@cat-factory/app 0.260.1 → 0.261.1

package/app/utils/postSignIn.spec.ts

@@ -0,0 +1,29 @@
+import { describe, expect, it } from 'vitest'
+import { postSignInUrl } from './postSignIn'
+
+// The regression this exists for: every sign-in path reloaded to `location.pathname`, so a flow
+// whose subject rides the query string lost it the moment a person signed in. The MCP consent
+// screen is the one that fails hardest, and signing in first is the ordinary way a first connect
+// goes, so the loss is on the common path rather than an edge of it.
+
+describe('postSignInUrl', () => {
+  it('keeps the query string the destination needs', () => {
+    expect(postSignInUrl({ pathname: '/mcp-authorize', search: '?request=sealed-value' })).toBe(
+      '/mcp-authorize?request=sealed-value',
+    )
+  })
+
+  it('drops the invite token, which the signup call already spent', () => {
+    // Not a matter of tidiness: a consumed invite left in the address bar is a token in every
+    // place a URL gets pasted, and it buys the reader nothing because it no longer works.
+    expect(postSignInUrl({ pathname: '/', search: '?invite=tok_1' })).toBe('/')
+    expect(postSignInUrl({ pathname: '/', search: '?invite=tok_1&ws=ws_9' })).toBe('/?ws=ws_9')
+  })
+
+  it('answers a bare path unchanged, and drops a fragment', () => {
+    expect(postSignInUrl({ pathname: '/', search: '' })).toBe('/')
+    // The fragment is absent by construction: it is never read here, so a stale one would only
+    // scroll the freshly booted app to an anchor the previous screen owned.
+    expect(postSignInUrl({ pathname: '/boards', search: '?a=1' })).toBe('/boards?a=1')
+  })
+})

package/app/utils/postSignIn.ts

@@ -0,0 +1,29 @@
+/**
+ * Where the browser reloads to once a sign-in succeeds.
+ *
+ * Every sign-in path reloads rather than routing, because the app has to boot with the new session
+ * rather than patch itself around it. What it reloads TO is the question this answers, and the
+ * naive `location.pathname` gets it wrong: the login screen renders at whatever URL the person
+ * arrived at, so the query string belongs to the destination, not to the sign-in. Dropping it
+ * silently strands any flow that carries its subject there. The MCP consent screen is the case that
+ * bites hardest (`/mcp-authorize?request=<sealed>`): signing in first is the COMMON path for a
+ * first connect, and landing back with no `request` leaves a person looking at "this page was
+ * opened without an authorization request" with no way forward except restarting from the host.
+ *
+ * `invite` is the one parameter dropped, and it is dropped because it has already been SPENT: the
+ * signup call consumed it, so keeping it would leave a consumed token in the address bar and in
+ * every place a URL gets pasted. Everything else is the destination's business, not this module's,
+ * which is why the rule is a named exception rather than an allowlist nobody remembers to extend.
+ */
+const SPENT_PARAMS = ['invite']
+
+/**
+ * The post-sign-in URL for one location: its path, its query minus the spent parameters, and no
+ * fragment (nothing in this app puts state there, and a stale one would scroll to nowhere).
+ */
+export function postSignInUrl(location: { pathname: string; search: string }): string {
+  const params = new URLSearchParams(location.search)
+  for (const spent of SPENT_PARAMS) params.delete(spent)
+  const query = params.toString()
+  return query ? `${location.pathname}?${query}` : location.pathname
+}

package/i18n/locales/de.json

@@ -1,4 +1,43 @@
 {
+  "mcpAuthorize": {
+    "title": "{client} verbinden?",
+    "subtitle": "Die Anwendung gibt an, {client} zu sein, und diese Installation leitet sie zurück an {origin}.",
+    "workspace": {
+      "label": "Board, auf dem sie handeln darf"
+    },
+    "scopeLabel": "Was sie tun darf",
+    "scopeHint": "Jede Stufe schließt die darüberliegenden ein.",
+    "scope": {
+      "read": {
+        "label": "Nur lesen",
+        "description": "Services, Aufgaben, Pipelines und Läufe ansehen."
+      },
+      "write": {
+        "label": "Lesen und schreiben",
+        "description": "Zusätzlich Aufgaben anlegen und starten."
+      },
+      "decide": {
+        "label": "Lesen, schreiben und entscheiden",
+        "description": "Zusätzlich die Fragen beantworten, auf die ein pausierter Lauf wartet."
+      },
+      "admin": {
+        "label": "Voller Zugriff",
+        "description": "Zusätzlich Aufgaben löschen und auf Benachrichtigungen reagieren, was einen Pull Request zusammenführen kann."
+      }
+    },
+    "requestedScope": "{client} hat {scope} angefragt. Wählen Sie das oben nur, wenn Sie es wirklich gewähren möchten.",
+    "approve": "Verbinden",
+    "deny": "Abbrechen",
+    "back": "Zurück zur App",
+    "noWorkspaces": "Sie haben noch kein Board, mit dem sich das verbinden ließe.",
+    "revokeHint": "Dabei wird ein API-Schlüssel ausgestellt, den Sie jederzeit in den Board-Einstellungen widerrufen können.",
+    "error": {
+      "title": "Diese Verbindung konnte nicht eingerichtet werden",
+      "noRequest": "Diese Seite wurde ohne Autorisierungsanfrage geöffnet. Starten Sie die Verbindung in Ihrem MCP-Host.",
+      "expired": "Diese Autorisierungsanfrage ist ungültig oder abgelaufen. Starten Sie die Verbindung in Ihrem MCP-Host erneut.",
+      "failed": "Die Entscheidung konnte nicht gespeichert werden. Starten Sie die Verbindung in Ihrem MCP-Host erneut."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "Modellkonfiguration",
@@ -239,6 +278,11 @@
           "blurb": "Wo die Coding-Agenten laufen, wenn keine Cloudflare Containers verwendet werden. Wähle einen selbst gehosteten Runner-Pool (deinen eigenen Scheduler) oder einen Kubernetes-Cluster und konfiguriere dann dessen Endpunkt und Zugangsdaten."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "Dieses Token enthält ein Leerzeichen oder einen Zeilenumbruch, was bei einem Bearer-Token nie vorkommt. Vermutlich wurde es über einen Zeilenumbruch im Terminal hinweg kopiert. Kopieren Sie es erneut als eine einzige ununterbrochene Zeile.",
+        "base64Encoded": "Das sieht nach dem Base64-Wert aus dem Feld .data.token des Secrets aus, nicht nach dem Token selbst. Dekodieren Sie ihn zuerst, zum Beispiel mit base64 -d.",
+        "notAJwt": "Das sieht nicht nach einem ServiceAccount-Token aus, das ein JWT aus drei durch Punkte getrennten Teilen ist. Prüfen Sie, ob der gesamte Wert kopiert wurde. Ignorieren Sie diesen Hinweis, wenn Ihr Cluster statische Bearer-Token verwendet."
+      },
       "kubernetesEnv": {
         "label": "Name",
         "labelPlaceholder": "Preview-Cluster",
@@ -325,6 +369,19 @@
         "button": "Verbindung testen",
         "ok": "Verbindung OK",
         "failed": "Verbindung fehlgeschlagen",
+        "causes": {
+          "refused": "An dieser Adresse wartet nichts: Die Verbindung wurde abgelehnt.",
+          "dns": "Dieser Hostname lässt sich von dieser Installation aus nicht auflösen.",
+          "timeout": "Es kam keine Antwort, bevor die Prüfung abgelaufen ist.",
+          "aborted": "Die Anfrage wurde abgebrochen, bevor eine Antwort ankam.",
+          "unreachable": "Von dieser Installation aus gibt es keine Netzwerkroute zu dieser Adresse.",
+          "reset": "Die Verbindung wurde geschlossen, bevor eine Antwort ankam.",
+          "tlsUntrusted": "Diese Installation vertraut dem TLS-Zertifikat nicht.",
+          "tlsExpired": "Das TLS-Zertifikat liegt außerhalb seines Gültigkeitszeitraums.",
+          "tlsHostname": "Das TLS-Zertifikat wurde nicht für diesen Hostnamen ausgestellt.",
+          "tlsProtocol": "Der TLS-Handshake ist fehlgeschlagen.",
+          "invalidHeader": "Die Anfrage ließ sich nicht erstellen: Ein Zugangsdaten-Wert enthält ein Zeichen, das ein HTTP-Header nicht übertragen kann."
+        },
         "warningsTitle": "Lücken in dieser Konfiguration",
         "warnings": {
           "runner_manifest_no_release": "Kein Release-Template: Beim Abbrechen eines Laufs kann dem Pool nicht mitgeteilt werden, dass er seinen Job stoppen soll. Ein verwaister Job belegt seinen Runner, bis der Pool ihn von selbst zurücknimmt.",

package/i18n/locales/en.json

@@ -2682,6 +2682,45 @@
       }
     }
   },
+  "mcpAuthorize": {
+    "title": "Connect {client}?",
+    "subtitle": "It says it is {client}, and this deployment will send it back to {origin}.",
+    "workspace": {
+      "label": "Board it may act on"
+    },
+    "scopeLabel": "What it may do",
+    "scopeHint": "Each level includes the ones above it.",
+    "scope": {
+      "read": {
+        "label": "Read only",
+        "description": "See services, tasks, pipelines and runs."
+      },
+      "write": {
+        "label": "Read and write",
+        "description": "Also create and start tasks."
+      },
+      "decide": {
+        "label": "Read, write and decide",
+        "description": "Also answer the questions a parked run is waiting on."
+      },
+      "admin": {
+        "label": "Full access",
+        "description": "Also delete tasks and act on notifications, which can merge a pull request."
+      }
+    },
+    "requestedScope": "{client} asked for {scope}. Choose it above only if you mean to grant that.",
+    "approve": "Connect",
+    "deny": "Cancel",
+    "back": "Back to the app",
+    "noWorkspaces": "You have no boards to connect this to yet.",
+    "revokeHint": "This issues an API key you can revoke at any time from the board's settings.",
+    "error": {
+      "title": "This connection could not be set up",
+      "noRequest": "This page was opened without an authorization request. Start the connection from your MCP host.",
+      "expired": "This authorization request is invalid or has expired. Start the connection again from your MCP host.",
+      "failed": "The decision could not be recorded. Start the connection again from your MCP host."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "Model Configuration",
@@ -2922,6 +2961,11 @@
           "blurb": "Where the coding agents run when not using Cloudflare Containers. Choose a self-hosted runner pool (your own scheduler) or a Kubernetes cluster, then configure its endpoint and credentials."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "This token contains a space or line break, which a bearer token never has. It was most likely copied across a wrapped line in your terminal. Re-copy it as a single unbroken line.",
+        "base64Encoded": "This looks like the base64 value from the Secret's .data.token field rather than the token itself. Decode it first, for example with base64 -d.",
+        "notAJwt": "This does not look like a ServiceAccount token, which is a JWT of three dot-separated parts. Check that the whole value was copied. Ignore this if your cluster uses static bearer tokens."
+      },
       "kubernetesEnv": {
         "label": "Name",
         "labelPlaceholder": "Preview cluster",
@@ -3011,6 +3055,19 @@
         "button": "Test connection",
         "ok": "Connection OK",
         "failed": "Connection failed",
+        "causes": {
+          "refused": "Nothing is listening at that address: the connection was refused.",
+          "dns": "That host name does not resolve from this deployment.",
+          "timeout": "No answer arrived before the test timed out.",
+          "aborted": "The request was cancelled before an answer arrived.",
+          "unreachable": "There is no network route to that address from this deployment.",
+          "reset": "The connection was closed before an answer arrived.",
+          "tlsUntrusted": "This deployment does not trust the TLS certificate.",
+          "tlsExpired": "The TLS certificate is outside its validity window.",
+          "tlsHostname": "The TLS certificate was not issued for that host name.",
+          "tlsProtocol": "The TLS handshake failed.",
+          "invalidHeader": "The request could not be built: a credential holds a character an HTTP header cannot carry."
+        },
         "warningsTitle": "Gaps in this configuration",
         "warnings": {
           "runner_manifest_no_release": "No release template: cancelling a run cannot tell the pool to stop its job, so an orphaned job keeps its runner until the pool reclaims it on its own.",

package/i18n/locales/es.json

@@ -2575,6 +2575,45 @@
       }
     }
   },
+  "mcpAuthorize": {
+    "title": "¿Conectar {client}?",
+    "subtitle": "Dice ser {client}, y esta instalación lo devolverá a {origin}.",
+    "workspace": {
+      "label": "Tablero en el que podrá actuar"
+    },
+    "scopeLabel": "Lo que podrá hacer",
+    "scopeHint": "Cada nivel incluye los anteriores.",
+    "scope": {
+      "read": {
+        "label": "Solo lectura",
+        "description": "Ver servicios, tareas, pipelines y ejecuciones."
+      },
+      "write": {
+        "label": "Lectura y escritura",
+        "description": "Además, crear e iniciar tareas."
+      },
+      "decide": {
+        "label": "Lectura, escritura y decisión",
+        "description": "Además, responder a las preguntas que espera una ejecución detenida."
+      },
+      "admin": {
+        "label": "Acceso completo",
+        "description": "Además, eliminar tareas y actuar sobre notificaciones, lo que puede fusionar un pull request."
+      }
+    },
+    "requestedScope": "{client} solicitó {scope}. Elige esa opción arriba solo si de verdad quieres concederla.",
+    "approve": "Conectar",
+    "deny": "Cancelar",
+    "back": "Volver a la aplicación",
+    "noWorkspaces": "Todavía no tienes ningún tablero al que conectarlo.",
+    "revokeHint": "Esto emite una clave de API que puedes revocar cuando quieras desde los ajustes del tablero.",
+    "error": {
+      "title": "No se pudo establecer esta conexión",
+      "noRequest": "Esta página se abrió sin una solicitud de autorización. Inicia la conexión desde tu host MCP.",
+      "expired": "Esta solicitud de autorización no es válida o ha caducado. Vuelve a iniciar la conexión desde tu host MCP.",
+      "failed": "No se pudo registrar la decisión. Vuelve a iniciar la conexión desde tu host MCP."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "Configuración de modelos",
@@ -2705,6 +2744,19 @@
         "button": "Probar conexión",
         "ok": "Conexión correcta",
         "failed": "Falló la conexión",
+        "causes": {
+          "refused": "No hay nada escuchando en esa dirección: la conexión fue rechazada.",
+          "dns": "Ese nombre de host no se resuelve desde esta instalación.",
+          "timeout": "No llegó ninguna respuesta antes de que la prueba agotara su tiempo.",
+          "aborted": "La solicitud se canceló antes de que llegara una respuesta.",
+          "unreachable": "No hay ruta de red hacia esa dirección desde esta instalación.",
+          "reset": "La conexión se cerró antes de que llegara una respuesta.",
+          "tlsUntrusted": "Esta instalación no confía en el certificado TLS.",
+          "tlsExpired": "El certificado TLS está fuera de su periodo de validez.",
+          "tlsHostname": "El certificado TLS no se emitió para ese nombre de host.",
+          "tlsProtocol": "El protocolo de enlace TLS falló.",
+          "invalidHeader": "No se pudo construir la solicitud: una credencial contiene un carácter que una cabecera HTTP no puede transportar."
+        },
         "warningsTitle": "Carencias en esta configuración",
         "warnings": {
           "runner_manifest_no_release": "Sin plantilla de release: al cancelar una ejecución no se puede indicar al pool que detenga su trabajo, así que un trabajo huérfano ocupa su runner hasta que el pool lo recupere por su cuenta.",
@@ -2720,6 +2772,11 @@
         "removed": "Conexión eliminada",
         "removeFailed": "No se pudo eliminar la conexión"
       },
+      "serviceAccountToken": {
+        "whitespace": "Este token contiene un espacio o un salto de línea, algo que nunca ocurre en un token de portador. Lo más probable es que se haya copiado a través de una línea ajustada en la terminal. Vuelve a copiarlo como una única línea continua.",
+        "base64Encoded": "Esto parece el valor en base64 del campo .data.token del Secret, no el token en sí. Descodifícalo primero, por ejemplo con base64 -d.",
+        "notAJwt": "Esto no parece un token de ServiceAccount, que es un JWT de tres partes separadas por puntos. Comprueba que has copiado el valor completo. Ignora este aviso si tu clúster usa tokens de portador estáticos."
+      },
       "kubernetesEnv": {
         "label": "Nombre",
         "labelPlaceholder": "Clúster de vista previa",

package/i18n/locales/fr.json

@@ -2575,6 +2575,45 @@
       }
     }
   },
+  "mcpAuthorize": {
+    "title": "Connecter {client} ?",
+    "subtitle": "Il se présente comme {client}, et ce déploiement le renverra vers {origin}.",
+    "workspace": {
+      "label": "Tableau sur lequel il pourra agir"
+    },
+    "scopeLabel": "Ce qu'il pourra faire",
+    "scopeHint": "Chaque niveau inclut les précédents.",
+    "scope": {
+      "read": {
+        "label": "Lecture seule",
+        "description": "Voir les services, les tâches, les pipelines et les exécutions."
+      },
+      "write": {
+        "label": "Lecture et écriture",
+        "description": "Et aussi créer et lancer des tâches."
+      },
+      "decide": {
+        "label": "Lecture, écriture et décision",
+        "description": "Et aussi répondre aux questions qu'attend une exécution en pause."
+      },
+      "admin": {
+        "label": "Accès complet",
+        "description": "Et aussi supprimer des tâches et agir sur les notifications, ce qui peut fusionner une pull request."
+      }
+    },
+    "requestedScope": "{client} a demandé {scope}. Ne choisissez cette option ci-dessus que si vous voulez vraiment l'accorder.",
+    "approve": "Connecter",
+    "deny": "Annuler",
+    "back": "Retour à l'application",
+    "noWorkspaces": "Vous n'avez encore aucun tableau auquel le connecter.",
+    "revokeHint": "Cela émet une clé d'API que vous pouvez révoquer à tout moment depuis les réglages du tableau.",
+    "error": {
+      "title": "Cette connexion n'a pas pu être établie",
+      "noRequest": "Cette page a été ouverte sans demande d'autorisation. Lancez la connexion depuis votre hôte MCP.",
+      "expired": "Cette demande d'autorisation est invalide ou a expiré. Relancez la connexion depuis votre hôte MCP.",
+      "failed": "La décision n'a pas pu être enregistrée. Relancez la connexion depuis votre hôte MCP."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "Configuration des modèles",
@@ -2705,6 +2744,19 @@
         "button": "Tester la connexion",
         "ok": "Connexion réussie",
         "failed": "Échec de la connexion",
+        "causes": {
+          "refused": "Rien n'écoute à cette adresse : la connexion a été refusée.",
+          "dns": "Ce nom d'hôte n'est pas résolu depuis ce déploiement.",
+          "timeout": "Aucune réponse n'est arrivée avant l'expiration du test.",
+          "aborted": "La requête a été annulée avant l'arrivée d'une réponse.",
+          "unreachable": "Aucune route réseau ne mène à cette adresse depuis ce déploiement.",
+          "reset": "La connexion a été fermée avant l'arrivée d'une réponse.",
+          "tlsUntrusted": "Ce déploiement ne fait pas confiance au certificat TLS.",
+          "tlsExpired": "Le certificat TLS est en dehors de sa période de validité.",
+          "tlsHostname": "Le certificat TLS n'a pas été émis pour ce nom d'hôte.",
+          "tlsProtocol": "La négociation TLS a échoué.",
+          "invalidHeader": "La requête n'a pas pu être construite : un identifiant contient un caractère qu'un en-tête HTTP ne peut pas transporter."
+        },
         "warningsTitle": "Lacunes dans cette configuration",
         "warnings": {
           "runner_manifest_no_release": "Aucun modèle de release : annuler une exécution ne permet pas de demander au pool d'arrêter son job, donc un job orphelin occupe son runner jusqu'à ce que le pool le récupère de lui-même.",
@@ -2720,6 +2772,11 @@
         "removed": "Connexion supprimée",
         "removeFailed": "Impossible de supprimer la connexion"
       },
+      "serviceAccountToken": {
+        "whitespace": "Ce jeton contient une espace ou un saut de ligne, ce qu'un jeton porteur ne contient jamais. Il a probablement été copié à cheval sur un retour à la ligne du terminal. Recopiez-le sur une seule ligne ininterrompue.",
+        "base64Encoded": "Ceci ressemble à la valeur base64 du champ .data.token du Secret, et non au jeton lui-même. Décodez-la d'abord, par exemple avec base64 -d.",
+        "notAJwt": "Ceci ne ressemble pas à un jeton de ServiceAccount, qui est un JWT composé de trois parties séparées par des points. Vérifiez que la valeur a été copiée en entier. Ignorez cet avertissement si votre cluster utilise des jetons porteurs statiques."
+      },
       "kubernetesEnv": {
         "label": "Nom",
         "labelPlaceholder": "Cluster de prévisualisation",

package/i18n/locales/he.json

@@ -2575,6 +2575,45 @@
       }
     }
   },
+  "mcpAuthorize": {
+    "title": "לחבר את {client}?",
+    "subtitle": "הוא מציג את עצמו כ־{client}, והפריסה הזו תחזיר אותו אל {origin}.",
+    "workspace": {
+      "label": "הלוח שבו יורשה לפעול"
+    },
+    "scopeLabel": "מה יורשה לעשות",
+    "scopeHint": "כל רמה כוללת את הרמות שמעליה.",
+    "scope": {
+      "read": {
+        "label": "קריאה בלבד",
+        "description": "לראות שירותים, משימות, פייפליינים והרצות."
+      },
+      "write": {
+        "label": "קריאה וכתיבה",
+        "description": "וגם ליצור משימות ולהפעיל אותן."
+      },
+      "decide": {
+        "label": "קריאה, כתיבה והכרעה",
+        "description": "וגם לענות על השאלות שהרצה ממתינה להן."
+      },
+      "admin": {
+        "label": "גישה מלאה",
+        "description": "וגם למחוק משימות ולפעול על התראות, מה שעשוי למזג בקשת משיכה."
+      }
+    },
+    "requestedScope": "{client} ביקש {scope}. בחרו באפשרות הזו למעלה רק אם אתם באמת מתכוונים להעניק אותה.",
+    "approve": "חיבור",
+    "deny": "ביטול",
+    "back": "חזרה לאפליקציה",
+    "noWorkspaces": "אין לך עדיין לוח שאפשר לחבר אליו.",
+    "revokeHint": "פעולה זו מנפיקה מפתח API שאפשר לבטל בכל עת מהגדרות הלוח.",
+    "error": {
+      "title": "לא ניתן היה להקים את החיבור",
+      "noRequest": "הדף נפתח ללא בקשת הרשאה. התחילו את החיבור מתוך מארח ה־MCP שלכם.",
+      "expired": "בקשת ההרשאה אינה תקפה או שפג תוקפה. התחילו את החיבור שוב מתוך מארח ה־MCP שלכם.",
+      "failed": "לא ניתן היה לרשום את ההחלטה. התחילו את החיבור שוב מתוך מארח ה־MCP שלכם."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "הגדרת מודלים",
@@ -2815,6 +2854,11 @@
           "blurb": "היכן סוכני הקוד רצים כשלא משתמשים ב-Cloudflare Containers. בחר מאגר מריצים בניהול עצמי (מתזמן משלך) או אשכול Kubernetes, ואז הגדר את נקודת הקצה והאישורים שלו."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "האסימון הזה מכיל רווח או שבירת שורה, דבר שלא קיים באסימון נושא. סביר להניח שהוא הועתק תוך חציית שורה שנשברה במסוף. העתיקו אותו מחדש כשורה אחת רציפה.",
+        "base64Encoded": "זה נראה כמו הערך בבסיס 64 מהשדה .data.token של ה-Secret, ולא כמו האסימון עצמו. פענחו אותו קודם, למשל באמצעות base64 -d.",
+        "notAJwt": "זה לא נראה כמו אסימון ServiceAccount, שהוא JWT בן שלושה חלקים המופרדים בנקודות. ודאו שהערך הועתק במלואו. התעלמו מההודעה אם האשכול שלכם משתמש באסימוני נושא סטטיים."
+      },
       "kubernetesEnv": {
         "label": "שם",
         "labelPlaceholder": "אשכול תצוגה מקדימה",
@@ -2901,6 +2945,19 @@
         "button": "בדוק חיבור",
         "ok": "החיבור תקין",
         "failed": "החיבור נכשל",
+        "causes": {
+          "refused": "אין דבר שמאזין בכתובת הזו: החיבור נדחה.",
+          "dns": "שם המחשב המארח הזה אינו נפתר מהפריסה הזו.",
+          "timeout": "לא הגיעה תשובה לפני שתם הזמן שהוקצב לבדיקה.",
+          "aborted": "הבקשה בוטלה לפני שהגיעה תשובה.",
+          "unreachable": "אין נתיב רשת לכתובת הזו מהפריסה הזו.",
+          "reset": "החיבור נסגר לפני שהגיעה תשובה.",
+          "tlsUntrusted": "הפריסה הזו אינה סומכת על אישור ה-TLS.",
+          "tlsExpired": "אישור ה-TLS נמצא מחוץ לתקופת התוקף שלו.",
+          "tlsHostname": "אישור ה-TLS לא הונפק עבור שם המחשב המארח הזה.",
+          "tlsProtocol": "לחיצת היד של TLS נכשלה.",
+          "invalidHeader": "לא ניתן היה לבנות את הבקשה: פרטי גישה מכילים תו שכותרת HTTP אינה יכולה לשאת."
+        },
         "warningsTitle": "פערים בתצורה הזו",
         "warnings": {
           "runner_manifest_no_release": "אין תבנית שחרור: ביטול הרצה לא יכול להודיע למאגר להפסיק את המשימה שלו, ולכן משימה יתומה תופסת את הראנר שלה עד שהמאגר משחרר אותה בעצמו.",

package/i18n/locales/it.json

@@ -1,4 +1,43 @@
 {
+  "mcpAuthorize": {
+    "title": "Collegare {client}?",
+    "subtitle": "Dichiara di essere {client}, e questa installazione lo rimanderà a {origin}.",
+    "workspace": {
+      "label": "Bacheca su cui potrà agire"
+    },
+    "scopeLabel": "Cosa potrà fare",
+    "scopeHint": "Ogni livello include quelli precedenti.",
+    "scope": {
+      "read": {
+        "label": "Sola lettura",
+        "description": "Vedere servizi, attività, pipeline ed esecuzioni."
+      },
+      "write": {
+        "label": "Lettura e scrittura",
+        "description": "Inoltre creare e avviare attività."
+      },
+      "decide": {
+        "label": "Lettura, scrittura e decisione",
+        "description": "Inoltre rispondere alle domande su cui un'esecuzione è in attesa."
+      },
+      "admin": {
+        "label": "Accesso completo",
+        "description": "Inoltre eliminare attività e agire sulle notifiche, il che può unire una pull request."
+      }
+    },
+    "requestedScope": "{client} ha richiesto {scope}. Seleziona quell'opzione qui sopra solo se intendi davvero concederla.",
+    "approve": "Collega",
+    "deny": "Annulla",
+    "back": "Torna all'app",
+    "noWorkspaces": "Non hai ancora una bacheca a cui collegarlo.",
+    "revokeHint": "Questo emette una chiave API che puoi revocare in qualsiasi momento dalle impostazioni della bacheca.",
+    "error": {
+      "title": "Non è stato possibile creare questo collegamento",
+      "noRequest": "Questa pagina è stata aperta senza una richiesta di autorizzazione. Avvia il collegamento dal tuo host MCP.",
+      "expired": "Questa richiesta di autorizzazione non è valida o è scaduta. Riavvia il collegamento dal tuo host MCP.",
+      "failed": "Non è stato possibile registrare la decisione. Riavvia il collegamento dal tuo host MCP."
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "Configurazione del modello",
@@ -239,6 +278,11 @@
           "blurb": "Dove vengono eseguiti gli agenti di coding quando non si usano i Cloudflare Containers. Scegli un pool di runner self-hosted (il tuo scheduler) o un cluster Kubernetes, poi configura il suo endpoint e le sue credenziali."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "Questo token contiene uno spazio o un'interruzione di riga, cosa che un token bearer non ha mai. Probabilmente è stato copiato a cavallo di una riga mandata a capo nel terminale. Ricopialo come un'unica riga ininterrotta.",
+        "base64Encoded": "Sembra il valore base64 del campo .data.token del Secret, non il token vero e proprio. Decodificalo prima, ad esempio con base64 -d.",
+        "notAJwt": "Non sembra un token di ServiceAccount, che è un JWT composto da tre parti separate da punti. Verifica di aver copiato il valore completo. Ignora questo avviso se il tuo cluster usa token bearer statici."
+      },
       "kubernetesEnv": {
         "label": "Nome",
         "labelPlaceholder": "Cluster di anteprima",
@@ -325,6 +369,19 @@
         "button": "Testa la connessione",
         "ok": "Connessione OK",
         "failed": "Connessione fallita",
+        "causes": {
+          "refused": "Nessuno è in ascolto a quell'indirizzo: la connessione è stata rifiutata.",
+          "dns": "Quel nome host non viene risolto da questa installazione.",
+          "timeout": "Nessuna risposta è arrivata prima della scadenza del test.",
+          "aborted": "La richiesta è stata annullata prima che arrivasse una risposta.",
+          "unreachable": "Non esiste una rotta di rete verso quell'indirizzo da questa installazione.",
+          "reset": "La connessione è stata chiusa prima che arrivasse una risposta.",
+          "tlsUntrusted": "Questa installazione non considera attendibile il certificato TLS.",
+          "tlsExpired": "Il certificato TLS è fuori dal suo periodo di validità.",
+          "tlsHostname": "Il certificato TLS non è stato emesso per quel nome host.",
+          "tlsProtocol": "L'handshake TLS è fallito.",
+          "invalidHeader": "Non è stato possibile costruire la richiesta: una credenziale contiene un carattere che un header HTTP non può trasportare."
+        },
         "warningsTitle": "Lacune in questa configurazione",
         "warnings": {
           "runner_manifest_no_release": "Nessun template di release: annullare un'esecuzione non può dire al pool di fermare il suo job, quindi un job orfano tiene occupato il suo runner finché il pool non lo recupera da solo.",

package/i18n/locales/ja.json

@@ -2575,6 +2575,45 @@
       }
     }
   },
+  "mcpAuthorize": {
+    "title": "{client} を接続しますか？",
+    "subtitle": "{client} を名乗っており、このデプロイは接続後に {origin} へ戻します。",
+    "workspace": {
+      "label": "操作を許可するボード"
+    },
+    "scopeLabel": "許可する操作",
+    "scopeHint": "各レベルは上位のレベルを含みます。",
+    "scope": {
+      "read": {
+        "label": "読み取りのみ",
+        "description": "サービス、タスク、パイプライン、実行を閲覧します。"
+      },
+      "write": {
+        "label": "読み取りと書き込み",
+        "description": "加えて、タスクの作成と開始ができます。"
+      },
+      "decide": {
+        "label": "読み取り、書き込み、判断",
+        "description": "加えて、停止中の実行が待っている質問に回答できます。"
+      },
+      "admin": {
+        "label": "フルアクセス",
+        "description": "加えて、タスクの削除と通知への対応ができ、プルリクエストがマージされることもあります。"
+      }
+    },
+    "requestedScope": "{client} は {scope} を要求しました。本当に許可する場合のみ、上でその項目を選んでください。",
+    "approve": "接続",
+    "deny": "キャンセル",
+    "back": "アプリに戻る",
+    "noWorkspaces": "接続できるボードがまだありません。",
+    "revokeHint": "これにより API キーが発行されます。ボードの設定からいつでも無効化できます。",
+    "error": {
+      "title": "この接続を設定できませんでした",
+      "noRequest": "認可リクエストなしでこのページが開かれました。MCP ホストから接続を開始してください。",
+      "expired": "この認可リクエストは無効か、有効期限が切れています。MCP ホストから接続をやり直してください。",
+      "failed": "判断を記録できませんでした。MCP ホストから接続をやり直してください。"
+    }
+  },
   "settings": {
     "modelConfiguration": {
       "title": "モデル設定",
@@ -2815,6 +2854,11 @@
           "blurb": "Cloudflare Containers を使用しない場合にコーディングエージェントが実行される場所。セルフホストのランナープール (自前のスケジューラー) または Kubernetes クラスターを選択し、エンドポイントと認証情報を構成します。"
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "このトークンにはスペースまたは改行が含まれています。ベアラートークンには本来含まれないもので、ターミナルで折り返された行をまたいでコピーした可能性が高いです。改行のない 1 行としてコピーし直してください。",
+        "base64Encoded": "これはトークン自体ではなく、Secret の .data.token フィールドの Base64 値のように見えます。先に base64 -d などでデコードしてください。",
+        "notAJwt": "これは ServiceAccount トークン (ピリオドで区切られた 3 つの部分から成る JWT) には見えません。値全体をコピーしたか確認してください。クラスターが静的なベアラートークンを使用している場合は無視して構いません。"
+      },
       "kubernetesEnv": {
         "label": "名前",
         "labelPlaceholder": "プレビュークラスター",
@@ -2901,6 +2945,19 @@
         "button": "接続をテスト",
         "ok": "接続 OK",
         "failed": "接続に失敗しました",
+        "causes": {
+          "refused": "そのアドレスでは何も待ち受けていません。接続が拒否されました。",
+          "dns": "そのホスト名はこのデプロイからは解決できません。",
+          "timeout": "テストがタイムアウトするまでに応答がありませんでした。",
+          "aborted": "応答が届く前にリクエストがキャンセルされました。",
+          "unreachable": "このデプロイからそのアドレスへのネットワーク経路がありません。",
+          "reset": "応答が届く前に接続が閉じられました。",
+          "tlsUntrusted": "このデプロイは TLS 証明書を信頼していません。",
+          "tlsExpired": "TLS 証明書は有効期間を外れています。",
+          "tlsHostname": "TLS 証明書はそのホスト名向けに発行されていません。",
+          "tlsProtocol": "TLS ハンドシェイクに失敗しました。",
+          "invalidHeader": "リクエストを組み立てられませんでした。認証情報に HTTP ヘッダーが扱えない文字が含まれています。"
+        },
         "warningsTitle": "この設定の不足点",
         "warnings": {
           "runner_manifest_no_release": "release テンプレートがありません。実行をキャンセルしてもプールにジョブの停止を伝えられないため、取り残されたジョブはプールが自分で回収するまでランナーを占有し続けます。",