@adonis-agora/authkit-server 0.47.0 → 0.48.0

package/build/src/host/impersonation.js

@@ -13,13 +13,7 @@ export function buildImpersonationPanel(cfg, targetId) {
     const auth = client.clientSecret
         ? `  -u '${client.clientId}:${client.clientSecret}' \\\n`
         : `  -d 'client_id=${client.clientId}' \\\n`;
-    const curl = `curl -X POST '${tokenEndpoint}' \\\n` +
-        auth +
-        `  -d 'grant_type=${TOKEN_EXCHANGE}' \\\n` +
-        `  -d 'subject_token=<ADMIN_ACCESS_TOKEN>' \\\n` +
-        `  -d 'subject_token_type=${ACCESS_TOKEN_TYPE}' \\\n` +
-        `  -d 'requested_subject=${targetId}' \\\n` +
-        `  -d 'scope=openid profile email'`;
+    const curl = `curl -X POST '${tokenEndpoint}' \\\n${auth}  -d 'grant_type=${TOKEN_EXCHANGE}' \\\n  -d 'subject_token=<ADMIN_ACCESS_TOKEN>' \\\n  -d 'subject_token_type=${ACCESS_TOKEN_TYPE}' \\\n  -d 'requested_subject=${targetId}' \\\n  -d 'scope=openid profile email'`;
     return {
         tokenEndpoint,
         grantType: TOKEN_EXCHANGE,

package/build/src/host/key_rotation_actions.d.ts

@@ -1,6 +1,6 @@
+import type { ManagedKeyInfo } from '../keys/keystore.js';
 import { type ResolvedKeyRotationSetting } from './key_rotation.js';
 import type { SettingsCapability } from './runtime_settings.js';
-import type { ManagedKeyInfo } from '../keys/keystore.js';
 /**
  * Ações compartilhadas de rotação de chave. Funções puras-ish que tanto a Admin
  * REST API (Bearer) quanto o console (sessão) chamam, evitando duplicar a lógica

package/build/src/host/login_attempt.js

@@ -1,6 +1,6 @@
 import { supportsAccountStatus, supportsEmailVerificationStatus, supportsPasswordExpiration, } from '../accounts/account_store.js';
 import { createAccountLockout } from './account_lockout.js';
-import { resolveEffectiveRequireVerifiedEmail, resolveEffectiveRequireVerifiedEmailFull, resolveEffectivePasswordExpiration, resolveEffectiveAccountExpiration, resolveEffectiveLockout, } from './runtime_toggles.js';
+import { resolveEffectiveAccountExpiration, resolveEffectiveLockout, resolveEffectivePasswordExpiration, resolveEffectiveRequireVerifiedEmail, resolveEffectiveRequireVerifiedEmailFull, } from './runtime_toggles.js';
 /**
  * `requireVerifiedEmail` efetivo (config ou runtime setting) E o store sabe dizer
  * se o e-mail está verificado E a conta NÃO está verificada → bloqueia.
@@ -97,7 +97,12 @@ export async function isAccountExpired(audit, accountId, settings, logger) {
         return false;
     try {
         // Busca o último login.success da conta (ordem desc, limit 1).
-        const result = await audit.list({ type: 'login.success', subject: accountId, page: 1, limit: 1 });
+        const result = await audit.list({
+            type: 'login.success',
+            subject: accountId,
+            page: 1,
+            limit: 1,
+        });
         if (result.data.length === 0) {
             // Nunca logou → considera ativa (conta nova, não inativa).
             return false;
@@ -163,7 +168,13 @@ export async function attemptPasswordLogin(cfg, input) {
     // de adivinhar senha).
     if (supportsAccountStatus(cfg.accountStore) && (await cfg.accountStore.isDisabled(account.id))) {
         await cfg.audit?.record(input.clientId !== undefined
-            ? { type: 'login.failure', email, ip, clientId: input.clientId, metadata: { reason: 'disabled' } }
+            ? {
+                type: 'login.failure',
+                email,
+                ip,
+                clientId: input.clientId,
+                metadata: { reason: 'disabled' },
+            }
             : { type: 'login.failure', email, ip, metadata: { reason: 'disabled' } });
         return { ok: false, locked: false, disabled: true };
     }
@@ -173,7 +184,13 @@ export async function attemptPasswordLogin(cfg, input) {
     if (await isEmailUnverifiedBlock(cfg, account.id, input.settings)) {
         await lockout.clearFailures(email);
         await cfg.audit?.record(input.clientId !== undefined
-            ? { type: 'login.failure', email, ip, clientId: input.clientId, metadata: { reason: 'unverified' } }
+            ? {
+                type: 'login.failure',
+                email,
+                ip,
+                clientId: input.clientId,
+                metadata: { reason: 'unverified' },
+            }
             : { type: 'login.failure', email, ip, metadata: { reason: 'unverified' } });
         return { ok: false, locked: false, unverified: true };
     }
@@ -186,7 +203,13 @@ export async function attemptPasswordLogin(cfg, input) {
             // Não é uma falha de credenciais — limpa o contador.
             await lockout.clearFailures(email);
             await cfg.audit?.record(input.clientId !== undefined
-                ? { type: 'password.expired_change_forced', accountId: account.id, email, ip, clientId: input.clientId }
+                ? {
+                    type: 'password.expired_change_forced',
+                    accountId: account.id,
+                    email,
+                    ip,
+                    clientId: input.clientId,
+                }
                 : { type: 'password.expired_change_forced', accountId: account.id, email, ip });
             return { ok: false, locked: false, passwordExpired: true, account: account };
         }
@@ -200,7 +223,13 @@ export async function attemptPasswordLogin(cfg, input) {
         if (expired) {
             await lockout.clearFailures(email);
             await cfg.audit?.record(input.clientId !== undefined
-                ? { type: 'account.expired_login_blocked', accountId: account.id, email, ip, clientId: input.clientId }
+                ? {
+                    type: 'account.expired_login_blocked',
+                    accountId: account.id,
+                    email,
+                    ip,
+                    clientId: input.clientId,
+                }
                 : { type: 'account.expired_login_blocked', accountId: account.id, email, ip });
             return { ok: false, locked: false, accountExpired: true };
         }

package/build/src/host/login_notify.js

@@ -1,4 +1,4 @@
-import { sendNewLoginEmail, sendNewDeviceLoginEmail } from './default_mailer.js';
+import { sendNewDeviceLoginEmail, sendNewLoginEmail } from './default_mailer.js';
 import { TRUSTED_DEVICE_COOKIE, isTrustedDeviceValid } from './trusted_device.js';
 /**
  * Centraliza o pós-login bem-sucedido: registra o evento `login.success` e dispara

package/build/src/host/otp_lockout.js

@@ -83,9 +83,7 @@ let limiterPromise;
 async function loadLimiter() {
     if (!limiterPromise) {
         const spec = '@adonisjs/limiter/services/main';
-        limiterPromise = import(__rewriteRelativeImportExtension(spec))
-            .then((m) => m.default ?? null)
-            .catch(() => null);
+        limiterPromise = import(__rewriteRelativeImportExtension(spec)).then((m) => m.default ?? null).catch(() => null);
     }
     return limiterPromise;
 }

package/build/src/host/rate_limit.js

@@ -78,7 +78,7 @@ export function createAuthThrottles(config) {
         // Introspecção de PAT: keyed pelo bearer secret quando presente, senão por IP.
         introspection: buildThrottle('authkit_pat_introspection', config.introspection, config.store, (ctx) => {
             const auth = ctx.request.header('authorization');
-            if (auth && auth.toLowerCase().startsWith('bearer ')) {
+            if (auth?.toLowerCase().startsWith('bearer ')) {
                 return `bearer:${auth.slice(7).trim()}`;
             }
             return undefined;

package/build/src/host/register_auth_host.d.ts

@@ -1,5 +1,6 @@
 import type { Router } from '@adonisjs/core/http';
 import type { AuthSocialConfig, RateLimitConfigInput } from '../define_config.js';
+import { type AccountPathsOptions } from './account_paths.js';
 import type { SudoMethod } from './sudo/types.js';
 /** Chave da sessão Adonis que registra o timestamp da última atividade (idle timeout). */
 export declare const ACCOUNT_LAST_SEEN_KEY = "authkit_last_seen";
@@ -154,6 +155,35 @@ export interface AuthHostOptions {
      * controllers de conta e a view `otp-unlock`. Ver `account_login_url.ts`.
      */
     accountLoginUrl?: string;
+    /**
+     * Prefixo e segmentos de tela CONFIGURÁVEIS/LOCALIZÁVEIS do console de conta
+     * (`/account/*`). Top-level (e não dentro de `account`) DE PROPÓSITO: mesmo
+     * com `account: false`, a lib continua montando as rotas de sudo
+     * (`/account/confirm*`) e a JSON API (`/account/api/*`) — o prefixo precisa
+     * valer para essa infraestrutura também, então ele não pode viver debaixo da
+     * flag que desmonta as telas navegáveis.
+     *
+     * - `prefix` troca o `/account` base (ex.: `'/conta'`).
+     * - `paths` traduz cada TELA navegável (ex.: `{ security: 'seguranca',
+     *   confirm: 'confirmar' }`).
+     *
+     * Só o prefixo e o segmento de tela são renomeáveis — os action-subpaths dos
+     * POSTs internos (`/password`, `/enroll`, `/passkeys/verify`, ...) e o
+     * segmento `api` da JSON API são FIXOS (endpoints de máquina, invisíveis ao
+     * usuário). Ver `account_paths.ts`.
+     *
+     * Ausente → tudo idêntico a hoje (`/account/...` — back-compat total).
+     *
+     * @example
+     * // Console em português: /conta/seguranca, /conta/confirmar, ...
+     * registerAuthHost(router, {
+     *   accountRoutes: {
+     *     prefix: '/conta',
+     *     paths: { security: 'seguranca', confirm: 'confirmar', mfa: 'mfa' },
+     *   },
+     * })
+     */
+    accountRoutes?: AccountPathsOptions;
 }
 /**
  * Flags de montagem por tela do console de conta. Cada campo ausente é `true`

package/build/src/host/register_auth_host.js

@@ -1,17 +1,18 @@
 import { resolveRateLimit } from '../define_config.js';
-import { createAuthThrottles } from './rate_limit.js';
-import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
 import { accountHome } from './account_home.js';
+import { getAccountLoginUrl, setAccountLoginUrl } from './account_login_url.js';
+import { accountPath, joinAccountPath, setAccountPaths, } from './account_paths.js';
 import { resolveAccountRoles } from './account_roles.js';
 import { adminApiGuard } from './admin_api/admin_api_guard.js';
-import { setAdminPrefix, normalizeAdminPrefix, setAdminApiPrefix, normalizeAdminApiPrefix, } from './admin_prefix.js';
+import { normalizeAdminApiPrefix, normalizeAdminPrefix, setAdminApiPrefix, setAdminPrefix, } from './admin_prefix.js';
+import { getAuthHostConfig } from './auth_host_config.js';
+import { ACCOUNT_SESSION_KEY } from './middleware/account_auth.js';
+import { createAuthThrottles } from './rate_limit.js';
 import { resolveRuntimeSettings } from './runtime_settings.js';
 import { resolveEffectiveSessionPolicy } from './runtime_toggles.js';
-import { getAuthHostConfig } from './auth_host_config.js';
-import { setAccountLoginUrl, getAccountLoginUrl } from './account_login_url.js';
-import { completeSudo, fail, guardSudoRoutes, sudoContextFrom, setMountedSudoMethods, } from './sudo/runtime.js';
-import { password as sudoPassword } from './sudo/methods/password.js';
 import { passkey as sudoPasskey } from './sudo/methods/passkey.js';
+import { password as sudoPassword } from './sudo/methods/password.js';
+import { completeSudo, fail, guardSudoRoutes, setMountedSudoMethods, sudoContextFrom, } from './sudo/runtime.js';
 /**
  * Métodos de sudo montados quando o host não passa `sudoMethods` —
  * comportamento histórico (senha + passkey).
@@ -201,10 +202,19 @@ export function registerAuthHost(router, opts = {}) {
     const social = opts.social ?? hostCfg?.social;
     const adminOpt = opts.admin ?? (hostCfg?.adminEnabled ? true : undefined);
     const adminApiOpt = opts.adminApi ?? (hostCfg?.adminApiEnabled ? true : undefined);
+    // Prefixo/segmentos configuráveis do console de conta — persiste no singleton
+    // de processo ANTES de qualquer construção de rota/closure, para que o registro
+    // de rotas, os guards, os controllers, os e-mails e as views leiam o mesmo
+    // valor. Top-level de propósito (vale mesmo com `account: false`): as rotas de
+    // sudo e a JSON API respeitam o prefixo. Ausente → default `/account/*`
+    // (back-compat). Ver `account_paths.ts`.
+    if (opts.accountRoutes !== undefined) {
+        setAccountPaths(opts.accountRoutes);
+    }
     // Destino do redirect de "faça login" — persiste no singleton de processo para
     // que os guards (closures de tempo de registro), o middleware, os controllers e
-    // as views leiam o mesmo valor. Só quando a opção foi passada (senão fica o
-    // default `/account/login` do singleton — back-compat).
+    // as views leiam o mesmo valor. Só quando a opção foi passada (senão deriva de
+    // `accountPath('login')` — back-compat).
     if (opts.accountLoginUrl !== undefined) {
         setAccountLoginUrl(opts.accountLoginUrl);
     }
@@ -266,7 +276,10 @@ export function registerAuthHost(router, opts = {}) {
     withLogin(router.post('/auth/interaction/:uid/login', [C.interaction, 'login']));
     withLogin(router.post('/auth/interaction/:uid/mfa', [C.interaction, 'mfaVerify']));
     // Troca de senha obrigatória quando a senha expirou (password expiration gate).
-    withLogin(router.post('/auth/interaction/:uid/password-expired', [C.interaction, 'changeExpiredPassword']));
+    withLogin(router.post('/auth/interaction/:uid/password-expired', [
+        C.interaction,
+        'changeExpiredPassword',
+    ]));
     // Passkey como 2º fator alternativo no login (begin/finish; challenge na sessão).
     router.post('/auth/interaction/:uid/passkey/options', [C.interaction, 'passkeyOptions']);
     withLogin(router.post('/auth/interaction/:uid/passkey/verify', [C.interaction, 'passkeyVerify']));
@@ -293,74 +306,90 @@ export function registerAuthHost(router, opts = {}) {
     }
     // PAT introspection (server-to-server).
     withIntrospection(router.post('/authkit/pat/introspect', [C.patIntrospection, 'handle']));
+    // Paths do console de conta (configuráveis/localizáveis via `accountRoutes`).
+    // As TELAS vêm de `accountPath(key)` (prefixo + segmento configurável); os
+    // action-subpaths concatenados (`/password`, `/enroll`, ...) são FIXOS —
+    // endpoints de formulário invisíveis ao usuário. A JSON API segue o prefixo
+    // com o segmento `api` FIXO. Capturados uma vez aqui: `setAccountPaths` já
+    // rodou no topo e o singleton não muda mais neste processo.
+    const loginPath = accountPath('login');
+    const logoutPath = accountPath('logout');
+    const securityPath = accountPath('security');
+    const tokensPath = accountPath('tokens');
+    const appsPath = accountPath('apps');
+    const mfaPath = accountPath('mfa');
+    const confirmPath = accountPath('confirm');
+    const orgsPath = accountPath('orgs');
+    const emailConfirmPath = accountPath('emailConfirm');
+    const apiBase = joinAccountPath('api');
     // Organizations — invitation accept (sem guard: controller lida com não-autenticado).
     // Parte da tela `orgs`: desmontada junto (sem multi-tenancy, não há convite a aceitar).
     if (mountOrgs) {
-        router.get('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'showAcceptInvitation']);
-        router.post('/account/orgs/invitations/:token/accept', [C.accountOrgs, 'acceptInvitation']);
+        router.get(`${orgsPath}/invitations/:token/accept`, [C.accountOrgs, 'showAcceptInvitation']);
+        router.post(`${orgsPath}/invitations/:token/accept`, [C.accountOrgs, 'acceptInvitation']);
     }
     // Console de conta (login de sessão do IdP + gerência de PAT).
     // Tela `login` desmontável: hosts passwordless delegam ao OIDC próprio e
     // apontam `accountLoginUrl` para a rota de login deles.
     if (mountLogin) {
-        router.get('/account/login', [C.accountSession, 'show']);
+        router.get(loginPath, [C.accountSession, 'show']);
         // L6: throttle por IP no login/logout do console de conta (anti-brute-force),
         // alinhado com as demais rotas de credencial (interaction, forgot, reset).
-        withLogin(router.post('/account/login', [C.accountSession, 'login']));
-        withLogin(router.post('/account/logout', [C.accountSession, 'logout']));
+        withLogin(router.post(loginPath, [C.accountSession, 'login']));
+        withLogin(router.post(logoutPath, [C.accountSession, 'logout']));
     }
     // Confirmação de troca de e-mail (standalone, GET-only — consome o token do link;
     // pode ser aberta em outro dispositivo, então NÃO exige sessão). Parte da tela
     // `security` (o terminal do fluxo de troca de e-mail).
     if (mountSecurity) {
-        router.get('/account/email/confirm', [C.accountSecurity, 'confirmEmail']);
+        router.get(emailConfirmPath, [C.accountSecurity, 'confirmEmail']);
     }
-    // Rotas de tokens protegidas por AccountAuthMiddleware (redireciona para /account/login se não autenticado).
+    // Rotas de tokens protegidas por AccountAuthMiddleware (redireciona para a tela de login se não autenticado).
     router
         .group(() => {
         // Personal Access Tokens (tela `tokens`).
         if (mountTokens) {
-            router.get('/account/tokens', [C.accountTokens, 'index']);
-            router.post('/account/tokens', [C.accountTokens, 'store']);
-            router.post('/account/tokens/:id/revoke', [C.accountTokens, 'destroy']);
+            router.get(tokensPath, [C.accountTokens, 'index']);
+            router.post(tokensPath, [C.accountTokens, 'store']);
+            router.post(`${tokensPath}/:id/revoke`, [C.accountTokens, 'destroy']);
         }
         // Segurança da conta: trocar senha + solicitar troca de e-mail + perfil (tela `security`).
         if (mountSecurity) {
-            router.get('/account/security', [C.accountSecurity, 'index']);
-            router.post('/account/security/password', [C.accountSecurity, 'changePassword']);
-            router.post('/account/security/email', [C.accountSecurity, 'changeEmail']);
-            router.post('/account/security/email/cancel', [C.accountSecurity, 'cancelEmailChange']);
-            router.post('/account/security/profile', [C.accountSecurity, 'updateProfile']);
+            router.get(securityPath, [C.accountSecurity, 'index']);
+            router.post(`${securityPath}/password`, [C.accountSecurity, 'changePassword']);
+            router.post(`${securityPath}/email`, [C.accountSecurity, 'changeEmail']);
+            router.post(`${securityPath}/email/cancel`, [C.accountSecurity, 'cancelEmailChange']);
+            router.post(`${securityPath}/profile`, [C.accountSecurity, 'updateProfile']);
             // LGPD/GDPR: export de dados (portabilidade) + deleção self-service (danger zone).
             // O export carrega o throttle de login (anti-abuso) quando o rate-limit existe.
-            withLogin(router.get('/account/security/export', [C.accountSecurity, 'exportData']));
-            router.post('/account/security/delete', [C.accountSecurity, 'deleteAccount']);
+            withLogin(router.get(`${securityPath}/export`, [C.accountSecurity, 'exportData']));
+            router.post(`${securityPath}/delete`, [C.accountSecurity, 'deleteAccount']);
             // Trusted devices: limpa o cookie de confiança DESTE navegador.
-            router.post('/account/security/trusted-devices/revoke', [
+            router.post(`${securityPath}/trusted-devices/revoke`, [
                 C.accountSecurity,
                 'revokeTrustedDevices',
             ]);
         }
         // Apps com acesso (consentimento): lista os grants da conta + revogação por client (tela `apps`).
         if (mountApps) {
-            router.get('/account/apps', [C.accountApps, 'index']);
-            router.post('/account/apps/:clientId/revoke', [C.accountApps, 'revoke']);
+            router.get(appsPath, [C.accountApps, 'index']);
+            router.post(`${appsPath}/:clientId/revoke`, [C.accountApps, 'revoke']);
         }
         // MFA — TOTP + passkeys (tela `mfa`).
         if (mountMfa) {
             // MFA / TOTP (enrollment, confirmação, disable).
-            router.get('/account/mfa', [C.accountMfa, 'index']);
-            router.post('/account/mfa/enroll', [C.accountMfa, 'enroll']);
-            router.post('/account/mfa/confirm', [C.accountMfa, 'confirm']);
-            router.post('/account/mfa/disable', [C.accountMfa, 'disable']);
+            router.get(mfaPath, [C.accountMfa, 'index']);
+            router.post(`${mfaPath}/enroll`, [C.accountMfa, 'enroll']);
+            router.post(`${mfaPath}/confirm`, [C.accountMfa, 'confirm']);
+            router.post(`${mfaPath}/disable`, [C.accountMfa, 'disable']);
             // MFA / WebAuthn (passkeys): registro (begin/finish) + remoção.
-            router.post('/account/mfa/passkeys/options', [C.accountMfa, 'passkeyRegisterOptions']);
-            router.post('/account/mfa/passkeys/verify', [C.accountMfa, 'passkeyRegisterVerify']);
-            router.post('/account/mfa/passkeys/:id/remove', [C.accountMfa, 'passkeyRemove']);
+            router.post(`${mfaPath}/passkeys/options`, [C.accountMfa, 'passkeyRegisterOptions']);
+            router.post(`${mfaPath}/passkeys/verify`, [C.accountMfa, 'passkeyRegisterVerify']);
+            router.post(`${mfaPath}/passkeys/:id/remove`, [C.accountMfa, 'passkeyRemove']);
         }
         // Sudo mode (confirm identity): o GET lista os métodos; cada método
         // registra suas próprias rotas de verificação (SPI `SudoMethod`).
-        router.get('/account/confirm', [C.accountConfirm, 'show']);
+        router.get(confirmPath, [C.accountConfirm, 'show']);
         // Rotas próprias dos métodos de sudo — DENTRO do grupo com `accountGuard`.
         // O guard não é só "tem sessão": ele roda `checkAndRefreshIdle`, que apaga
         // a sessão vencida por idle e refresca `authkit_last_seen`. Fora do grupo,
@@ -401,50 +430,55 @@ export function registerAuthHost(router, opts = {}) {
         // Organizations (multi-tenancy) — tela `orgs`. Montadas por default;
         // controller retorna 404/403 sem tabelas (capability-probed).
         if (mountOrgs) {
-            router.get('/account/orgs', [C.accountOrgs, 'index']);
-            router.post('/account/orgs', [C.accountOrgs, 'store']);
-            router.post('/account/orgs/deactivate', [C.accountOrgs, 'deactivate']);
-            router.post('/account/orgs/:id/activate', [C.accountOrgs, 'activate']);
-            router.post('/account/orgs/:id/leave', [C.accountOrgs, 'leave']);
-            router.post('/account/orgs/:id/invite', [C.accountOrgs, 'invite']);
-            router.post('/account/orgs/:id/members/:accountId/remove', [C.accountOrgs, 'removeMember']);
-            router.post('/account/orgs/:id/invitations/:invId/revoke', [C.accountOrgs, 'revokeInvitation']);
+            router.get(orgsPath, [C.accountOrgs, 'index']);
+            router.post(orgsPath, [C.accountOrgs, 'store']);
+            router.post(`${orgsPath}/deactivate`, [C.accountOrgs, 'deactivate']);
+            router.post(`${orgsPath}/:id/activate`, [C.accountOrgs, 'activate']);
+            router.post(`${orgsPath}/:id/leave`, [C.accountOrgs, 'leave']);
+            router.post(`${orgsPath}/:id/invite`, [C.accountOrgs, 'invite']);
+            router.post(`${orgsPath}/:id/members/:accountId/remove`, [C.accountOrgs, 'removeMember']);
+            router.post(`${orgsPath}/:id/invitations/:invId/revoke`, [
+                C.accountOrgs,
+                'revokeInvitation',
+            ]);
             // JSON endpoints for React hooks (authkit-react).
-            router.get('/account/orgs/json', [C.accountOrgs, 'listJson']);
-            router.get('/account/orgs/invitations/json', [C.accountOrgs, 'listInvitationsJson']);
-            router.get('/account/orgs/:id/json', [C.accountOrgs, 'showJson']);
+            router.get(`${orgsPath}/json`, [C.accountOrgs, 'listJson']);
+            router.get(`${orgsPath}/invitations/json`, [C.accountOrgs, 'listInvitationsJson']);
+            router.get(`${orgsPath}/:id/json`, [C.accountOrgs, 'showJson']);
         }
         // ─── Account self-service JSON API (authkit-react TanStack hooks) ─────
         // ⚠️ ORDER MATTERS: fixed-segment routes before parameterised ones.
         // Registered INSIDE the accountGuard group → same session-auth protection.
         // Mutating routes use CSRF (shield middleware on the host app).
-        router.get('/account/api/me', [C.accountApi, 'me']);
-        router.get('/account/api/security', [C.accountApi, 'securityOverview']);
-        router.patch('/account/api/profile', [C.accountApi, 'updateProfile']);
-        router.post('/account/api/password', [C.accountApi, 'changePassword']);
+        // Segue o prefixo do console (`accountRoutes.prefix`); o segmento `api` é
+        // FIXO — é contrato de máquina (authkit-react), não path de humano.
+        router.get(`${apiBase}/me`, [C.accountApi, 'me']);
+        router.get(`${apiBase}/security`, [C.accountApi, 'securityOverview']);
+        router.patch(`${apiBase}/profile`, [C.accountApi, 'updateProfile']);
+        router.post(`${apiBase}/password`, [C.accountApi, 'changePassword']);
         // Email-change: cancel BEFORE the generic post to avoid pattern collision.
-        router.post('/account/api/email-change/cancel', [C.accountApi, 'cancelEmailChange']);
-        router.post('/account/api/email-change', [C.accountApi, 'requestEmailChange']);
+        router.post(`${apiBase}/email-change/cancel`, [C.accountApi, 'cancelEmailChange']);
+        router.post(`${apiBase}/email-change`, [C.accountApi, 'requestEmailChange']);
         // Sessions: fixed routes BEFORE :id.
-        router.get('/account/api/sessions', [C.accountApi, 'listSessions']);
-        router.post('/account/api/sessions/revoke-others', [C.accountApi, 'revokeOtherSessions']);
-        router.post('/account/api/sessions/revoke-all', [C.accountApi, 'revokeAllSessions']);
-        router.delete('/account/api/sessions/:id', [C.accountApi, 'revokeSession']);
+        router.get(`${apiBase}/sessions`, [C.accountApi, 'listSessions']);
+        router.post(`${apiBase}/sessions/revoke-others`, [C.accountApi, 'revokeOtherSessions']);
+        router.post(`${apiBase}/sessions/revoke-all`, [C.accountApi, 'revokeAllSessions']);
+        router.delete(`${apiBase}/sessions/:id`, [C.accountApi, 'revokeSession']);
         // Apps (grants).
-        router.get('/account/api/apps', [C.accountApi, 'listApps']);
-        router.delete('/account/api/apps/:clientId', [C.accountApi, 'revokeApp']);
+        router.get(`${apiBase}/apps`, [C.accountApi, 'listApps']);
+        router.delete(`${apiBase}/apps/:clientId`, [C.accountApi, 'revokeApp']);
         // MFA + passkeys.
-        router.get('/account/api/mfa', [C.accountApi, 'mfaStatus']);
-        router.get('/account/api/passkeys', [C.accountApi, 'listPasskeys']);
-        router.delete('/account/api/passkeys/:id', [C.accountApi, 'removePasskey']);
+        router.get(`${apiBase}/mfa`, [C.accountApi, 'mfaStatus']);
+        router.get(`${apiBase}/passkeys`, [C.accountApi, 'listPasskeys']);
+        router.delete(`${apiBase}/passkeys/:id`, [C.accountApi, 'removePasskey']);
         // PATs.
-        router.get('/account/api/tokens', [C.accountApi, 'listTokens']);
-        router.post('/account/api/tokens', [C.accountApi, 'createToken']);
-        router.delete('/account/api/tokens/:id', [C.accountApi, 'revokeToken']);
+        router.get(`${apiBase}/tokens`, [C.accountApi, 'listTokens']);
+        router.post(`${apiBase}/tokens`, [C.accountApi, 'createToken']);
+        router.delete(`${apiBase}/tokens/:id`, [C.accountApi, 'revokeToken']);
         // Orgs: invitations BEFORE :id (fixed segment before parameterised).
-        router.get('/account/api/orgs', [C.accountApi, 'listOrgs']);
-        router.get('/account/api/orgs/invitations', [C.accountApi, 'listOrgInvitations']);
-        router.get('/account/api/orgs/:id', [C.accountApi, 'showOrg']);
+        router.get(`${apiBase}/orgs`, [C.accountApi, 'listOrgs']);
+        router.get(`${apiBase}/orgs/invitations`, [C.accountApi, 'listOrgInvitations']);
+        router.get(`${apiBase}/orgs/:id`, [C.accountApi, 'showOrg']);
     })
         .use([accountGuard]);
     // Console admin (do config.admin.enabled ou opts). Protegido pelo adminGuard (sessão + role global).
@@ -481,13 +515,19 @@ export function registerAuthHost(router, opts = {}) {
             router.post(`${ap}/api/sessions/revoke-all`, [C.consoleSessions, 'revokeAll']);
             // Sessões por usuário (drawer do user — ANTES do catch-all para não receber HTML).
             router.get(`${ap}/api/users/:id/sessions`, [C.consoleSessions, 'userSessions']);
-            router.post(`${ap}/api/users/:id/revoke-sessions`, [C.consoleSessions, 'userRevokeSessions']);
+            router.post(`${ap}/api/users/:id/revoke-sessions`, [
+                C.consoleSessions,
+                'userRevokeSessions',
+            ]);
             // Clients OIDC.
             router.get(`${ap}/api/clients`, [C.consoleClients, 'index']);
             router.post(`${ap}/api/clients`, [C.consoleClients, 'store']);
             router.patch(`${ap}/api/clients/:id`, [C.consoleClients, 'update']);
             router.delete(`${ap}/api/clients/:id`, [C.consoleClients, 'destroy']);
-            router.post(`${ap}/api/clients/:id/regenerate-secret`, [C.consoleClients, 'regenerateSecret']);
+            router.post(`${ap}/api/clients/:id/regenerate-secret`, [
+                C.consoleClients,
+                'regenerateSecret',
+            ]);
             // Roles.
             router.get(`${ap}/api/roles`, [C.consoleRoles, 'index']);
             router.post(`${ap}/api/roles`, [C.consoleRoles, 'store']);
@@ -506,7 +546,10 @@ export function registerAuthHost(router, opts = {}) {
             router.delete(`${ap}/api/orgs/:id/members/:accountId`, [C.consoleOrgs, 'removeMember']);
             // Convites.
             router.post(`${ap}/api/orgs/:id/invitations`, [C.consoleOrgs, 'createInvitation']);
-            router.delete(`${ap}/api/orgs/:id/invitations/:invitationId`, [C.consoleOrgs, 'revokeInvitation']);
+            router.delete(`${ap}/api/orgs/:id/invitations/:invitationId`, [
+                C.consoleOrgs,
+                'revokeInvitation',
+            ]);
             // Auditoria (capability-gated: 404 quando sink não suporta consulta).
             router.get(`${ap}/api/audit`, [C.consoleAudit, 'index']);
             // Settings.
@@ -574,7 +617,10 @@ export function registerAuthHost(router, opts = {}) {
             withApiThrottle(router.delete('/organizations/:id/members/:accountId', [C.apiOrgs, 'removeMember']));
             withApiThrottle(router.patch('/organizations/:id/members/:accountId', [C.apiOrgs, 'updateMemberRole']));
             withApiThrottle(router.post('/organizations/:id/invitations', [C.apiOrgs, 'createInvitation']));
-            withApiThrottle(router.delete('/organizations/:id/invitations/:invitationId', [C.apiOrgs, 'revokeInvitation']));
+            withApiThrottle(router.delete('/organizations/:id/invitations/:invitationId', [
+                C.apiOrgs,
+                'revokeInvitation',
+            ]));
             // Auditoria + métricas + verificação de token.
             withApiThrottle(router.get('/audit', [C.apiMisc, 'audit']));
             withApiThrottle(router.get('/stats', [C.apiMisc, 'stats']));

package/build/src/host/renderers/edge_renderer.js

@@ -1,5 +1,6 @@
-import { DEFAULT_MESSAGES, translate } from '../i18n.js';
 import { getAccountLoginUrl } from '../account_login_url.js';
+import { accountPathsMap } from '../account_paths.js';
+import { DEFAULT_MESSAGES, translate } from '../i18n.js';
 /**
  * Resolve o catálogo de mensagens ativo a partir do `authkit.server` (config
  * resolvida com o locale do host). Defensivo: se o container/serviço não estiver
@@ -33,7 +34,19 @@ export async function renderEdgeView(ctx, view, props) {
     // usam o destino configurável (`accountLoginUrl`) em vez do `/account/login` fixo,
     // que pode estar desmontado. Props explícitas ainda têm precedência (spread depois).
     const loginUrl = getAccountLoginUrl();
-    return ctx.view.render(`authkit::${view}`, { loginUrl, ...props, t, messages });
+    // `accountPaths` como prop global: os `<form action>`/`fetch()` das views do
+    // console de conta (security, mfa, tokens, apps, orgs, ...) derivam o path de
+    // cada tela daqui, respeitando o prefixo/segmentos configurados via
+    // `accountRoutes` — sem cada view conhecer o prefixo. Os action-subpaths
+    // fixos (`/password`, `/passkeys/verify`, ...) são concatenados na própria view.
+    const accountPaths = accountPathsMap();
+    return ctx.view.render(`authkit::${view}`, {
+        loginUrl,
+        accountPaths,
+        ...props,
+        t,
+        messages,
+    });
 }
 /** Renderer do seam para hosts Edge. As views são donas-da-lib (disco `authkit::`). */
 export function edgeRenderer() {

package/build/src/host/renderers/inertia_renderer.d.ts

@@ -94,13 +94,21 @@ export type AuthkitScreen = 'login' | 'signup' | 'consent' | 'forgot' | 'reset'
  *
  * ### Props da tela `account/mfa`
  *
+ * As props variam por action: `index` manda o estado base; `enroll` acrescenta
+ * `enrolling`/`secret`/`qrDataUrl` (passo do QR); `confirm` com código inválido
+ * reenvia `enrolling: true` + `error` (sem regenerar o segredo).
+ *
  * | Prop                | Tipo                | Descrição |
  * |---------------------|---------------------|-----------|
  * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
  * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
  * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
  * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
- * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. Presente em `index`. |
+ * | `enrolling`         | `boolean \| undefined` | `true` no passo de enrollment (após `POST /mfa/enroll` e na reexibição do `confirm` com código inválido) — a tela mostra o QR/segredo e o campo de código. Ausente em `index`. |
+ * | `secret`            | `string \| null \| undefined` | Segredo TOTP em texto (base32) para entrada manual, exibido no passo de enroll. `null` na reexibição do `confirm` (o segredo pendente NÃO é regenerado). Ausente em `index`. |
+ * | `qrDataUrl`         | `string \| null \| undefined` | QR code do `otpauth://` como data-URL (`<img src>`), no passo de enroll. `null` na reexibição do `confirm`. Ausente em `index`. |
+ * | `error`             | `string \| undefined` | Mensagem de erro localizada (ex.: código TOTP inválido no `confirm`). Ausente quando não há erro. |
  * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
  *
  * ### Props da tela `account/confirm` (sudo — confirmar identidade)

package/build/src/host/renderers/inertia_renderer.js

@@ -65,13 +65,21 @@ async function resolveMessagesFromCtx(ctx) {
  *
  * ### Props da tela `account/mfa`
  *
+ * As props variam por action: `index` manda o estado base; `enroll` acrescenta
+ * `enrolling`/`secret`/`qrDataUrl` (passo do QR); `confirm` com código inválido
+ * reenvia `enrolling: true` + `error` (sem regenerar o segredo).
+ *
  * | Prop                | Tipo                | Descrição |
  * |---------------------|---------------------|-----------|
  * | `csrfToken`         | `string`            | Token CSRF para os formulários de enroll/confirm/disable e passkeys. |
  * | `enabled`           | `boolean`           | `true` quando o TOTP já está confirmado (habilitado) para a conta. |
  * | `recoveryCodes`     | `string[] \| null`  | Códigos de recuperação recém-gerados (exibidos UMA vez após enroll/confirm) ou `null`. |
  * | `passkeysSupported` | `boolean`           | `true` quando o store persiste credenciais WebAuthn (passkeys). |
- * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. |
+ * | `passkeys`          | `Array<{ id: string; label?: string; createdAt: string }>` | Passkeys cadastradas (vazio quando não suportado). `id` é base64url; `createdAt` é ISO. Presente em `index`. |
+ * | `enrolling`         | `boolean \| undefined` | `true` no passo de enrollment (após `POST /mfa/enroll` e na reexibição do `confirm` com código inválido) — a tela mostra o QR/segredo e o campo de código. Ausente em `index`. |
+ * | `secret`            | `string \| null \| undefined` | Segredo TOTP em texto (base32) para entrada manual, exibido no passo de enroll. `null` na reexibição do `confirm` (o segredo pendente NÃO é regenerado). Ausente em `index`. |
+ * | `qrDataUrl`         | `string \| null \| undefined` | QR code do `otpauth://` como data-URL (`<img src>`), no passo de enroll. `null` na reexibição do `confirm`. Ausente em `index`. |
+ * | `error`             | `string \| undefined` | Mensagem de erro localizada (ex.: código TOTP inválido no `confirm`). Ausente quando não há erro. |
  * | `messages`          | `AuthMessages`      | Catálogo de mensagens i18n. |
  *
  * ### Props da tela `account/confirm` (sudo — confirmar identidade)

package/build/src/host/runtime_settings.js

@@ -50,7 +50,7 @@
  * );
  * ```
  */
-import { isSettingLocked, SettingLockedError } from './config_locks.js';
+import { SettingLockedError, isSettingLocked } from './config_locks.js';
 /**
  * Type guard: o objeto (store ou serviço) expõe SettingsCapability?
  */

package/build/src/host/runtime_toggles.d.ts

@@ -65,7 +65,7 @@ export interface RegistrationSetting {
  * FAIL-SAFE: `getSetting` nunca lança (contrato do RuntimeSettings). Se
  * retornar null, usamos configDefault.
  */
-export declare function resolveEffectiveRegistration(configDefault: boolean | undefined, settings: SettingsCapability): Promise<boolean>;
+export declare function resolveEffectiveRegistration(configDefault: boolean, settings: SettingsCapability): Promise<boolean>;
 /**
  * Shape da setting `require_verified_email` em `auth_settings`.
  *
@@ -96,14 +96,14 @@ export interface ResolvedRequireVerifiedEmail {
  *   - setting presente → sobrescreve.
  *   - setting ausente/inválido/erro → usa configDefault.
  */
-export declare function resolveEffectiveRequireVerifiedEmail(configDefault: boolean | undefined, settings: SettingsCapability): Promise<boolean>;
+export declare function resolveEffectiveRequireVerifiedEmail(configDefault: boolean, settings: SettingsCapability): Promise<boolean>;
 /**
  * Resolve o valor efetivo COMPLETO de `require_verified_email` incluindo
  * `graceDays`. Usado pelo gate de login para implementar a janela de graça.
  *
  * FAIL-SAFE: qualquer erro → `{ enabled: configDefault, graceDays: 0 }`.
  */
-export declare function resolveEffectiveRequireVerifiedEmailFull(configDefault: boolean | undefined, settings: SettingsCapability): Promise<ResolvedRequireVerifiedEmail>;
+export declare function resolveEffectiveRequireVerifiedEmailFull(configDefault: boolean, settings: SettingsCapability): Promise<ResolvedRequireVerifiedEmail>;
 /**
  * Shape da setting `maintenance_mode` em `auth_settings`.
  *