolve a CLASSE `Database` e a usa como TOKEN do container. Com duas cópias
+            // físicas do lucid na árvore do host (pins distintos ou o mesmo pin sob peer sets
+            // distintos, que o pnpm materializa em diretórios separados) os tokens-classe diferem, o
+            // `make()` falha (`Cannot construct "[class Database]"`) e a gravação era engolida em
+            // SILÊNCIO por este catch — a pior variante do bug. Um token string não pode ser
+            // duplicado. O app vem do provider (ver `services/booted_app.ts`), não de `services/app`.
+            const app = getBootedApp();
+            const db = await app.container.make('lucid.db');
             const conn = this.#schemaConnection
                 ? db.connection(this.#schemaConnection)
                 : db.connection();
@@ -53,8 +65,28 @@ export class AdminSessionsService {
                 revoked_at: revokedAt,
             });
         }
+        catch (error) {
+            // A invalidação server-side (destruição de grants/tokens) já é a fonte da verdade, então
+            // NÃO propagamos. Mas NUNCA engolimos em silêncio: logamos em `error` para que a falha da
+            // propagação cookie-based (tabela ausente, lucid indisponível, provider não registrado)
+            // seja visível — uma revogação que não persiste é um risco de segurança invisível.
+            await this.#logRevocationFailure(accountId, error);
+        }
+    }
+    /**
+     * Loga (best-effort, sem nunca lançar) a falha de {@link recordSubRevocation}. Prefere o
+     * `logger` do container; se ele não puder ser resolvido (ex.: o próprio `getBootedApp()` foi o
+     * que falhou), cai em `console.error` — a falha PRECISA aparecer em algum lugar.
+     */
+    async #logRevocationFailure(accountId, error) {
+        const msg = 'authkit: falha ao gravar a revogação por sub (auth_session_revocations) — a propagação cookie-based da revogação de sessão não foi persistida';
+        try {
+            const logger = await getBootedApp().container.make('logger');
+            logger.error({ err: error, accountId }, msg);
+        }
         catch {
-            /* tabela ausente / lucid indisponível — a invalidação server-side ainda vale */
+            // eslint-disable-next-line no-console
+            console.error(msg, { accountId, error });
         }
     }
     /** Indica se o adapter suporta enumeração (capacidade opcional). */

package/build/src/host/console_session.d.ts

@@ -21,6 +21,10 @@ export declare function hasAccountSession(ctx: HttpContext): boolean;
  * URL do login do console, com `return_to` opcional de volta ao destino
  * original após autenticar.
  *
+ * Respeita a opção `accountLoginUrl` de `registerAuthHost`: quando o host
+ * desmontou a tela `account/login` e apontou para a própria rota de login
+ * (ex.: `/login`), este helper usa esse destino. Default `/account/login`.
+ *
  * @example
  * consoleLoginUrl('/telescope') // => '/account/login?return_to=%2Ftelescope'
  */

package/build/src/host/console_session.js

@@ -1,4 +1,5 @@
 import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
+import { getAccountLoginUrl } from './account_login_url.js';
 /**
  * Helpers públicos para integrar a sessão do console do AuthKit com
  * qualquer coisa fora do pacote (ex.: proteger o dashboard do
@@ -26,11 +27,17 @@ export function hasAccountSession(ctx) {
  * URL do login do console, com `return_to` opcional de volta ao destino
  * original após autenticar.
  *
+ * Respeita a opção `accountLoginUrl` de `registerAuthHost`: quando o host
+ * desmontou a tela `account/login` e apontou para a própria rota de login
+ * (ex.: `/login`), este helper usa esse destino. Default `/account/login`.
+ *
  * @example
  * consoleLoginUrl('/telescope') // => '/account/login?return_to=%2Ftelescope'
  */
 export function consoleLoginUrl(returnTo) {
+    const loginUrl = getAccountLoginUrl();
     if (!returnTo)
-        return '/account/login';
-    return `/account/login?return_to=${encodeURIComponent(returnTo)}`;
+        return loginUrl;
+    const sep = loginUrl.includes('?') ? '&' : '?';
+    return `${loginUrl}${sep}return_to=${encodeURIComponent(returnTo)}`;
 }

package/build/src/host/controllers/account_orgs_controller.js

@@ -1,6 +1,7 @@
 import '../augmentations.js';
 import { supportsOrganizations } from '../../accounts/account_store.js';
 import { ACCOUNT_SESSION_KEY } from '../middleware/account_auth.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
 import { isRoleInCatalog } from '../runtime_toggles.js';
 import { ACTIVE_ORG_COOKIE, ACTIVE_ORG_COOKIE_TTL, encodeActiveOrgCookie, } from '../active_org_cookie.js';
@@ -26,7 +27,7 @@ export default class AccountOrgsController {
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         const account = await store.findById(accountId);
         if (!account)
-            return response.redirect('/account/login');
+            return response.redirect(getAccountLoginUrl());
         const orgs = await store.listOrgsForAccount(accountId);
         const pendingInvitations = await store.listPendingInvitationsForEmail(account.email);
         // Enriquece convites com o nome da org
@@ -210,9 +211,11 @@ export default class AccountOrgsController {
             return response.notFound();
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         if (!accountId) {
-            // Não logado: redireciona para login com return URL
+            // Não logado: redireciona para login (configurável) com return URL
+            const loginUrl = getAccountLoginUrl();
             const returnTo = encodeURIComponent(`/account/orgs/invitations/${params.token}/accept`);
-            return response.redirect(`/account/login?returnTo=${returnTo}`);
+            const sep = loginUrl.includes('?') ? '&' : '?';
+            return response.redirect(`${loginUrl}${sep}returnTo=${returnTo}`);
         }
         const tokenHash = createHash('sha256').update(params.token).digest('hex');
         const invitation = await store.findInvitationByTokenHash(tokenHash);
@@ -236,7 +239,7 @@ export default class AccountOrgsController {
             return response.notFound();
         const accountId = session.get(ACCOUNT_SESSION_KEY);
         if (!accountId)
-            return response.redirect('/account/login');
+            return response.redirect(getAccountLoginUrl());
         const tokenHash = createHash('sha256').update(params.token).digest('hex');
         const invitation = await store.findInvitationByTokenHash(tokenHash);
         if (!invitation)

package/build/src/host/controllers/account_security_controller.js

@@ -1,5 +1,6 @@
 import "../augmentations.js";
 import { ACCOUNT_SESSION_KEY } from "../middleware/account_auth.js";
+import { getAccountLoginUrl } from "../account_login_url.js";
 import { supportsAccountSecurity, supportsAccountDeletion, supportsProfile, supportsPasswordHistory, } from "../../accounts/account_store.js";
 import { changePasswordValidator, changeEmailValidator, deleteAccountValidator, updateProfileValidator, } from "../validators.js";
 import { sendEmailChangeConfirmationEmail, sendEmailChangeNoticeEmail, sendEmailChangedCompletedEmail, } from "../default_mailer.js";
@@ -150,7 +151,7 @@ export default class AccountSecurityController {
             return sudoResultDel;
         const account = await store.findById(userId);
         if (!account) {
-            return ctx.response.redirect("/account/login");
+            return ctx.response.redirect(getAccountLoginUrl());
         }
         const { currentPassword, confirmEmail } = await ctx.request.validateUsing(deleteAccountValidator);
         // Confirmação: senha atual correta OU e-mail digitado batendo com o da conta
@@ -196,7 +197,7 @@ export default class AccountSecurityController {
         ctx.session.forget(ACCOUNT_SESSION_KEY);
         await syncAdonisAuthLogout(ctx, cfg);
         ctx.session.flash("accountDeleted", translate(cfg.messages, "account.delete.deleted"));
-        return ctx.response.redirect("/account/login");
+        return ctx.response.redirect(getAccountLoginUrl());
     }
     /**
      * POST /account/security/trusted-devices/revoke

package/build/src/host/controllers/account_session_controller.js

@@ -5,6 +5,7 @@ import { attemptPasswordLogin } from '../login_attempt.js';
 import { notifyLoginSuccess } from '../login_notify.js';
 import { markSudo } from '../sudo_mode.js';
 import { accountHome } from '../account_home.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 import { resolveRuntimeSettings } from '../runtime_settings.js';
 import { syncAdonisAuthLogin, syncAdonisAuthLogout } from '../adonis_auth_sync.js';
 /**
@@ -132,6 +133,7 @@ export default class AccountSessionController {
         await ctx.session.regenerate();
         // Opt-in: espelha o logout no guard de @adonisjs/auth (ver adonisAuth em define_config.ts).
         await syncAdonisAuthLogout(ctx, cfg);
-        return ctx.response.redirect('/account/login');
+        // Destino configurável (`accountLoginUrl`): default `/account/login`.
+        return ctx.response.redirect(getAccountLoginUrl());
     }
 }

package/build/src/host/controllers/account_tokens_controller.js

@@ -7,6 +7,11 @@ export default class AccountTokensController {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
         const render = cfg.render;
+        // PAT é capacidade opcional: sem `patStore` configurado, a tela não existe
+        // (404 limpo em vez de "Cannot read properties of undefined"). Tratado como
+        // orgs — a rota pode estar montada num host que não cabeou o store.
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         const tokens = await cfg.patStore.listForAccount(userId);
         const createdToken = ctx.session.flashMessages.get('createdToken');
@@ -26,6 +31,9 @@ export default class AccountTokensController {
     async store(ctx) {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
+        // Sem `patStore`: 404 limpo (ver `index`).
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         // Sudo mode gate.
         const sudoSettingsPat = await resolveRuntimeSettings(ctx);
@@ -46,6 +54,9 @@ export default class AccountTokensController {
     async destroy(ctx) {
         const service = await ctx.containerResolver.make('authkit.server');
         const cfg = service.config;
+        // Sem `patStore`: 404 limpo (ver `index`).
+        if (!cfg.patStore)
+            return ctx.response.notFound();
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         // Sudo mode gate.
         const sudoSettingsPatRev = await resolveRuntimeSettings(ctx);

package/build/src/host/controllers/pat_introspection_controller.js

@@ -19,6 +19,16 @@ export default class PatIntrospectionController {
         if (!token || typeof token !== 'string') {
             return { active: false };
         }
+        // `patStore` é capacidade opcional; a rota `/authkit/pat/introspect` fica
+        // sempre montada (é infraestrutura M2M, não uma tela desmontável). Sem
+        // store cabeado, RFC 7662 §2.2 já cobre o caso: para o servidor de
+        // recursos, um token que não pode ser resolvido é indistinguível de um
+        // token inválido/desconhecido → `{ active: false }`, não 404. Um 404
+        // quebraria clientes de introspecção que só sabem parsear o corpo JSON do
+        // protocolo (mesma classe de bug do `account_tokens_controller`, mas a
+        // resposta correta aqui é a negativa do protocolo, não um HTTP status).
+        if (!cfg.patStore)
+            return { active: false };
         const meta = await cfg.patStore.findActiveByToken(token);
         if (!meta)
             return { active: false };

package/build/src/host/middleware/account_auth.js

@@ -1,10 +1,12 @@
 import '../augmentations.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 export const ACCOUNT_SESSION_KEY = 'account_user_id';
 export default class AccountAuthMiddleware {
     async handle(ctx, next) {
         const userId = ctx.session.get(ACCOUNT_SESSION_KEY);
         if (!userId) {
-            return ctx.response.redirect('/account/login');
+            // Destino configurável (`accountLoginUrl`): default `/account/login`.
+            return ctx.response.redirect(getAccountLoginUrl());
         }
         return next();
     }

package/build/src/host/register_auth_host.d.ts

@@ -7,9 +7,11 @@ export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
  *   0. `config.admin.enabled` ligado (senão → 404; ver nota de flag-drift abaixo);
- *   1. sessão de conta ativa (senão → /account/login);
+ *   1. sessão de conta ativa (senão → `accountLoginUrl`, default /account/login);
  *   2. a conta logada com pelo menos UMA das `config.admin.roles` nas roles globais
- *      (senão → /account/tokens, evitando vazar a existência do /admin).
+ *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
+ *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
+ *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export declare const adminGuard: (ctx: any, next: () => Promise<void>) => Promise<any>;
@@ -108,6 +110,68 @@ export interface AuthHostOptions {
      * Ausente → `[password(), passkey()]`.
      */
     sudoMethods?: SudoMethod[];
+    /**
+     * Montagem por tela do console de conta (`/account/*`). Espelha o padrão
+     * `admin`/`adminApi`: a decisão de MONTAR cada grupo de rotas é tomada em
+     * tempo de registro, antes de o config (lazy) resolver.
+     *
+     * - Ausente → tudo montado (back-compat total).
+     * - `false` → NENHUMA tela do console de conta é montada (as rotas sudo
+     *   `/account/confirm` e a JSON API `/account/api/*` continuam — são
+     *   infraestrutura, não telas navegáveis).
+     * - objeto → montagem seletiva; cada flag ausente default `true`.
+     *   - `login`    → `/account/login`, `/account/logout` (a porta por senha do console).
+     *   - `tokens`   → `/account/tokens*` (Personal Access Tokens).
+     *   - `orgs`     → `/account/orgs*` (multi-tenancy, incl. o accept de convite público).
+     *   - `security` → `/account/security*` + `/account/email/confirm` (perfil, senha, troca de e-mail, export/LGPD, deleção).
+     *   - `mfa`      → `/account/mfa*` (TOTP + passkeys).
+     *   - `apps`     → `/account/apps*` (grants de consentimento OIDC).
+     *
+     * NOTA (flag-drift): como `admin`/`adminApi`, estas flags controlam apenas se
+     * as ROTAS existem; o comportamento em runtime continua vindo do config
+     * resolvido. Mantenha em sincronia — os guards são a rede de segurança.
+     *
+     * ⚠️ Ao desmontar `login`, os redirects internos de "faça login"
+     * (`accountGuard`, `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`,
+     * a view `otp-unlock`) apontariam para uma rota inexistente — passe
+     * `accountLoginUrl` com a rota de login do host (ex.: `'/login'`).
+     *
+     * @example
+     * // Console passwordless: só segurança + MFA, login delegado ao OIDC do host.
+     * registerAuthHost(router, {
+     *   account: { login: false, tokens: false, orgs: false },
+     *   accountLoginUrl: '/login',
+     * })
+     */
+    account?: false | AccountScreensOptions;
+    /**
+     * Destino do redirect de "não-autenticado → faça login" do console de conta.
+     * Default `/account/login`. Aponte para a rota de login do host quando a tela
+     * `account/login` da lib estiver desmontada (`account: { login: false }`).
+     *
+     * Usado por TODOS os pontos de redirect/link de login: `accountGuard`,
+     * `adminGuard`, `AccountAuthMiddleware`, `consoleLoginUrl()`, os fallbacks dos
+     * controllers de conta e a view `otp-unlock`. Ver `account_login_url.ts`.
+     */
+    accountLoginUrl?: string;
+}
+/**
+ * Flags de montagem por tela do console de conta. Cada campo ausente é `true`
+ * (montado). Ver {@link AuthHostOptions.account}.
+ */
+export interface AccountScreensOptions {
+    /** Tela de login por senha do console (`/account/login`, `/account/logout`). */
+    login?: boolean;
+    /** Personal Access Tokens (`/account/tokens*`). */
+    tokens?: boolean;
+    /** Organizations / multi-tenancy (`/account/orgs*`). */
+    orgs?: boolean;
+    /** Perfil, senha, troca de e-mail, export/LGPD e deleção (`/account/security*`). */
+    security?: boolean;
+    /** MFA — TOTP + passkeys (`/account/mfa*`). */
+    mfa?: boolean;
+    /** Apps com acesso / grants de consentimento OIDC (`/account/apps*`). */
+    apps?: boolean;
 }
 /**
  * Monta todas as rotas do host-kit do Authorization Server numa chamada.

package/build/src/host/register_auth_host.js

@@ -8,6 +8,7 @@ import { setAdminPrefix, normalizeAdminPrefix, setAdminApiPrefix, normalizeAdmin
 import { resolveRuntimeSettings } from './runtime_settings.js';
 import { resolveEffectiveSessionPolicy } from './runtime_toggles.js';
 import { getAuthHostConfig } from './auth_host_config.js';
+import { setAccountLoginUrl, getAccountLoginUrl } from './account_login_url.js';
 import { completeSudo, fail, guardSudoRoutes, sudoContextFrom, setMountedSudoMethods, } from './sudo/runtime.js';
 import { password as sudoPassword } from './sudo/methods/password.js';
 import { passkey as sudoPasskey } from './sudo/methods/passkey.js';
@@ -68,16 +69,26 @@ async function checkAndRefreshIdle(ctx) {
  * @internal
  */
 function buildLoginRedirect(ctx, extra) {
+    // Destino configurável (`accountLoginUrl`): default `/account/login`, mas um
+    // host que desmontou a tela de login (`account: { login: false }`) aponta para
+    // a própria rota de login dele (ex.: `/login`). Ver `account_login_url.ts`.
+    const loginUrl = getAccountLoginUrl();
     const url = ctx.request?.url?.() ?? '';
     const qs = ctx.request?.parsedUrl?.search ?? '';
     const dest = qs ? `${url}${qs}` : url;
     // Só inclui return_to quando há um caminho real (não vazio, não é o próprio login).
-    if (dest && dest !== '/' && !dest.startsWith('/account/login')) {
+    if (dest && dest !== '/' && !dest.startsWith(loginUrl)) {
         const encoded = encodeURIComponent(dest);
-        const base = extra ? `/account/login?${extra}&return_to=${encoded}` : `/account/login?return_to=${encoded}`;
+        const sep = loginUrl.includes('?') ? '&' : '?';
+        const base = extra
+            ? `${loginUrl}${sep}${extra}&return_to=${encoded}`
+            : `${loginUrl}${sep}return_to=${encoded}`;
         return base;
     }
-    return extra ? `/account/login?${extra}` : '/account/login';
+    if (!extra)
+        return loginUrl;
+    const sep = loginUrl.includes('?') ? '&' : '?';
+    return `${loginUrl}${sep}${extra}`;
 }
 /**
  * Guard inline do console de conta. Usamos uma closure (forma confiável do
@@ -100,9 +111,11 @@ const accountGuard = async (ctx, next) => {
  * Guard do console admin (B6). Como o `accountGuard`, é uma closure inline (forma
  * confiável do `.use()` num grupo). Exige:
  *   0. `config.admin.enabled` ligado (senão → 404; ver nota de flag-drift abaixo);
- *   1. sessão de conta ativa (senão → /account/login);
+ *   1. sessão de conta ativa (senão → `accountLoginUrl`, default /account/login);
  *   2. a conta logada com pelo menos UMA das `config.admin.roles` nas roles globais
- *      (senão → /account/tokens, evitando vazar a existência do /admin).
+ *      (senão → `accountHome(cfg)`, default /account/security — NÃO revela a
+ *      existência do /admin, e cai numa tela que o host controla via `accountHome`;
+ *      se a tela default estiver desmontada, aponte `config.accountHome` para uma montada).
  * As roles permitidas são resolvidas em runtime do `authkit.server` (config lazy).
  */
 export const adminGuard = async (ctx, next) => {
@@ -188,6 +201,29 @@ export function registerAuthHost(router, opts = {}) {
     const social = opts.social ?? hostCfg?.social;
     const adminOpt = opts.admin ?? (hostCfg?.adminEnabled ? true : undefined);
     const adminApiOpt = opts.adminApi ?? (hostCfg?.adminApiEnabled ? true : undefined);
+    // Destino do redirect de "faça login" — persiste no singleton de processo para
+    // que os guards (closures de tempo de registro), o middleware, os controllers e
+    // as views leiam o mesmo valor. Só quando a opção foi passada (senão fica o
+    // default `/account/login` do singleton — back-compat).
+    if (opts.accountLoginUrl !== undefined) {
+        setAccountLoginUrl(opts.accountLoginUrl);
+    }
+    // Montagem por tela do console de conta. `undefined` → tudo montado;
+    // `false` → nada; objeto → cada flag ausente default `true`.
+    const accountOpt = opts.account;
+    const mountScreen = (key) => {
+        if (accountOpt === false)
+            return false;
+        if (accountOpt && typeof accountOpt === 'object')
+            return accountOpt[key] !== false;
+        return true;
+    };
+    const mountLogin = mountScreen('login');
+    const mountTokens = mountScreen('tokens');
+    const mountOrgs = mountScreen('orgs');
+    const mountSecurity = mountScreen('security');
+    const mountMfa = mountScreen('mfa');
+    const mountApps = mountScreen('apps');
     // Throttles opt-in (anti-brute-force). `undefined` quando rate-limit desligado.
     const resolvedRateLimit = opts.rateLimit !== undefined
         ? resolveRateLimit(opts.rateLimit)
@@ -258,50 +294,70 @@ export function registerAuthHost(router, opts = {}) {
     // PAT introspection (server-to-server).
     withIntrospection(router.post('/authkit/pat/introspect', [C.patIntrospection, 'handle']));
     // Organizations — invitation accept (sem guard: controller lida com não-autenticado).
-    router.get('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'showAcceptInvitation']);
-    router.post('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'acceptInvitation']);
+    // Parte da tela `orgs`: desmontada junto (sem multi-tenancy, não há convite a aceitar).
+    if (mountOrgs) {
+        router.get('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'showAcceptInvitation']);
+        router.post('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'acceptInvitation']);
+    }
     // Console de conta (login de sessão do IdP + gerência de PAT).
-    router.get('/account/login', [C.accountSession, 'show']);
-    // L6: throttle por IP no login/logout do console de conta (anti-brute-force),
-    // alinhado com as demais rotas de credencial (interaction, forgot, reset).
-    withLogin(router.post('/account/login', [C.accountSession, 'login']));
-    withLogin(router.post('/account/logout', [C.accountSession, 'logout']));
+    // Tela `login` desmontável: hosts passwordless delegam ao OIDC próprio e
+    // apontam `accountLoginUrl` para a rota de login deles.
+    if (mountLogin) {
+        router.get('/account/login', [C.accountSession, 'show']);
+        // L6: throttle por IP no login/logout do console de conta (anti-brute-force),
+        // alinhado com as demais rotas de credencial (interaction, forgot, reset).
+        withLogin(router.post('/account/login', [C.accountSession, 'login']));
+        withLogin(router.post('/account/logout', [C.accountSession, 'logout']));
+    }
     // Confirmação de troca de e-mail (standalone, GET-only — consome o token do link;
-    // pode ser aberta em outro dispositivo, então NÃO exige sessão).
-    router.get('/account/email/confirm', [C.accountSecurity, 'confirmEmail']);
+    // pode ser aberta em outro dispositivo, então NÃO exige sessão). Parte da tela
+    // `security` (o terminal do fluxo de troca de e-mail).
+    if (mountSecurity) {
+        router.get('/account/email/confirm', [C.accountSecurity, 'confirmEmail']);
+    }
     // Rotas de tokens protegidas por AccountAuthMiddleware (redireciona para /account/login se não autenticado).
     router
         .group(() => {
-        router.get('/account/tokens', [C.accountTokens, 'index']);
-        router.post('/account/tokens', [C.accountTokens, 'store']);
-        router.post('/account/tokens/:id/revoke', [C.accountTokens, 'destroy']);
-        // Segurança da conta: trocar senha + solicitar troca de e-mail + perfil.
-        router.get('/account/security', [C.accountSecurity, 'index']);
-        router.post('/account/security/password', [C.accountSecurity, 'changePassword']);
-        router.post('/account/security/email', [C.accountSecurity, 'changeEmail']);
-        router.post('/account/security/email/cancel', [C.accountSecurity, 'cancelEmailChange']);
-        router.post('/account/security/profile', [C.accountSecurity, 'updateProfile']);
-        // LGPD/GDPR: export de dados (portabilidade) + deleção self-service (danger zone).
-        // O export carrega o throttle de login (anti-abuso) quando o rate-limit existe.
-        withLogin(router.get('/account/security/export', [C.accountSecurity, 'exportData']));
-        router.post('/account/security/delete', [C.accountSecurity, 'deleteAccount']);
-        // Trusted devices: limpa o cookie de confiança DESTE navegador.
-        router.post('/account/security/trusted-devices/revoke', [
-            C.accountSecurity,
-            'revokeTrustedDevices',
-        ]);
-        // Apps com acesso (consentimento): lista os grants da conta + revogação por client.
-        router.get('/account/apps', [C.accountApps, 'index']);
-        router.post('/account/apps/:clientId/revoke', [C.accountApps, 'revoke']);
-        // MFA / TOTP (enrollment, confirmação, disable).
-        router.get('/account/mfa', [C.accountMfa, 'index']);
-        router.post('/account/mfa/enroll', [C.accountMfa, 'enroll']);
-        router.post('/account/mfa/confirm', [C.accountMfa, 'confirm']);
-        router.post('/account/mfa/disable', [C.accountMfa, 'disable']);
-        // MFA / WebAuthn (passkeys): registro (begin/finish) + remoção.
-        router.post('/account/mfa/passkeys/options', [C.accountMfa, 'passkeyRegisterOptions']);
-        router.post('/account/mfa/passkeys/verify', [C.accountMfa, 'passkeyRegisterVerify']);
-        router.post('/account/mfa/passkeys/:id/remove', [C.accountMfa, 'passkeyRemove']);
+        // Personal Access Tokens (tela `tokens`).
+        if (mountTokens) {
+            router.get('/account/tokens', [C.accountTokens, 'index']);
+            router.post('/account/tokens', [C.accountTokens, 'store']);
+            router.post('/account/tokens/:id/revoke', [C.accountTokens, 'destroy']);
+        }
+        // Segurança da conta: trocar senha + solicitar troca de e-mail + perfil (tela `security`).
+        if (mountSecurity) {
+            router.get('/account/security', [C.accountSecurity, 'index']);
+            router.post('/account/security/password', [C.accountSecurity, 'changePassword']);
+            router.post('/account/security/email', [C.accountSecurity, 'changeEmail']);
+            router.post('/account/security/email/cancel', [C.accountSecurity, 'cancelEmailChange']);
+            router.post('/account/security/profile', [C.accountSecurity, 'updateProfile']);
+            // LGPD/GDPR: export de dados (portabilidade) + deleção self-service (danger zone).
+            // O export carrega o throttle de login (anti-abuso) quando o rate-limit existe.
+            withLogin(router.get('/account/security/export', [C.accountSecurity, 'exportData']));
+            router.post('/account/security/delete', [C.accountSecurity, 'deleteAccount']);
+            // Trusted devices: limpa o cookie de confiança DESTE navegador.
+            router.post('/account/security/trusted-devices/revoke', [
+                C.accountSecurity,
+                'revokeTrustedDevices',
+            ]);
+        }
+        // Apps com acesso (consentimento): lista os grants da conta + revogação por client (tela `apps`).
+        if (mountApps) {
+            router.get('/account/apps', [C.accountApps, 'index']);
+            router.post('/account/apps/:clientId/revoke', [C.accountApps, 'revoke']);
+        }
+        // MFA — TOTP + passkeys (tela `mfa`).
+        if (mountMfa) {
+            // MFA / TOTP (enrollment, confirmação, disable).
+            router.get('/account/mfa', [C.accountMfa, 'index']);
+            router.post('/account/mfa/enroll', [C.accountMfa, 'enroll']);
+            router.post('/account/mfa/confirm', [C.accountMfa, 'confirm']);
+            router.post('/account/mfa/disable', [C.accountMfa, 'disable']);
+            // MFA / WebAuthn (passkeys): registro (begin/finish) + remoção.
+            router.post('/account/mfa/passkeys/options', [C.accountMfa, 'passkeyRegisterOptions']);
+            router.post('/account/mfa/passkeys/verify', [C.accountMfa, 'passkeyRegisterVerify']);
+            router.post('/account/mfa/passkeys/:id/remove', [C.accountMfa, 'passkeyRemove']);
+        }
         // Sudo mode (confirm identity): o GET lista os métodos; cada método
         // registra suas próprias rotas de verificação (SPI `SudoMethod`).
         router.get('/account/confirm', [C.accountConfirm, 'show']);
@@ -342,19 +398,22 @@ export function registerAuthHost(router, opts = {}) {
         // configura `config.sudo.methods`: a tela oferece exatamente isto, e os
         // handlers aceitam exatamente isto.
         setMountedSudoMethods(sudoMethodsToMount);
-        // Organizations (multi-tenancy) — sempre montadas; controller retorna 404/403 sem tabelas.
-        router.get('/account/orgs', [C.accountOrgs, 'index']);
-        router.post('/account/orgs', [C.accountOrgs, 'store']);
-        router.post('/account/orgs/deactivate', [C.accountOrgs, 'deactivate']);
-        router.post('/account/orgs/:id/activate', [C.accountOrgs, 'activate']);
-        router.post('/account/orgs/:id/leave', [C.accountOrgs, 'leave']);
-        router.post('/account/orgs/:id/invite', [C.accountOrgs, 'invite']);
-        router.post('/account/orgs/:id/members/:accountId/remove', [C.accountOrgs, 'removeMember']);
-        router.post('/account/orgs/:id/invitations/:invId/revoke', [C.accountOrgs, 'revokeInvitation']);
-        // JSON endpoints for React hooks (authkit-react).
-        router.get('/account/orgs/json', [C.accountOrgs, 'listJson']);
-        router.get('/account/orgs/invitations/json', [C.accountOrgs, 'listInvitationsJson']);
-        router.get('/account/orgs/:id/json', [C.accountOrgs, 'showJson']);
+        // Organizations (multi-tenancy) — tela `orgs`. Montadas por default;
+        // controller retorna 404/403 sem tabelas (capability-probed).
+        if (mountOrgs) {
+            router.get('/account/orgs', [C.accountOrgs, 'index']);
+            router.post('/account/orgs', [C.accountOrgs, 'store']);
+            router.post('/account/orgs/deactivate', [C.accountOrgs, 'deactivate']);
+            router.post('/account/orgs/:id/activate', [C.accountOrgs, 'activate']);
+            router.post('/account/orgs/:id/leave', [C.accountOrgs, 'leave']);
+            router.post('/account/orgs/:id/invite', [C.accountOrgs, 'invite']);
+            router.post('/account/orgs/:id/members/:accountId/remove', [C.accountOrgs, 'removeMember']);
+            router.post('/account/orgs/:id/invitations/:invId/revoke', [C.accountOrgs, 'revokeInvitation']);
+            // JSON endpoints for React hooks (authkit-react).
+            router.get('/account/orgs/json', [C.accountOrgs, 'listJson']);
+            router.get('/account/orgs/invitations/json', [C.accountOrgs, 'listInvitationsJson']);
+            router.get('/account/orgs/:id/json', [C.accountOrgs, 'showJson']);
+        }
         // ─── Account self-service JSON API (authkit-react TanStack hooks) ─────
         // ⚠️ ORDER MATTERS: fixed-segment routes before parameterised ones.
         // Registered INSIDE the accountGuard group → same session-auth protection.

package/build/src/host/renderers/edge_renderer.js

@@ -1,4 +1,5 @@
 import { DEFAULT_MESSAGES, translate } from '../i18n.js';
+import { getAccountLoginUrl } from '../account_login_url.js';
 /**
  * Resolve o catálogo de mensagens ativo a partir do `authkit.server` (config
  * resolvida com o locale do host). Defensivo: se o container/serviço não estiver
@@ -28,7 +29,11 @@ async function resolveMessagesFromCtx(ctx) {
 export async function renderEdgeView(ctx, view, props) {
     const messages = await resolveMessagesFromCtx(ctx);
     const t = (key, params) => translate(messages, key, params);
-    return ctx.view.render(`authkit::${view}`, { ...props, t, messages });
+    // `loginUrl` como prop global: as views que linkam "faça login" (ex.: `otp-unlock`)
+    // usam o destino configurável (`accountLoginUrl`) em vez do `/account/login` fixo,
+    // que pode estar desmontado. Props explícitas ainda têm precedência (spread depois).
+    const loginUrl = getAccountLoginUrl();
+    return ctx.view.render(`authkit::${view}`, { loginUrl, ...props, t, messages });
 }
 /** Renderer do seam para hosts Edge. As views são donas-da-lib (disco `authkit::`). */
 export function edgeRenderer() {

package/build/src/host/renderers/inertia_renderer.d.ts

@@ -66,5 +66,60 @@ export type AuthkitScreen = 'login' | 'signup' | 'consent' | 'forgot' | 'reset'
  * | `returnTo`  | `string \| null`    | Caminho interno de destino pós-login (já validado pelo servidor — só caminhos internos). Quando presente, o formulário deve incluir `<input type="hidden" name="return_to" value={returnTo} />`. O servidor revalida o valor no POST; hosts com tela custom precisam propagar esse hidden input. |
  * | `error`     | `string \| undefined` | Mensagem de erro de autenticação localizada (credenciais inválidas, conta bloqueada, etc.). |
  * | `messages`  | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/security`
+ *
+ * | Prop                    | Tipo                | Descrição |
+ * |-------------------------|---------------------|-----------|
+ * | `csrfToken`             | `string`            | Token CSRF para os formulários da tela. |
+ * | `supported`             | `boolean`           | `false` quando o store não suporta o self-service de segurança (troca de senha/e-mail) — a tela deve degradar. |
+ * | `profileSupported`      | `boolean`           | `true` quando o store suporta editar nome/avatar (`updateProfile`). |
+ * | `avatarUploadSupported` | `boolean`           | `true` quando algum backend (drive OU media) pode armazenar o upload de avatar. |
+ * | `email`                 | `string`            | E-mail atual da conta (`''` se ausente). |
+ * | `name`                  | `string`            | Nome atual da conta (`''` se ausente). |
+ * | `avatarUrl`             | `string`            | URL do avatar atual (`''` se ausente). |
+ * | `passwordChanged`       | `string \| null`    | Flash de sucesso da troca de senha (mensagem localizada) ou `null`. |
+ * | `emailChangeRequested`  | `string \| null`    | Flash: link de confirmação de troca de e-mail enviado (ou cancelamento) ou `null`. |
+ * | `emailChanged`          | `string \| null`    | Flash: troca de e-mail concluída ou `null`. |
+ * | `profileUpdated`        | `string \| null`    | Flash: perfil atualizado ou `null`. |
+ * | `error`                 | `string \| null`    | Flash de erro de segurança (senha inválida, e-mail em uso, política violada) ou `null`. |
+ * | `trustedDevicesEnabled` | `boolean`           | `true` quando o recurso de dispositivos confiáveis está ligado. |
+ * | `trustedDevicesRevoked` | `string \| null`    | Flash: confiança deste navegador revogada ou `null`. |
+ * | `sessionsSupported`     | `boolean`           | `true` quando o adapter OIDC enumera as sessões ativas da conta. |
+ * | `sessions`              | `Array<{ loginTs: string; browser: string; os: string; ip: string; location: string }>` | Sessões ativas da própria conta (vazio quando não suportado). `loginTs` é ISO ou `''`. |
+ * | `exportSupported`       | `boolean`           | Sempre `true` — export de dados (portabilidade/LGPD) disponível para a conta logada. |
+ * | `deletionSupported`     | `boolean`           | `true` quando o store suporta hard delete (danger zone). |
+ * | `deleteError`           | `string \| null`    | Flash de erro da confirmação de deleção ou `null`. |
+ * | `messages`              | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/mfa`
+ *
+ * | Prop                | Tipo                | Descrição |
+ * |---------------------|---------------------|-----------|
+ * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
+ * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
+ * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
+ * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. |
+ * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/confirm` (sudo — confirmar identidade)
+ *
+ * | Prop          | Tipo                | Descrição |
+ * |---------------|---------------------|-----------|
+ * | `csrfToken`   | `string`            | Token CSRF para o POST de cada método. |
+ * | `returnTo`    | `string \| null`    | Caminho interno de destino após confirmar (validado pelo servidor) ou `null`. |
+ * | `error`       | `string \| null`    | Flash de erro da última tentativa de confirmação ou `null`. |
+ * | `notice`      | `string \| null`    | Flash informativo (ex.: "link de confirmação enviado") ou `null`. |
+ * | `methods`     | `Array<{ id: string; labelKey: string; kind: 'form' \| 'action' \| 'redirect' \| 'webauthn'; endpoint: string; fields?: Array<{ name: string; type: 'password' \| 'text'; labelKey: string }> }>` | Métodos de sudo disponíveis para a conta. A tela renderiza por `kind`; `endpoint` é o POST de verificação (`webauthn` pede options em `${endpoint}/options`). |
+ * | `preferredId` | `string \| null`    | `id` do último método usado (destaque na UI) ou `null`. |
+ * | `messages`    | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/email-confirmed` (terminal do link de troca de e-mail)
+ *
+ * | Prop       | Tipo           | Descrição |
+ * |------------|----------------|-----------|
+ * | `ok`       | `boolean`      | `true` quando o token era válido e o novo e-mail foi aplicado; `false` para token inválido/expirado ou store sem suporte. A tela mostra sucesso ou falha conforme o valor. |
+ * | `messages` | `AuthMessages` | Catálogo de mensagens i18n. |
  */
 export declare function inertiaRenderer(opts: InertiaRendererOptions): (ctx: HttpContext, view: string, props: Record<string, unknown>) => Promise<any>;

package/build/src/host/renderers/inertia_renderer.js

@@ -37,6 +37,61 @@ async function resolveMessagesFromCtx(ctx) {
  * | `returnTo`  | `string \| null`    | Caminho interno de destino pós-login (já validado pelo servidor — só caminhos internos). Quando presente, o formulário deve incluir `<input type="hidden" name="return_to" value={returnTo} />`. O servidor revalida o valor no POST; hosts com tela custom precisam propagar esse hidden input. |
  * | `error`     | `string \| undefined` | Mensagem de erro de autenticação localizada (credenciais inválidas, conta bloqueada, etc.). |
  * | `messages`  | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/security`
+ *
+ * | Prop                    | Tipo                | Descrição |
+ * |-------------------------|---------------------|-----------|
+ * | `csrfToken`             | `string`            | Token CSRF para os formulários da tela. |
+ * | `supported`             | `boolean`           | `false` quando o store não suporta o self-service de segurança (troca de senha/e-mail) — a tela deve degradar. |
+ * | `profileSupported`      | `boolean`           | `true` quando o store suporta editar nome/avatar (`updateProfile`). |
+ * | `avatarUploadSupported` | `boolean`           | `true` quando algum backend (drive OU media) pode armazenar o upload de avatar. |
+ * | `email`                 | `string`            | E-mail atual da conta (`''` se ausente). |
+ * | `name`                  | `string`            | Nome atual da conta (`''` se ausente). |
+ * | `avatarUrl`             | `string`            | URL do avatar atual (`''` se ausente). |
+ * | `passwordChanged`       | `string \| null`    | Flash de sucesso da troca de senha (mensagem localizada) ou `null`. |
+ * | `emailChangeRequested`  | `string \| null`    | Flash: link de confirmação de troca de e-mail enviado (ou cancelamento) ou `null`. |
+ * | `emailChanged`          | `string \| null`    | Flash: troca de e-mail concluída ou `null`. |
+ * | `profileUpdated`        | `string \| null`    | Flash: perfil atualizado ou `null`. |
+ * | `error`                 | `string \| null`    | Flash de erro de segurança (senha inválida, e-mail em uso, política violada) ou `null`. |
+ * | `trustedDevicesEnabled` | `boolean`           | `true` quando o recurso de dispositivos confiáveis está ligado. |
+ * | `trustedDevicesRevoked` | `string \| null`    | Flash: confiança deste navegador revogada ou `null`. |
+ * | `sessionsSupported`     | `boolean`           | `true` quando o adapter OIDC enumera as sessões ativas da conta. |
+ * | `sessions`              | `Array<{ loginTs: string; browser: string; os: string; ip: string; location: string }>` | Sessões ativas da própria conta (vazio quando não suportado). `loginTs` é ISO ou `''`. |
+ * | `exportSupported`       | `boolean`           | Sempre `true` — export de dados (portabilidade/LGPD) disponível para a conta logada. |
+ * | `deletionSupported`     | `boolean`           | `true` quando o store suporta hard delete (danger zone). |
+ * | `deleteError`           | `string \| null`    | Flash de erro da confirmação de deleção ou `null`. |
+ * | `messages`              | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/mfa`
+ *
+ * | Prop                | Tipo                | Descrição |
+ * |---------------------|---------------------|-----------|
+ * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
+ * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
+ * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
+ * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. |
+ * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/confirm` (sudo — confirmar identidade)
+ *
+ * | Prop          | Tipo                | Descrição |
+ * |---------------|---------------------|-----------|
+ * | `csrfToken`   | `string`            | Token CSRF para o POST de cada método. |
+ * | `returnTo`    | `string \| null`    | Caminho interno de destino após confirmar (validado pelo servidor) ou `null`. |
+ * | `error`       | `string \| null`    | Flash de erro da última tentativa de confirmação ou `null`. |
+ * | `notice`      | `string \| null`    | Flash informativo (ex.: "link de confirmação enviado") ou `null`. |
+ * | `methods`     | `Array<{ id: string; labelKey: string; kind: 'form' \| 'action' \| 'redirect' \| 'webauthn'; endpoint: string; fields?: Array<{ name: string; type: 'password' \| 'text'; labelKey: string }> }>` | Métodos de sudo disponíveis para a conta. A tela renderiza por `kind`; `endpoint` é o POST de verificação (`webauthn` pede options em `${endpoint}/options`). |
+ * | `preferredId` | `string \| null`    | `id` do último método usado (destaque na UI) ou `null`. |
+ * | `messages`    | `AuthMessages`      | Catálogo de mensagens i18n. |
+ *
+ * ### Props da tela `account/email-confirmed` (terminal do link de troca de e-mail)
+ *
+ * | Prop       | Tipo           | Descrição |
+ * |------------|----------------|-----------|
+ * | `ok`       | `boolean`      | `true` quando o token era válido e o novo e-mail foi aplicado; `false` para token inválido/expirado ou store sem suporte. A tela mostra sucesso ou falha conforme o valor. |
+ * | `messages` | `AuthMessages` | Catálogo de mensagens i18n. |
  */
 export function inertiaRenderer(opts) {
     const allowed = opts.views ? new Set(opts.views) : null;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "0.46.0",
+  "version": "0.47.0",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",