@cat-factory/app 0.200.3 → 0.201.0

package/i18n/locales/es.json

@@ -2269,7 +2269,7 @@
       "action": "Elegir predeterminado"
     },
     "accountFoundational": {
-      "intro": "Las capacidades compartidas que esta organización ya opera - almacenamiento de archivos, notificaciones, auditoría - con sus contratos de API. Todos los tableros las heredan, y a un arquitecto se le indica que las consuma en lugar de proponer reconstruirlas."
+      "intro": "Las capacidades compartidas que esta organización ya opera - almacenamiento de archivos, notificaciones, auditoría - con sus contratos de API. Todos los tableros las heredan, y a un arquitecto se le indica que las consuma en lugar de proponer reconstruirlas. Los servicios que este despliegue registra en código también se heredan aquí, y se pueden sobrescribir por id o excluir abajo."
     }
   },
   "settings": {
@@ -2380,7 +2380,10 @@
         "warningsTitle": "Carencias en esta configuración",
         "warnings": {
           "runner_manifest_no_release": "Sin plantilla de release: al cancelar una ejecución no se puede indicar al pool que detenga su trabajo, así que un trabajo huérfano ocupa su runner hasta que el pool lo recupere por su cuenta.",
-          "runner_manifest_no_status_path": "Sin ruta de estado: cada sondeo se interpreta como todavía en ejecución, así que un trabajo solo puede terminar agotando el presupuesto de sondeo de la ejecución."
+          "runner_manifest_no_status_path": "Sin ruta de estado: cada sondeo se interpreta como todavía en ejecución, así que un trabajo solo puede terminar agotando el presupuesto de sondeo de la ejecución.",
+          "github_pat_classic_account_wide": "Es un token clásico con el ámbito 'repo': alcanza todos los repositorios a los que puedes hacer push, incluidos aquellos donde nunca se instaló la App de GitHub de este espacio de trabajo. Las ejecuciones que inicias lo usan con preferencia sobre la App. Un token granular limitado a los repositorios de esta instalación es más estrecho.",
+          "github_pat_scopes_beyond_need": "Este token concede permisos que cat-factory nunca usa. Quitarlos no cuesta nada y reduce lo que podría alcanzar una ejecución comprometida.",
+          "github_pat_scope_unreadable": "GitHub aceptó este token pero no informó de sus ámbitos, así que aquí no se puede mostrar su alcance. Comprueba lo que concede en la configuración de tokens de GitHub."
         }
       },
       "toast": {
@@ -2539,6 +2542,7 @@
       "optionalField": "{label} (opcional)",
       "testConnection": "Probar conexión",
       "tokenValid": "Token válido",
+      "tokenReachTitle": "Qué alcanza este token",
       "tokenRejected": "Token rechazado",
       "secretFallback": "Secreto",
       "toast": {
@@ -2980,6 +2984,13 @@
         "body": "Al completarse cada ejecución, el agente Kaizen evalúa cómo fue cada paso del agente, desde fluido y eficiente hasta confuso y caótico, y recomienda mejoras de prompt/modelo. Una combinación de prompt + agente + modelo que obtiene una buena nota sin recomendaciones cinco veces seguidas se marca como verificada y deja de evaluarse. La evaluación se ejecuta en segundo plano y se muestra en los detalles de la ejecución y en la pantalla de Kaizen. Configura el modelo del evaluador en Configuración de modelos (el agente \"Kaizen\").",
         "toggle": "Evaluar ejecuciones de agentes con Kaizen"
       },
+      "runCredential": {
+        "heading": "Credencial de ejecución",
+        "body": "De forma predeterminada, una ejecución se autentica con el token de acceso personal de quien la inició, si esa persona guardó uno, de modo que los pushes y las solicitudes de incorporación se le atribuyen. El alcance de su token es el que ella misma le concedió, a menudo mayor que los repositorios que cubre la instalación de la App de GitHub de este espacio de trabajo. Desactiva esta opción para que cada ejecución se autentique como la instalación de la App.",
+        "toggle": "Permitir que las ejecuciones actúen como quien las inicia",
+        "offHint": "Las ejecuciones harán push y abrirán solicitudes de incorporación como la App de GitHub, no como quien las inició.",
+        "accountFloorNote": "Una política de toda la cuenta puede prohibirlo para todos los tableros; si hay una definida, las ejecuciones aquí usarán la App de GitHub sin importar este interruptor."
+      },
       "metadata": {
         "heading": "Metadatos del espacio de trabajo",
         "body": "Valores de los campos personalizados que define esta instalación. Las herramientas externas los leen para abrirse en el proyecto correcto de este espacio de trabajo.",
@@ -3282,6 +3293,15 @@
         "saveFailed": "No se pudo guardar el grupo de consenso",
         "deleteFailed": "No se pudo eliminar el grupo de consenso"
       }
+    },
+    "runCredentialPolicy": {
+      "heading": "Política de credenciales de ejecución",
+      "body": "Un tablero puede permitir que una ejecución se autentique con el token de acceso personal de quien la inició. Resulta útil y, para una sola persona dentro de una organización que no ha adoptado cat-factory, suele ser la única opción. Pero un token personal alcanza todo lo que su propietario le concedió, normalmente más que la instalación de la App de GitHub de esta cuenta, y quien administre un tablero puede volver a activar su interruptor. Prohíbelo aquí y ningún tablero de esta cuenta podrá hacerlo.",
+      "toggle": "Prohibir que las ejecuciones usen el token de acceso personal de quien las inicia",
+      "onHint": "Todas las ejecuciones de esta cuenta se autenticarán como la instalación de la App de GitHub. Los envíos y las solicitudes de incorporación vendrán de la aplicación y no de la persona que inició la ejecución.",
+      "offHint": "Sin definir: cada tablero decide por sí mismo. Los tableros existentes conservan lo que hayan elegido.",
+      "saved": "Política de credenciales de ejecución guardada",
+      "saveFailed": "No se pudo guardar la política de credenciales de ejecución"
     }
   },
   "providers": {
@@ -5191,6 +5211,7 @@
       "subtitle": "Las capacidades compartidas que tu organización ya opera, para que un diseño las consuma en lugar de reconstruirlas."
     },
     "tier": {
+      "builtin": "Despliegue",
       "account": "Cuenta",
       "workspace": "Tablero"
     },
@@ -5201,6 +5222,8 @@
     },
     "contracts": {
       "omitted": "+{count} más sin listar",
+      "notIndexed": "las operaciones no se indexan para este formato; abre el documento",
+      "noOperations": "no declara operaciones",
       "none": "No hay contrato de API adjunto. Al agente se le dirá que la interfaz es desconocida en lugar de dejar que la adivine."
     },
     "catalog": {
@@ -5211,8 +5234,14 @@
       "hideDocuments": "Ocultar documentos de contrato"
     },
     "suppressions": {
-      "title": "Excluidos en este tablero",
-      "intro": "Estos servicios de la cuenta están ocultos para los diseños de este tablero. No se ha borrado nada y la cuenta los conserva para los demás tableros.",
+      "title": {
+        "workspace": "Excluidos en este tablero",
+        "account": "Excluidos en esta cuenta"
+      },
+      "intro": {
+        "workspace": "Estos servicios heredados están ocultos para los diseños de este tablero. No se ha borrado nada y los demás tableros los conservan.",
+        "account": "Estos servicios registrados por este despliegue están ocultos para los diseños de todos los tableros de esta cuenta. No se ha borrado nada y las demás cuentas los conservan."
+      },
       "restore": "Volver a ofrecer",
       "shadowsNothing": "Ahora mismo no se hereda nada con este id, así que esta exclusión no oculta nada."
     },
@@ -5305,6 +5334,7 @@
       "synced": "Sincronizado: {updated} actualizados, {removed} eliminados",
       "syncSkipped": "{count} archivo parecía un contrato pero no se pudo usar. | {count} archivos parecían contratos pero no se pudieron usar.",
       "syncTruncated": "La carpeta contiene más de lo que cabe en una sincronización, así que solo se leyó una parte.",
+      "syncFolderMissing": "La carpeta enlazada no está en el repositorio. Revisa la ruta o vuelve a enlazar la fuente si se movió.",
       "syncFailed": "No se pudo sincronizar el repositorio",
       "changesAvailable": "Hay cambios en el origen",
       "upToDate": "Ya está actualizado",
@@ -6054,6 +6084,29 @@
       "title": "Conecta cat-factory con {provider}",
       "titleAny": "Conecta cat-factory con tus repositorios",
       "intro": "cat-factory funciona abriendo solicitudes de incorporación de cambios en tus repositorios. Conecta tu proveedor de repositorios para continuar."
+    },
+    "branchProtection": {
+      "heading": "Protección de la rama predeterminada",
+      "body": "Las ejecuciones de agentes hacen push con una credencial que puede escribir en todos los repositorios que cubre. Nada de lo que hay aquí impide que una ejecución comprometida haga push directamente a una rama predeterminada, ni que fusione su propia solicitud de incorporación mediante la API del host: solo la protección de ramas en el host cubre ambos casos, y la configuras tú. Esta comprobación indica si está activa.",
+      "check": "Comprobar la protección",
+      "allProtected": "La rama predeterminada de cada repositorio vinculado está protegida.",
+      "exposed": "{count} repositorio tiene la rama predeterminada sin proteger. | {count} repositorios tienen la rama predeterminada sin proteger.",
+      "unavailable": "El proveedor conectado no puede informar de la protección de ramas, así que esta comprobación no dice nada: no es un resultado limpio.",
+      "omitted": "No se comprobó {count} repositorio vinculado más. | No se comprobaron {count} repositorios vinculados más.",
+      "state": {
+        "protected": "Protegida",
+        "unprotected": "Sin proteger",
+        "unknown": "Desconocida"
+      },
+      "unprotectedHint": "la credencial de una ejecución puede hacer push aquí directamente y fusionar su propia solicitud de incorporación",
+      "detailUnavailable": "protegida, pero no se pudo leer la regla: puede seguir permitiendo pushes directos",
+      "requiresPr": "solicitud de incorporación obligatoria, {reviews} revisión(es) de aprobación, {checks} comprobación(es) obligatoria(s)",
+      "noPrRequired": "protegida, pero no exige solicitud de incorporación",
+      "unknownReason": {
+        "branch_not_found": "no se encontró la rama predeterminada: la proyección del repositorio puede estar obsoleta",
+        "forbidden": "la credencial no tiene permiso para leer las ramas de este repositorio",
+        "error": "no se pudo contactar con el host"
+      }
     }
   },
   "tutorial": {

package/i18n/locales/fr.json

@@ -2269,7 +2269,7 @@
       "action": "Choisir la valeur par défaut"
     },
     "accountFoundational": {
-      "intro": "Les capacités partagées que cette organisation exploite déjà - stockage de fichiers, notifications, audit - avec leurs contrats d'API. Chaque tableau en hérite, et il est demandé à un architecte de les consommer plutôt que de proposer de les reconstruire."
+      "intro": "Les capacités partagées que cette organisation exploite déjà - stockage de fichiers, notifications, audit - avec leurs contrats d'API. Chaque tableau en hérite, et il est demandé à un architecte de les consommer plutôt que de proposer de les reconstruire. Les services que ce déploiement enregistre dans le code sont également hérités ici : ils peuvent être remplacés par identifiant ou écartés ci-dessous."
     }
   },
   "settings": {
@@ -2380,7 +2380,10 @@
         "warningsTitle": "Lacunes dans cette configuration",
         "warnings": {
           "runner_manifest_no_release": "Aucun modèle de release : annuler une exécution ne permet pas de demander au pool d'arrêter son job, donc un job orphelin occupe son runner jusqu'à ce que le pool le récupère de lui-même.",
-          "runner_manifest_no_status_path": "Aucun chemin de statut : chaque interrogation est lue comme toujours en cours, donc un job ne peut se terminer qu'en épuisant le budget d'interrogation de l'exécution."
+          "runner_manifest_no_status_path": "Aucun chemin de statut : chaque interrogation est lue comme toujours en cours, donc un job ne peut se terminer qu'en épuisant le budget d'interrogation de l'exécution.",
+          "github_pat_classic_account_wide": "Il s'agit d'un jeton classique avec la portée 'repo' : il atteint tous les dépôts sur lesquels vous pouvez pousser, y compris ceux où l'App GitHub de cet espace de travail n'a jamais été installée. Les exécutions que vous lancez l'utilisent de préférence à l'App. Un jeton à portée fine, limité aux dépôts de cette installation, est plus restreint.",
+          "github_pat_scopes_beyond_need": "Ce jeton accorde des permissions que cat-factory n'utilise jamais. Les retirer ne coûte rien et réduit ce qu'une exécution compromise pourrait atteindre.",
+          "github_pat_scope_unreadable": "GitHub a accepté ce jeton mais n'a signalé aucune portée, sa portée ne peut donc pas être affichée ici. Vérifiez ce qu'il accorde dans vos paramètres de jetons GitHub."
         }
       },
       "toast": {
@@ -2539,6 +2542,7 @@
       "optionalField": "{label} (facultatif)",
       "testConnection": "Tester la connexion",
       "tokenValid": "Jeton valide",
+      "tokenReachTitle": "Ce que ce jeton atteint",
       "tokenRejected": "Jeton rejeté",
       "secretFallback": "Secret",
       "toast": {
@@ -2980,6 +2984,13 @@
         "body": "À la fin de chaque exécution, l'agent Kaizen évalue le déroulement de chaque étape de l'agent, de fluide et efficace à confus et chaotique, et recommande des améliorations de prompt/modèle. Une combinaison prompt + agent + modèle bien notée sans recommandation cinq fois de suite est marquée comme vérifiée et n'est plus évaluée. L'évaluation s'exécute en arrière-plan et s'affiche dans les détails de l'exécution et l'écran Kaizen. Définissez le modèle de l'évaluateur dans Configuration des modèles (l'agent \"Kaizen\").",
         "toggle": "Évaluer les exécutions d'agents avec Kaizen"
       },
+      "runCredential": {
+        "heading": "Identifiant d'exécution",
+        "body": "Par défaut, une exécution s'authentifie avec le jeton d'accès personnel de la personne qui l'a lancée, si elle en a enregistré un, de sorte que les poussées et les demandes de tirage lui sont attribuées. La portée de son jeton est celle qu'elle lui a accordée, souvent plus large que les dépôts couverts par l'installation de l'App GitHub de cet espace de travail. Désactivez cette option pour que chaque exécution s'authentifie plutôt comme l'installation de l'App.",
+        "toggle": "Laisser les exécutions agir au nom de la personne qui les lance",
+        "offHint": "Les exécutions pousseront et ouvriront des demandes de tirage en tant qu'App GitHub, et non au nom de la personne qui les a lancées.",
+        "accountFloorNote": "Une politique à l’échelle du compte peut l’interdire pour tous les tableaux ; si elle est définie, les exécutions ici utilisent l’App GitHub quel que soit cet interrupteur."
+      },
       "metadata": {
         "heading": "Métadonnées de l'espace de travail",
         "body": "Valeurs des champs personnalisés définis par ce déploiement. Les outils externes les lisent pour s'ouvrir sur le bon projet pour cet espace de travail.",
@@ -3282,6 +3293,15 @@
         "saveFailed": "Impossible d'enregistrer le groupe de consensus",
         "deleteFailed": "Impossible de supprimer le groupe de consensus"
       }
+    },
+    "runCredentialPolicy": {
+      "heading": "Politique d’identifiants d’exécution",
+      "body": "Un tableau peut laisser une exécution s’authentifier avec le jeton d’accès personnel de la personne qui l’a lancée. C’est utile et, pour une personne seule au sein d’une organisation qui n’a pas adopté cat-factory, c’est souvent la seule option. Mais un jeton personnel atteint tout ce que son propriétaire lui a accordé, généralement plus que l’installation de l’App GitHub de ce compte, et l’administration d’un tableau peut réactiver son propre interrupteur. Interdisez-le ici et aucun tableau de ce compte ne le pourra.",
+      "toggle": "Interdire aux exécutions d’utiliser le jeton d’accès personnel de leur initiateur",
+      "onHint": "Toutes les exécutions de ce compte s’authentifieront en tant qu’installation de l’App GitHub. Les poussées et les demandes de tirage proviendront de l’application et non de la personne ayant lancé l’exécution.",
+      "offHint": "Non défini : chaque tableau décide pour lui-même. Les tableaux existants conservent leur choix.",
+      "saved": "Politique d’identifiants d’exécution enregistrée",
+      "saveFailed": "Impossible d’enregistrer la politique d’identifiants d’exécution"
     }
   },
   "providers": {
@@ -5191,6 +5211,7 @@
       "subtitle": "Les capacités partagées que votre organisation exploite déjà, pour qu'une conception les consomme au lieu de les reconstruire."
     },
     "tier": {
+      "builtin": "Déploiement",
       "account": "Compte",
       "workspace": "Tableau"
     },
@@ -5201,6 +5222,8 @@
     },
     "contracts": {
       "omitted": "+{count} autres non listées",
+      "notIndexed": "les opérations ne sont pas indexées pour ce format ; ouvrez le document",
+      "noOperations": "ne déclare aucune opération",
       "none": "Aucun contrat d'API joint. On indiquera à l'agent que l'interface est inconnue plutôt que de le laisser la deviner."
     },
     "catalog": {
@@ -5211,8 +5234,14 @@
       "hideDocuments": "Masquer les documents de contrat"
     },
     "suppressions": {
-      "title": "Écartés sur ce tableau",
-      "intro": "Ces services du compte sont masqués pour les conceptions de ce tableau. Rien n'a été supprimé, et le compte les conserve pour tous les autres tableaux.",
+      "title": {
+        "workspace": "Écartés sur ce tableau",
+        "account": "Écartés pour ce compte"
+      },
+      "intro": {
+        "workspace": "Ces services hérités sont masqués pour les conceptions de ce tableau. Rien n'a été supprimé, et tous les autres tableaux les conservent.",
+        "account": "Ces services enregistrés par ce déploiement sont masqués pour les conceptions de tous les tableaux de ce compte. Rien n'a été supprimé, et les autres comptes les conservent."
+      },
       "restore": "Proposer à nouveau",
       "shadowsNothing": "Rien n'est hérité sous cet identifiant pour le moment : cet écartement ne masque donc rien."
     },
@@ -5305,6 +5334,7 @@
       "synced": "Synchronisé : {updated} mis à jour, {removed} retirés",
       "syncSkipped": "{count} fichier ressemblait à un contrat mais n'a pas pu être utilisé. | {count} fichiers ressemblaient à des contrats mais n'ont pas pu être utilisés.",
       "syncTruncated": "Le dossier contient plus que ce qu'une synchronisation peut prendre : seule une partie a été lue.",
+      "syncFolderMissing": "Le dossier lié n'existe pas dans le dépôt. Vérifiez le chemin, ou reliez la source si elle a été déplacée.",
       "syncFailed": "Impossible de synchroniser le dépôt",
       "changesAvailable": "Des changements sont disponibles en amont",
       "upToDate": "Déjà à jour",
@@ -6054,6 +6084,29 @@
       "title": "Connecter cat-factory à {provider}",
       "titleAny": "Connecter cat-factory à vos dépôts",
       "intro": "cat-factory fonctionne en ouvrant des pull requests sur vos dépôts. Connectez votre hébergeur de dépôts pour continuer."
+    },
+    "branchProtection": {
+      "heading": "Protection de la branche par défaut",
+      "body": "Les exécutions d'agents poussent avec un identifiant qui peut écrire dans tous les dépôts qu'il couvre. Rien ici n'empêche une exécution compromise de pousser directement sur une branche par défaut, ni de fusionner sa propre demande de tirage via l'API de l'hôte : seule la protection de branche chez l'hôte couvre les deux cas, et c'est à vous de la configurer. Cette vérification indique si elle est en place.",
+      "check": "Vérifier la protection",
+      "allProtected": "La branche par défaut de chaque dépôt lié est protégée.",
+      "exposed": "{count} dépôt a une branche par défaut non protégée. | {count} dépôts ont une branche par défaut non protégée.",
+      "unavailable": "Le fournisseur connecté ne peut pas signaler la protection de branche : cette vérification n'a donc rien à dire, ce n'est pas un résultat favorable.",
+      "omitted": "{count} dépôt lié supplémentaire n'a pas été vérifié. | {count} dépôts liés supplémentaires n'ont pas été vérifiés.",
+      "state": {
+        "protected": "Protégée",
+        "unprotected": "Non protégée",
+        "unknown": "Inconnue"
+      },
+      "unprotectedHint": "l'identifiant d'une exécution peut pousser ici directement et fusionner sa propre demande de tirage",
+      "detailUnavailable": "protégée, mais la règle n'a pas pu être lue — les poussées directes restent peut-être autorisées",
+      "requiresPr": "demande de tirage obligatoire, {reviews} revue(s) d'approbation, {checks} vérification(s) obligatoire(s)",
+      "noPrRequired": "protégée, mais aucune demande de tirage n'est exigée",
+      "unknownReason": {
+        "branch_not_found": "branche par défaut introuvable — la projection du dépôt est peut-être obsolète",
+        "forbidden": "l'identifiant n'est pas autorisé à lire les branches de ce dépôt",
+        "error": "l'hôte n'a pas pu être joint"
+      }
     }
   },
   "tutorial": {

package/i18n/locales/he.json

@@ -2269,7 +2269,7 @@
       "action": "בחירת ברירת מחדל"
     },
     "accountFoundational": {
-      "intro": "היכולות המשותפות שהארגון הזה כבר מפעיל - אחסון קבצים, התראות, ביקורת - יחד עם חוזי ה-API שלהן. כל לוח יורש אותן, ולארכיטקט נאמר לצרוך אותן במקום להציע בנייה מחדש."
+      "intro": "היכולות המשותפות שהארגון הזה כבר מפעיל - אחסון קבצים, התראות, ביקורת - יחד עם חוזי ה-API שלהן. כל לוח יורש אותן, ולארכיטקט נאמר לצרוך אותן במקום להציע בנייה מחדש. שירותים שהפריסה רושמת בקוד עוברים בירושה גם לכאן, ואפשר לדרוס אותם לפי מזהה או להחריג אותם למטה."
     }
   },
   "settings": {
@@ -2575,7 +2575,10 @@
         "warningsTitle": "פערים בתצורה הזו",
         "warnings": {
           "runner_manifest_no_release": "אין תבנית שחרור: ביטול הרצה לא יכול להודיע למאגר להפסיק את המשימה שלו, ולכן משימה יתומה תופסת את הראנר שלה עד שהמאגר משחרר אותה בעצמו.",
-          "runner_manifest_no_status_path": "אין נתיב סטטוס: כל תשאול נקרא כאילו המשימה עדיין רצה, ולכן משימה יכולה להסתיים רק לאחר ניצול כל תקציב התשאול של ההרצה."
+          "runner_manifest_no_status_path": "אין נתיב סטטוס: כל תשאול נקרא כאילו המשימה עדיין רצה, ולכן משימה יכולה להסתיים רק לאחר ניצול כל תקציב התשאול של ההרצה.",
+          "github_pat_classic_account_wide": "זהו אסימון קלאסי עם ההרשאה 'repo': הוא מגיע לכל מאגר שאתם יכולים לדחוף אליו, כולל מאגרים שאפליקציית GitHub של סביבת העבודה הזו מעולם לא הותקנה בהם. הרצות שאתם מתחילים משתמשות בו במקום באפליקציה. אסימון מפורט המוגבל למאגרים של התקנה זו צר יותר.",
+          "github_pat_scopes_beyond_need": "האסימון הזה מעניק הרשאות ש-cat-factory לעולם אינה משתמשת בהן. הסרתן אינה עולה דבר ומצמצמת את מה שהרצה שנפרצה יכולה להגיע אליו.",
+          "github_pat_scope_unreadable": "GitHub קיבלה את האסימון הזה אך לא דיווחה על ההרשאות שלו, ולכן לא ניתן להציג כאן את טווחו. בדקו בהגדרות האסימונים שלכם ב-GitHub מה הוא מעניק."
         }
       },
       "toast": {
@@ -2679,6 +2682,7 @@
       "optionalField": "{label} (אופציונלי)",
       "testConnection": "בדוק חיבור",
       "tokenValid": "האסימון תקין",
+      "tokenReachTitle": "לאן האסימון הזה מגיע",
       "tokenRejected": "האסימון נדחה",
       "secretFallback": "סוד",
       "toast": {
@@ -3120,6 +3124,13 @@
         "body": "לאחר שכל הרצה מסתיימת, סוכן ה-Kaizen מדרג כיצד התנהל כל שלב סוכן, מחלק ויעיל ועד מבולבל וכאוטי, וממליץ על שיפורי הנחיה/מודל. שילוב הנחיה + סוכן + מודל שמדורג גבוה ללא המלצות חמש פעמים ברציפות מסומן כמאומת ואינו מדורג עוד. הדירוג רץ ברקע ומוצג בתוך פרטי ההרצה ומסך ה-Kaizen. הגדר את מודל המדרג ב'הגדרת מודלים' (סוכן \"Kaizen\").",
         "toggle": "דרג הרצות סוכנים עם Kaizen"
       },
+      "runCredential": {
+        "heading": "אישור הרצה",
+        "body": "כברירת מחדל הרצה מאמתת את עצמה באמצעות אסימון הגישה האישי של מי שהתחיל אותה, אם שמר כזה, כך שדחיפות ובקשות משיכה מיוחסות לאותו אדם. טווח ההרשאות של האסימון שלו הוא מה שהוא עצמו העניק לו, ולעתים קרובות רחב יותר מהמאגרים שהתקנת אפליקציית GitHub של סביבת העבודה הזו מכסה. כבו אפשרות זו כדי שכל הרצה תאמת את עצמה כהתקנת האפליקציה במקום זאת.",
+        "toggle": "לאפשר להרצות לפעול בשם מי שהתחיל אותן",
+        "offHint": "הרצות ידחפו ויפתחו בקשות משיכה בשם אפליקציית GitHub, ולא בשם מי שהתחיל אותן.",
+        "accountFloorNote": "מדיניות ברמת החשבון יכולה לאסור זאת עבור כל הלוחות; אם הוגדרה, הרצות כאן ישתמשו באפליקציית GitHub ללא קשר למתג הזה."
+      },
       "metadata": {
         "heading": "מטא-נתונים של סביבת העבודה",
         "body": "ערכים לשדות המותאמים אישית שההתקנה הזו מגדירה. כלים חיצוניים קוראים אותם ונפתחים ישירות בפרויקט הנכון עבור סביבת העבודה הזו.",
@@ -3293,6 +3304,15 @@
         "saveFailed": "לא ניתן היה לשמור את קבוצת הקונצנזוס",
         "deleteFailed": "לא ניתן היה למחוק את קבוצת הקונצנזוס"
       }
+    },
+    "runCredentialPolicy": {
+      "heading": "מדיניות אישורי הרצה",
+      "body": "לוח יכול לאפשר להרצה להזדהות באמצעות אסימון הגישה האישי של מי שהתחיל אותה. זה שימושי, ועבור אדם יחיד בארגון שלא אימץ את cat-factory זו לעתים האפשרות היחידה. אבל אסימון אישי מגיע לכל מה שבעליו העניק לו, בדרכלל יותר מהתקנת אפליקציית GitHub של חשבון זה, ומנהל לוח יכול להדליק מחדש את המתג של הלוח. אסור זאת כאן ואף לוח בחשבון זה לא יוכל.",
+      "toggle": "לאסור על הרצות להשתמש באסימון הגישה האישי של מי שהתחיל אותן",
+      "onHint": "כל הרצה בחשבון זה תזדהה כהתקנת אפליקציית GitHub. דחיפות ובקשות משיכה יגיעו מהאפליקציה ולא מהאדם שהתחיל את ההרצה.",
+      "offHint": "לא הוגדר: כל לוח מחליט בעצמו. לוחות קיימים שומרים על בחירתם.",
+      "saved": "מדיניות אישורי הרצה נשמרה",
+      "saveFailed": "לא ניתן לשמור את מדיניות אישורי הרצה"
     }
   },
   "providers": {
@@ -5202,6 +5222,7 @@
       "subtitle": "היכולות המשותפות שהארגון שלכם כבר מפעיל, כדי שתכנון יצרוך אותן במקום לבנות אותן מחדש."
     },
     "tier": {
+      "builtin": "פריסה",
       "account": "חשבון",
       "workspace": "לוח"
     },
@@ -5212,6 +5233,8 @@
     },
     "contracts": {
       "omitted": "עוד {count} שאינם ברשימה",
+      "notIndexed": "פעולות אינן מאונדקסות עבור פורמט זה; פתחו את המסמך",
+      "noOperations": "אינו מצהיר על פעולות",
       "none": "לא צורף חוזה API. לסוכן ייאמר שהממשק אינו ידוע, במקום שינחש אותו."
     },
     "catalog": {
@@ -5222,8 +5245,14 @@
       "hideDocuments": "הסתרת מסמכי החוזה"
     },
     "suppressions": {
-      "title": "הוחרגו בלוח הזה",
-      "intro": "שירותי החשבון האלה מוסתרים מתכנונים בלוח הזה. שום דבר לא נמחק, והחשבון שומר אותם לכל שאר הלוחות.",
+      "title": {
+        "workspace": "הוחרגו בלוח הזה",
+        "account": "הוחרגו בחשבון הזה"
+      },
+      "intro": {
+        "workspace": "השירותים שהועברו בירושה מוסתרים מתכנונים בלוח הזה. שום דבר לא נמחק, וכל שאר הלוחות שומרים אותם.",
+        "account": "השירותים שהפריסה הזו רשמה מוסתרים מתכנונים בכל הלוחות של החשבון הזה. שום דבר לא נמחק, ושאר החשבונות שומרים אותם."
+      },
       "restore": "להציע שוב",
       "shadowsNothing": "כרגע לא נורש דבר תחת המזהה הזה, ולכן ההחרגה הזו אינה מסתירה כלום."
     },
@@ -5316,6 +5345,7 @@
       "synced": "סונכרן: {updated} עודכנו, {removed} הוסרו",
       "syncSkipped": "קובץ אחד נראה כמו חוזה אך לא ניתן היה להשתמש בו. | {count} קבצים נראו כמו חוזים אך לא ניתן היה להשתמש בהם.",
       "syncTruncated": "התיקייה מכילה יותר ממה שסנכרון אחד יכול לקלוט, ולכן נקרא רק חלק ממנה.",
+      "syncFolderMissing": "התיקייה המקושרת אינה נמצאת במאגר. בדקו את הנתיב, או קשרו מחדש את המקור אם הוא הועבר.",
       "syncFailed": "לא ניתן היה לסנכרן את המאגר",
       "changesAvailable": "יש שינויים במקור",
       "upToDate": "כבר מעודכן",
@@ -6065,6 +6095,29 @@
       "title": "חבר את cat-factory ל-{provider}",
       "titleAny": "חבר את cat-factory למאגרים שלך",
       "intro": "cat-factory פועל על ידי פתיחת בקשות משיכה במאגרים שלך. חבר את ספק המאגרים שלך כדי להמשיך."
+    },
+    "branchProtection": {
+      "heading": "הגנת הענף הראשי",
+      "body": "הרצות סוכן דוחפות באמצעות אישור שיכול לכתוב לכל מאגר שהוא מכסה. שום דבר כאן לא ימנע מהרצה שנפרצה לדחוף ישירות לענף הראשי או למזג בקשת משיכה משלה דרך ה-API של השרת המארח — רק הגנת ענפים בצד המארח מכסה את שני המקרים, והיא באחריותכם להגדיר. בדיקה זו מראה אם היא קיימת.",
+      "check": "בדיקת הגנה",
+      "allProtected": "הענף הראשי של כל מאגר מקושר מוגן.",
+      "exposed": "למאגר {count} יש ענף ראשי לא מוגן. | ל-{count} מאגרים יש ענף ראשי לא מוגן.",
+      "unavailable": "הספק המחובר אינו יכול לדווח על הגנת ענפים, ולכן לבדיקה הזו אין מה לומר — זו אינה תוצאה תקינה.",
+      "omitted": "מאגר מקושר נוסף אחד לא נבדק. | {count} מאגרים מקושרים נוספים לא נבדקו.",
+      "state": {
+        "protected": "מוגן",
+        "unprotected": "לא מוגן",
+        "unknown": "לא ידוע"
+      },
+      "unprotectedHint": "האישור של הרצה יכול לדחוף לכאן ישירות ולמזג בקשת משיכה משלו",
+      "detailUnavailable": "מוגן, אך לא ניתן היה לקרוא את הכלל — ייתכן שדחיפות ישירות עדיין מותרות",
+      "requiresPr": "נדרשת בקשת משיכה, {reviews} ביקורות מאשרות, {checks} בדיקות נדרשות",
+      "noPrRequired": "מוגן, אך אינו דורש בקשת משיכה",
+      "unknownReason": {
+        "branch_not_found": "הענף הראשי לא נמצא — ייתכן שהטלת המאגר מיושנת",
+        "forbidden": "לאישור אין הרשאה לקרוא את הענפים של מאגר זה",
+        "error": "לא ניתן היה להגיע לשרת המארח"
+      }
     }
   },
   "tutorial": {

package/i18n/locales/it.json

@@ -303,7 +303,10 @@
         "warningsTitle": "Lacune in questa configurazione",
         "warnings": {
           "runner_manifest_no_release": "Nessun template di release: annullare un'esecuzione non può dire al pool di fermare il suo job, quindi un job orfano tiene occupato il suo runner finché il pool non lo recupera da solo.",
-          "runner_manifest_no_status_path": "Nessun percorso di stato: ogni polling viene letto come ancora in corso, quindi un job può terminare solo esaurendo il budget di polling dell'esecuzione."
+          "runner_manifest_no_status_path": "Nessun percorso di stato: ogni polling viene letto come ancora in corso, quindi un job può terminare solo esaurendo il budget di polling dell'esecuzione.",
+          "github_pat_classic_account_wide": "È un token classico con l'ambito 'repo': raggiunge ogni repository su cui puoi fare push, compresi quelli in cui l'App GitHub di questo spazio di lavoro non è mai stata installata. Le esecuzioni che avvii lo usano di preferenza rispetto all'App. Un token granulare limitato ai repository di questa installazione è più ristretto.",
+          "github_pat_scopes_beyond_need": "Questo token concede permessi che cat-factory non usa mai. Rimuoverli non costa nulla e restringe ciò che un'esecuzione compromessa potrebbe raggiungere.",
+          "github_pat_scope_unreadable": "GitHub ha accettato questo token ma non ne ha segnalato gli ambiti, quindi la sua portata non può essere mostrata qui. Verifica cosa concede nelle impostazioni dei token di GitHub."
         }
       },
       "toast": {
@@ -407,6 +410,7 @@
       "optionalField": "{label} (facoltativo)",
       "testConnection": "Testa la connessione",
       "tokenValid": "Token valido",
+      "tokenReachTitle": "Cosa raggiunge questo token",
       "tokenRejected": "Token rifiutato",
       "secretFallback": "Segreto",
       "toast": {
@@ -848,6 +852,13 @@
         "body": "Al termine di ogni run, l'agente Kaizen valuta l'andamento di ogni passo dell'agente, da fluido ed efficiente a confuso e caotico, e raccomanda miglioramenti al prompt/modello. Una combinazione di prompt + agente + modello che ottiene una valutazione elevata senza raccomandazioni per cinque volte di fila viene contrassegnata come verificata e non viene piu valutata. La valutazione viene eseguita in background ed e mostrata all'interno dei dettagli del run e nella schermata Kaizen. Imposta il modello del valutatore in Configurazione del modello (l'agente \"Kaizen\").",
         "toggle": "Valuta i run degli agenti con Kaizen"
       },
+      "runCredential": {
+        "heading": "Credenziale di esecuzione",
+        "body": "Per impostazione predefinita un'esecuzione si autentica con il token di accesso personale di chi l'ha avviata, se ne ha memorizzato uno, così push e richieste di pull vengono attribuiti a quella persona. La portata del suo token è quella che le ha concesso lei stessa, spesso più ampia dei repository coperti dall'installazione dell'App GitHub di questo spazio di lavoro. Disattiva questa opzione per far autenticare ogni esecuzione come installazione dell'App.",
+        "toggle": "Consenti alle esecuzioni di agire per conto di chi le avvia",
+        "offHint": "Le esecuzioni faranno push e apriranno richieste di pull come App GitHub, non come chi le ha avviate.",
+        "accountFloorNote": "Un criterio a livello di account può vietarlo per ogni board; se ne è impostato uno, le esecuzioni qui useranno l'App GitHub indipendentemente da questo interruttore."
+      },
       "metadata": {
         "heading": "Metadati dell'area di lavoro",
         "body": "Valori dei campi personalizzati definiti da questa installazione. Gli strumenti esterni li leggono per aprirsi sul progetto giusto per quest'area di lavoro.",
@@ -1021,6 +1032,15 @@
         "saveFailed": "Impossibile salvare il gruppo di consenso",
         "deleteFailed": "Impossibile eliminare il gruppo di consenso"
       }
+    },
+    "runCredentialPolicy": {
+      "heading": "Criterio per le credenziali di esecuzione",
+      "body": "Una board può consentire a un'esecuzione di autenticarsi con il token di accesso personale di chi l'ha avviata. È utile e, per una singola persona in un'organizzazione che non ha adottato cat-factory, spesso è l'unica possibilità. Ma un token personale raggiunge tutto ciò che il proprietario gli ha concesso, di solito più dell'installazione dell'App GitHub di questo account, e chi amministra una board può riattivarne l'interruttore. Vietalo qui e nessuna board di questo account potrà farlo.",
+      "toggle": "Vietare alle esecuzioni di usare il token di accesso personale di chi le avvia",
+      "onHint": "Ogni esecuzione di questo account si autenticherà come installazione dell'App GitHub. I push e le pull request proverranno dall'app e non dalla persona che ha avviato l'esecuzione.",
+      "offHint": "Non impostato: ogni board decide da sé. Le board esistenti mantengono la loro scelta.",
+      "saved": "Criterio per le credenziali di esecuzione salvato",
+      "saveFailed": "Impossibile salvare il criterio per le credenziali di esecuzione"
     }
   },
   "inspector": {
@@ -2329,7 +2349,7 @@
       "action": "Scegli predefinito"
     },
     "accountFoundational": {
-      "intro": "Le capacità condivise che questa organizzazione già gestisce - archiviazione file, notifiche, audit - con i loro contratti API. Ogni bacheca le eredita, e a un architetto viene detto di utilizzarle invece di proporre di ricostruirle."
+      "intro": "Le capacità condivise che questa organizzazione già gestisce - archiviazione file, notifiche, audit - con i loro contratti API. Ogni bacheca le eredita, e a un architetto viene detto di utilizzarle invece di proporre di ricostruirle. Anche i servizi che questa distribuzione registra nel codice vengono ereditati qui, e possono essere sovrascritti per id o esclusi qui sotto."
     }
   },
   "board": {
@@ -4232,6 +4252,7 @@
       "subtitle": "Le capacità condivise che la tua organizzazione già gestisce, così che una progettazione le utilizzi invece di ricostruirle."
     },
     "tier": {
+      "builtin": "Distribuzione",
       "account": "Account",
       "workspace": "Bacheca"
     },
@@ -4242,6 +4263,8 @@
     },
     "contracts": {
       "omitted": "+{count} non elencate",
+      "notIndexed": "le operazioni non vengono indicizzate per questo formato; apri il documento",
+      "noOperations": "non dichiara operazioni",
       "none": "Nessun contratto API allegato. All'agente verrà detto che l'interfaccia è sconosciuta, invece di lasciargliela indovinare."
     },
     "catalog": {
@@ -4252,8 +4275,14 @@
       "hideDocuments": "Nascondi i documenti di contratto"
     },
     "suppressions": {
-      "title": "Esclusi su questa bacheca",
-      "intro": "Questi servizi dell'account sono nascosti alle progettazioni di questa bacheca. Nulla è stato eliminato e l'account li mantiene per tutte le altre bacheche.",
+      "title": {
+        "workspace": "Esclusi su questa bacheca",
+        "account": "Esclusi per questo account"
+      },
+      "intro": {
+        "workspace": "Questi servizi ereditati sono nascosti alle progettazioni di questa bacheca. Nulla è stato eliminato e tutte le altre bacheche li mantengono.",
+        "account": "Questi servizi registrati da questa distribuzione sono nascosti alle progettazioni di tutte le bacheche di questo account. Nulla è stato eliminato e gli altri account li mantengono."
+      },
       "restore": "Proponi di nuovo",
       "shadowsNothing": "Al momento non si eredita nulla con questo id, quindi questa esclusione non nasconde nulla."
     },
@@ -4346,6 +4375,7 @@
       "synced": "Sincronizzato: {updated} aggiornati, {removed} rimossi",
       "syncSkipped": "{count} file sembrava un contratto ma non è stato utilizzabile. | {count} file sembravano contratti ma non sono stati utilizzabili.",
       "syncTruncated": "La cartella contiene più di quanto una sincronizzazione possa prendere, quindi ne è stata letta solo una parte.",
+      "syncFolderMissing": "La cartella collegata non è presente nel repository. Controlla il percorso oppure ricollega la sorgente se è stata spostata.",
       "syncFailed": "Impossibile sincronizzare il repository",
       "changesAvailable": "Sono disponibili modifiche a monte",
       "upToDate": "Già aggiornato",
@@ -6066,6 +6096,29 @@
       "title": "Collega cat-factory a {provider}",
       "titleAny": "Collega cat-factory ai tuoi repository",
       "intro": "cat-factory funziona aprendo pull request sui tuoi repository. Collega il tuo host di repository per continuare."
+    },
+    "branchProtection": {
+      "heading": "Protezione del ramo predefinito",
+      "body": "Le esecuzioni degli agenti fanno push con una credenziale che può scrivere in ogni repository che copre. Nulla qui impedisce a un'esecuzione compromessa di fare push direttamente su un ramo predefinito o di unire la propria richiesta di pull tramite l'API dell'host: solo la protezione dei rami sull'host copre entrambi i casi, e sei tu a configurarla. Questo controllo indica se è attiva.",
+      "check": "Controlla la protezione",
+      "allProtected": "Il ramo predefinito di ogni repository collegato è protetto.",
+      "exposed": "{count} repository ha il ramo predefinito non protetto. | {count} repository hanno il ramo predefinito non protetto.",
+      "unavailable": "Il provider collegato non può riportare la protezione dei rami, quindi questo controllo non dice nulla: non è un esito positivo.",
+      "omitted": "{count} altro repository collegato non è stato controllato. | Altri {count} repository collegati non sono stati controllati.",
+      "state": {
+        "protected": "Protetto",
+        "unprotected": "Non protetto",
+        "unknown": "Sconosciuto"
+      },
+      "unprotectedHint": "la credenziale di un'esecuzione può fare push qui direttamente e unire la propria richiesta di pull",
+      "detailUnavailable": "protetto, ma la regola non è stata leggibile: potrebbe consentire ancora push diretti",
+      "requiresPr": "richiesta di pull obbligatoria, {reviews} revisione/i di approvazione, {checks} controllo/i obbligatorio/i",
+      "noPrRequired": "protetto, ma non richiede una richiesta di pull",
+      "unknownReason": {
+        "branch_not_found": "ramo predefinito non trovato: la proiezione del repository potrebbe essere obsoleta",
+        "forbidden": "la credenziale non può leggere i rami di questo repository",
+        "error": "non è stato possibile raggiungere l'host"
+      }
     }
   },
   "tutorial": {