@cat-factory/app 0.258.1 → 0.259.1

package/app/components/outcome/OutcomeSummaryWindow.logic.spec.ts

@@ -0,0 +1,74 @@
+import { describe, it, expect } from 'vitest'
+import { readEnvironmentAgainstClock } from './OutcomeSummaryWindow.logic'
+import type { OutcomeEnvironment } from '~/utils/runOutcome'
+
+/**
+ * The one thing the outcome card decides for itself: whether the TTL the payload carries has
+ * lapsed, and what that changes. The reduction behind the card is clock-free on purpose, so this
+ * is the only place a reader is told an environment is past its expiry, and the failure it
+ * guards is the section's worst one: a green "Live" badge and a working-looking button on a row
+ * whose own expiry date is in the past.
+ */
+const NOW = 1_700_000_000_000
+
+const env = (overrides: Partial<OutcomeEnvironment> = {}): OutcomeEnvironment => ({
+  url: 'https://preview.test',
+  state: 'live',
+  origin: 'deployer',
+  expiresAt: null,
+  retained: false,
+  frameId: 'frm_own',
+  environmentId: 'env_1',
+  detail: null,
+  ...overrides,
+})
+
+describe('readEnvironmentAgainstClock', () => {
+  it('offers a live environment whose TTL has not lapsed', () => {
+    const row = readEnvironmentAgainstClock(env({ expiresAt: NOW + 60_000 }), NOW)
+    expect(row).toMatchObject({ state: 'live', lapsed: false, openable: true })
+  })
+
+  it('withholds the link once the TTL has lapsed, and says the environment expired', () => {
+    const row = readEnvironmentAgainstClock(env({ expiresAt: NOW - 1 }), NOW)
+    expect(row).toMatchObject({ state: 'expired', lapsed: true, openable: false })
+    // The URL survives the lapse: it is what names the environment and what an operator greps.
+    expect(row.url).toBe('https://preview.test')
+  })
+
+  // A run with no disposer and no further polls keeps a `provisioning` row forever, and one
+  // whose TTL then lapsed never came up and never will.
+  it('applies the lapse to an environment still coming up', () => {
+    const row = readEnvironmentAgainstClock(env({ state: 'provisioning', expiresAt: NOW - 1 }), NOW)
+    expect(row).toMatchObject({ state: 'expired', lapsed: true, openable: false })
+  })
+
+  // The clock may only answer the question the payload left open. Where a producer already said
+  // WHERE the environment went, that word is the more specific one and it stands.
+  it('never overwrites a state that already names where the environment went', () => {
+    for (const state of ['failed', 'reclaimed', 'reclaiming'] as const) {
+      const row = readEnvironmentAgainstClock(env({ state, expiresAt: NOW - 1 }), NOW)
+      expect(row).toMatchObject({ state, lapsed: false, openable: false })
+    }
+  })
+
+  // `useNowTick` reads 0 until the card mounts, and every instant in history is "past" the epoch.
+  it('makes no clock-derived claim before the card has a clock', () => {
+    const row = readEnvironmentAgainstClock(env({ expiresAt: NOW - 1 }), 0)
+    expect(row).toMatchObject({ state: 'live', lapsed: false, openable: true })
+  })
+
+  it('offers nothing to click for a live environment that has no URL yet', () => {
+    const row = readEnvironmentAgainstClock(env({ url: null }), NOW)
+    expect(row).toMatchObject({ state: 'live', openable: false })
+  })
+
+  // A run that recorded no TTL is not an expired one: absent and lapsed are opposite facts.
+  it('leaves a row carrying no TTL exactly as the payload states it', () => {
+    expect(readEnvironmentAgainstClock(env(), NOW)).toMatchObject({
+      state: 'live',
+      lapsed: false,
+      openable: true,
+    })
+  })
+})

package/app/components/outcome/OutcomeSummaryWindow.logic.ts

@@ -0,0 +1,63 @@
+// What the outcome card's environment rows say once a CLOCK is applied to them, extracted from
+// `OutcomeSummaryWindow.vue` so the rule can be asserted without mounting the card (see
+// `OutcomeSummaryWindow.logic.spec.ts`).
+//
+// The reduction that produces those rows (`composeRunOutcome`) is deliberately clock-free: the
+// SPA composes it live off its own store and `GET /api/v1/runs/:runId/outcome` composes it
+// server-side, and a rule that read a clock would let the two disagree about one run for as long
+// as their clocks differ. What the payload carries instead is the TTL INSTANT.
+//
+// Somebody still has to say what that instant means now, and it has to be the surface with the
+// clock. Left unapplied, a run whose environment the TTL sweep reclaimed hours ago renders a
+// green "Live" badge and an enabled Open button beside an expiry date in the past: three claims
+// on one row, of which the date is the only true one.
+
+import type { OutcomeEnvironment, OutcomeEnvironmentState } from '~/utils/runOutcome'
+
+/**
+ * The states that describe an environment still STANDING, and so the only ones a lapsed TTL
+ * changes what they say.
+ *
+ * `failed`, `reclaimed` and `reclaiming` already name where the environment went or what is
+ * happening to it. A clock may not overwrite those with a less specific word: an environment
+ * that never came up did not then expire, and saying so would send a reader looking for a TTL
+ * where a provisioning failure is the thing to fix.
+ */
+const STANDING_ENVIRONMENT_STATES = new Set<OutcomeEnvironmentState>(['live', 'provisioning'])
+
+/** One environment row as the card renders it: the payload's own fields, read against a clock. */
+export interface OutcomeEnvironmentRow extends OutcomeEnvironment {
+  /** True when the row's TTL has lapsed against `nowMs` while it still claimed to be standing. */
+  lapsed: boolean
+  /** Whether the card offers the row as something to click. */
+  openable: boolean
+}
+
+/**
+ * Apply the reader's clock to one environment row.
+ *
+ * `nowMs` of 0 means the card has not ticked yet (`useNowTick` reads 0 until mounted). No clock
+ * means no clock-derived claim: the row reads exactly as the payload states it rather than
+ * having every TTL lapse against the epoch.
+ */
+export function readEnvironmentAgainstClock(
+  entry: OutcomeEnvironment,
+  nowMs: number,
+): OutcomeEnvironmentRow {
+  const lapsed =
+    nowMs > 0 &&
+    entry.expiresAt != null &&
+    entry.expiresAt <= nowMs &&
+    STANDING_ENVIRONMENT_STATES.has(entry.state)
+  const state = lapsed ? 'expired' : entry.state
+  return {
+    ...entry,
+    state,
+    lapsed,
+    // A link is offered ONLY for a `live` row: an environment that has been reclaimed, has
+    // expired or never came up still shows its URL (an operator greps for it, and it says which
+    // environment the row is about) and must not be something a designer clicks expecting to see
+    // the change.
+    openable: state === 'live' && Boolean(entry.url),
+  }
+}

package/app/components/outcome/OutcomeSummaryWindow.vue

@@ -16,9 +16,12 @@
 // judged against, which turns the tester's requirement IDS into the TITLES a reader came for.
 import { computed, onUnmounted, ref, watch } from 'vue'
 import type {
+  EnvironmentsGap,
   OutcomeCheckKind,
   OutcomeCheckState,
   OutcomeDisposition,
+  OutcomeEnvironmentOrigin,
+  OutcomeEnvironmentState,
   OutcomeSource,
   OutcomeSpecJoin,
   OutcomeVisual,
@@ -35,6 +38,8 @@ import { REPRODUCTION_STATUS_KEYS } from '~/utils/reproduction'
 import type { RequirementVerdictStatus, TestConcernSeverity } from '~/types/domain'
 import type { TestEnvironment } from '@cat-factory/contracts'
 import { useArtifactBlobs } from '~/composables/useArtifactBlobs'
+import { useNowTick } from '~/composables/useStepTimer'
+import { readEnvironmentAgainstClock } from '~/components/outcome/OutcomeSummaryWindow.logic'
 import ArtifactLightbox from '~/components/media/ArtifactLightbox.vue'
 import ResultWindowShell from '~/components/panels/ResultWindowShell.vue'
 import MarkdownProse from '~/components/common/MarkdownProse.vue'
@@ -46,7 +51,12 @@ const documents = useDocumentsStore()
 const execution = useExecutionStore()
 const serviceSpec = useServiceSpecStore()
 const ui = useUiStore()
-const { t } = useI18n()
+const { t, d } = useI18n()
+
+// The wall clock this card reads a TTL against. Coarse on purpose: an environment's expiry is
+// the only thing here that moves with time, and a per-second tick would re-render the whole card
+// for a boundary that matters at minute granularity.
+const nowTick = useNowTick(30_000)
 
 // Per-window blob cache for the captured views; revoked on unmount so the (large) image bytes
 // don't outlive the card.
@@ -136,6 +146,38 @@ const SOURCES_GAP_KEYS: Record<SourcesGap, string> = {
   run_unavailable: RUN_UNAVAILABLE_KEY,
   none_linked: 'outcome.sources.gap.none_linked',
 }
+const ENVIRONMENTS_GAP_KEYS: Record<EnvironmentsGap, string> = {
+  run_unavailable: RUN_UNAVAILABLE_KEY,
+  no_environment_step: 'outcome.environments.gap.no_environment_step',
+  not_provisioned: 'outcome.environments.gap.not_provisioned',
+  infraless: 'outcome.environments.gap.infraless',
+}
+const ENVIRONMENT_STATE_KEYS: Record<OutcomeEnvironmentState, string> = {
+  live: 'outcome.environments.state.live',
+  provisioning: 'outcome.environments.state.provisioning',
+  failed: 'outcome.environments.state.failed',
+  reclaiming: 'outcome.environments.state.reclaiming',
+  reclaimed: 'outcome.environments.state.reclaimed',
+  expired: 'outcome.environments.state.expired',
+}
+const ENVIRONMENT_STATE_COLOR: Record<OutcomeEnvironmentState, BadgeColor> = {
+  live: 'success',
+  provisioning: 'info',
+  failed: 'error',
+  reclaiming: 'neutral',
+  reclaimed: 'neutral',
+  expired: 'neutral',
+}
+/**
+ * Where the row came from, said out loud. `projected` is the one that changes what a reader
+ * should conclude (nothing has settled yet, so this row can still move), and the three are
+ * mapped exhaustively so a new producer cannot ship as a blank line.
+ */
+const ENVIRONMENT_ORIGIN_KEYS: Record<OutcomeEnvironmentOrigin, string> = {
+  deployer: 'outcome.environments.origin.deployer',
+  human_test: 'outcome.environments.origin.human_test',
+  projected: 'outcome.environments.origin.projected',
+}
 const VISUALS_GAP_KEYS: Record<VisualsGap, string> = {
   run_unavailable: RUN_UNAVAILABLE_KEY,
   no_visual_step: 'outcome.visuals.gap.no_visual_step',
@@ -337,6 +379,28 @@ const sourceRows = computed(() => {
   }))
 })
 
+/**
+ * The environments the run stood up, with everything the row needs resolved once.
+ *
+ * The TTL is applied HERE rather than in the reduction, and that division is deliberate: the
+ * payload is clock-free so the endpoint's answer and this card's live composition cannot
+ * disagree about one run, and this surface is the one with a clock to say what the instant it
+ * carries means now. The rule itself lives in `OutcomeSummaryWindow.logic.ts`, where it is
+ * asserted without mounting the card.
+ *
+ * The frame is named by its BLOCK title where the board has it. A frame id says nothing to the
+ * person this card is for, so an unresolvable one renders as no label rather than as an id.
+ */
+const environmentRows = computed(() => {
+  const environments = outcome.value?.environments
+  if (!environments || environments.status !== 'reported') return []
+  return environments.entries.map((entry, index) => ({
+    ...readEnvironmentAgainstClock(entry, nowTick.value),
+    key: `${index}:${entry.environmentId ?? entry.url ?? entry.frameId ?? 'env'}`,
+    service: entry.frameId ? (board.getBlock(entry.frameId)?.title ?? null) : null,
+  }))
+})
+
 /** Drill into the full test report (this card is the summary, never a replacement for it). */
 function openTestReport() {
   if (instance.value) ui.openTestEvidence(instance.value.id)
@@ -681,6 +745,78 @@ function openTestReport() {
         </template>
       </section>
 
+      <!-- Where to go and look: the running preview, which is the verification a person who does
+           not read diffs starts from. Beside the captured views on purpose: the shots are what
+           this run saw, this is the thing itself. -->
+      <section class="mb-5" data-testid="outcome-environments">
+        <h3 class="mb-1.5 text-[11px] font-semibold uppercase tracking-wide text-slate-500">
+          {{ t('outcome.environments.title') }}
+        </h3>
+        <template v-if="outcome.environments.status === 'reported'">
+          <div
+            v-for="row in environmentRows"
+            :key="row.key"
+            class="mb-2 rounded-md border border-slate-800 bg-slate-950/40 px-2.5 py-2 last:mb-0"
+            data-testid="outcome-environment"
+            :data-state="row.state"
+          >
+            <div class="flex flex-wrap items-center gap-2">
+              <UBadge :color="ENVIRONMENT_STATE_COLOR[row.state]" variant="subtle" size="sm">
+                {{ t(ENVIRONMENT_STATE_KEYS[row.state]) }}
+              </UBadge>
+              <span v-if="row.service" class="truncate text-[12px] text-slate-300">
+                {{ row.service }}
+              </span>
+              <span class="text-[11px] text-slate-500">
+                {{ t(ENVIRONMENT_ORIGIN_KEYS[row.origin]) }}
+              </span>
+            </div>
+            <UButton
+              v-if="row.openable"
+              :to="row.url ?? undefined"
+              target="_blank"
+              rel="noopener"
+              external
+              color="primary"
+              variant="soft"
+              size="xs"
+              class="mt-1.5"
+              icon="i-lucide-external-link"
+              data-testid="outcome-environment-open"
+            >
+              {{ t('outcome.environments.open') }}
+            </UButton>
+            <p
+              v-else-if="row.url"
+              class="mt-1.5 break-all text-[12px] text-slate-500"
+              data-testid="outcome-environment-url"
+            >
+              {{ row.url }}
+            </p>
+            <p v-if="row.retained" class="mt-1 text-[11px] text-slate-400">
+              {{ t('outcome.environments.retained') }}
+            </p>
+            <p v-if="row.expiresAt" class="mt-1 text-[11px] text-slate-500">
+              {{
+                row.lapsed
+                  ? t('outcome.environments.expired', { date: d(new Date(row.expiresAt), 'long') })
+                  : t('outcome.environments.expires', { date: d(new Date(row.expiresAt), 'long') })
+              }}
+            </p>
+            <p
+              v-if="row.detail"
+              class="mt-1 break-words text-[12px] leading-relaxed text-slate-500"
+              data-testid="outcome-environment-detail"
+            >
+              {{ row.detail }}
+            </p>
+          </div>
+        </template>
+        <p v-else class="text-[13px] italic leading-relaxed text-slate-500">
+          {{ t(ENVIRONMENTS_GAP_KEYS[outcome.environments.gap]) }}
+        </p>
+      </section>
+
       <!-- The machine checks, listed only where one actually recorded a verdict. -->
       <section v-if="checkRows.length" data-testid="outcome-checks">
         <h3 class="mb-1.5 text-[11px] font-semibold uppercase tracking-wide text-slate-500">

package/app/components/panels/StepToolServers.logic.ts

@@ -28,6 +28,7 @@ export const REASON_KEY: Record<ToolServerUnavailableReason, string> = {
   transport_unsupported: 'panels.stepDetail.toolServers.reason.transportUnsupported',
   missing_secret: 'panels.stepDetail.toolServers.reason.missingSecret',
   reserved_secret: 'panels.stepDetail.toolServers.reason.reservedSecret',
+  unusable_secret: 'panels.stepDetail.toolServers.reason.unusableSecret',
   oauth_not_connected: 'panels.stepDetail.toolServers.reason.oauthNotConnected',
   oauth_token_failed: 'panels.stepDetail.toolServers.reason.oauthTokenFailed',
   over_budget: 'panels.stepDetail.toolServers.reason.overBudget',
@@ -59,6 +60,7 @@ export const REMEDY_KEY: Record<ToolServerUnavailableReason, string> = {
   transport_unsupported: 'panels.stepDetail.toolServers.remedy.transportUnsupported',
   missing_secret: 'panels.stepDetail.toolServers.remedy.missingSecret',
   reserved_secret: 'panels.stepDetail.toolServers.remedy.reservedSecret',
+  unusable_secret: 'panels.stepDetail.toolServers.remedy.unusableSecret',
   oauth_not_connected: 'panels.stepDetail.toolServers.remedy.oauthNotConnected',
   oauth_token_failed: 'panels.stepDetail.toolServers.remedy.oauthTokenFailed',
   over_budget: 'panels.stepDetail.toolServers.remedy.overBudget',

package/app/components/settings/ToolServerChecklist.vue

@@ -40,6 +40,7 @@ const STATUS_LABELS = computed<Record<ToolServerProbeStatus, string>>(() => ({
   ok: t('settings.toolServers.status.ok'),
   credentials_missing: t('settings.toolServers.status.credentialsMissing'),
   credential_refused: t('settings.toolServers.status.credentialRefused'),
+  credential_unusable: t('settings.toolServers.status.credentialUnusable'),
   oauth_not_connected: t('settings.toolServers.status.oauthNotConnected'),
   oauth_token_failed: t('settings.toolServers.status.oauthTokenFailed'),
   unreachable: t('settings.toolServers.status.unreachable'),
@@ -347,6 +348,16 @@ async function runProbe(id: string) {
             })
           }}
         </p>
+        <p
+          v-if="resultFor(server.id)!.unusableCredentials?.length"
+          class="text-[11px] text-red-400"
+        >
+          {{
+            t('settings.toolServers.unusableCredentials', {
+              keys: resultFor(server.id)!.unusableCredentials!.join(', '),
+            })
+          }}
+        </p>
 
         <!-- Raw backend prose is DETAIL behind a disclosure, never the primary description. It is
              already scrubbed through `redactSecrets` at the emit site. -->

package/app/utils/runOutcome.ts

@@ -24,6 +24,10 @@ export type {
   OutcomeCheckState,
   OutcomeConcern,
   OutcomeDisposition,
+  OutcomeEnvironment,
+  OutcomeEnvironments,
+  OutcomeEnvironmentOrigin,
+  OutcomeEnvironmentState,
   OutcomePullRequest,
   OutcomeRequirement,
   OutcomeRequirements,
@@ -33,6 +37,7 @@ export type {
   OutcomeTests,
   OutcomeVisual,
   OutcomeVisuals,
+  EnvironmentsGap,
   RequirementsGap,
   RunOutcome,
   RunUnavailableGap,

package/i18n/locales/de.json

@@ -656,6 +656,7 @@
         "ok": "Hat geantwortet",
         "credentialsMissing": "Keine Zugangsdaten",
         "credentialRefused": "Zugangsdaten abgelehnt",
+        "credentialUnusable": "Zugangsdaten nicht zustellbar",
         "oauthNotConnected": "Nicht verbunden",
         "oauthTokenFailed": "Verbindung funktioniert nicht mehr",
         "unreachable": "Keine Antwort",
@@ -669,6 +670,7 @@
       "allowedToolsUnchecked": "Die Werkzeugliste war zu lang, um sie vollständig zu lesen, daher konnten die eingeschränkten Namen nicht geprüft werden.",
       "unresolvedCredentials": "Für {keys} wurde nichts aufgelöst. Trage den Wert unten ein oder setze ihn in der Umgebung der Installation.",
       "refusedCredentials": "{keys} benennt eine Variable, die zur Konfiguration der Plattform selbst gehört, und wird daher nie aufgelöst. Ändere die Deklaration im Code der Installation.",
+      "unusableCredentials": "{keys} benennt keinen Header, daher erreicht der Wert einen HTTP-Server nie. Ergänze im Code der Installation den Header, mit dem sich der Server authentifiziert.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Details anzeigen",
       "hideDetails": "Details verbergen",
@@ -1991,6 +1993,7 @@
           "transportUnsupported": "war nicht verfügbar: die Agenten-CLI dieses Schritts erreicht Server dieser Art nicht.",
           "missingSecret": "war nicht verfügbar: eine benötigte Zugangsinformation ist für dieses Board nicht hinterlegt.",
           "reservedSecret": "war nicht verfügbar: er verlangt eine Variable, die zur Konfiguration der Plattform gehört; die Deklaration muss geändert werden.",
+          "unusableSecret": "war nicht verfügbar: eine seiner deklarierten Zugangsdaten erreicht ihn nicht, er wäre also ohne Authentifizierung gelaufen.",
           "oauthNotConnected": "war nicht verfügbar: dieses Board wurde noch nicht damit verbunden.",
           "oauthTokenFailed": "war nicht verfügbar: die Verbindung liefert kein Zugriffstoken mehr.",
           "overBudget": "war nicht verfügbar: dieser Agent deklariert mehr Tool-Server, als ein Lauf mitführt.",
@@ -2001,6 +2004,7 @@
           "transportUnsupported": "Deklarieren Sie dafür einen stdio-Server, oder führen Sie den Schritt auf einer Agenten-CLI aus, die HTTP-Server erreicht.",
           "missingSecret": "Hinterlegen Sie die genannte Zugangsinformation entweder als Umgebungsvariable des Deployments oder im Infrastruktur-Fenster unter den Capability-Zugangsdaten.",
           "reservedSecret": "Ändern Sie die Deklaration auf einen anderen Schlüssel; das Setzen dieser Variablen hilft gerade nicht.",
+          "unusableSecret": "Korrigiere die Deklaration im Code der Installation: Die Zugangsdaten eines entfernten Servers reisen in einem Header, die eines lokalen werden in den Serverprozess injiziert.",
           "oauthNotConnected": "Verbinden Sie dieses Board im Infrastruktur-Fenster damit. Ein Deployment ohne ENCRYPTION_KEY hat keinen Ort für eine Berechtigung, das muss ein Betreiber also zuerst setzen.",
           "oauthTokenFailed": "Verbinden Sie es im Infrastruktur-Fenster neu, oder warten Sie die Störung des Anbieters ab.",
           "overBudget": "Kürzen Sie, was der Agent deklariert, damit ein Lauf alles mitführen kann."
@@ -6410,6 +6414,31 @@
         "none_captured": "Die Oberfläche sollte aufgenommen werden, es wurde aber keine Ansicht erfasst."
       }
     },
+    "environments": {
+      "title": "Live-Umgebung",
+      "open": "Live-Umgebung öffnen",
+      "retained": "Diese Umgebung soll den Lauf überdauern.",
+      "expires": "Läuft am {date} ab",
+      "expired": "Abgelaufen am {date}",
+      "state": {
+        "live": "Live",
+        "provisioning": "Wird bereitgestellt",
+        "failed": "Kam nie hoch",
+        "reclaiming": "Wird abgebaut",
+        "reclaimed": "Abgebaut",
+        "expired": "Abgelaufen"
+      },
+      "origin": {
+        "deployer": "Von diesem Lauf bereitgestellt",
+        "human_test": "Für den manuellen Test bereitgestellt",
+        "projected": "Der Lauf arbeitet noch, das kann sich also noch ändern"
+      },
+      "gap": {
+        "no_environment_step": "In dieser Pipeline stellt nichts eine Umgebung bereit, es gibt also nichts zu öffnen.",
+        "not_provisioned": "Eine Umgebung sollte bereitgestellt werden, bisher wurde aber keine erfasst.",
+        "infraless": "Dieser Service deklariert keine eigene Umgebung, es wurde also nichts bereitgestellt."
+      }
+    },
     "checks": {
       "title": "Prüfungen",
       "row": "{kind}: {state}",

package/i18n/locales/en.json

@@ -1537,6 +1537,7 @@
           "transportUnsupported": "was not available: the agent CLI this step ran on cannot reach this kind of server.",
           "missingSecret": "was not available: a credential it needs is not set for this board.",
           "reservedSecret": "was not available: it asks for a variable the platform's own configuration owns, so the declaration has to change.",
+          "unusableSecret": "was not available: a credential it declares cannot reach it, so the server would have run unauthenticated.",
           "oauthNotConnected": "was not available: nobody has connected this board to it yet.",
           "oauthTokenFailed": "was not available: the connection stopped producing an access token.",
           "overBudget": "was not available: this agent declares more tool servers than one run carries.",
@@ -1547,6 +1548,7 @@
           "transportUnsupported": "Declare a stdio server for it, or run the step on an agent CLI that reaches HTTP servers.",
           "missingSecret": "Set the credential it names, either as a deployment environment variable or under capability credentials in the Infrastructure window.",
           "reservedSecret": "Change the declaration to ask for another key; setting that variable is exactly what will not help.",
+          "unusableSecret": "Fix the declaration in the deployment's code: a remote server's credential rides a header, and a local one is injected into the server's own process.",
           "oauthNotConnected": "Connect this board to it from the Infrastructure window. A deployment with no ENCRYPTION_KEY has nowhere to keep a grant, so an operator has to set that first.",
           "oauthTokenFailed": "Reconnect it from the Infrastructure window, or wait out the vendor's outage.",
           "overBudget": "Trim what the agent declares, so one run can carry all of it."
@@ -3347,6 +3349,7 @@
         "ok": "Answered",
         "credentialsMissing": "No credential",
         "credentialRefused": "Credential refused",
+        "credentialUnusable": "Credential cannot be sent",
         "oauthNotConnected": "Not connected",
         "oauthTokenFailed": "Connection stopped working",
         "unreachable": "No answer",
@@ -3360,6 +3363,7 @@
       "allowedToolsUnchecked": "The tool list was too long to read in full, so the narrowed names could not be checked.",
       "unresolvedCredentials": "Nothing resolved for {keys}. Fill it in below, or set it in the deployment's environment.",
       "refusedCredentials": "{keys} names a variable the platform's own configuration owns, so it is never resolved. Change the declaration in the deployment's code.",
+      "unusableCredentials": "{keys} names no header, so an HTTP server never receives it. Add the header the server authenticates with, in the deployment's code.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Show details",
       "hideDetails": "Hide details",
@@ -6125,6 +6129,31 @@
         "none_captured": "The interface was meant to be captured, but no view was."
       }
     },
+    "environments": {
+      "title": "Live environment",
+      "open": "Open the live environment",
+      "retained": "This environment is meant to outlive the run.",
+      "expires": "Expires {date}",
+      "expired": "Expired {date}",
+      "state": {
+        "live": "Live",
+        "provisioning": "Coming up",
+        "failed": "Never came up",
+        "reclaiming": "Being torn down",
+        "reclaimed": "Torn down",
+        "expired": "Expired"
+      },
+      "origin": {
+        "deployer": "Stood up by this run",
+        "human_test": "Stood up for the hands-on test",
+        "projected": "The run is still working, so this can still change"
+      },
+      "gap": {
+        "no_environment_step": "Nothing in this pipeline stands an environment up, so there is nothing to open.",
+        "not_provisioned": "An environment was meant to be stood up, and none has been recorded yet.",
+        "infraless": "This service declares no environment of its own, so nothing was stood up."
+      }
+    },
     "checks": {
       "title": "Checks",
       "row": "{kind}: {state}",

package/i18n/locales/es.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "no estuvo disponible: la CLI del agente de este paso no puede alcanzar este tipo de servidor.",
           "missingSecret": "no estuvo disponible: falta en este tablero una credencial que necesita.",
           "reservedSecret": "no estuvo disponible: pide una variable que pertenece a la configuración de la plataforma, así que hay que cambiar la declaración.",
+          "unusableSecret": "no estuvo disponible: una credencial que declara no puede llegarle, así que el servidor habría funcionado sin autenticar.",
           "oauthNotConnected": "no estuvo disponible: nadie ha conectado este tablero con él todavía.",
           "oauthTokenFailed": "no estuvo disponible: la conexión dejó de producir un token de acceso.",
           "overBudget": "no estuvo disponible: este agente declara más servidores de los que lleva una ejecución.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "Declara un servidor stdio para él, o ejecuta el paso en una CLI de agente que alcance servidores HTTP.",
           "missingSecret": "Configura la credencial que nombra, ya sea como variable de entorno del despliegue o en las credenciales de capacidades, en la ventana de Infraestructura.",
           "reservedSecret": "Cambia la declaración para que pida otra clave; definir esa variable es justo lo que no ayudará.",
+          "unusableSecret": "Corrige la declaración en el código de la instalación: la credencial de un servidor remoto viaja en una cabecera y la de uno local se inyecta en el proceso del servidor.",
           "oauthNotConnected": "Conecta este tablero con él desde la ventana de Infraestructura. Un despliegue sin ENCRYPTION_KEY no tiene dónde guardar una concesión, así que un operador debe configurarla primero.",
           "oauthTokenFailed": "Vuelve a conectarlo desde la ventana de Infraestructura, o espera a que pase la caída del proveedor.",
           "overBudget": "Recorta lo que declara el agente, para que una ejecución pueda llevarlo todo."
@@ -3087,6 +3089,7 @@
         "ok": "Respondió",
         "credentialsMissing": "Sin credencial",
         "credentialRefused": "Credencial rechazada",
+        "credentialUnusable": "Credencial no enviable",
         "oauthNotConnected": "Sin conexión",
         "oauthTokenFailed": "La conexión dejó de funcionar",
         "unreachable": "Sin respuesta",
@@ -3100,6 +3103,7 @@
       "allowedToolsUnchecked": "La lista de herramientas era demasiado larga para leerla completa, así que no se pudieron comprobar los nombres limitados.",
       "unresolvedCredentials": "No se resolvió nada para {keys}. Rellénalo abajo o defínelo en el entorno de la instalación.",
       "refusedCredentials": "{keys} nombra una variable que pertenece a la configuración de la propia plataforma, así que nunca se resuelve. Cambia la declaración en el código de la instalación.",
+      "unusableCredentials": "{keys} no nombra ninguna cabecera, así que un servidor HTTP nunca lo recibe. Añade en el código de la instalación la cabecera con la que se autentica el servidor.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Ver detalles",
       "hideDetails": "Ocultar detalles",
@@ -5847,6 +5851,31 @@
         "none_captured": "La interfaz debía capturarse, pero no se capturó ninguna vista."
       }
     },
+    "environments": {
+      "title": "Entorno en vivo",
+      "open": "Abrir el entorno en vivo",
+      "retained": "Este entorno está pensado para seguir existiendo después de la ejecución.",
+      "expires": "Caduca el {date}",
+      "expired": "Caducó el {date}",
+      "state": {
+        "live": "En vivo",
+        "provisioning": "Levantándose",
+        "failed": "Nunca llegó a levantarse",
+        "reclaiming": "Desmontándose",
+        "reclaimed": "Desmontado",
+        "expired": "Caducado"
+      },
+      "origin": {
+        "deployer": "Levantado por esta ejecución",
+        "human_test": "Levantado para la prueba manual",
+        "projected": "La ejecución sigue en curso, así que esto aún puede cambiar"
+      },
+      "gap": {
+        "no_environment_step": "Nada en esta canalización levanta un entorno, así que no hay nada que abrir.",
+        "not_provisioned": "Debía levantarse un entorno y todavía no se ha registrado ninguno.",
+        "infraless": "Este servicio no declara ningún entorno propio, así que no se levantó nada."
+      }
+    },
     "checks": {
       "title": "Comprobaciones",
       "row": "{kind}: {state}",

package/i18n/locales/fr.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "n'était pas disponible : la CLI d'agent de cette étape ne peut pas atteindre ce type de serveur.",
           "missingSecret": "n'était pas disponible : un identifiant dont il a besoin n'est pas renseigné pour ce tableau.",
           "reservedSecret": "n'était pas disponible : il demande une variable qui appartient à la configuration de la plateforme, la déclaration doit donc changer.",
+          "unusableSecret": "n’était pas disponible : un identifiant qu’il déclare ne peut pas lui parvenir, le serveur aurait donc tourné sans authentification.",
           "oauthNotConnected": "n'était pas disponible : personne n'a encore connecté ce tableau à ce serveur.",
           "oauthTokenFailed": "n'était pas disponible : la connexion ne produit plus de jeton d'accès.",
           "overBudget": "n'était pas disponible : cet agent déclare plus de serveurs d'outils qu'une exécution n'en transporte.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "Déclarez un serveur stdio à sa place, ou exécutez l’étape sur une CLI d’agent qui atteint les serveurs HTTP.",
           "missingSecret": "Renseignez l’identifiant qu’il nomme, soit comme variable d’environnement du déploiement, soit dans les identifiants de capacités, depuis la fenêtre Infrastructure.",
           "reservedSecret": "Modifiez la déclaration pour demander une autre clé ; définir cette variable est précisément ce qui n’aidera pas.",
+          "unusableSecret": "Corrigez la déclaration dans le code du déploiement : l’identifiant d’un serveur distant voyage dans un en-tête, celui d’un serveur local est injecté dans son processus.",
           "oauthNotConnected": "Connectez ce tableau à ce serveur depuis la fenêtre Infrastructure. Un déploiement sans ENCRYPTION_KEY n’a nulle part où conserver une autorisation : un opérateur doit d’abord la définir.",
           "oauthTokenFailed": "Reconnectez-le depuis la fenêtre Infrastructure, ou attendez la fin de la panne du fournisseur.",
           "overBudget": "Réduisez ce que l’agent déclare, pour qu’une exécution puisse tout transporter."
@@ -3087,6 +3089,7 @@
         "ok": "A répondu",
         "credentialsMissing": "Aucun identifiant",
         "credentialRefused": "Identifiant refusé",
+        "credentialUnusable": "Identifiant non transmissible",
         "oauthNotConnected": "Non connecté",
         "oauthTokenFailed": "La connexion ne fonctionne plus",
         "unreachable": "Aucune réponse",
@@ -3100,6 +3103,7 @@
       "allowedToolsUnchecked": "La liste d’outils était trop longue pour être lue en entier, les noms restreints n’ont donc pas pu être vérifiés.",
       "unresolvedCredentials": "Rien n’a été résolu pour {keys}. Renseignez la valeur ci-dessous, ou définissez-la dans l’environnement du déploiement.",
       "refusedCredentials": "{keys} désigne une variable qui appartient à la configuration de la plateforme elle-même : elle n’est jamais résolue. Modifiez la déclaration dans le code du déploiement.",
+      "unusableCredentials": "{keys} ne désigne aucun en-tête : un serveur HTTP ne le reçoit donc jamais. Ajoutez dans le code du déploiement l’en-tête avec lequel le serveur s’authentifie.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Afficher les détails",
       "hideDetails": "Masquer les détails",
@@ -5847,6 +5851,31 @@
         "none_captured": "L'interface devait être capturée, mais aucune vue ne l'a été."
       }
     },
+    "environments": {
+      "title": "Environnement en ligne",
+      "open": "Ouvrir l'environnement en ligne",
+      "retained": "Cet environnement est censé survivre à l’exécution.",
+      "expires": "Expire le {date}",
+      "expired": "Expiré le {date}",
+      "state": {
+        "live": "En ligne",
+        "provisioning": "En cours de création",
+        "failed": "Jamais démarré",
+        "reclaiming": "En cours de suppression",
+        "reclaimed": "Supprimé",
+        "expired": "Expiré"
+      },
+      "origin": {
+        "deployer": "Créé par cette exécution",
+        "human_test": "Créé pour le test manuel",
+        "projected": "L'exécution est toujours en cours, cela peut encore changer"
+      },
+      "gap": {
+        "no_environment_step": "Rien dans ce pipeline ne crée d'environnement, il n'y a donc rien à ouvrir.",
+        "not_provisioned": "Un environnement devait être créé et aucun n'a encore été enregistré.",
+        "infraless": "Ce service ne déclare aucun environnement propre, rien n'a donc été créé."
+      }
+    },
     "checks": {
       "title": "Contrôles",
       "row": "{kind} : {state}",

package/i18n/locales/he.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "לא היה זמין: ממשק הסוכן שבו רץ השלב הזה אינו יכול להגיע לשרת מסוג זה.",
           "missingSecret": "לא היה זמין: אישור גישה שהוא צריך אינו מוגדר עבור הלוח הזה.",
           "reservedSecret": "לא היה זמין: הוא מבקש משתנה ששייך לתצורת הפלטפורמה עצמה, ולכן יש לשנות את ההצהרה.",
+          "unusableSecret": "לא היה זמין: אחד מפרטי ההזדהות שהוא מצהיר עליהם אינו יכול להגיע אליו, ולכן השרת היה פועל ללא אימות.",
           "oauthNotConnected": "לא היה זמין: איש עדיין לא חיבר את הלוח הזה אליו.",
           "oauthTokenFailed": "לא היה זמין: החיבור הפסיק להנפיק אסימון גישה.",
           "overBudget": "לא היה זמין: הסוכן הזה מצהיר על יותר שרתי כלים ממה שריצה אחת נושאת.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "הצהירו עבורו שרת stdio, או הריצו את השלב על ממשק סוכן שמגיע לשרתי HTTP.",
           "missingSecret": "הגדירו את אישור הגישה שהוא מבקש, בין כמשתנה סביבה של הפריסה ובין באישורי היכולות בחלון התשתית.",
           "reservedSecret": "שנו את ההצהרה כך שתבקש מפתח אחר; הגדרת המשתנה הזה היא בדיוק מה שלא יעזור.",
+          "unusableSecret": "תקנו את ההצהרה בקוד ההתקנה: פרטי ההזדהות של שרת מרוחק נשלחים בכותרת, ושל שרת מקומי מוזרקים לתהליך של השרת.",
           "oauthNotConnected": "חברו את הלוח הזה אליו מחלון התשתית. בפריסה ללא ENCRYPTION_KEY אין היכן לשמור הרשאה, ולכן מפעיל צריך להגדיר אותו קודם.",
           "oauthTokenFailed": "חברו אותו מחדש מחלון התשתית, או המתינו לסיום התקלה אצל הספק.",
           "overBudget": "צמצמו את מה שהסוכן מצהיר עליו, כדי שריצה אחת תוכל לשאת הכול."
@@ -3228,6 +3230,7 @@
         "ok": "השיב",
         "credentialsMissing": "אין פרטי הזדהות",
         "credentialRefused": "פרטי ההזדהות נדחו",
+        "credentialUnusable": "לא ניתן לשלוח את פרטי ההזדהות",
         "oauthNotConnected": "לא מחובר",
         "oauthTokenFailed": "החיבור הפסיק לעבוד",
         "unreachable": "אין תשובה",
@@ -3241,6 +3244,7 @@
       "allowedToolsUnchecked": "רשימת הכלים הייתה ארוכה מכדי לקרוא אותה במלואה, ולכן לא ניתן היה לבדוק את השמות המוגבלים.",
       "unresolvedCredentials": "לא אותר דבר עבור {keys}. מלאו את הערך למטה, או הגדירו אותו בסביבת ההתקנה.",
       "refusedCredentials": "{keys} מציין משתנה שהוא חלק מהתצורה של הפלטפורמה עצמה, ולכן הוא לעולם אינו מאותר. שנו את ההצהרה בקוד ההתקנה.",
+      "unusableCredentials": "{keys} אינו מציין כותרת, ולכן שרת HTTP לעולם אינו מקבל אותו. הוסיפו בקוד ההתקנה את הכותרת שבה השרת מזדהה.",
       "httpStatus": "HTTP {status}",
       "showDetails": "הצגת פרטים",
       "hideDetails": "הסתרת פרטים",
@@ -5847,6 +5851,31 @@
         "none_captured": "הממשק היה אמור להיות מצולם, אך שום תצוגה לא נלכדה."
       }
     },
+    "environments": {
+      "title": "סביבה פעילה",
+      "open": "פתיחת הסביבה הפעילה",
+      "retained": "סביבה זו נועדה להישאר קיימת גם לאחר סיום ההרצה.",
+      "expires": "פג תוקף ב־{date}",
+      "expired": "פג תוקף ב-{date}",
+      "state": {
+        "live": "פעילה",
+        "provisioning": "עולה",
+        "failed": "מעולם לא עלתה",
+        "reclaiming": "בפירוק",
+        "reclaimed": "פורקה",
+        "expired": "פג תוקף"
+      },
+      "origin": {
+        "deployer": "הוקמה על ידי ההרצה הזו",
+        "human_test": "הוקמה לצורך בדיקה ידנית",
+        "projected": "ההרצה עדיין נמשכת, ולכן זה עשוי להשתנות"
+      },
+      "gap": {
+        "no_environment_step": "שום שלב בצינור הזה אינו מקים סביבה, ולכן אין מה לפתוח.",
+        "not_provisioned": "הייתה אמורה לקום סביבה, ועדיין לא נרשמה אף אחת.",
+        "infraless": "השירות הזה אינו מגדיר סביבה משלו, ולכן לא הוקם דבר."
+      }
+    },
     "checks": {
       "title": "בדיקות",
       "row": "{kind}: {state}",

package/i18n/locales/it.json

@@ -656,6 +656,7 @@
         "ok": "Ha risposto",
         "credentialsMissing": "Nessuna credenziale",
         "credentialRefused": "Credenziale rifiutata",
+        "credentialUnusable": "Credenziale non inviabile",
         "oauthNotConnected": "Non collegato",
         "oauthTokenFailed": "Il collegamento ha smesso di funzionare",
         "unreachable": "Nessuna risposta",
@@ -669,6 +670,7 @@
       "allowedToolsUnchecked": "L’elenco degli strumenti era troppo lungo per leggerlo tutto, quindi i nomi limitati non hanno potuto essere verificati.",
       "unresolvedCredentials": "Nulla è stato risolto per {keys}. Inseriscilo qui sotto, oppure impostalo nell’ambiente dell’installazione.",
       "refusedCredentials": "{keys} nomina una variabile che appartiene alla configurazione della piattaforma stessa, quindi non viene mai risolta. Modifica la dichiarazione nel codice dell’installazione.",
+      "unusableCredentials": "{keys} non nomina alcuna intestazione, quindi un server HTTP non la riceve mai. Aggiungi nel codice dell’installazione l’intestazione con cui il server si autentica.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Mostra dettagli",
       "hideDetails": "Nascondi dettagli",
@@ -1991,6 +1993,7 @@
           "transportUnsupported": "non era disponibile: la CLI dell'agente di questo passo non riesce a raggiungere server di questo tipo.",
           "missingSecret": "non era disponibile: una credenziale che gli serve non è impostata per questa lavagna.",
           "reservedSecret": "non era disponibile: chiede una variabile che appartiene alla configurazione della piattaforma, quindi va cambiata la dichiarazione.",
+          "unusableSecret": "non era disponibile: una credenziale che dichiara non può raggiungerlo, quindi il server sarebbe partito senza autenticazione.",
           "oauthNotConnected": "non era disponibile: nessuno ha ancora collegato questa lavagna al server.",
           "oauthTokenFailed": "non era disponibile: la connessione ha smesso di produrre un token di accesso.",
           "overBudget": "non era disponibile: questo agente dichiara più server di strumenti di quanti ne porti una singola esecuzione.",
@@ -2001,6 +2004,7 @@
           "transportUnsupported": "Dichiara un server stdio al suo posto, oppure esegui il passo su una CLI dell'agente che raggiunge i server HTTP.",
           "missingSecret": "Imposta la credenziale che indica, come variabile d'ambiente del deployment oppure nelle credenziali delle capability, dalla finestra Infrastruttura.",
           "reservedSecret": "Cambia la dichiarazione perché chieda un'altra chiave; impostare quella variabile è proprio ciò che non aiuterà.",
+          "unusableSecret": "Correggi la dichiarazione nel codice dell’installazione: la credenziale di un server remoto viaggia in un’intestazione, quella di uno locale viene iniettata nel processo del server.",
           "oauthNotConnected": "Collega questa lavagna al server dalla finestra Infrastruttura. Un deployment senza ENCRYPTION_KEY non ha dove conservare una concessione, quindi un operatore deve impostarla prima.",
           "oauthTokenFailed": "Ricollegalo dalla finestra Infrastruttura, oppure attendi la fine del disservizio del fornitore.",
           "overBudget": "Riduci ciò che l'agente dichiara, così una singola esecuzione può portarlo tutto."
@@ -6410,6 +6414,31 @@
         "none_captured": "L'interfaccia doveva essere catturata, ma non è stata catturata alcuna vista."
       }
     },
+    "environments": {
+      "title": "Ambiente attivo",
+      "open": "Apri l'ambiente attivo",
+      "retained": "Questo ambiente è pensato per sopravvivere all’esecuzione.",
+      "expires": "Scade il {date}",
+      "expired": "Scaduto il {date}",
+      "state": {
+        "live": "Attivo",
+        "provisioning": "In avvio",
+        "failed": "Mai avviato",
+        "reclaiming": "In dismissione",
+        "reclaimed": "Dismesso",
+        "expired": "Scaduto"
+      },
+      "origin": {
+        "deployer": "Avviato da questa esecuzione",
+        "human_test": "Avviato per il test manuale",
+        "projected": "L'esecuzione è ancora in corso, quindi può ancora cambiare"
+      },
+      "gap": {
+        "no_environment_step": "In questa pipeline nulla avvia un ambiente, quindi non c'è niente da aprire.",
+        "not_provisioned": "Doveva essere avviato un ambiente e finora non ne è stato registrato nessuno.",
+        "infraless": "Questo servizio non dichiara un ambiente proprio, quindi non è stato avviato nulla."
+      }
+    },
     "checks": {
       "title": "Controlli",
       "row": "{kind}: {state}",

package/i18n/locales/ja.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "は利用できませんでした: このステップを実行したエージェント CLI はこの種類のサーバーに接続できません。",
           "missingSecret": "は利用できませんでした: 必要な認証情報がこのボードに設定されていません。",
           "reservedSecret": "は利用できませんでした: プラットフォーム自身の設定が使う変数を要求しているため、宣言側を変更する必要があります。",
+          "unusableSecret": "は利用できませんでした: 宣言された認証情報がサーバーに届かないため、認証なしで動作することになります。",
           "oauthNotConnected": "は利用できませんでした: このボードはまだ接続されていません。",
           "oauthTokenFailed": "は利用できませんでした: 接続からアクセストークンが発行されなくなりました。",
           "overBudget": "は利用できませんでした: このエージェントは 1 回の実行が運べる数を超えるツールサーバーを宣言しています。",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "このサーバー用に stdio サーバーを宣言するか、HTTP サーバーに接続できるエージェント CLI でステップを実行してください。",
           "missingSecret": "要求されている認証情報を、デプロイの環境変数として設定するか、インフラストラクチャ ウィンドウのケイパビリティ認証情報で設定してください。",
           "reservedSecret": "別のキーを要求するよう宣言を変更してください。その変数を設定しても解決しません。",
+          "unusableSecret": "デプロイのコードで宣言を修正してください。リモートサーバーの認証情報はヘッダーで送られ、ローカルサーバーのものはサーバープロセスに注入されます。",
           "oauthNotConnected": "インフラストラクチャ ウィンドウからこのボードを接続してください。ENCRYPTION_KEY のないデプロイには許可を保管する場所がないため、まず運用者がそれを設定する必要があります。",
           "oauthTokenFailed": "インフラストラクチャ ウィンドウから接続し直すか、提供元の障害が収まるのを待ってください。",
           "overBudget": "1 回の実行ですべて運べるよう、このエージェントの宣言を減らしてください。"
@@ -3228,6 +3230,7 @@
         "ok": "応答あり",
         "credentialsMissing": "認証情報なし",
         "credentialRefused": "認証情報を拒否",
+        "credentialUnusable": "認証情報を送信できません",
         "oauthNotConnected": "未接続",
         "oauthTokenFailed": "接続が機能しなくなりました",
         "unreachable": "応答なし",
@@ -3241,6 +3244,7 @@
       "allowedToolsUnchecked": "ツール一覧が長すぎて全部を読み取れなかったため、絞り込んだ名前は確認できませんでした。",
       "unresolvedCredentials": "{keys} の値が解決できませんでした。下で入力するか、デプロイの環境変数に設定してください。",
       "refusedCredentials": "{keys} はプラットフォーム自身の設定に属する変数名なので、決して解決されません。デプロイのコード側の宣言を変更してください。",
+      "unusableCredentials": "{keys} はヘッダーを指定していないため、HTTP サーバーには決して届きません。デプロイのコードで、サーバーが認証に使うヘッダーを指定してください。",
       "httpStatus": "HTTP {status}",
       "showDetails": "詳細を表示",
       "hideDetails": "詳細を隠す",
@@ -5847,6 +5851,31 @@
         "none_captured": "画面を取得する予定でしたが、ビューは取得されませんでした。"
       }
     },
+    "environments": {
+      "title": "稼働中の環境",
+      "open": "稼働中の環境を開く",
+      "retained": "この環境は実行の終了後も残るように設定されています。",
+      "expires": "{date} に期限切れ",
+      "expired": "{date} に期限切れ",
+      "state": {
+        "live": "稼働中",
+        "provisioning": "起動中",
+        "failed": "起動できませんでした",
+        "reclaiming": "破棄中",
+        "reclaimed": "破棄済み",
+        "expired": "期限切れ"
+      },
+      "origin": {
+        "deployer": "この実行が用意した環境",
+        "human_test": "手動テスト用に用意した環境",
+        "projected": "実行がまだ続いているため、この内容は変わる可能性があります"
+      },
+      "gap": {
+        "no_environment_step": "このパイプラインには環境を用意する処理がないため、開けるものはありません。",
+        "not_provisioned": "環境が用意されるはずですが、まだ何も記録されていません。",
+        "infraless": "このサービスは独自の環境を宣言していないため、何も用意されていません。"
+      }
+    },
     "checks": {
       "title": "チェック",
       "row": "{kind}: {state}",

package/i18n/locales/pl.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "nie był dostępny: CLI agenta, na którym działał ten krok, nie dosięga serwera tego rodzaju.",
           "missingSecret": "nie był dostępny: potrzebne mu poświadczenie nie jest ustawione dla tej tablicy.",
           "reservedSecret": "nie był dostępny: prosi o zmienną należącą do konfiguracji samej platformy, więc trzeba zmienić deklarację.",
+          "unusableSecret": "nie był dostępny: zadeklarowane dane uwierzytelniające nie mogą do niego dotrzeć, więc serwer działałby bez uwierzytelnienia.",
           "oauthNotConnected": "nie był dostępny: nikt jeszcze nie połączył z nim tej tablicy.",
           "oauthTokenFailed": "nie był dostępny: połączenie przestało wydawać token dostępu.",
           "overBudget": "nie był dostępny: ten agent deklaruje więcej serwerów narzędzi, niż niesie jedno uruchomienie.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "Zadeklaruj dla niego serwer stdio albo uruchom krok na CLI agenta, które dosięga serwerów HTTP.",
           "missingSecret": "Ustaw wskazane poświadczenie jako zmienną środowiskową wdrożenia albo w poświadczeniach możliwości, w oknie Infrastruktura.",
           "reservedSecret": "Zmień deklarację tak, by prosiła o inny klucz; ustawienie tej zmiennej to właśnie to, co nie pomoże.",
+          "unusableSecret": "Popraw deklarację w kodzie instalacji: dane uwierzytelniające serwera zdalnego jadą w nagłówku, a lokalnego są wstrzykiwane do procesu serwera.",
           "oauthNotConnected": "Połącz tę tablicę z serwerem w oknie Infrastruktura. Wdrożenie bez ENCRYPTION_KEY nie ma gdzie przechować zgody, więc operator musi ją najpierw ustawić.",
           "oauthTokenFailed": "Połącz go ponownie w oknie Infrastruktura albo przeczekaj awarię dostawcy.",
           "overBudget": "Skróć to, co deklaruje agent, aby jedno uruchomienie uniosło całość."
@@ -3087,6 +3089,7 @@
         "ok": "Odpowiedział",
         "credentialsMissing": "Brak danych uwierzytelniających",
         "credentialRefused": "Dane uwierzytelniające odrzucone",
+        "credentialUnusable": "Nie można wysłać danych uwierzytelniających",
         "oauthNotConnected": "Niepołączony",
         "oauthTokenFailed": "Połączenie przestało działać",
         "unreachable": "Brak odpowiedzi",
@@ -3100,6 +3103,7 @@
       "allowedToolsUnchecked": "Lista narzędzi była zbyt długa, by odczytać ją w całości, więc zawężonych nazw nie dało się sprawdzić.",
       "unresolvedCredentials": "Nic nie rozwiązano dla {keys}. Wpisz wartość poniżej albo ustaw ją w środowisku instalacji.",
       "refusedCredentials": "{keys} nazywa zmienną należącą do konfiguracji samej platformy, więc nigdy nie jest rozwiązywana. Zmień deklarację w kodzie instalacji.",
+      "unusableCredentials": "{keys} nie nazywa żadnego nagłówka, więc serwer HTTP nigdy go nie otrzyma. Dodaj w kodzie instalacji nagłówek, którym serwer się uwierzytelnia.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Pokaż szczegóły",
       "hideDetails": "Ukryj szczegóły",
@@ -5847,6 +5851,31 @@
         "none_captured": "Interfejs miał zostać zarejestrowany, ale nie zapisano żadnego widoku."
       }
     },
+    "environments": {
+      "title": "Działające środowisko",
+      "open": "Otwórz działające środowisko",
+      "retained": "To środowisko ma istnieć dłużej niż samo uruchomienie.",
+      "expires": "Wygasa {date}",
+      "expired": "Wygasło {date}",
+      "state": {
+        "live": "Działa",
+        "provisioning": "Uruchamiane",
+        "failed": "Nigdy nie wystartowało",
+        "reclaiming": "Usuwane",
+        "reclaimed": "Usunięte",
+        "expired": "Wygasło"
+      },
+      "origin": {
+        "deployer": "Uruchomione przez ten przebieg",
+        "human_test": "Uruchomione na potrzeby testu ręcznego",
+        "projected": "Przebieg wciąż trwa, więc to może się jeszcze zmienić"
+      },
+      "gap": {
+        "no_environment_step": "Nic w tym potoku nie uruchamia środowiska, więc nie ma czego otworzyć.",
+        "not_provisioned": "Środowisko miało zostać uruchomione, ale żadnego jeszcze nie zapisano.",
+        "infraless": "Ta usługa nie deklaruje własnego środowiska, więc nic nie zostało uruchomione."
+      }
+    },
     "checks": {
       "title": "Sprawdzenia",
       "row": "{kind}: {state}",

package/i18n/locales/tr.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "kullanılamadı: bu adımın çalıştığı ajan CLI'si bu türden bir sunucuya erişemiyor.",
           "missingSecret": "kullanılamadı: ihtiyaç duyduğu kimlik bilgisi bu pano için ayarlanmamış.",
           "reservedSecret": "kullanılamadı: platformun kendi yapılandırmasına ait bir değişken istiyor, bu yüzden bildirimin değişmesi gerekiyor.",
+          "unusableSecret": "kullanılamadı: bildirdiği bir kimlik bilgisi ona ulaşamıyor, bu yüzden sunucu kimlik doğrulaması olmadan çalışacaktı.",
           "oauthNotConnected": "kullanılamadı: bu panoyu henüz kimse ona bağlamadı.",
           "oauthTokenFailed": "kullanılamadı: bağlantı artık erişim jetonu üretmiyor.",
           "overBudget": "kullanılamadı: bu ajan tek bir çalıştırmanın taşıdığından fazla araç sunucusu bildiriyor.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "Onun için bir stdio sunucusu bildirin ya da adımı HTTP sunucularına erişen bir ajan CLI'sinde çalıştırın.",
           "missingSecret": "Adı geçen kimlik bilgisini dağıtımın ortam değişkeni olarak ya da Altyapı penceresindeki yetenek kimlik bilgilerinde ayarlayın.",
           "reservedSecret": "Bildirimi başka bir anahtar isteyecek şekilde değiştirin; o değişkeni ayarlamak tam da yardımcı olmayacak şeydir.",
+          "unusableSecret": "Kurulumun kodundaki bildirimi düzeltin: uzak bir sunucunun kimlik bilgisi bir başlıkta taşınır, yerel olanınki sunucunun sürecine enjekte edilir.",
           "oauthNotConnected": "Bu panoyu Altyapı penceresinden ona bağlayın. ENCRYPTION_KEY olmayan bir dağıtımda izni saklayacak bir yer yoktur, bu yüzden önce bir operatörün bunu ayarlaması gerekir.",
           "oauthTokenFailed": "Altyapı penceresinden yeniden bağlayın ya da sağlayıcının kesintisinin geçmesini bekleyin.",
           "overBudget": "Tek bir çalıştırma hepsini taşıyabilsin diye ajanın bildirdiklerini kısaltın."
@@ -3228,6 +3230,7 @@
         "ok": "Yanıt verdi",
         "credentialsMissing": "Kimlik bilgisi yok",
         "credentialRefused": "Kimlik bilgisi reddedildi",
+        "credentialUnusable": "Kimlik bilgisi gönderilemiyor",
         "oauthNotConnected": "Bağlı değil",
         "oauthTokenFailed": "Bağlantı çalışmayı bıraktı",
         "unreachable": "Yanıt yok",
@@ -3241,6 +3244,7 @@
       "allowedToolsUnchecked": "Araç listesi tümüyle okunacak kadar kısa değildi, bu yüzden sınırlanan adlar denetlenemedi.",
       "unresolvedCredentials": "{keys} için hiçbir değer çözülmedi. Aşağıda doldurun ya da kurulumun ortamında tanımlayın.",
       "refusedCredentials": "{keys}, platformun kendi yapılandırmasına ait bir değişkeni adlandırıyor, bu yüzden asla çözülmez. Kurulumun kodundaki bildirimi değiştirin.",
+      "unusableCredentials": "{keys} hiçbir başlık adlandırmıyor, bu yüzden bir HTTP sunucusuna asla ulaşmaz. Kurulumun kodunda, sunucunun kimlik doğrulamasında kullandığı başlığı ekleyin.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Ayrıntıları göster",
       "hideDetails": "Ayrıntıları gizle",
@@ -5847,6 +5851,31 @@
         "none_captured": "Arayüzün yakalanması gerekiyordu ama hiçbir görünüm yakalanmadı."
       }
     },
+    "environments": {
+      "title": "Canlı ortam",
+      "open": "Canlı ortamı aç",
+      "retained": "Bu ortamın çalıştırma bittikten sonra da kalması amaçlanıyor.",
+      "expires": "{date} tarihinde sona eriyor",
+      "expired": "{date} tarihinde süresi doldu",
+      "state": {
+        "live": "Canlı",
+        "provisioning": "Ayağa kalkıyor",
+        "failed": "Hiç ayağa kalkmadı",
+        "reclaiming": "Kaldırılıyor",
+        "reclaimed": "Kaldırıldı",
+        "expired": "Süresi doldu"
+      },
+      "origin": {
+        "deployer": "Bu çalışma tarafından ayağa kaldırıldı",
+        "human_test": "Elle yapılan test için ayağa kaldırıldı",
+        "projected": "Çalışma sürüyor, bu yüzden bu durum değişebilir"
+      },
+      "gap": {
+        "no_environment_step": "Bu hatta ortam ayağa kaldıran bir adım yok, açılacak bir şey de yok.",
+        "not_provisioned": "Bir ortam ayağa kaldırılacaktı, ancak henüz hiçbiri kaydedilmedi.",
+        "infraless": "Bu servis kendine ait bir ortam tanımlamıyor, bu yüzden hiçbir şey ayağa kaldırılmadı."
+      }
+    },
     "checks": {
       "title": "Denetimler",
       "row": "{kind}: {state}",

package/i18n/locales/uk.json

@@ -1446,6 +1446,7 @@
           "transportUnsupported": "був недоступний: CLI агента, на якому виконувався цей крок, не досягає сервера такого типу.",
           "missingSecret": "був недоступний: потрібні йому облікові дані не задані для цієї дошки.",
           "reservedSecret": "був недоступний: він просить змінну, що належить власній конфігурації платформи, тож потрібно змінити оголошення.",
+          "unusableSecret": "був недоступний: оголошені облікові дані не можуть до нього дістатися, тож сервер працював би без автентифікації.",
           "oauthNotConnected": "був недоступний: цю дошку ще ніхто до нього не під’єднав.",
           "oauthTokenFailed": "був недоступний: з’єднання перестало видавати токен доступу.",
           "overBudget": "був недоступний: цей агент оголошує більше серверів інструментів, ніж несе один запуск.",
@@ -1456,6 +1457,7 @@
           "transportUnsupported": "Оголосіть для нього сервер stdio або виконайте крок на CLI агента, що досягає серверів HTTP.",
           "missingSecret": "Задайте названі облікові дані або як змінну середовища розгортання, або в облікових даних можливостей у вікні інфраструктури.",
           "reservedSecret": "Змініть оголошення так, щоб воно просило інший ключ; задати цю змінну це саме те, що не допоможе.",
+          "unusableSecret": "Виправте оголошення в коді інсталяції: облікові дані віддаленого сервера їдуть у заголовку, а локального вставляються у процес сервера.",
           "oauthNotConnected": "Під’єднайте цю дошку до нього у вікні інфраструктури. Розгортання без ENCRYPTION_KEY не має де зберігати дозвіл, тож оператор має спершу задати його.",
           "oauthTokenFailed": "Під’єднайте його заново у вікні інфраструктури або перечекайте збій постачальника.",
           "overBudget": "Скоротіть те, що оголошує агент, щоб один запуск ніс усе."
@@ -3087,6 +3089,7 @@
         "ok": "Відповів",
         "credentialsMissing": "Немає облікових даних",
         "credentialRefused": "Облікові дані відхилено",
+        "credentialUnusable": "Облікові дані неможливо надіслати",
         "oauthNotConnected": "Не під’єднано",
         "oauthTokenFailed": "З’єднання перестало працювати",
         "unreachable": "Немає відповіді",
@@ -3100,6 +3103,7 @@
       "allowedToolsUnchecked": "Список інструментів був завеликий, щоб прочитати його повністю, тож звужені назви перевірити не вдалося.",
       "unresolvedCredentials": "Для {keys} нічого не розв’язано. Введіть значення нижче або задайте його в середовищі інсталяції.",
       "refusedCredentials": "{keys} називає змінну, що належить власній конфігурації платформи, тож вона ніколи не розв’язується. Змініть оголошення в коді інсталяції.",
+      "unusableCredentials": "{keys} не називає жодного заголовка, тож HTTP-сервер ніколи його не отримає. Додайте в коді інсталяції заголовок, яким сервер автентифікується.",
       "httpStatus": "HTTP {status}",
       "showDetails": "Показати деталі",
       "hideDetails": "Сховати деталі",
@@ -5847,6 +5851,31 @@
         "none_captured": "Інтерфейс мали зняти, але жодного екрана не збережено."
       }
     },
+    "environments": {
+      "title": "Робоче середовище",
+      "open": "Відкрити робоче середовище",
+      "retained": "Це середовище має існувати й після завершення запуску.",
+      "expires": "Діє до {date}",
+      "expired": "Термін дії минув {date}",
+      "state": {
+        "live": "Працює",
+        "provisioning": "Розгортається",
+        "failed": "Так і не запустилося",
+        "reclaiming": "Згортається",
+        "reclaimed": "Згорнуто",
+        "expired": "Термін вичерпано"
+      },
+      "origin": {
+        "deployer": "Розгорнуто цим запуском",
+        "human_test": "Розгорнуто для ручного тестування",
+        "projected": "Запуск ще триває, тож це може змінитися"
+      },
+      "gap": {
+        "no_environment_step": "У цьому конвеєрі ніщо не розгортає середовище, тож відкривати нічого.",
+        "not_provisioned": "Середовище мало розгорнутися, але поки що не зафіксовано жодного.",
+        "infraless": "Ця служба не оголошує власного середовища, тож нічого не розгорталося."
+      }
+    },
     "checks": {
       "title": "Перевірки",
       "row": "{kind}: {state}",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cat-factory/app",
-  "version": "0.258.1",
+  "version": "0.259.1",
   "description": "Reusable Nuxt layer for the Agent Architecture Board SPA (components, stores, composables, pages). Consume it from a thin deployment app via `extends: ['@cat-factory/app']` and point it at your backend with NUXT_PUBLIC_API_BASE. See deploy/frontend for an example.",
   "repository": {
     "type": "git",
@@ -40,7 +40,7 @@
     "valibot": "^1.4.2",
     "vue": "3.5.41",
     "wretch": "^3.0.9",
-    "@cat-factory/contracts": "0.287.0"
+    "@cat-factory/contracts": "0.289.0"
   },
   "devDependencies": {
     "@toad-contracts/testing": "0.3.2",