@adonis-agora/authkit-server 1.0.0-rc.14 → 1.0.0-rc.15

package/CHANGELOG.md

@@ -1,5 +1,13 @@
 # @adonis-agora/authkit-server
 
+## 1.0.0-rc.15
+
+### Patch Changes
+
+- [#477](https://github.com/DavideCarvalho/adonis-agora-authkit/pull/477) [`c17adde`](https://github.com/DavideCarvalho/adonis-agora-authkit/commit/c17addeef2bbc80a1fea41ab5b6848b37fad7f24) Thanks [@DavideCarvalho](https://github.com/DavideCarvalho)! - The `authkit:accounts:expire-scan --warn` inactivity warning now goes through the default mailer like every other built-in email: the `mail.onAccountExpirationWarning` hook still wins, otherwise it is sent in the host locale with the host branding (new `mail.account_expiration.*` messages, en + pt-BR) instead of a hardcoded English email.
+  
+  `branding` without `default` (or without `firstParty`) is now resolved once: the default brand falls back to `branding.company`, then `'AuthKit'`, the same precedence the mailer used. Screens without a known client (session expired, throttled, login/consent for an unlisted client) now show the company name and a theme accent instead of the generic fallback, and a missing `firstParty` no longer crashes the consent check. `BrandingConfigInput` makes both fields optional in `defineConfig`.
+
 ## 1.0.0-rc.14
 
 ### Patch Changes

package/build/index.d.ts

@@ -75,7 +75,7 @@ export { computeAdminStats } from './src/host/admin_stats_service.js';
 export { authkitUserProvider } from './src/host/adonis_auth_user_provider.js';
 export type { BotProtectionAction, BotProtectionConfigInput, BotProtectionSetting, BotProtectionVerifyInput, BotProtectionWidget, ResolvedBotProtectionConfig, } from './src/host/bot_protection.js';
 export { botProtectionApplies, DEFAULT_BOT_TOKEN_FIELDS, extractBotToken, guardBotProtection, resolveBotProtection, resolveEffectiveBotProtection, verifyBotProtection, } from './src/host/bot_protection.js';
-export type { BrandingConfig, ClientBrand } from './src/host/branding.js';
+export type { BrandingConfig, BrandingConfigInput, ClientBrand } from './src/host/branding.js';
 export { brandFor, isFirstParty, isFirstPartyClient } from './src/host/branding.js';
 export type { ApplicationType } from './src/host/client_metadata.js';
 export { assertClientMetadata, ClientMetadataError, redirectUriProblem, } from './src/host/client_metadata.js';

package/build/src/commands/expire_scan_command.d.ts

@@ -11,15 +11,20 @@
  *     queries ao audit, o que é compatível com volumes moderados (<= 50k contas).
  *     Para volumes maiores, o operador deve implementar um sink com agregação nativa.
  *   - `--warn`: envia e-mail de aviso ("sua conta expira em N dias — faça login") via
- *     hook `mail.onAccountExpirationWarning` + template default. Deduplicado via
- *     audit `account.expiration_warned` — não re-avisa quem já foi avisado dentro
- *     da janela de `warnDays` dias.
+ *     hook `mail.onAccountExpirationWarning` ou, sem ele, o mailer default (i18n +
+ *     branding). Deduplicado via audit `account.expiration_warned` — não re-avisa
+ *     quem já foi avisado dentro da janela de `warnDays` dias.
  *   - `--dry-run`: reporta sem enviar e-mails nem auditar.
  *   - `--json`: output machine-readable.
  *
  * Designed pra cron do host (ex.: `0 2 * * * node ace authkit:accounts:expire-scan --warn`).
  */
 import type { ApplicationService } from '@adonisjs/core/types';
+type ScanLogger = {
+    info: (m: string) => void;
+    warn: (m: string) => void;
+    error: (m: string) => void;
+};
 export interface ExpireScanResult {
     /** Contas já expiradas (bloqueadas no login). */
     expired: Array<{
@@ -52,9 +57,6 @@ export declare function runExpireScan(app: ApplicationService, opts: {
     dryRun?: boolean;
     warn?: boolean;
     json?: boolean;
-    logger: {
-        info: (m: string) => void;
-        warn: (m: string) => void;
-        error: (m: string) => void;
-    };
+    logger: ScanLogger;
 }): Promise<ExpireScanResult>;
+export {};

package/build/src/commands/expire_scan_command.js

@@ -11,22 +11,15 @@
  *     queries ao audit, o que é compatível com volumes moderados (<= 50k contas).
  *     Para volumes maiores, o operador deve implementar um sink com agregação nativa.
  *   - `--warn`: envia e-mail de aviso ("sua conta expira em N dias — faça login") via
- *     hook `mail.onAccountExpirationWarning` + template default. Deduplicado via
- *     audit `account.expiration_warned` — não re-avisa quem já foi avisado dentro
- *     da janela de `warnDays` dias.
+ *     hook `mail.onAccountExpirationWarning` ou, sem ele, o mailer default (i18n +
+ *     branding). Deduplicado via audit `account.expiration_warned` — não re-avisa
+ *     quem já foi avisado dentro da janela de `warnDays` dias.
  *   - `--dry-run`: reporta sem enviar e-mails nem auditar.
  *   - `--json`: output machine-readable.
  *
  * Designed pra cron do host (ex.: `0 2 * * * node ace authkit:accounts:expire-scan --warn`).
  */
-var __rewriteRelativeImportExtension = (this && this.__rewriteRelativeImportExtension) || function (path, preserveJsx) {
-    if (typeof path === "string" && /^\.\.?\//.test(path)) {
-        return path.replace(/\.(tsx)$|((?:\.d)?)((?:\.[^./]+?)?)\.([cm]?)ts$/i, function (m, tsx, d, ext, cm) {
-            return tsx ? preserveJsx ? ".jsx" : ".js" : d && (!ext || !cm) ? m : (d + ext + "." + cm.toLowerCase() + "js");
-        });
-    }
-    return path;
-};
+import { sendAccountExpirationWarningEmail } from '../host/default_mailer.js';
 import { RuntimeSettings, settingsLocation } from '../host/runtime_settings.js';
 import { resolveEffectiveAccountExpiration } from '../host/runtime_toggles.js';
 import { ADMIN_LIST_DEFAULT_SIZE, LIST_FIRST_PAGE } from '../pagination.js';
@@ -114,7 +107,7 @@ export async function runExpireScan(app, opts) {
                     }
                     else {
                         // Envia e-mail de aviso.
-                        await sendWarnEmail(cfg, account, daysUntilExpiry);
+                        await sendWarnEmail(cfg, account, daysUntilExpiry, logger);
                         // Audita para deduplicação.
                         await audit.record({
                             type: 'account.expiration_warned',
@@ -199,31 +192,38 @@ async function wasWarnedRecently(audit, accountId, warnDays) {
         return false;
     }
 }
-/** Envia e-mail de aviso de expiração iminente. Best-effort (silencioso em caso de erro). */
-async function sendWarnEmail(cfg, account, expiresInDays) {
+/**
+ * Envia o aviso de expiração iminente pelo MESMO caminho dos outros e-mails da lib: o hook
+ * `mail.onAccountExpirationWarning` do host tem prioridade; sem ele, o mailer default
+ * (`@adonisjs/mail`) com o locale e o branding do config resolvido. Best-effort: nunca
+ * propaga erros de e-mail (o scan segue para a próxima conta).
+ */
+async function sendWarnEmail(cfg, account, expiresInDays, logger) {
     try {
         if (cfg.mail?.onAccountExpirationWarning) {
             await cfg.mail.onAccountExpirationWarning({ email: account.email, expiresInDays });
             return;
         }
-        // Default: tenta via @adonisjs/mail se disponível.
-        const mailSpecifier = '@adonisjs/mail/services/main';
-        const mailMod = await import(__rewriteRelativeImportExtension(mailSpecifier)).catch(() => null);
-        const mail = mailMod?.default ?? null;
-        if (!mail)
-            return; // Sem mail configurado — silêncio.
-        await mail.send((message) => {
-            message
-                .to(account.email)
-                .subject('Your account will be deactivated due to inactivity')
-                .html(`<p>Your account will be deactivated in <strong>${expiresInDays} day(s)</strong> due to inactivity. Sign in to keep your account active.</p>`)
-                .text(`Your account will be deactivated in ${expiresInDays} day(s) due to inactivity. Sign in to keep your account active.`);
+        await sendAccountExpirationWarningEmail({ logger: mailLogger(logger) }, cfg, {
+            email: account.email,
+            expiresInDays,
         });
     }
     catch {
         // Best-effort: nunca propaga erros de e-mail.
     }
 }
+/** Adapta o logger do Ace (`info(msg)`) ao formato pino (`info(obj, msg)`) do mailer. */
+function mailLogger(logger) {
+    const format = (obj, msg) => typeof msg === 'string' ? `${msg} ${JSON.stringify(obj, errorReplacer)}` : String(obj);
+    return {
+        info: (obj, msg) => logger.info(format(obj, msg)),
+        error: (obj, msg) => logger.error(format(obj, msg)),
+    };
+}
+function errorReplacer(_key, value) {
+    return value instanceof Error ? value.message : value;
+}
 function emptyResult(dryRun, inactiveDays, warnDays, auditSupported = false) {
     return {
         expired: [],

package/build/src/define_config.d.ts

@@ -8,7 +8,7 @@ import type { AuditSink } from './audit/audit_sink.js';
 import type { ConsoleAuthorize } from './console_authorize.js';
 import { type EventsConfigInput } from './events/dispatcher.js';
 import { type BotProtectionConfigInput, type ResolvedBotProtectionConfig } from './host/bot_protection.js';
-import { type BrandingConfig } from './host/branding.js';
+import { type BrandingConfig, type BrandingConfigInput } from './host/branding.js';
 import { type PolicyRouteOption } from './host/config_locks.js';
 import type { CustomLoginMethods } from './host/custom_login.js';
 import type { CustomMfaMethods } from './host/custom_mfa.js';
@@ -959,8 +959,8 @@ export interface AuthServerConfigInput {
      * {@link InteractionRecoveryConfigInput}.
      */
     interactionRecovery?: InteractionRecoveryConfigInput;
-    /** Configuração de branding por cliente. */
-    branding?: BrandingConfig;
+    /** Configuração de branding por cliente (`default`/`firstParty` opcionais). */
+    branding?: BrandingConfigInput;
     /**
      * Allowlist dos clients FIRST-PARTY: quem recebe as claims de AUTORIZAÇÃO
      * (`<globalRolesClaim>`, `org_id`, `org_slug`, `org_role`) nos tokens.

package/build/src/host/branding.d.ts

@@ -15,13 +15,26 @@ export interface BrandingConfig {
     firstParty: string[];
     audienceLabels?: Record<string, string>;
 }
+/**
+ * O que o host declara em `defineConfig({ branding })`. `default` e `firstParty` são
+ * opcionais: sem `default` a marca de quem não tem client conhecido vem da `company`
+ * (ver {@link resolveDefaultBrand}); sem `firstParty`, nenhum client pula o consent.
+ */
+export type BrandingConfigInput = Omit<BrandingConfig, 'default' | 'firstParty'> & Partial<Pick<BrandingConfig, 'default' | 'firstParty'>>;
 /**
  * Resolve a config de branding: quando o host não declara `branding`, cai no
  * {@link DEFAULT_BRANDING} acima (tema neutro, sem clients customizados) em
  * vez de deixar `cfg.branding` como `undefined` — o que fazia a MENOR config
  * documentada (sem branding) quebrar a primeira tela de login/consent/signup.
  */
-export declare function resolveBranding(input: BrandingConfig | undefined): BrandingConfig;
+export declare function resolveBranding(input: BrandingConfigInput | undefined): BrandingConfig;
+/**
+ * A marca default de um host — o ÚNICO lugar que decide o nome/cor de quem não tem
+ * client conhecido (telas sem client, e-mails). Precedência do nome:
+ * `branding.default.appName` → `branding.company` → `'AuthKit'`; as cores caem no
+ * tema neutro. Tolera `branding` parcial/ausente (configs crus, fixtures).
+ */
+export declare function resolveDefaultBrand(branding: Partial<BrandingConfigInput> | undefined): BrandingConfig['default'];
 export declare function isFirstParty(cfg: BrandingConfig, clientId: string | undefined): boolean;
 /**
  * O client é FIRST-PARTY, ou seja, recebe as claims de autorização

package/build/src/host/branding.js

@@ -27,7 +27,36 @@ const DEFAULT_BRANDING = {
  * documentada (sem branding) quebrar a primeira tela de login/consent/signup.
  */
 export function resolveBranding(input) {
-    return input ?? DEFAULT_BRANDING;
+    if (!input)
+        return DEFAULT_BRANDING;
+    // Hosts declaram na prática só `company` + `clients` (sem `default`, às vezes sem
+    // `firstParty`). Sem normalizar, `brandFor` devolvia uma marca SEM `appName`/`accent`
+    // para todo fluxo sem client conhecido (console de conta, recuperação, throttle) — as
+    // telas caíam no fallback genérico enquanto os e-mails já usavam a `company` — e
+    // `isFirstParty` estourava em `firstParty.includes`.
+    return {
+        ...input,
+        clients: input.clients ?? {},
+        default: resolveDefaultBrand(input),
+        firstParty: input.firstParty ?? [],
+    };
+}
+/**
+ * A marca default de um host — o ÚNICO lugar que decide o nome/cor de quem não tem
+ * client conhecido (telas sem client, e-mails). Precedência do nome:
+ * `branding.default.appName` → `branding.company` → `'AuthKit'`; as cores caem no
+ * tema neutro. Tolera `branding` parcial/ausente (configs crus, fixtures).
+ */
+export function resolveDefaultBrand(branding) {
+    const declared = branding?.default;
+    const neutral = DEFAULT_BRANDING.default;
+    return {
+        ...declared,
+        appName: declared?.appName || branding?.company || neutral.appName,
+        accent: declared?.accent || neutral.accent,
+        accentSoft: declared?.accentSoft || declared?.accent || neutral.accentSoft,
+        tagline: declared?.tagline ?? neutral.tagline,
+    };
 }
 export function isFirstParty(cfg, clientId) {
     return !!clientId && cfg.firstParty.includes(clientId);

package/build/src/host/default_mailer.d.ts

@@ -155,6 +155,19 @@ export declare function sendOtpUnlockEmail(ctx: HttpContext, data: {
     email: string;
     unlockUrl: string;
 }, cfg?: ResolvedServerConfig): Promise<void>;
+/**
+ * Envia o aviso "sua conta será desativada por inatividade em N dias" pelo mailer
+ * default do host, com branding e i18n. Chamado pelo `authkit:accounts:expire-scan --warn`
+ * quando o host não define `mail.onAccountExpirationWarning` — fora de uma request, então
+ * aceita só um `{ logger }` (pino-like) no lugar do `HttpContext`, e o config resolvido
+ * vem do comando. Best-effort: sem `@adonisjs/mail` loga o aviso; nunca lança.
+ */
+export declare function sendAccountExpirationWarningEmail(ctx: HttpContext | {
+    logger: Pick<HttpContext['logger'], 'info' | 'error'>;
+}, cfg: ResolvedServerConfig, data: {
+    email: string;
+    expiresInDays: number;
+}): Promise<void>;
 /**
  * Sends the organization invitation email through the host default mailer.
  *

package/build/src/host/default_mailer.js

@@ -8,6 +8,7 @@ var __rewriteRelativeImportExtension = (this && this.__rewriteRelativeImportExte
 };
 import { getBootedApp } from '../../services/booted_app.js';
 import { accountPath } from './account_paths.js';
+import { resolveDefaultBrand } from './branding.js';
 import { renderTransactionalEmail } from './email_templates.js';
 import { resolveMessages, translate } from './i18n.js';
 import { authkitOrigin } from './origin.js';
@@ -130,12 +131,11 @@ async function resolveMailSettings(ctx, cfg) {
         return { brand: { appName: 'AuthKit' }, messages: resolveMessages(), locale: 'en' };
     }
     const branding = resolved.branding;
+    const defaultBrand = resolveDefaultBrand(branding);
     return {
         brand: {
-            // `branding.default` é opcional na prática (hosts declaram só `company` + `clients`):
-            // sem ele, o nome do app é a `company`.
-            appName: branding?.default?.appName || branding?.company || 'AuthKit',
-            accent: branding?.default?.accent,
+            appName: defaultBrand.appName,
+            accent: defaultBrand.accent,
             company: branding?.company,
         },
         messages: resolved.messages ?? resolveMessages(),
@@ -549,6 +549,39 @@ export async function sendOtpUnlockEmail(ctx, data, cfg) {
         ctx.logger.error({ err: error, email: data.email }, 'authkit: falha ao enviar e-mail de desbloqueio OTP');
     }
 }
+/**
+ * Envia o aviso "sua conta será desativada por inatividade em N dias" pelo mailer
+ * default do host, com branding e i18n. Chamado pelo `authkit:accounts:expire-scan --warn`
+ * quando o host não define `mail.onAccountExpirationWarning` — fora de uma request, então
+ * aceita só um `{ logger }` (pino-like) no lugar do `HttpContext`, e o config resolvido
+ * vem do comando. Best-effort: sem `@adonisjs/mail` loga o aviso; nunca lança.
+ */
+export async function sendAccountExpirationWarningEmail(ctx, cfg, data) {
+    const httpCtx = ctx;
+    try {
+        const settings = await resolveMailSettings(httpCtx, cfg);
+        const { brand, messages: t, locale } = settings;
+        const origin = authkitOrigin(cfg);
+        const content = renderTransactionalEmail({
+            brand,
+            locale,
+            linkFallback: translate(t, 'mail.common.link_fallback'),
+            subject: translate(t, 'mail.account_expiration.subject', { days: data.expiresInDays }),
+            heading: translate(t, 'mail.account_expiration.heading', { days: data.expiresInDays }),
+            intro: translate(t, 'mail.account_expiration.intro', { days: data.expiresInDays }),
+            ctaLabel: translate(t, 'mail.account_expiration.cta'),
+            ctaUrl: `${origin}${accountPath('login')}`,
+            footnote: translate(t, 'mail.account_expiration.fallback'),
+        });
+        const sent = await sendEmail(settings, data.email, content);
+        if (!sent) {
+            httpCtx.logger?.info({ email: data.email, expiresInDays: data.expiresInDays }, 'authkit: aviso de expiração por inatividade (dev — @adonisjs/mail ausente)');
+        }
+    }
+    catch (error) {
+        httpCtx.logger?.error({ err: error, email: data.email }, 'authkit: falha ao enviar aviso de expiração por inatividade');
+    }
+}
 /**
  * Sends the organization invitation email through the host default mailer.
  *

package/build/src/host/i18n.d.ts

@@ -629,6 +629,11 @@ export declare const DEFAULT_MESSAGES: {
     'mail.otp_unlock.intro': string;
     'mail.otp_unlock.cta': string;
     'mail.otp_unlock.fallback': string;
+    'mail.account_expiration.subject': string;
+    'mail.account_expiration.heading': string;
+    'mail.account_expiration.intro': string;
+    'mail.account_expiration.cta': string;
+    'mail.account_expiration.fallback': string;
     'account.confirm.page_title': string;
     'account.confirm.title': string;
     'account.confirm.intro': string;
@@ -1422,6 +1427,11 @@ export declare const PT_BR_MESSAGES: {
     'mail.otp_unlock.intro': string;
     'mail.otp_unlock.cta': string;
     'mail.otp_unlock.fallback': string;
+    'mail.account_expiration.subject': string;
+    'mail.account_expiration.heading': string;
+    'mail.account_expiration.intro': string;
+    'mail.account_expiration.cta': string;
+    'mail.account_expiration.fallback': string;
     'otp_unlock.page_title': string;
     'otp_unlock.ok_title': string;
     'otp_unlock.ok_body': string;

package/build/src/host/i18n.js

@@ -684,6 +684,12 @@ export const DEFAULT_MESSAGES = {
     'mail.otp_unlock.intro': 'Your two-factor authentication factor has been locked due to too many failed attempts. Click the button below to unlock it.',
     'mail.otp_unlock.cta': 'Unlock two-factor',
     'mail.otp_unlock.fallback': 'If you did not attempt to sign in, your account may be at risk — change your password immediately.',
+    // E-mail de aviso de expiração por inatividade (`authkit:accounts:expire-scan --warn`).
+    'mail.account_expiration.subject': 'Your account will be deactivated due to inactivity',
+    'mail.account_expiration.heading': 'Your account will be deactivated soon',
+    'mail.account_expiration.intro': 'Your account will be deactivated in {days} day(s) due to inactivity. Sign in to keep your account active.',
+    'mail.account_expiration.cta': 'Sign in',
+    'mail.account_expiration.fallback': 'If you no longer use this account, you can ignore this email and it will be deactivated.',
     // Tela de desbloqueio OTP (/auth/otp-unlock/:token).
     // Sudo mode (confirm identity — /account/confirm).
     'account.confirm.page_title': 'Confirm your identity',
@@ -1561,6 +1567,12 @@ export const PT_BR_MESSAGES = {
     'mail.otp_unlock.intro': 'Sua verificação em duas etapas foi bloqueada após muitas tentativas incorretas. Clique no botão abaixo para desbloquear.',
     'mail.otp_unlock.cta': 'Desbloquear verificação',
     'mail.otp_unlock.fallback': 'Se você não tentou fazer login, sua conta pode estar em risco — altere sua senha imediatamente.',
+    // E-mail de aviso de expiração por inatividade (pt-BR).
+    'mail.account_expiration.subject': 'Sua conta será desativada por inatividade',
+    'mail.account_expiration.heading': 'Sua conta será desativada em breve',
+    'mail.account_expiration.intro': 'Sua conta será desativada em {days} dia(s) por inatividade. Entre na sua conta para mantê-la ativa.',
+    'mail.account_expiration.cta': 'Entrar',
+    'mail.account_expiration.fallback': 'Se você não usa mais esta conta, pode ignorar este e-mail e ela será desativada.',
     // Tela de desbloqueio OTP (pt-BR).
     'otp_unlock.page_title': 'Desbloqueio da verificação em duas etapas',
     'otp_unlock.ok_title': 'Verificação em duas etapas desbloqueada',

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@adonis-agora/authkit-server",
-  "version": "1.0.0-rc.14",
+  "version": "1.0.0-rc.15",
   "description": "AdonisJS OIDC/OAuth2 provider (Identity Provider) toolkit: ejectable auth server with sessions, rate-limiting, MFA/TOTP, audit log, federated logout and OpenTelemetry metrics.",
   "license": "MIT",
   "author": "dudousxd",