@cat-factory/app 0.261.0 → 0.261.2

package/app/stores/ui/modals.ts

@@ -1,6 +1,10 @@
 import { ref } from 'vue'
 import type { DocumentSourceKind, InfraSetupArea, TaskSourceKind } from '~/types/domain'
-import type { InfrastructureTab, ProviderConnectionKind } from '~/types/providerConnections'
+import type {
+  InfrastructureScrollTarget,
+  InfrastructureTab,
+  ProviderConnectionKind,
+} from '~/types/providerConnections'
 import type { PendingContext } from '~/composables/useContextLinking'
 import {
   infraSetupDismissalKey,
@@ -737,6 +741,13 @@ function createInfraModals(resetHubReturn: ResetHubReturn) {
   // `local-k3s` connection from it; the ServiceAccount token is deliberately NOT in the link (a
   // secret in a URL leaks into history/logs), so the user still pastes it before Test → Save.
   const k3sSetupPrefill = ref<K3sSetupPrefill | null>(null)
+  // A one-shot deep-link anchor into a SECTION of the open tab, mirroring
+  // `accountSettingsScrollTarget`. The Test-environments tab opens on the default-provision
+  // picker and the Compose wizard, with the per-type handler sections between them, so landing an
+  // operator at the top of it after a `cat-factory k3s` hand-off leaves them scrolling to find the
+  // very form the CLI just filled in. The owning panel scrolls the section into view once and
+  // then calls `clearInfrastructureScrollTarget`, so a later plain open doesn't re-scroll.
+  const infrastructureScrollTarget = ref<InfrastructureScrollTarget | null>(null)
   // Environment setup wizard (shared-stacks slice 7): the guided detect → review → preflight →
   // trial → save flow for a service frame's `docker-compose` provisioning. `environmentWizardOpen`
   // is the modal flag; `environmentWizardFrameId` preselects the service frame the flow targets
@@ -761,8 +772,14 @@ function createInfraModals(resetHubReturn: ResetHubReturn) {
   }
   function closeProviderConnection() {
     infrastructureOpen.value = false
-    // Drop any consumed CLI prefill so re-opening the window normally doesn't re-seed the form.
+    // Drop any consumed CLI prefill so re-opening the window normally doesn't re-seed the form,
+    // and the anchor with it: an unconsumed target (the window was closed before the section
+    // rendered) would otherwise scroll the next, unrelated open.
     k3sSetupPrefill.value = null
+    infrastructureScrollTarget.value = null
+  }
+  function clearInfrastructureScrollTarget() {
+    infrastructureScrollTarget.value = null
   }
   // Capture a `cat-factory k3s` deep-link (`?infraSetup=local-k3s&…`) on app load: stash the
   // non-secret connection values, open the Infrastructure window on the Test-environments tab so
@@ -786,6 +803,10 @@ function createInfraModals(resetHubReturn: ResetHubReturn) {
     }
     resetHubReturn()
     infrastructureTab.value = 'environment'
+    // The hand-off is about ONE form, so land on it: the Kubernetes section sits below the
+    // default-provision picker, far enough down the tab that an operator arriving from the CLI
+    // would otherwise have to go looking for the fields it just told them about.
+    infrastructureScrollTarget.value = 'kubernetes'
     infrastructureOpen.value = true
     for (const key of [
       'infraSetup',
@@ -840,6 +861,8 @@ function createInfraModals(resetHubReturn: ResetHubReturn) {
     infrastructureTab,
     openInfrastructure,
     k3sSetupPrefill,
+    infrastructureScrollTarget,
+    clearInfrastructureScrollTarget,
     consumeK3sSetupDeepLink,
     environmentWizardOpen,
     environmentWizardFrameId,

package/app/types/github.ts

@@ -11,6 +11,10 @@
 export type {
   GitHubConnection,
   GitHubInstallationOption,
+  GitHubPatCapability,
+  GitHubPatCapabilityReport,
+  GitHubPatCheck,
+  GitHubPatKind,
   GitHubRepo,
   RepoTreeEntry,
   GitHubBranch,

package/app/types/providerConnections.ts

@@ -33,6 +33,15 @@ export type InfrastructureTab =
   | 'package-registries'
   | 'capability-credentials'
 
+/**
+ * A SECTION within an Infrastructure tab that a deep link can land the user on, rather than at
+ * the top of the tab with the section to hunt for. A closed union rather than a bare string, so
+ * the store's setter and the panel that honours it cannot drift apart silently: today's only
+ * member is the `kubernetes` provision-type section the `cat-factory k3s` hand-off targets, which
+ * sits below the default-provision picker in a tab long enough to need scrolling.
+ */
+export type InfrastructureScrollTarget = 'kubernetes'
+
 /** A workspace's provider binding, as exposed to clients (never secret values). */
 export interface ProviderConnection {
   /** The runner-backend kind for a runner-pool connection (`manifest` | `kubernetes`). */

package/app/utils/connectionFailures.ts

@@ -0,0 +1,32 @@
+import type { ConnectionFailureCause } from '@cat-factory/contracts'
+
+// A connection test that never got an ANSWER reports the transport failure CLASS as a
+// machine-readable `failureCause` (the backend does not localize prose), and the copy the operator
+// reads lives here. The backend's own English account of the failure, including the remedy it can
+// phrase with the concrete host in it, stays beside the headline as the technical detail.
+//
+// The exhaustive `Record<ConnectionFailureCause, …>` is the tier-2 drift guard, as in
+// `connectionWarnings.ts`: a backend that adds a cause fails this typecheck until the SPA has copy
+// for it, which the typed-key check cannot catch for a runtime-assembled key.
+
+/**
+ * Failure class → i18n key, or `null` where there is deliberately no headline to render.
+ *
+ * `unknown` is that case, and it is the reason the values are nullable: the chain was read and
+ * matched nothing, so the only honest statement about it is the backend's verbatim account, which
+ * is then rendered as the primary line instead of a headline that would have to invent a class.
+ */
+export const CONNECTION_FAILURE_CAUSE_KEYS: Record<ConnectionFailureCause, string | null> = {
+  refused: 'settings.providerConnection.test.causes.refused',
+  dns: 'settings.providerConnection.test.causes.dns',
+  timeout: 'settings.providerConnection.test.causes.timeout',
+  aborted: 'settings.providerConnection.test.causes.aborted',
+  unreachable: 'settings.providerConnection.test.causes.unreachable',
+  reset: 'settings.providerConnection.test.causes.reset',
+  'tls-untrusted': 'settings.providerConnection.test.causes.tlsUntrusted',
+  'tls-expired': 'settings.providerConnection.test.causes.tlsExpired',
+  'tls-hostname': 'settings.providerConnection.test.causes.tlsHostname',
+  'tls-protocol': 'settings.providerConnection.test.causes.tlsProtocol',
+  'invalid-header': 'settings.providerConnection.test.causes.invalidHeader',
+  unknown: null,
+}

package/app/utils/connectionWarnings.ts

@@ -20,4 +20,5 @@ export const CONNECTION_WARNING_KEYS: Record<ConnectionWarningCode, string> = {
     'settings.providerConnection.test.warnings.github_pat_scopes_beyond_need',
   github_pat_scope_unreadable:
     'settings.providerConnection.test.warnings.github_pat_scope_unreadable',
+  github_pat_no_scopes: 'settings.providerConnection.test.warnings.github_pat_no_scopes',
 }

package/app/utils/vcs.ts

@@ -1,4 +1,5 @@
-import type { GitHubConnection, VcsProvider } from '~/types/domain'
+import { GITHUB_TOKEN_CREATE_PATHS, githubPatCreateUrl } from '@cat-factory/contracts'
+import type { GitHubConnection, GitHubPatKind, VcsProvider } from '~/types/domain'
 
 // ---------------------------------------------------------------------------
 // Shared VCS provider presentation. The platform's repo DATA is provider-neutral (one
@@ -42,9 +43,14 @@ const VCS_PROVIDER_PUBLIC_WEB_URLS: Record<VcsProvider, string> = {
   gitlab: 'https://gitlab.com',
 }
 
-/** Where a user creates a personal access token, relative to the instance's web root. */
+/**
+ * Where a user creates a personal access token, relative to the instance's web root. GitHub's
+ * comes from `@cat-factory/contracts` rather than being spelled again here: the credential
+ * banner's PRE-FILLED re-mint link is built from that same map, and the unscoped connect-box
+ * link below has to land on the same page.
+ */
 const TOKEN_SETTINGS_PATHS: Record<VcsProvider, string> = {
-  github: '/settings/tokens/new',
+  github: GITHUB_TOKEN_CREATE_PATHS.classic,
   gitlab: '/-/user_settings/personal_access_tokens',
 }
 
@@ -85,6 +91,25 @@ export function vcsTokenCreateUrl(provider: VcsProvider, webUrl?: string | null)
   return `${root(webUrl || VCS_PROVIDER_PUBLIC_WEB_URLS[provider])}${TOKEN_SETTINGS_PATHS[provider]}`
 }
 
+/**
+ * Where the credential banner sends someone to REPLACE a GitHub token that cannot do what their
+ * runs need, pre-filled as far as GitHub allows.
+ *
+ * The `kind` is the kind of the token being replaced, so a deployment that standardised on
+ * fine-grained tokens is not pushed back to a classic one by a warning. When the check never got
+ * far enough to classify (GitHub rejected the token outright), the caller passes `'unknown'` and
+ * lands on the form that CAN be pre-filled.
+ *
+ * Shares {@link vcsTokenCreateUrl}'s public-host fallback for the same stated reason: this is a
+ * settings page, so being wrong costs one noticed click, unlike a repository link.
+ */
+export function githubPatRemintUrl(kind: GitHubPatKind, webUrl?: string | null): string {
+  return githubPatCreateUrl(kind, {
+    webUrl: webUrl || VCS_PROVIDER_PUBLIC_WEB_URLS.github,
+    description: 'cat-factory',
+  })
+}
+
 /**
  * The App installation's settings page, where a user grants it access to a repository it
  * can't see yet — or `undefined` when the connection is not a GitHub-App one.

package/i18n/locales/de.json

@@ -278,6 +278,11 @@
           "blurb": "Wo die Coding-Agenten laufen, wenn keine Cloudflare Containers verwendet werden. Wähle einen selbst gehosteten Runner-Pool (deinen eigenen Scheduler) oder einen Kubernetes-Cluster und konfiguriere dann dessen Endpunkt und Zugangsdaten."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "Dieses Token enthält ein Leerzeichen oder einen Zeilenumbruch, was bei einem Bearer-Token nie vorkommt. Vermutlich wurde es über einen Zeilenumbruch im Terminal hinweg kopiert. Kopieren Sie es erneut als eine einzige ununterbrochene Zeile.",
+        "base64Encoded": "Das sieht nach dem Base64-Wert aus dem Feld .data.token des Secrets aus, nicht nach dem Token selbst. Dekodieren Sie ihn zuerst, zum Beispiel mit base64 -d.",
+        "notAJwt": "Das sieht nicht nach einem ServiceAccount-Token aus, das ein JWT aus drei durch Punkte getrennten Teilen ist. Prüfen Sie, ob der gesamte Wert kopiert wurde. Ignorieren Sie diesen Hinweis, wenn Ihr Cluster statische Bearer-Token verwendet."
+      },
       "kubernetesEnv": {
         "label": "Name",
         "labelPlaceholder": "Preview-Cluster",
@@ -364,13 +369,27 @@
         "button": "Verbindung testen",
         "ok": "Verbindung OK",
         "failed": "Verbindung fehlgeschlagen",
+        "causes": {
+          "refused": "An dieser Adresse wartet nichts: Die Verbindung wurde abgelehnt.",
+          "dns": "Dieser Hostname lässt sich von dieser Installation aus nicht auflösen.",
+          "timeout": "Es kam keine Antwort, bevor die Prüfung abgelaufen ist.",
+          "aborted": "Die Anfrage wurde abgebrochen, bevor eine Antwort ankam.",
+          "unreachable": "Von dieser Installation aus gibt es keine Netzwerkroute zu dieser Adresse.",
+          "reset": "Die Verbindung wurde geschlossen, bevor eine Antwort ankam.",
+          "tlsUntrusted": "Diese Installation vertraut dem TLS-Zertifikat nicht.",
+          "tlsExpired": "Das TLS-Zertifikat liegt außerhalb seines Gültigkeitszeitraums.",
+          "tlsHostname": "Das TLS-Zertifikat wurde nicht für diesen Hostnamen ausgestellt.",
+          "tlsProtocol": "Der TLS-Handshake ist fehlgeschlagen.",
+          "invalidHeader": "Die Anfrage ließ sich nicht erstellen: Ein Zugangsdaten-Wert enthält ein Zeichen, das ein HTTP-Header nicht übertragen kann."
+        },
         "warningsTitle": "Lücken in dieser Konfiguration",
         "warnings": {
           "runner_manifest_no_release": "Kein Release-Template: Beim Abbrechen eines Laufs kann dem Pool nicht mitgeteilt werden, dass er seinen Job stoppen soll. Ein verwaister Job belegt seinen Runner, bis der Pool ihn von selbst zurücknimmt.",
           "runner_manifest_no_status_path": "Kein Statuspfad: Jede Abfrage wird als weiterhin laufend gelesen. Ein Job kann daher nur enden, wenn das Abfragebudget des Laufs aufgebraucht ist.",
           "github_pat_classic_account_wide": "Dies ist ein klassisches Token mit dem Bereich 'repo': Es erreicht jedes Repository, in das du pushen kannst, auch solche, in denen die GitHub-App dieses Arbeitsbereichs nie installiert wurde. Ausführungen, die du startest, nutzen es bevorzugt vor der App. Ein fein abgestuftes Token, das auf die Repositories dieser Installation begrenzt ist, ist enger gefasst.",
           "github_pat_scopes_beyond_need": "Dieses Token gewährt Berechtigungen, die cat-factory nie nutzt. Sie zu entfernen kostet nichts und verkleinert das, was eine kompromittierte Ausführung erreichen könnte.",
-          "github_pat_scope_unreadable": "GitHub hat dieses Token akzeptiert, aber keine Bereiche dafür gemeldet, daher lässt sich seine Reichweite hier nicht anzeigen. Prüfe in deinen GitHub-Token-Einstellungen, was es gewährt."
+          "github_pat_scope_unreadable": "GitHub hat dieses Token akzeptiert, aber keine Bereiche dafür gemeldet, daher lässt sich seine Reichweite hier nicht anzeigen. Prüfe in deinen GitHub-Token-Einstellungen, was es gewährt.",
+          "github_pat_no_scopes": "GitHub meldet für dieses klassische Token keine Scopes, es kann also nur öffentliche Daten lesen. Läufe, die damit klonen, pushen oder einen Pull Request öffnen, schlagen fehl. Erstellen Sie ein neues Token mit ausgewähltem 'repo' und 'workflow'."
         }
       },
       "toast": {
@@ -2435,6 +2454,27 @@
       "createToken": "Ein GitHub-Token erstellen (Scopes vorausgewählt)",
       "thenSet": "Setzen Sie dann {envVar} und starten Sie neu."
     },
+    "githubPatPermissionsBanner": {
+      "title": "GitHub-Token kann nicht pushen oder Pull Requests öffnen",
+      "rejectedTitle": "GitHub hat das Token Ihrer Läufe abgelehnt",
+      "body": "Hier gestartete Läufe authentifizieren sich mit einem GitHub Personal Access Token, und diesem fehlen Berechtigungen, die die Pipeline braucht. Agentenschritte, die einen Branch pushen, einen Pull Request öffnen oder mergen, werden fehlschlagen.",
+      "rejectedBody": "Das GitHub Personal Access Token, mit dem sich Ihre Läufe authentifizieren, ist ungültig, abgelaufen, widerrufen oder durch eine Organisationsrichtlinie blockiert. Jeder Schritt, der klont, pusht, einen Pull Request öffnet oder merget, schlägt fehl, bis es ersetzt wird.",
+      "missing": "Fehlt:",
+      "alsoMissing": "Fehlt ebenfalls, blockiert aber nur Änderungen an Workflow-Dateien: {capabilities}.",
+      "capability": {
+        "push": "Commits pushen",
+        "pullRequests": "Pull Requests öffnen und mergen",
+        "workflows": "Workflow-Dateien bearbeiten"
+      },
+      "sourceDeployment": "Dies ist das Token, mit dem dieses Deployment konfiguriert ist; es zu ersetzen bedeutet daher, das Deployment zu aktualisieren.",
+      "sourceInitiator": "Dies ist Ihr eigenes gespeichertes Token, das Ihre Läufe bevorzugt vor den Deployment-Zugangsdaten verwenden. Ersetzen Sie es in Ihren persönlichen Einstellungen.",
+      "createClassic": "Ersatz-Token erstellen (Scopes vorausgewählt)",
+      "createFineGrained": "Fein granuliertes Ersatz-Token erstellen",
+      "classicHint": "Der Link öffnet das klassische Token-Formular mit bereits ausgewählten erforderlichen Scopes.",
+      "fineGrainedHint": "Das fein granulierte Formular von GitHub akzeptiert keine Vorauswahl; erteilen Sie diese Repository-Berechtigungen daher selbst: {permissions}.",
+      "sampled": "Gegen {checked} genutzte Repositories geprüft; {remaining} weitere wurden nicht geprüft.",
+      "deniedRepos": "Das Token erreicht diese von Ihren Services genutzten Repositories nicht: {repos}. Erstellen Sie es neu und wählen Sie diese Repositories aus."
+    },
     "providerConfigBanner": {
       "titleMany": "Anbieter benötigen Konfiguration",
       "titleOne": {

package/i18n/locales/en.json

@@ -2341,6 +2341,45 @@
       "createToken": "Create a GitHub token (scopes pre-selected)",
       "thenSet": "Then set {envVar} and restart."
     },
+    "githubPatPermissionsBanner": {
+      "title": "GitHub token cannot push or open pull requests",
+      "rejectedTitle": "GitHub rejected the token your runs use",
+      "body": "Runs started here authenticate with a GitHub personal access token, and this one lacks permissions the pipeline needs. Agent steps that push a branch, open a pull request or merge will fail.",
+      "rejectedBody": "The GitHub personal access token your runs authenticate with is invalid, expired, revoked, or blocked by an organisation policy. Every step that clones, pushes, opens a pull request or merges will fail until it is replaced.",
+      "missing": "Missing:",
+      "alsoMissing": "Also missing, though it only blocks changes to workflow files: {capabilities}.",
+      "capability": {
+        "push": "pushing commits",
+        "pullRequests": "opening and merging pull requests",
+        "workflows": "editing workflow files"
+      },
+      "sourceDeployment": "This is the token this deployment is configured with, so replacing it means updating the deployment.",
+      "sourceInitiator": "This is your own stored token, which your runs use in preference to the deployment credential. Replace it in your personal settings.",
+      "createClassic": "Create a replacement token (scopes pre-selected)",
+      "createFineGrained": "Create a replacement fine-grained token",
+      "classicHint": "The link opens the classic token form with the required scopes already selected.",
+      "fineGrainedHint": "GitHub's fine-grained form accepts no pre-selection, so grant these repository permissions yourself: {permissions}.",
+      "sampled": "Checked against {checked} targeted repositories; {remaining} more were not checked.",
+      "deniedRepos": "The token cannot reach these repositories your services target: {repos}. Re-mint it with those repositories selected.",
+      "@title": {
+        "description": "Banner heading when the configured GitHub personal access token authenticates but lacks a permission the pipeline needs. \"push\" and \"pull request\" are the Git/GitHub terms."
+      },
+      "@rejectedTitle": {
+        "description": "Banner heading for the worse case: GitHub refused the token outright (401/403). Distinct from the missing-permission heading on purpose."
+      },
+      "@alsoMissing": {
+        "description": "{capabilities} is a comma-joined list of capability names from the `capability` group. Shown only beside a blocking finding, never alone."
+      },
+      "@fineGrainedHint": {
+        "description": "{permissions} is a comma-joined list of GitHub's own fine-grained permission identifiers (e.g. contents:write); keep them verbatim, untranslated."
+      },
+      "@sampled": {
+        "description": "Declares that the fine-grained check read a SAMPLE. {checked} and {remaining} are counts of repositories."
+      },
+      "@deniedRepos": {
+        "description": "{repos} is a comma-joined list of GitHub owner/name repository paths; keep them verbatim, untranslated. Shown when a fine-grained token was denied access to repositories the board's services target."
+      }
+    },
     "providerConfigBanner": {
       "titleMany": "Providers need configuration",
       "titleOne": {
@@ -2961,6 +3000,11 @@
           "blurb": "Where the coding agents run when not using Cloudflare Containers. Choose a self-hosted runner pool (your own scheduler) or a Kubernetes cluster, then configure its endpoint and credentials."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "This token contains a space or line break, which a bearer token never has. It was most likely copied across a wrapped line in your terminal. Re-copy it as a single unbroken line.",
+        "base64Encoded": "This looks like the base64 value from the Secret's .data.token field rather than the token itself. Decode it first, for example with base64 -d.",
+        "notAJwt": "This does not look like a ServiceAccount token, which is a JWT of three dot-separated parts. Check that the whole value was copied. Ignore this if your cluster uses static bearer tokens."
+      },
       "kubernetesEnv": {
         "label": "Name",
         "labelPlaceholder": "Preview cluster",
@@ -3050,13 +3094,27 @@
         "button": "Test connection",
         "ok": "Connection OK",
         "failed": "Connection failed",
+        "causes": {
+          "refused": "Nothing is listening at that address: the connection was refused.",
+          "dns": "That host name does not resolve from this deployment.",
+          "timeout": "No answer arrived before the test timed out.",
+          "aborted": "The request was cancelled before an answer arrived.",
+          "unreachable": "There is no network route to that address from this deployment.",
+          "reset": "The connection was closed before an answer arrived.",
+          "tlsUntrusted": "This deployment does not trust the TLS certificate.",
+          "tlsExpired": "The TLS certificate is outside its validity window.",
+          "tlsHostname": "The TLS certificate was not issued for that host name.",
+          "tlsProtocol": "The TLS handshake failed.",
+          "invalidHeader": "The request could not be built: a credential holds a character an HTTP header cannot carry."
+        },
         "warningsTitle": "Gaps in this configuration",
         "warnings": {
           "runner_manifest_no_release": "No release template: cancelling a run cannot tell the pool to stop its job, so an orphaned job keeps its runner until the pool reclaims it on its own.",
           "runner_manifest_no_status_path": "No status path: every poll reads as still running, so a job can only end by exhausting the run's poll budget.",
           "github_pat_classic_account_wide": "This is a classic token with the 'repo' scope: it reaches every repository you can push to, including ones this workspace's GitHub App was never installed on. Runs you start use it in preference to the App. A fine-grained token limited to this deployment's repositories is narrower.",
           "github_pat_scopes_beyond_need": "This token grants permissions cat-factory never uses. Removing them costs nothing and narrows what a compromised run could reach.",
-          "github_pat_scope_unreadable": "GitHub accepted this token but reported no scopes for it, so its reach cannot be shown here. Check what it grants in your GitHub token settings."
+          "github_pat_scope_unreadable": "GitHub accepted this token but reported no scopes for it, so its reach cannot be shown here. Check what it grants in your GitHub token settings.",
+          "github_pat_no_scopes": "GitHub reports no scopes for this classic token, so it can read public data and nothing else. Runs that clone, push or open a pull request with it will fail. Mint a replacement with 'repo' and 'workflow' selected."
         }
       },
       "toast": {

package/i18n/locales/es.json

@@ -2234,6 +2234,27 @@
       "createToken": "Crear un token de GitHub (ámbitos preseleccionados)",
       "thenSet": "Luego define {envVar} y reinicia."
     },
+    "githubPatPermissionsBanner": {
+      "title": "El token de GitHub no puede hacer push ni abrir pull requests",
+      "rejectedTitle": "GitHub rechazó el token que usan tus ejecuciones",
+      "body": "Las ejecuciones iniciadas aquí se autentican con un token de acceso personal de GitHub, y a este le faltan permisos que la canalización necesita. Los pasos de agente que envían una rama, abren una pull request o fusionan fallarán.",
+      "rejectedBody": "El token de acceso personal de GitHub con el que se autentican tus ejecuciones no es válido, ha caducado, fue revocado o está bloqueado por una política de la organización. Todos los pasos que clonan, envían, abren pull requests o fusionan fallarán hasta que lo reemplaces.",
+      "missing": "Falta:",
+      "alsoMissing": "También falta, aunque solo bloquea cambios en archivos de flujo de trabajo: {capabilities}.",
+      "capability": {
+        "push": "enviar commits",
+        "pullRequests": "abrir y fusionar pull requests",
+        "workflows": "editar archivos de flujo de trabajo"
+      },
+      "sourceDeployment": "Este es el token con el que está configurado este despliegue, así que reemplazarlo implica actualizar el despliegue.",
+      "sourceInitiator": "Este es tu propio token almacenado, que tus ejecuciones usan con preferencia sobre la credencial del despliegue. Reemplázalo en tus ajustes personales.",
+      "createClassic": "Crear un token de reemplazo (ámbitos preseleccionados)",
+      "createFineGrained": "Crear un token de reemplazo de permisos detallados",
+      "classicHint": "El enlace abre el formulario de token clásico con los ámbitos necesarios ya seleccionados.",
+      "fineGrainedHint": "El formulario de permisos detallados de GitHub no admite preselección, así que concede tú mismo estos permisos de repositorio: {permissions}.",
+      "sampled": "Se comprobaron {checked} repositorios en uso; otros {remaining} no se comprobaron.",
+      "deniedRepos": "El token no puede acceder a estos repositorios que usan tus servicios: {repos}. Vuelve a generarlo seleccionando esos repositorios."
+    },
     "providerConfigBanner": {
       "titleMany": "Los proveedores necesitan configuración",
       "titleOne": {
@@ -2744,13 +2765,27 @@
         "button": "Probar conexión",
         "ok": "Conexión correcta",
         "failed": "Falló la conexión",
+        "causes": {
+          "refused": "No hay nada escuchando en esa dirección: la conexión fue rechazada.",
+          "dns": "Ese nombre de host no se resuelve desde esta instalación.",
+          "timeout": "No llegó ninguna respuesta antes de que la prueba agotara su tiempo.",
+          "aborted": "La solicitud se canceló antes de que llegara una respuesta.",
+          "unreachable": "No hay ruta de red hacia esa dirección desde esta instalación.",
+          "reset": "La conexión se cerró antes de que llegara una respuesta.",
+          "tlsUntrusted": "Esta instalación no confía en el certificado TLS.",
+          "tlsExpired": "El certificado TLS está fuera de su periodo de validez.",
+          "tlsHostname": "El certificado TLS no se emitió para ese nombre de host.",
+          "tlsProtocol": "El protocolo de enlace TLS falló.",
+          "invalidHeader": "No se pudo construir la solicitud: una credencial contiene un carácter que una cabecera HTTP no puede transportar."
+        },
         "warningsTitle": "Carencias en esta configuración",
         "warnings": {
           "runner_manifest_no_release": "Sin plantilla de release: al cancelar una ejecución no se puede indicar al pool que detenga su trabajo, así que un trabajo huérfano ocupa su runner hasta que el pool lo recupere por su cuenta.",
           "runner_manifest_no_status_path": "Sin ruta de estado: cada sondeo se interpreta como todavía en ejecución, así que un trabajo solo puede terminar agotando el presupuesto de sondeo de la ejecución.",
           "github_pat_classic_account_wide": "Es un token clásico con el ámbito 'repo': alcanza todos los repositorios a los que puedes hacer push, incluidos aquellos donde nunca se instaló la App de GitHub de este espacio de trabajo. Las ejecuciones que inicias lo usan con preferencia sobre la App. Un token granular limitado a los repositorios de esta instalación es más estrecho.",
           "github_pat_scopes_beyond_need": "Este token concede permisos que cat-factory nunca usa. Quitarlos no cuesta nada y reduce lo que podría alcanzar una ejecución comprometida.",
-          "github_pat_scope_unreadable": "GitHub aceptó este token pero no informó de sus ámbitos, así que aquí no se puede mostrar su alcance. Comprueba lo que concede en la configuración de tokens de GitHub."
+          "github_pat_scope_unreadable": "GitHub aceptó este token pero no informó de sus ámbitos, así que aquí no se puede mostrar su alcance. Comprueba lo que concede en la configuración de tokens de GitHub.",
+          "github_pat_no_scopes": "GitHub no informa de ningún ámbito para este token clásico, así que solo puede leer datos públicos. Las ejecuciones que clonen, envíen cambios o abran una pull request con él fallarán. Genera uno nuevo con 'repo' y 'workflow' seleccionados."
         }
       },
       "toast": {
@@ -2759,6 +2794,11 @@
         "removed": "Conexión eliminada",
         "removeFailed": "No se pudo eliminar la conexión"
       },
+      "serviceAccountToken": {
+        "whitespace": "Este token contiene un espacio o un salto de línea, algo que nunca ocurre en un token de portador. Lo más probable es que se haya copiado a través de una línea ajustada en la terminal. Vuelve a copiarlo como una única línea continua.",
+        "base64Encoded": "Esto parece el valor en base64 del campo .data.token del Secret, no el token en sí. Descodifícalo primero, por ejemplo con base64 -d.",
+        "notAJwt": "Esto no parece un token de ServiceAccount, que es un JWT de tres partes separadas por puntos. Comprueba que has copiado el valor completo. Ignora este aviso si tu clúster usa tokens de portador estáticos."
+      },
       "kubernetesEnv": {
         "label": "Nombre",
         "labelPlaceholder": "Clúster de vista previa",

package/i18n/locales/fr.json

@@ -2234,6 +2234,27 @@
       "createToken": "Créer un jeton GitHub (portées présélectionnées)",
       "thenSet": "Définissez ensuite {envVar} et redémarrez."
     },
+    "githubPatPermissionsBanner": {
+      "title": "Le jeton GitHub ne peut ni pousser ni ouvrir de pull requests",
+      "rejectedTitle": "GitHub a rejeté le jeton utilisé par vos exécutions",
+      "body": "Les exécutions lancées ici s'authentifient avec un jeton d'accès personnel GitHub, et celui-ci n'a pas les autorisations dont le pipeline a besoin. Les étapes d'agent qui poussent une branche, ouvrent une pull request ou fusionnent échoueront.",
+      "rejectedBody": "Le jeton d'accès personnel GitHub avec lequel vos exécutions s'authentifient est invalide, expiré, révoqué ou bloqué par une politique d'organisation. Toute étape qui clone, pousse, ouvre une pull request ou fusionne échouera tant qu'il n'est pas remplacé.",
+      "missing": "Manquant :",
+      "alsoMissing": "Manque également, bien que cela ne bloque que les modifications des fichiers de workflow : {capabilities}.",
+      "capability": {
+        "push": "pousser des commits",
+        "pullRequests": "ouvrir et fusionner des pull requests",
+        "workflows": "modifier les fichiers de workflow"
+      },
+      "sourceDeployment": "C'est le jeton configuré pour ce déploiement ; le remplacer suppose donc de mettre à jour le déploiement.",
+      "sourceInitiator": "C'est votre propre jeton enregistré, que vos exécutions utilisent de préférence aux identifiants du déploiement. Remplacez-le dans vos paramètres personnels.",
+      "createClassic": "Créer un jeton de remplacement (portées présélectionnées)",
+      "createFineGrained": "Créer un jeton de remplacement à portée fine",
+      "classicHint": "Le lien ouvre le formulaire de jeton classique avec les portées requises déjà sélectionnées.",
+      "fineGrainedHint": "Le formulaire à portée fine de GitHub n'accepte aucune présélection : accordez vous-même ces autorisations de dépôt : {permissions}.",
+      "sampled": "Vérifié sur {checked} dépôts utilisés ; {remaining} autres non vérifiés.",
+      "deniedRepos": "Le jeton n'atteint pas ces dépôts utilisés par vos services : {repos}. Régénérez-le en sélectionnant ces dépôts."
+    },
     "providerConfigBanner": {
       "titleMany": "Les fournisseurs nécessitent une configuration",
       "titleOne": {
@@ -2744,13 +2765,27 @@
         "button": "Tester la connexion",
         "ok": "Connexion réussie",
         "failed": "Échec de la connexion",
+        "causes": {
+          "refused": "Rien n'écoute à cette adresse : la connexion a été refusée.",
+          "dns": "Ce nom d'hôte n'est pas résolu depuis ce déploiement.",
+          "timeout": "Aucune réponse n'est arrivée avant l'expiration du test.",
+          "aborted": "La requête a été annulée avant l'arrivée d'une réponse.",
+          "unreachable": "Aucune route réseau ne mène à cette adresse depuis ce déploiement.",
+          "reset": "La connexion a été fermée avant l'arrivée d'une réponse.",
+          "tlsUntrusted": "Ce déploiement ne fait pas confiance au certificat TLS.",
+          "tlsExpired": "Le certificat TLS est en dehors de sa période de validité.",
+          "tlsHostname": "Le certificat TLS n'a pas été émis pour ce nom d'hôte.",
+          "tlsProtocol": "La négociation TLS a échoué.",
+          "invalidHeader": "La requête n'a pas pu être construite : un identifiant contient un caractère qu'un en-tête HTTP ne peut pas transporter."
+        },
         "warningsTitle": "Lacunes dans cette configuration",
         "warnings": {
           "runner_manifest_no_release": "Aucun modèle de release : annuler une exécution ne permet pas de demander au pool d'arrêter son job, donc un job orphelin occupe son runner jusqu'à ce que le pool le récupère de lui-même.",
           "runner_manifest_no_status_path": "Aucun chemin de statut : chaque interrogation est lue comme toujours en cours, donc un job ne peut se terminer qu'en épuisant le budget d'interrogation de l'exécution.",
           "github_pat_classic_account_wide": "Il s'agit d'un jeton classique avec la portée 'repo' : il atteint tous les dépôts sur lesquels vous pouvez pousser, y compris ceux où l'App GitHub de cet espace de travail n'a jamais été installée. Les exécutions que vous lancez l'utilisent de préférence à l'App. Un jeton à portée fine, limité aux dépôts de cette installation, est plus restreint.",
           "github_pat_scopes_beyond_need": "Ce jeton accorde des permissions que cat-factory n'utilise jamais. Les retirer ne coûte rien et réduit ce qu'une exécution compromise pourrait atteindre.",
-          "github_pat_scope_unreadable": "GitHub a accepté ce jeton mais n'a signalé aucune portée, sa portée ne peut donc pas être affichée ici. Vérifiez ce qu'il accorde dans vos paramètres de jetons GitHub."
+          "github_pat_scope_unreadable": "GitHub a accepté ce jeton mais n'a signalé aucune portée, sa portée ne peut donc pas être affichée ici. Vérifiez ce qu'il accorde dans vos paramètres de jetons GitHub.",
+          "github_pat_no_scopes": "GitHub ne signale aucune portée pour ce jeton classique : il ne peut lire que des données publiques. Les exécutions qui clonent, poussent ou ouvrent une pull request avec lui échoueront. Créez-en un nouveau avec 'repo' et 'workflow' sélectionnés."
         }
       },
       "toast": {
@@ -2759,6 +2794,11 @@
         "removed": "Connexion supprimée",
         "removeFailed": "Impossible de supprimer la connexion"
       },
+      "serviceAccountToken": {
+        "whitespace": "Ce jeton contient une espace ou un saut de ligne, ce qu'un jeton porteur ne contient jamais. Il a probablement été copié à cheval sur un retour à la ligne du terminal. Recopiez-le sur une seule ligne ininterrompue.",
+        "base64Encoded": "Ceci ressemble à la valeur base64 du champ .data.token du Secret, et non au jeton lui-même. Décodez-la d'abord, par exemple avec base64 -d.",
+        "notAJwt": "Ceci ne ressemble pas à un jeton de ServiceAccount, qui est un JWT composé de trois parties séparées par des points. Vérifiez que la valeur a été copiée en entier. Ignorez cet avertissement si votre cluster utilise des jetons porteurs statiques."
+      },
       "kubernetesEnv": {
         "label": "Nom",
         "labelPlaceholder": "Cluster de prévisualisation",

package/i18n/locales/he.json

@@ -2234,6 +2234,27 @@
       "createToken": "צור אסימון GitHub (ההרשאות נבחרו מראש)",
       "thenSet": "לאחר מכן הגדר {envVar} והפעל מחדש."
     },
+    "githubPatPermissionsBanner": {
+      "title": "אסימון GitHub אינו יכול לדחוף או לפתוח בקשות משיכה",
+      "rejectedTitle": "GitHub דחה את האסימון שבו משתמשות ההרצות שלך",
+      "body": "הרצות שמתחילות כאן מאמתות באמצעות אסימון גישה אישי של GitHub, ולאסימון הזה חסרות הרשאות שהצינור זקוק להן. שלבי סוכן שדוחפים ענף, פותחים בקשת משיכה או ממזגים ייכשלו.",
+      "rejectedBody": "אסימון הגישה האישי של GitHub שבו מאומתות ההרצות שלך אינו תקף, פג תוקפו, בוטל או נחסם על ידי מדיניות ארגונית. כל שלב שמשכפל, דוחף, פותח בקשת משיכה או ממזג ייכשל עד להחלפתו.",
+      "missing": "חסר:",
+      "alsoMissing": "חסר גם, אף שהדבר חוסם רק שינויים בקובצי תהליכי עבודה: {capabilities}.",
+      "capability": {
+        "push": "דחיפת קומיטים",
+        "pullRequests": "פתיחה ומיזוג של בקשות משיכה",
+        "workflows": "עריכת קובצי תהליכי עבודה"
+      },
+      "sourceDeployment": "זהו האסימון שאיתו מוגדרת הפריסה הזו, ולכן החלפתו משמעה עדכון הפריסה.",
+      "sourceInitiator": "זהו האסימון השמור שלך, שההרצות שלך מעדיפות על פני אישורי הפריסה. החלף אותו בהגדרות האישיות שלך.",
+      "createClassic": "צור אסימון חלופי (ההרשאות נבחרו מראש)",
+      "createFineGrained": "צור אסימון חלופי עם הרשאות מדויקות",
+      "classicHint": "הקישור פותח את טופס האסימון הקלאסי כשההרשאות הנדרשות כבר מסומנות.",
+      "fineGrainedHint": "טופס ההרשאות המדויקות של GitHub אינו תומך בבחירה מראש, לכן הענק בעצמך את הרשאות המאגר הבאות: {permissions}.",
+      "sampled": "נבדק מול {checked} מאגרים שבשימוש; {remaining} נוספים לא נבדקו.",
+      "deniedRepos": "האסימון אינו מגיע למאגרים האלה שהשירותים שלך משתמשים בהם: {repos}. צור אותו מחדש ובחר את המאגרים האלה."
+    },
     "providerConfigBanner": {
       "titleMany": "ספקים זקוקים להגדרה",
       "titleOne": {
@@ -2854,6 +2875,11 @@
           "blurb": "היכן סוכני הקוד רצים כשלא משתמשים ב-Cloudflare Containers. בחר מאגר מריצים בניהול עצמי (מתזמן משלך) או אשכול Kubernetes, ואז הגדר את נקודת הקצה והאישורים שלו."
         }
       },
+      "serviceAccountToken": {
+        "whitespace": "האסימון הזה מכיל רווח או שבירת שורה, דבר שלא קיים באסימון נושא. סביר להניח שהוא הועתק תוך חציית שורה שנשברה במסוף. העתיקו אותו מחדש כשורה אחת רציפה.",
+        "base64Encoded": "זה נראה כמו הערך בבסיס 64 מהשדה .data.token של ה-Secret, ולא כמו האסימון עצמו. פענחו אותו קודם, למשל באמצעות base64 -d.",
+        "notAJwt": "זה לא נראה כמו אסימון ServiceAccount, שהוא JWT בן שלושה חלקים המופרדים בנקודות. ודאו שהערך הועתק במלואו. התעלמו מההודעה אם האשכול שלכם משתמש באסימוני נושא סטטיים."
+      },
       "kubernetesEnv": {
         "label": "שם",
         "labelPlaceholder": "אשכול תצוגה מקדימה",
@@ -2940,13 +2966,27 @@
         "button": "בדוק חיבור",
         "ok": "החיבור תקין",
         "failed": "החיבור נכשל",
+        "causes": {
+          "refused": "אין דבר שמאזין בכתובת הזו: החיבור נדחה.",
+          "dns": "שם המחשב המארח הזה אינו נפתר מהפריסה הזו.",
+          "timeout": "לא הגיעה תשובה לפני שתם הזמן שהוקצב לבדיקה.",
+          "aborted": "הבקשה בוטלה לפני שהגיעה תשובה.",
+          "unreachable": "אין נתיב רשת לכתובת הזו מהפריסה הזו.",
+          "reset": "החיבור נסגר לפני שהגיעה תשובה.",
+          "tlsUntrusted": "הפריסה הזו אינה סומכת על אישור ה-TLS.",
+          "tlsExpired": "אישור ה-TLS נמצא מחוץ לתקופת התוקף שלו.",
+          "tlsHostname": "אישור ה-TLS לא הונפק עבור שם המחשב המארח הזה.",
+          "tlsProtocol": "לחיצת היד של TLS נכשלה.",
+          "invalidHeader": "לא ניתן היה לבנות את הבקשה: פרטי גישה מכילים תו שכותרת HTTP אינה יכולה לשאת."
+        },
         "warningsTitle": "פערים בתצורה הזו",
         "warnings": {
           "runner_manifest_no_release": "אין תבנית שחרור: ביטול הרצה לא יכול להודיע למאגר להפסיק את המשימה שלו, ולכן משימה יתומה תופסת את הראנר שלה עד שהמאגר משחרר אותה בעצמו.",
           "runner_manifest_no_status_path": "אין נתיב סטטוס: כל תשאול נקרא כאילו המשימה עדיין רצה, ולכן משימה יכולה להסתיים רק לאחר ניצול כל תקציב התשאול של ההרצה.",
           "github_pat_classic_account_wide": "זהו אסימון קלאסי עם ההרשאה 'repo': הוא מגיע לכל מאגר שאתם יכולים לדחוף אליו, כולל מאגרים שאפליקציית GitHub של סביבת העבודה הזו מעולם לא הותקנה בהם. הרצות שאתם מתחילים משתמשות בו במקום באפליקציה. אסימון מפורט המוגבל למאגרים של התקנה זו צר יותר.",
           "github_pat_scopes_beyond_need": "האסימון הזה מעניק הרשאות ש-cat-factory לעולם אינה משתמשת בהן. הסרתן אינה עולה דבר ומצמצמת את מה שהרצה שנפרצה יכולה להגיע אליו.",
-          "github_pat_scope_unreadable": "GitHub קיבלה את האסימון הזה אך לא דיווחה על ההרשאות שלו, ולכן לא ניתן להציג כאן את טווחו. בדקו בהגדרות האסימונים שלכם ב-GitHub מה הוא מעניק."
+          "github_pat_scope_unreadable": "GitHub קיבלה את האסימון הזה אך לא דיווחה על ההרשאות שלו, ולכן לא ניתן להציג כאן את טווחו. בדקו בהגדרות האסימונים שלכם ב-GitHub מה הוא מעניק.",
+          "github_pat_no_scopes": "GitHub אינו מדווח על היקפי הרשאה לאסימון הקלאסי הזה, ולכן הוא יכול לקרוא רק נתונים ציבוריים. הרצות שמשכפלות, דוחפות או פותחות בקשת משיכה איתו ייכשלו. צור אסימון חדש עם 'repo' ו-'workflow' מסומנים."
         }
       },
       "toast": {