@cat-factory/app 0.315.9 → 0.317.0

package/app/components/github/AddServiceFromRepoModal.vue

@@ -27,6 +27,7 @@ import VcsConnectSurfaces from '~/components/vcs/VcsConnectSurfaces.vue'
 import ServiceTestConfig from '~/components/panels/inspector/ServiceTestConfig.vue'
 import ServiceFragments from '~/components/panels/inspector/ServiceFragments.vue'
 import { appInstallationManageUrl, VCS_PROVIDER_LABELS } from '~/utils/vcs'
+import { prefilledRepoMatch, prefillProviderMismatch } from '~/composables/useAddRepoDeepLink'
 import SectionLabel from '~/components/common/SectionLabel.vue'
 import IconButton from '~/components/common/IconButton.vue'
 import AppModal from '~/components/common/AppModal.vue'
@@ -305,10 +306,26 @@ watch(
     if (!isOpen) return
     resetSelection()
     void loadRepos()
+    if (ui.addServicePrefill) repoSearch.value = ui.addServicePrefill.repo
   },
   { immediate: true },
 )
 
+// A deep link names one repository: select it as soon as the search lists it, once. A repository
+// the connection cannot reach never lists, which leaves the search's own empty state (and its
+// grant-access remedy) in front of the person.
+const prefillMismatch = computed(() =>
+  prefillProviderMismatch(ui.addServicePrefill, github.connected ? github.provider : null),
+)
+watch(repoResults, (repos) => {
+  const prefill = ui.addServicePrefill
+  if (!prefill || prefillMismatch.value || selectedRepoId.value !== undefined) return
+  const match = prefilledRepoMatch(prefill, repos)
+  if (!match || toRepoItem(match).disabled) return
+  selectedRepoId.value = match.githubId
+  ui.addServicePrefill = null
+})
+
 // A whole-repo service is added once (then configured inline). A monorepo instead
 // multi-selects directories and adds them together via `addServices`.
 const canAdd = computed(
@@ -511,6 +528,19 @@ function done() {
             </div>
           </UFormField>
 
+          <p
+            v-if="prefillMismatch"
+            class="text-sm text-app-warning-200/90"
+            data-testid="add-service-prefill-mismatch"
+          >
+            {{
+              t('github.addService.prefillProviderMismatch', {
+                repo: ui.addServicePrefill?.repo,
+                connected: providerLabel,
+              })
+            }}
+          </p>
+
           <UFormField
             :label="t('github.addService.repoType')"
             :description="t('github.addService.repoTypeHint')"

package/app/components/settings/ApiTokensPanel.vue

@@ -5,7 +5,6 @@
 // renders metadata only (label + created / last-used). To rotate a token, revoke it and mint a new
 // one. Opened from the Integrations hub.
 import { computed, ref, watch } from 'vue'
-import { showOverrideField } from '~/utils/uiMode'
 import type { PublicApiKey, PublicApiScope } from '~/types/publicApiKeys'
 import IntegrationBackTitle from '~/components/layout/IntegrationBackTitle.vue'
 import CopyButton from '~/components/common/CopyButton.vue'
@@ -13,18 +12,21 @@ import AppModal from '~/components/common/AppModal.vue'
 
 const { t, d } = useI18n()
 
-// The permission ladder a minted key can carry (read ⊂ write ⊂ decide ⊂ admin), mirroring the
-// backend contract. A `read` key can only observe; `write` adds create/start/manage; `decide` adds
+// The permission ladder a minted key can carry (read ⊂ webhooks ⊂ write ⊂ decide ⊂ admin), mirroring
+// the backend contract. A `read` key can only observe; `webhooks` adds registering push endpoints;
+// `write` adds create/start/manage; `decide` adds
 // answering a run's PARKED human decisions (and, because of that, starting a headless run on a
 // pipeline that can park at all); `admin` adds the destructive/merge-adjacent operations (e.g.
 // deleting a task).
-const SCOPES: PublicApiScope[] = ['read', 'write', 'decide', 'admin']
+const SCOPES: PublicApiScope[] = ['read', 'webhooks', 'write', 'decide', 'admin']
 
 /** Localized label for a scope — an exhaustive switch, so a new scope is a compile error here. */
 function scopeLabel(scope: PublicApiScope): string {
   switch (scope) {
     case 'read':
       return t('settings.apiTokens.scopes.read')
+    case 'webhooks':
+      return t('settings.apiTokens.scopes.webhooks')
     case 'write':
       return t('settings.apiTokens.scopes.write')
     case 'decide':
@@ -40,19 +42,14 @@ const auth = useAuthStore()
 const store = usePublicApiKeysStore()
 const accounts = useAccountsStore()
 const workspace = useWorkspaceStore()
-const uiMode = useUiModeStore()
 
-// A key's reach. The default is this board alone, which is what every key was before keys could
-// span workspaces; the wider choices are an override only an account admin can make, so the field
-// is hidden for everyone else rather than offered and refused.
+// A key's reach. The default is this board alone. The wider choices are an account admin's to
+// make, so the field is shown to everyone in both UI modes and disabled for anyone else, with the
+// reason, because a directory webhook needs a key that reaches every workspace.
 type TokenReach = 'this' | 'all' | 'selected'
 const reach = ref<TokenReach>('this')
 const selectedWorkspaceIds = ref<string[]>([])
-const canWidenReach = computed(
-  () =>
-    accounts.activeAccount?.roles?.includes('admin') === true &&
-    showOverrideField(uiMode.isAdvanced),
-)
+const canWidenReach = computed(() => accounts.activeAccount?.roles?.includes('admin') === true)
 const reachItems = computed(() => [
   { value: 'this' as const, label: t('settings.apiTokens.add.reachThis') },
   { value: 'all' as const, label: t('settings.apiTokens.add.reachAll') },
@@ -385,13 +382,17 @@ async function revokeToken(key: PublicApiKey) {
             />
           </UFormField>
           <UFormField
-            v-if="canWidenReach"
             :label="t('settings.apiTokens.add.reach')"
-            :help="t('settings.apiTokens.add.reachHelp')"
+            :help="
+              canWidenReach
+                ? t('settings.apiTokens.add.reachHelp')
+                : t('settings.apiTokens.add.reachAdminOnly')
+            "
           >
             <USelect
               v-model="reach"
               :items="reachItems"
+              :disabled="!canWidenReach"
               class="w-full"
               data-testid="api-token-reach"
             />

package/app/composables/useAddRepoDeepLink.spec.ts

@@ -0,0 +1,66 @@
+import { createPinia, setActivePinia } from 'pinia'
+import { beforeEach, describe, expect, it } from 'vitest'
+import type { GitHubAvailableRepo } from '~/types/domain'
+import {
+  captureAddRepoDeepLink,
+  prefilledRepoMatch,
+  prefillProviderMismatch,
+} from './useAddRepoDeepLink'
+
+function setUrl(search: string): void {
+  history.replaceState(null, '', `/${search}`)
+}
+
+function repo(owner: string, name: string): GitHubAvailableRepo {
+  return { owner, name, githubId: owner.length + name.length } as GitHubAvailableRepo
+}
+
+describe('captureAddRepoDeepLink', () => {
+  beforeEach(() => {
+    setActivePinia(createPinia())
+    setUrl('')
+  })
+
+  it('parses the link an integration builds, and strips only its own params', () => {
+    setUrl('?addRepo=kibertoad%2Fsimpler-service3&provider=github&ws=ws_1&keep=yes')
+    expect(captureAddRepoDeepLink()).toEqual({
+      repo: 'kibertoad/simpler-service3',
+      provider: 'github',
+      workspaceId: 'ws_1',
+    })
+    expect(window.location.search).toBe('?keep=yes')
+    expect(captureAddRepoDeepLink()).toBeNull()
+  })
+
+  it('takes a GitLab project under nested groups', () => {
+    setUrl('?addRepo=acme/platform/payments')
+    expect(captureAddRepoDeepLink()).toMatchObject({ repo: 'acme/platform/payments' })
+  })
+
+  it('drops a value that is not a repository path, and still strips it', () => {
+    setUrl('?addRepo=payments')
+    expect(captureAddRepoDeepLink()).toBeNull()
+    expect(window.location.search).toBe('')
+  })
+})
+
+describe('prefilledRepoMatch', () => {
+  it('matches the full path regardless of case, never a longer name', () => {
+    const wanted = repo('Kibertoad', 'simpler-service3')
+    const found = prefilledRepoMatch({ repo: 'kibertoad/simpler-service3', provider: null }, [
+      repo('kibertoad', 'simpler-service30'),
+      wanted,
+    ])
+    expect(found).toBe(wanted)
+  })
+})
+
+describe('prefillProviderMismatch', () => {
+  it('flags a link for another host only when the board is connected', () => {
+    const prefill = { repo: 'acme/payments', provider: 'gitlab' }
+    expect(prefillProviderMismatch(prefill, 'github')).toBe(true)
+    expect(prefillProviderMismatch(prefill, 'gitlab')).toBe(false)
+    expect(prefillProviderMismatch(prefill, null)).toBe(false)
+    expect(prefillProviderMismatch({ ...prefill, provider: null }, 'github')).toBe(false)
+  })
+})

package/app/composables/useAddRepoDeepLink.ts

@@ -0,0 +1,92 @@
+/**
+ * Boot-time replay of an ADD-REPOSITORY deep link: `?addRepo=<owner>/<name>&provider=<id>&ws=<id>`.
+ *
+ * An integration that finds a repository the platform has no service for (sainte-beuve filing a
+ * review, say) cannot create the service itself, because adding one is a person's choice of board,
+ * role and layout. It sends the person here instead: the add-service window opens with the
+ * repository already searched for, and selected once the connection lists it. `provider` is the
+ * host the link means, so a link for a GitLab project is not silently matched against GitHub;
+ * `ws` pins the board the same way a run link does. Integrations build it on `GET
+ * /api/v1/deployment`; the format is published at
+ * https://catfactory.ai/extend/public-api.html#sending-a-person-to-add-a-repository
+ *
+ * Signing in first keeps the query (`postSignInUrl`), so a signed-out person lands here too.
+ */
+import { watch } from 'vue'
+import type { GitHubAvailableRepo } from '~/types/domain'
+import type { VcsProvider } from '~/types/vcs'
+import { useUiStore } from '../stores/ui'
+import { useWorkspaceStore } from '../stores/workspace'
+
+/** What the add-service window is opened with: the repository to look for, and its host. */
+export interface AddServicePrefill {
+  repo: string
+  provider: string | null
+}
+
+interface PendingAddRepoLink extends AddServicePrefill {
+  workspaceId: string | null
+}
+
+const ADD_REPO_LINK_PARAMS = ['addRepo', 'provider', 'ws'] as const
+
+/** `owner/name`, where a GitLab owner may itself be a nested group path. */
+const REPO_PATH = /^[\w.-]+(?:\/[\w.-]+)+$/
+
+/**
+ * Read (and strip) an add-repository link from the current URL, or null when there is none or its
+ * `addRepo` is not a repository path. Called before `workspace.init()` so `ws` can pin the board.
+ */
+export function captureAddRepoDeepLink(): PendingAddRepoLink | null {
+  if (typeof window === 'undefined') return null
+  const params = new URLSearchParams(window.location.search)
+  const repo = params.get('addRepo')?.trim()
+  if (!repo) return null
+  const link = { repo, provider: params.get('provider'), workspaceId: params.get('ws') }
+  for (const key of ADD_REPO_LINK_PARAMS) params.delete(key)
+  const qs = params.toString()
+  history.replaceState(null, '', window.location.pathname + (qs ? `?${qs}` : ''))
+  return REPO_PATH.test(repo) ? link : null
+}
+
+/** The listed repository a prefill names, matched on its full path regardless of case. */
+export function prefilledRepoMatch(
+  prefill: AddServicePrefill,
+  repos: readonly GitHubAvailableRepo[],
+): GitHubAvailableRepo | undefined {
+  const wanted = prefill.repo.toLowerCase()
+  return repos.find((r) => `${r.owner}/${r.name}`.toLowerCase() === wanted)
+}
+
+/** Whether the link names a host other than the one this board is connected to. */
+export function prefillProviderMismatch(
+  prefill: AddServicePrefill | null,
+  connected: VcsProvider | null,
+): boolean {
+  return prefill?.provider != null && connected !== null && prefill.provider !== connected
+}
+
+/** Capture an add-repository link and, once the board has hydrated, open the window with it. */
+export function useAddRepoDeepLink(): void {
+  const link = captureAddRepoDeepLink()
+  if (!link) return
+
+  const workspace = useWorkspaceStore()
+  const ui = useUiStore()
+  if (link.workspaceId) workspace.workspaceId = link.workspaceId
+
+  // One-shot, for the same reasons `useRunDeepLink` spells out: a later refresh must not reopen a
+  // window the person closed, and `immediate` runs the callback before `stop` is bound.
+  let applied = false
+  let stop: (() => void) | undefined
+  stop = watch(
+    () => workspace.ready,
+    (ready) => {
+      if (!ready || applied) return
+      applied = true
+      ui.openAddService({ repo: link.repo, provider: link.provider })
+      stop?.()
+    },
+    { immediate: true },
+  )
+}

package/app/modular/tutorial-tours.spec.ts

@@ -163,29 +163,35 @@ function absentGates(gates: NavGates): readonly string[] {
 }
 
 /**
- * A gate set that OFFERS this tour while the entry its step clicks is NOT rendered, or
- * `undefined` when no such set exists (what the guard wants). A step the gate set DROPS
- * (`when`) needs no anchor, so it cannot be a counterexample.
+ * For each pair, a gate set that OFFERS its tour while the entry its step clicks is NOT
+ * rendered, or `undefined` when no such set exists (what the guard wants). A step the gate set
+ * DROPS (`when`) needs no anchor, so it cannot be a counterexample.
  *
  * Of the many counterexamples one break produces, the one reported is the SMALLEST: the gate
  * set closest to fully-permitted, so its absent fields are exactly the ones that matter. The
  * first witness the matrix happens to reach names most of `NavGates` and reads as noise, which
  * is the difference between a failure that says "declare `advancedMode`" and one that says
  * "something about fourteen gates".
+ *
+ * The matrix is walked ONCE for every pair together: building each gate set per pair made the
+ * test several times slower, enough to cross vitest's timeout on a loaded CI runner.
  */
-function navRequirementDrift(
-  pair: ReturnType<typeof navAnchoredSteps>[number],
-): NavGates | undefined {
-  let smallest: NavGates | undefined
-  let fewestAbsent = Number.POSITIVE_INFINITY
+function navRequirementDrifts(
+  pairs: readonly ReturnType<typeof navAnchoredSteps>[number][],
+): (NavGates | undefined)[] {
+  const smallest: (NavGates | undefined)[] = pairs.map(() => undefined)
+  const fewestAbsent = pairs.map(() => Number.POSITIVE_INFINITY)
   for (const gates of everyGateSet()) {
-    if (!(pair.tour.requires ?? []).every((requirement) => requirement.met(gates))) continue
-    if (pair.step.when && !pair.step.when(gates)) continue
-    if (navItemVisible(pair.item, gates)) continue
-    const absent = absentGates(gates).length
-    if (absent < fewestAbsent) {
-      fewestAbsent = absent
-      smallest = gates
+    let absent: number | undefined
+    for (const [index, pair] of pairs.entries()) {
+      if (!(pair.tour.requires ?? []).every((requirement) => requirement.met(gates))) continue
+      if (pair.step.when && !pair.step.when(gates)) continue
+      if (navItemVisible(pair.item, gates)) continue
+      absent ??= absentGates(gates).length
+      if (absent < fewestAbsent[index]!) {
+        fewestAbsent[index] = absent
+        smallest[index] = gates
+      }
     }
   }
   return smallest
@@ -306,8 +312,9 @@ describe('the built-in tutorial tour catalog', () => {
     expect(pairs.length).toBeGreaterThanOrEqual(8)
     expect(Object.values(ALL_GATES).every((value) => typeof value === 'boolean')).toBe(true)
 
-    const drifted = pairs.flatMap((pair) => {
-      const witness = navRequirementDrift(pair)
+    const witnesses = navRequirementDrifts(pairs)
+    const drifted = pairs.flatMap((pair, index) => {
+      const witness = witnesses[index]
       if (witness === undefined) return []
       return [`${pair.label} is offered without ${absentGates(witness).join(' / ')}`]
     })
@@ -474,7 +481,7 @@ describe('tour availability across the catalog', () => {
 
   it('holds the interface tier as a requirement of the tours whose surface hides in basic', () => {
     // Two different reasons, one requirement. `share-services` clicks a nav entry marked
-    // `advanced: true` (which `navRequirementDrift` also enforces); `panel-reviews` clicks a
+    // `advanced: true` (which `navRequirementDrifts` also enforces); `panel-reviews` clicks a
     // BASIC entry whose consensus section renders only in advanced mode or once a group exists,
     // one level below anything the nav guard can see. Basic is the shipped default, so without
     // this both would be offered to nearly every user and find nothing.

package/app/pages/index.vue

@@ -183,6 +183,8 @@ onMounted(() => {
   // board it names is the one that opens. This is what makes the observability link on an
   // engine-published PR verification report resolve.
   useRunDeepLink()
+  // `?addRepo=<owner>/<name>`: an integration sending a person to add a service for a repository.
+  useAddRepoDeepLink()
   // `?view=queue` / `?view=board`: a link that opens one of the board's two views.
   views.consumeDeepLink()
   void workspace.init()

package/app/stores/ui/modals.ts

@@ -10,6 +10,7 @@ import type {
   InfrastructureTab,
   ProviderConnectionKind,
 } from '~/types/providerConnections'
+import type { AddServicePrefill } from '~/composables/useAddRepoDeepLink'
 import type { PendingContext } from '~/composables/useContextLinking'
 import {
   infraSetupDismissalKey,
@@ -523,6 +524,8 @@ function createOverlayModals() {
   const bootstrapOpen = ref(false)
   // "Add a service from an existing GitHub repo" modal (no bootstrap run).
   const addServiceOpen = ref(false)
+  // The repository an add-repository deep link opened the window for, consumed on open.
+  const addServicePrefill = ref<AddServicePrefill | null>(null)
   // Prompt-fragment library panel (manage the board's best-practice catalog +
   // linked guideline repos; ADR 0006).
   const fragmentLibraryOpen = ref(false)
@@ -546,11 +549,13 @@ function createOverlayModals() {
   function closeBootstrap() {
     bootstrapOpen.value = false
   }
-  function openAddService() {
+  function openAddService(prefill: AddServicePrefill | null = null) {
+    addServicePrefill.value = prefill
     addServiceOpen.value = true
   }
   function closeAddService() {
     addServiceOpen.value = false
+    addServicePrefill.value = null
   }
   function openFragmentLibrary() {
     fragmentLibraryOpen.value = true
@@ -601,6 +606,7 @@ function createOverlayModals() {
   return {
     bootstrapOpen,
     addServiceOpen,
+    addServicePrefill,
     fragmentLibraryOpen,
     foundationalServicesOpen,
     commandBarOpen,

package/i18n/locales/de.json

@@ -9,19 +9,23 @@
     "scopeHint": "Jede Stufe schließt die darüberliegenden ein.",
     "scope": {
       "read": {
-        "label": "Nur lesen",
+        "label": "Lesen · read",
         "description": "Services, Aufgaben, Pipelines und Läufe ansehen."
       },
+      "webhooks": {
+        "label": "Webhooks",
+        "description": "Zusätzlich Webhooks registrieren, die Änderungen an ein anderes System senden."
+      },
       "write": {
-        "label": "Lesen und schreiben",
+        "label": "Schreiben · write",
         "description": "Zusätzlich Aufgaben anlegen und starten."
       },
       "decide": {
-        "label": "Lesen, schreiben und entscheiden",
+        "label": "Entscheiden · decide",
         "description": "Zusätzlich die Fragen beantworten, auf die ein pausierter Lauf wartet."
       },
       "admin": {
-        "label": "Voller Zugriff",
+        "label": "Vollzugriff · admin",
         "description": "Zusätzlich Aufgaben löschen und auf Benachrichtigungen reagieren, was einen Pull Request zusammenführen kann."
       }
     },
@@ -852,7 +856,7 @@
         "labelHelp": "Ein Name, um dieses Token später wiederzuerkennen.",
         "labelPlaceholder": "z. B. CI-Pipeline",
         "scope": "Berechtigung",
-        "scopeHelp": "Jede Stufe umfasst alles, was die vorherige erlaubt. Lesen: Aufgaben, Läufe und deren Ergebnisse ansehen. Schreiben: zusätzlich Aufgaben anlegen, bearbeiten, starten, stoppen und wiederholen sowie Reviews und Bewertungen ausführen. Entscheiden: zusätzlich die menschlichen Entscheidungen eines Laufs beantworten (Freigaben, Review-Befunde, Interview- und Rückfragen, manuelle Tests); diese Stufe braucht ein Token auch, um eine Pipeline zu starten, die an einer solchen Entscheidung anhalten kann. Vollzugriff: zusätzlich Services anlegen, konfigurieren und löschen, Aufgaben löschen, Repositories verknüpfen, Umgebungsverbindungen und Webhooks verwalten und auf Benachrichtigungen reagieren.",
+        "scopeHelp": "Jede Stufe umfasst alles, was die vorherige erlaubt. Lesen: Aufgaben, Läufe und deren Ergebnisse ansehen. Webhooks: zusätzlich Webhooks registrieren und entfernen, die Änderungen an ein anderes System senden, etwa Verzeichnis- und Benachrichtigungs-Webhooks. Schreiben: zusätzlich Aufgaben anlegen, bearbeiten, starten, stoppen und wiederholen sowie Reviews und Bewertungen ausführen. Entscheiden: zusätzlich die menschlichen Entscheidungen eines Laufs beantworten (Freigaben, Review-Befunde, Interview- und Rückfragen, manuelle Tests); diese Stufe braucht ein Token auch, um eine Pipeline zu starten, die an einer solchen Entscheidung anhalten kann. Vollzugriff (admin): zusätzlich Services anlegen, konfigurieren und löschen, Aufgaben löschen, Repositories verknüpfen, Umgebungsverbindungen verwalten und auf Benachrichtigungen reagieren.",
         "create": "Token erstellen",
         "identity": "Läuft als",
         "identitySystem": "Dieser Arbeitsbereich (System-Token)",
@@ -861,16 +865,18 @@
         "identitySelfHelp": "Mit diesem Token gestartete Läufe gelten als Ihre und können Ihr persönliches Claude-/Codex-/GLM-Abonnement nutzen. Jeder solche Aufruf muss zusätzlich Ihr persönliches Passwort im Header X-Personal-Password senden; es wird nie gespeichert. Für Ihre eigenen Headless-Läufe.",
         "reach": "Arbeitsbereiche",
         "reachHelp": "Auf welchen Arbeitsbereichen dieses Token handeln darf. Ein Token für mehr als einen Arbeitsbereich nennt den Arbeitsbereich bei jedem Aufruf im Header x-cat-factory-workspace.",
+        "reachAdminOnly": "Nur ein Konto-Admin kann ein Token anlegen, das weitere Arbeitsbereiche erreicht, wie es Verzeichnis-Webhooks brauchen. Bitte einen Konto-Admin darum.",
         "reachThis": "Nur dieser Arbeitsbereich",
         "reachAll": "Alle Arbeitsbereiche des Kontos",
         "reachSelected": "Ausgewählte Arbeitsbereiche",
         "reachPick": "Arbeitsbereiche auswählen"
       },
       "scopes": {
-        "read": "Lesen",
-        "write": "Schreiben (inkl. Lesen)",
-        "decide": "Entscheiden (inkl. Schreiben)",
-        "admin": "Vollzugriff (inkl. Entscheiden)"
+        "read": "Lesen · read",
+        "webhooks": "Webhooks (inkl. Lesen)",
+        "write": "Schreiben · write (inkl. Webhooks)",
+        "decide": "Entscheiden · decide (inkl. Schreiben)",
+        "admin": "Vollzugriff · admin (inkl. Entscheiden)"
       },
       "toast": {
         "loadFailed": "API-Tokens konnten nicht geladen werden",
@@ -3807,7 +3813,8 @@
         "servicesAddedDescription": "{count} Service zum Board hinzugefügt. | {count} Services zum Board hinzugefügt.",
         "frontendLinkedNote": "{directory} wurde als Frontend hinzugefügt und mit den übrigen verknüpft. Benennen Sie die Umgebungsvariablen für die Backend-URLs im Inspector.",
         "frontendWiringFailedNote": "Die Frontend-Einstellungen wurden nicht gespeichert. Öffnen Sie den Inspector jeder Frontend-App, um ihr Unterverzeichnis und ihre Backend-Services zu setzen."
-      }
+      },
+      "prefillProviderMismatch": "Der Link verweist auf {repo} bei einem anderen Anbieter, dieses Board ist aber mit {connected} verbunden. Suche das Repository von Hand oder öffne den Link auf einem Board, das mit seinem Anbieter verbunden ist."
     },
     "repoTree": {
       "root": "root",

package/i18n/locales/en.json

@@ -3065,19 +3065,23 @@
     "scopeHint": "Each level includes the ones above it.",
     "scope": {
       "read": {
-        "label": "Read only",
+        "label": "Read",
         "description": "See services, tasks, pipelines and runs."
       },
+      "webhooks": {
+        "label": "Webhooks",
+        "description": "Also register webhooks that push changes to another system."
+      },
       "write": {
-        "label": "Read and write",
+        "label": "Write",
         "description": "Also create and start tasks."
       },
       "decide": {
-        "label": "Read, write and decide",
+        "label": "Decide",
         "description": "Also answer the questions a parked run is waiting on."
       },
       "admin": {
-        "label": "Full access",
+        "label": "Admin",
         "description": "Also delete tasks and act on notifications, which can merge a pull request."
       }
     },
@@ -3920,7 +3924,7 @@
         "labelHelp": "A name to recognize this token by later.",
         "labelPlaceholder": "e.g. CI pipeline",
         "scope": "Scope",
-        "scopeHelp": "Each level includes everything the one before it allows. Read: view tasks, runs and their results. Write: also create, edit, start, stop and retry tasks, and run reviews and assessments. Decide: also answer a run's human decisions (approvals, review findings, interview and clarifying questions, human tests); a token also needs this level to start a pipeline that can stop for one. Full access: also add, configure and delete services, delete tasks, link repositories, manage environment connections and webhooks, and act on notifications.",
+        "scopeHelp": "Each level includes everything the one before it allows. Read: view tasks, runs and their results. Webhooks: also register and remove webhooks that push changes to another system, such as directory and notification webhooks. Write: also create, edit, start, stop and retry tasks, and run reviews and assessments. Decide: also answer a run's human decisions (approvals, review findings, interview and clarifying questions, human tests); a token also needs this level to start a pipeline that can stop for one. Admin: also add, configure and delete services, delete tasks, link repositories, manage environment connections, and act on notifications.",
         "create": "Create token",
         "identity": "Runs as",
         "identitySystem": "This workspace (system token)",
@@ -3929,6 +3933,7 @@
         "identitySelfHelp": "Runs started with this token count as yours and can use your personal Claude / Codex / GLM subscription. Every such call must also send your personal password in the X-Personal-Password header; it is never stored. Use this to drive your own headless runs.",
         "reach": "Workspaces",
         "reachHelp": "Which workspaces this token can act on. A token reaching more than one names the workspace on each call in the x-cat-factory-workspace header.",
+        "reachAdminOnly": "Only an account admin can create a token that reaches other workspaces, which directory webhooks need. Ask one to create it.",
         "reachThis": "This workspace only",
         "reachAll": "Every workspace in the account",
         "reachSelected": "Selected workspaces",
@@ -3936,9 +3941,10 @@
       },
       "scopes": {
         "read": "Read",
-        "write": "Write (includes Read)",
+        "webhooks": "Webhooks (includes Read)",
+        "write": "Write (includes Webhooks)",
         "decide": "Decide (includes Write)",
-        "admin": "Full access (includes Decide)"
+        "admin": "Admin (includes Decide)"
       },
       "toast": {
         "loadFailed": "Could not load API tokens",
@@ -4824,7 +4830,8 @@
         },
         "frontendLinkedNote": "{directory} was added as the frontend and linked to the others. Name its backend URL environment variables in its inspector.",
         "frontendWiringFailedNote": "The frontend settings did not save. Open each frontend app's inspector to set its subdirectory and its backend services."
-      }
+      },
+      "prefillProviderMismatch": "The link asked for {repo} on a different host, and this board is connected to {connected}. Search for the repository by hand, or open the link on a board connected to its host."
     },
     "repoTree": {
       "root": "root",

package/i18n/locales/es.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "Cada nivel incluye los anteriores.",
     "scope": {
       "read": {
-        "label": "Solo lectura",
+        "label": "Lectura · read",
         "description": "Ver servicios, tareas, pipelines y ejecuciones."
       },
+      "webhooks": {
+        "label": "Webhooks",
+        "description": "Además, registrar webhooks que envían cambios a otro sistema."
+      },
       "write": {
-        "label": "Lectura y escritura",
+        "label": "Escritura · write",
         "description": "Además, crear e iniciar tareas."
       },
       "decide": {
-        "label": "Lectura, escritura y decisión",
+        "label": "Decisión · decide",
         "description": "Además, responder a las preguntas que espera una ejecución detenida."
       },
       "admin": {
-        "label": "Acceso completo",
+        "label": "Acceso completo · admin",
         "description": "Además, eliminar tareas y actuar sobre notificaciones, lo que puede fusionar un pull request."
       }
     },
@@ -3612,7 +3616,7 @@
         "labelHelp": "Un nombre para reconocer este token más adelante.",
         "labelPlaceholder": "p. ej. pipeline de CI",
         "scope": "Alcance",
-        "scopeHelp": "Cada nivel incluye todo lo que permite el anterior. Lectura: ver tareas, ejecuciones y sus resultados. Escritura: además, crear, editar, iniciar, detener y reintentar tareas, y lanzar revisiones y evaluaciones. Decisión: además, responder a las decisiones humanas de una ejecución (aprobaciones, hallazgos de revisión, preguntas de entrevista y de aclaración, pruebas manuales); un token también necesita este nivel para iniciar una canalización que pueda detenerse en una de ellas. Acceso completo: además, añadir, configurar y eliminar servicios, eliminar tareas, vincular repositorios, gestionar conexiones de entorno y webhooks, y actuar sobre notificaciones.",
+        "scopeHelp": "Cada nivel incluye todo lo que permite el anterior. Lectura: ver tareas, ejecuciones y sus resultados. Webhooks: además, registrar y eliminar webhooks que envían cambios a otro sistema, como los webhooks de directorio y de notificaciones. Escritura: además, crear, editar, iniciar, detener y reintentar tareas, y lanzar revisiones y evaluaciones. Decisión: además, responder a las decisiones humanas de una ejecución (aprobaciones, hallazgos de revisión, preguntas de entrevista y de aclaración, pruebas manuales); un token también necesita este nivel para iniciar una canalización que pueda detenerse en una de ellas. Acceso completo (admin): además, añadir, configurar y eliminar servicios, eliminar tareas, vincular repositorios, gestionar conexiones de entorno y actuar sobre notificaciones.",
         "create": "Crear token",
         "identity": "Se ejecuta como",
         "identitySystem": "Este espacio de trabajo (token de sistema)",
@@ -3621,16 +3625,18 @@
         "identitySelfHelp": "Las ejecuciones iniciadas con este token se te atribuyen y pueden usar tu suscripción personal de Claude / Codex / GLM. Cada llamada debe enviar además tu contraseña personal en la cabecera X-Personal-Password; nunca se almacena. Úsalo para tus propias ejecuciones headless.",
         "reach": "Espacios de trabajo",
         "reachHelp": "En qué espacios de trabajo puede actuar este token. Un token con acceso a más de uno indica el espacio de trabajo en cada llamada con la cabecera x-cat-factory-workspace.",
+        "reachAdminOnly": "Solo un administrador de la cuenta puede crear un token que llegue a otros espacios de trabajo, como necesitan los webhooks de directorio. Pídeselo a uno.",
         "reachThis": "Solo este espacio de trabajo",
         "reachAll": "Todos los espacios de trabajo de la cuenta",
         "reachSelected": "Espacios de trabajo seleccionados",
         "reachPick": "Elige espacios de trabajo"
       },
       "scopes": {
-        "read": "Lectura",
-        "write": "Escritura (incluye Lectura)",
-        "decide": "Decisión (incluye Escritura)",
-        "admin": "Acceso completo (incluye Decisión)"
+        "read": "Lectura · read",
+        "webhooks": "Webhooks (incluye Lectura)",
+        "write": "Escritura · write (incluye Webhooks)",
+        "decide": "Decisión · decide (incluye Escritura)",
+        "admin": "Acceso completo · admin (incluye Decisión)"
       },
       "toast": {
         "loadFailed": "No se pudieron cargar los tokens de la API",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "Los ajustes del frontend no se guardaron. Abre el inspector de cada aplicación frontend para definir su subdirectorio y sus servicios backend."
       },
       "repoType": "Tipo de repositorio",
-      "repoTypeHint": "Qué es este repositorio: un servicio backend, una aplicación frontend, una biblioteca compartida o un repositorio de documentación (solo documentos/spikes)."
+      "repoTypeHint": "Qué es este repositorio: un servicio backend, una aplicación frontend, una biblioteca compartida o un repositorio de documentación (solo documentos/spikes).",
+      "prefillProviderMismatch": "El enlace pedía {repo} en otro proveedor, y este tablero está conectado a {connected}. Busca el repositorio a mano o abre el enlace en un tablero conectado a su proveedor."
     },
     "repoTree": {
       "root": "raíz",

package/i18n/locales/fr.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "Chaque niveau inclut les précédents.",
     "scope": {
       "read": {
-        "label": "Lecture seule",
+        "label": "Lecture · read",
         "description": "Voir les services, les tâches, les pipelines et les exécutions."
       },
+      "webhooks": {
+        "label": "Webhooks",
+        "description": "Et aussi enregistrer des webhooks qui envoient les changements à un autre système."
+      },
       "write": {
-        "label": "Lecture et écriture",
+        "label": "Écriture · write",
         "description": "Et aussi créer et lancer des tâches."
       },
       "decide": {
-        "label": "Lecture, écriture et décision",
+        "label": "Décision · decide",
         "description": "Et aussi répondre aux questions qu'attend une exécution en pause."
       },
       "admin": {
-        "label": "Accès complet",
+        "label": "Accès complet · admin",
         "description": "Et aussi supprimer des tâches et agir sur les notifications, ce qui peut fusionner une pull request."
       }
     },
@@ -3612,7 +3616,7 @@
         "labelHelp": "Un nom pour reconnaître ce jeton plus tard.",
         "labelPlaceholder": "ex. pipeline CI",
         "scope": "Portée",
-        "scopeHelp": "Chaque niveau inclut tout ce que permet le précédent. Lecture : consulter les tâches, les exécutions et leurs résultats. Écriture : en plus, créer, modifier, démarrer, arrêter et relancer des tâches, et lancer des revues et des évaluations. Décision : en plus, répondre aux décisions humaines d'une exécution (approbations, constats de revue, questions d'entretien et de clarification, tests manuels) ; un jeton a aussi besoin de ce niveau pour démarrer un pipeline qui peut s'arrêter sur l'une d'elles. Accès complet : en plus, ajouter, configurer et supprimer des services, supprimer des tâches, lier des dépôts, gérer les connexions d'environnement et les webhooks, et agir sur les notifications.",
+        "scopeHelp": "Chaque niveau inclut tout ce que permet le précédent. Lecture : consulter les tâches, les exécutions et leurs résultats. Webhooks : en plus, enregistrer et supprimer les webhooks qui envoient les changements à un autre système, comme les webhooks d'annuaire et de notification. Écriture : en plus, créer, modifier, démarrer, arrêter et relancer des tâches, et lancer des revues et des évaluations. Décision : en plus, répondre aux décisions humaines d'une exécution (approbations, constats de revue, questions d'entretien et de clarification, tests manuels) ; un jeton a aussi besoin de ce niveau pour démarrer un pipeline qui peut s'arrêter sur l'une d'elles. Accès complet (admin) : en plus, ajouter, configurer et supprimer des services, supprimer des tâches, lier des dépôts, gérer les connexions d'environnement, et agir sur les notifications.",
         "create": "Créer le jeton",
         "identity": "S'exécute en tant que",
         "identitySystem": "Cet espace de travail (jeton système)",
@@ -3621,16 +3625,18 @@
         "identitySelfHelp": "Les exécutions lancées avec ce jeton vous sont attribuées et peuvent utiliser votre abonnement personnel Claude / Codex / GLM. Chaque appel doit aussi envoyer votre mot de passe personnel dans l'en-tête X-Personal-Password ; il n'est jamais conservé. À utiliser pour vos propres exécutions headless.",
         "reach": "Espaces de travail",
         "reachHelp": "Les espaces de travail sur lesquels ce jeton peut agir. Un jeton qui en couvre plusieurs indique l’espace de travail à chaque appel dans l’en-tête x-cat-factory-workspace.",
+        "reachAdminOnly": "Seul un administrateur du compte peut créer un jeton qui couvre d'autres espaces de travail, ce dont les webhooks d'annuaire ont besoin. Demandez-le à l'un d'eux.",
         "reachThis": "Cet espace de travail uniquement",
         "reachAll": "Tous les espaces de travail du compte",
         "reachSelected": "Espaces de travail sélectionnés",
         "reachPick": "Choisir des espaces de travail"
       },
       "scopes": {
-        "read": "Lecture",
-        "write": "Écriture (inclut Lecture)",
-        "decide": "Décision (inclut Écriture)",
-        "admin": "Accès complet (inclut Décision)"
+        "read": "Lecture · read",
+        "webhooks": "Webhooks (inclut Lecture)",
+        "write": "Écriture · write (inclut Webhooks)",
+        "decide": "Décision · decide (inclut Écriture)",
+        "admin": "Accès complet · admin (inclut Décision)"
       },
       "toast": {
         "loadFailed": "Impossible de charger les jetons d'API",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "Les réglages du frontend n'ont pas été enregistrés. Ouvrez l'inspecteur de chaque application frontend pour définir son sous-répertoire et ses services backend."
       },
       "repoType": "Type de dépôt",
-      "repoTypeHint": "Ce qu'est ce dépôt : un service backend, une application frontend, une bibliothèque partagée ou un dépôt de documentation (documents/spikes uniquement)."
+      "repoTypeHint": "Ce qu'est ce dépôt : un service backend, une application frontend, une bibliothèque partagée ou un dépôt de documentation (documents/spikes uniquement).",
+      "prefillProviderMismatch": "Le lien visait {repo} chez un autre hébergeur, et ce tableau est connecté à {connected}. Cherchez le dépôt à la main, ou ouvrez le lien sur un tableau connecté à son hébergeur."
     },
     "repoTree": {
       "root": "racine",

package/i18n/locales/he.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "כל רמה כוללת את הרמות שמעליה.",
     "scope": {
       "read": {
-        "label": "קריאה בלבד",
+        "label": "קריאה · read",
         "description": "לראות שירותים, משימות, פייפליינים והרצות."
       },
+      "webhooks": {
+        "label": "Webhooks",
+        "description": "וגם לרשום webhooks ששולחים שינויים למערכת אחרת."
+      },
       "write": {
-        "label": "קריאה וכתיבה",
+        "label": "כתיבה · write",
         "description": "וגם ליצור משימות ולהפעיל אותן."
       },
       "decide": {
-        "label": "קריאה, כתיבה והכרעה",
+        "label": "החלטה · decide",
         "description": "וגם לענות על השאלות שהרצה ממתינה להן."
       },
       "admin": {
-        "label": "גישה מלאה",
+        "label": "גישה מלאה · admin",
         "description": "וגם למחוק משימות ולפעול על התראות, מה שעשוי למזג בקשת משיכה."
       }
     },
@@ -3753,7 +3757,7 @@
         "labelHelp": "שם שיעזור לך לזהות את האסימון הזה בהמשך.",
         "labelPlaceholder": "לדוגמה, צינור CI",
         "scope": "היקף הרשאות",
-        "scopeHelp": "כל רמה כוללת את כל מה שהרמה שלפניה מאפשרת. קריאה: צפייה במשימות, בהרצות ובתוצאות שלהן. כתיבה: בנוסף, יצירה, עריכה, הפעלה, עצירה והרצה חוזרת של משימות, והפעלת סקירות והערכות. החלטה: בנוסף, מענה להחלטות אנושיות של הרצה (אישורים, ממצאי סקירה, שאלות ראיון והבהרה, בדיקות ידניות); אסימון צריך את הרמה הזו גם כדי להפעיל צינור שעשוי לעצור באחת מהן. גישה מלאה: בנוסף, הוספה, הגדרה ומחיקה של שירותים, מחיקת משימות, קישור מאגרים, ניהול חיבורי סביבה ו-webhooks, ופעולה על התראות.",
+        "scopeHelp": "כל רמה כוללת את כל מה שהרמה שלפניה מאפשרת. קריאה: צפייה במשימות, בהרצות ובתוצאות שלהן. Webhooks: בנוסף, רישום והסרה של webhooks ששולחים שינויים למערכת אחרת, כמו webhooks של מדריך ושל התראות. כתיבה: בנוסף, יצירה, עריכה, הפעלה, עצירה והרצה חוזרת של משימות, והפעלת סקירות והערכות. החלטה: בנוסף, מענה להחלטות אנושיות של הרצה (אישורים, ממצאי סקירה, שאלות ראיון והבהרה, בדיקות ידניות); אסימון צריך את הרמה הזו גם כדי להפעיל צינור שעשוי לעצור באחת מהן. גישה מלאה (admin): בנוסף, הוספה, הגדרה ומחיקה של שירותים, מחיקת משימות, קישור מאגרים, ניהול חיבורי סביבה, ופעולה על התראות.",
         "create": "צור אסימון",
         "identity": "פועל בשם",
         "identitySystem": "סביבת העבודה הזו (אסימון מערכת)",
@@ -3762,16 +3766,18 @@
         "identitySelfHelp": "הרצות שמתחילות עם האסימון הזה נחשבות שלך ויכולות להשתמש במנוי האישי שלך ל-Claude / Codex / GLM. כל קריאה כזו חייבת לשלוח גם את הסיסמה האישית שלך בכותרת X-Personal-Password; היא לעולם אינה נשמרת. השתמשו בו להרצות headless משלכם.",
         "reach": "סביבות עבודה",
         "reachHelp": "באילו סביבות עבודה האסימון הזה יכול לפעול. אסימון שמגיע ליותר מסביבה אחת מציין את סביבת העבודה בכל קריאה בכותרת x-cat-factory-workspace.",
+        "reachAdminOnly": "רק מנהל חשבון יכול ליצור אסימון שמגיע לסביבות עבודה נוספות, כפי ש-webhooks של מדריך דורשים. בקשו זאת ממנהל חשבון.",
         "reachThis": "סביבת העבודה הזו בלבד",
         "reachAll": "כל סביבות העבודה בחשבון",
         "reachSelected": "סביבות עבודה נבחרות",
         "reachPick": "בחירת סביבות עבודה"
       },
       "scopes": {
-        "read": "קריאה",
-        "write": "כתיבה (כולל קריאה)",
-        "decide": "החלטה (כולל כתיבה)",
-        "admin": "גישה מלאה (כולל החלטה)"
+        "read": "קריאה · read",
+        "webhooks": "Webhooks (כולל קריאה)",
+        "write": "כתיבה · write (כולל Webhooks)",
+        "decide": "החלטה · decide (כולל כתיבה)",
+        "admin": "גישה מלאה · admin (כולל החלטה)"
       },
       "toast": {
         "loadFailed": "לא ניתן לטעון את אסימוני ה-API",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "הגדרות הפרונט-אנד לא נשמרו. פתח את האינספקטור של כל אפליקציית פרונט-אנד כדי להגדיר את תת-הספרייה ואת שירותי הבק-אנד שלה."
       },
       "repoType": "סוג המאגר",
-      "repoTypeHint": "מה המאגר הזה: שירות בק-אנד, אפליקציית פרונט-אנד, ספרייה משותפת או מאגר תיעוד (מסמכים/ספייקים בלבד)."
+      "repoTypeHint": "מה המאגר הזה: שירות בק-אנד, אפליקציית פרונט-אנד, ספרייה משותפת או מאגר תיעוד (מסמכים/ספייקים בלבד).",
+      "prefillProviderMismatch": "הקישור ביקש את {repo} אצל ספק אחר, והלוח הזה מחובר ל-{connected}. חפשו את המאגר ידנית, או פתחו את הקישור בלוח שמחובר לספק שלו."
     },
     "repoTree": {
       "root": "שורש",

package/i18n/locales/it.json

@@ -9,19 +9,23 @@
     "scopeHint": "Ogni livello include quelli precedenti.",
     "scope": {
       "read": {
-        "label": "Sola lettura",
+        "label": "Lettura · read",
         "description": "Vedere servizi, attività, pipeline ed esecuzioni."
       },
+      "webhooks": {
+        "label": "Webhook · webhooks",
+        "description": "Inoltre registrare webhook che inviano le modifiche a un altro sistema."
+      },
       "write": {
-        "label": "Lettura e scrittura",
+        "label": "Scrittura · write",
         "description": "Inoltre creare e avviare attività."
       },
       "decide": {
-        "label": "Lettura, scrittura e decisione",
+        "label": "Decisione · decide",
         "description": "Inoltre rispondere alle domande su cui un'esecuzione è in attesa."
       },
       "admin": {
-        "label": "Accesso completo",
+        "label": "Accesso completo · admin",
         "description": "Inoltre eliminare attività e agire sulle notifiche, il che può unire una pull request."
       }
     },
@@ -852,7 +856,7 @@
         "labelHelp": "Un nome per riconoscere questo token in seguito.",
         "labelPlaceholder": "es. pipeline CI",
         "scope": "Ambito",
-        "scopeHelp": "Ogni livello include tutto ciò che consente il precedente. Lettura: visualizzare attività, esecuzioni e i loro risultati. Scrittura: inoltre creare, modificare, avviare, fermare e riprovare attività, ed eseguire revisioni e valutazioni. Decisione: inoltre rispondere alle decisioni umane di un'esecuzione (approvazioni, rilievi di revisione, domande di intervista e di chiarimento, test manuali); un token ha bisogno di questo livello anche per avviare una pipeline che può fermarsi su una di esse. Accesso completo: inoltre aggiungere, configurare ed eliminare servizi, eliminare attività, collegare repository, gestire connessioni di ambiente e webhook, e agire sulle notifiche.",
+        "scopeHelp": "Ogni livello include tutto ciò che consente il precedente. Lettura: visualizzare attività, esecuzioni e i loro risultati. Webhook: inoltre registrare e rimuovere i webhook che inviano le modifiche a un altro sistema, come i webhook di directory e di notifica. Scrittura: inoltre creare, modificare, avviare, fermare e riprovare attività, ed eseguire revisioni e valutazioni. Decisione: inoltre rispondere alle decisioni umane di un'esecuzione (approvazioni, rilievi di revisione, domande di intervista e di chiarimento, test manuali); un token ha bisogno di questo livello anche per avviare una pipeline che può fermarsi su una di esse. Accesso completo (admin): inoltre aggiungere, configurare ed eliminare servizi, eliminare attività, collegare repository, gestire connessioni di ambiente, e agire sulle notifiche.",
         "create": "Crea token",
         "identity": "Viene eseguito come",
         "identitySystem": "Questo spazio di lavoro (token di sistema)",
@@ -861,16 +865,18 @@
         "identitySelfHelp": "Le esecuzioni avviate con questo token sono attribuite a te e possono usare il tuo abbonamento personale Claude / Codex / GLM. Ogni chiamata deve inviare anche la tua password personale nell'intestazione X-Personal-Password; non viene mai memorizzata. Usalo per le tue esecuzioni headless.",
         "reach": "Spazi di lavoro",
         "reachHelp": "Su quali spazi di lavoro questo token può agire. Un token che ne raggiunge più di uno indica lo spazio di lavoro a ogni chiamata nell’header x-cat-factory-workspace.",
+        "reachAdminOnly": "Solo un amministratore dell'account può creare un token che raggiunge altri spazi di lavoro, come richiedono i webhook di directory. Chiedilo a uno di loro.",
         "reachThis": "Solo questo spazio di lavoro",
         "reachAll": "Tutti gli spazi di lavoro dell’account",
         "reachSelected": "Spazi di lavoro selezionati",
         "reachPick": "Scegli gli spazi di lavoro"
       },
       "scopes": {
-        "read": "Lettura",
-        "write": "Scrittura (include Lettura)",
-        "decide": "Decisione (include Scrittura)",
-        "admin": "Accesso completo (include Decisione)"
+        "read": "Lettura · read",
+        "webhooks": "Webhook · webhooks (include Lettura)",
+        "write": "Scrittura · write (include Webhook)",
+        "decide": "Decisione · decide (include Scrittura)",
+        "admin": "Accesso completo · admin (include Decisione)"
       },
       "toast": {
         "loadFailed": "Impossibile caricare i token API",
@@ -3807,7 +3813,8 @@
         "servicesAddedDescription": "{count} servizio aggiunto alla board. | {count} servizi aggiunti alla board.",
         "frontendLinkedNote": "{directory} è stata aggiunta come frontend e collegata alle altre. Assegna il nome alle sue variabili d'ambiente con gli URL dei backend nel suo inspector.",
         "frontendWiringFailedNote": "Le impostazioni del frontend non sono state salvate. Apri l'inspector di ogni app frontend per impostarne la sottodirectory e i servizi backend."
-      }
+      },
+      "prefillProviderMismatch": "Il link chiedeva {repo} su un altro provider, e questa board è collegata a {connected}. Cerca il repository a mano, oppure apri il link su una board collegata al suo provider."
     },
     "repoTree": {
       "root": "root",

package/i18n/locales/ja.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "各レベルは上位のレベルを含みます。",
     "scope": {
       "read": {
-        "label": "読み取りのみ",
+        "label": "読み取り · read",
         "description": "サービス、タスク、パイプライン、実行を閲覧します。"
       },
+      "webhooks": {
+        "label": "Webhook · webhooks",
+        "description": "加えて、変更を別のシステムへ送る Webhook を登録できます。"
+      },
       "write": {
-        "label": "読み取りと書き込み",
+        "label": "書き込み · write",
         "description": "加えて、タスクの作成と開始ができます。"
       },
       "decide": {
-        "label": "読み取り、書き込み、判断",
+        "label": "判断 · decide",
         "description": "加えて、停止中の実行が待っている質問に回答できます。"
       },
       "admin": {
-        "label": "フルアクセス",
+        "label": "フルアクセス · admin",
         "description": "加えて、タスクの削除と通知への対応ができ、プルリクエストがマージされることもあります。"
       }
     },
@@ -3753,7 +3757,7 @@
         "labelHelp": "後でこのトークンを識別するための名前。",
         "labelPlaceholder": "例: CI パイプライン",
         "scope": "権限範囲",
-        "scopeHelp": "各レベルには、その前のレベルで許可されることがすべて含まれます。読み取り: タスク、実行、その結果を閲覧できます。書き込み: さらに、タスクの作成、編集、開始、停止、再試行と、レビューや評価の実行ができます。判断: さらに、実行中の人による判断（承認、レビュー指摘、インタビューや確認の質問、手動テスト）に回答できます。こうした判断で停止しうるパイプラインを開始するにも、このレベルが必要です。フルアクセス: さらに、サービスの追加・設定・削除、タスクの削除、リポジトリのリンク、環境接続と Webhook の管理、通知への対応ができます。",
+        "scopeHelp": "各レベルには、その前のレベルで許可されることがすべて含まれます。読み取り: タスク、実行、その結果を閲覧できます。Webhook: さらに、変更を別のシステムへ送る Webhook（ディレクトリ Webhook や通知 Webhook など）の登録と削除ができます。書き込み: さらに、タスクの作成、編集、開始、停止、再試行と、レビューや評価の実行ができます。判断: さらに、実行中の人による判断（承認、レビュー指摘、インタビューや確認の質問、手動テスト）に回答できます。こうした判断で停止しうるパイプラインを開始するにも、このレベルが必要です。フルアクセス (admin): さらに、サービスの追加・設定・削除、タスクの削除、リポジトリのリンク、環境接続の管理、通知への対応ができます。",
         "create": "トークンを作成",
         "identity": "実行者",
         "identitySystem": "このワークスペース（システムトークン）",
@@ -3762,16 +3766,18 @@
         "identitySelfHelp": "このトークンで開始した実行はあなたのものとして扱われ、あなたの個人 Claude / Codex / GLM サブスクリプションを利用できます。その際は毎回のリクエストで X-Personal-Password ヘッダーに個人パスワードを送る必要があります。パスワードは保存されません。自分のヘッドレス実行にはこちらを使ってください。",
         "reach": "ワークスペース",
         "reachHelp": "このトークンが操作できるワークスペース。複数のワークスペースに届くトークンは、各呼び出しで x-cat-factory-workspace ヘッダーにワークスペースを指定します。",
+        "reachAdminOnly": "他のワークスペースに届くトークンを作成できるのはアカウント管理者だけです。ディレクトリ Webhook にはこのトークンが必要です。アカウント管理者に依頼してください。",
         "reachThis": "このワークスペースのみ",
         "reachAll": "アカウント内のすべてのワークスペース",
         "reachSelected": "選択したワークスペース",
         "reachPick": "ワークスペースを選択"
       },
       "scopes": {
-        "read": "読み取り",
-        "write": "書き込み（読み取りを含む）",
-        "decide": "判断（書き込みを含む）",
-        "admin": "フルアクセス（判断を含む）"
+        "read": "読み取り · read",
+        "webhooks": "Webhook · webhooks（読み取りを含む）",
+        "write": "書き込み · write（Webhook を含む）",
+        "decide": "判断 · decide（書き込みを含む）",
+        "admin": "フルアクセス · admin（判断を含む）"
       },
       "toast": {
         "loadFailed": "APIトークンを読み込めませんでした",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "フロントエンドの設定を保存できませんでした。各フロントエンドアプリのインスペクターを開き、サブディレクトリとバックエンドサービスを設定してください。"
       },
       "repoType": "リポジトリの種類",
-      "repoTypeHint": "このリポジトリの種類: バックエンドサービス、フロントエンドアプリ、共有ライブラリ、またはドキュメントリポジトリ（ドキュメント/スパイクのみ）。"
+      "repoTypeHint": "このリポジトリの種類: バックエンドサービス、フロントエンドアプリ、共有ライブラリ、またはドキュメントリポジトリ（ドキュメント/スパイクのみ）。",
+      "prefillProviderMismatch": "このリンクは別のホストにある {repo} を指していますが、このボードは {connected} に接続されています。リポジトリを手動で検索するか、そのホストに接続されたボードでリンクを開いてください。"
     },
     "repoTree": {
       "root": "ルート",

package/i18n/locales/pl.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "Każdy poziom obejmuje poprzednie.",
     "scope": {
       "read": {
-        "label": "Tylko odczyt",
+        "label": "Odczyt · read",
         "description": "Podgląd usług, zadań, potoków i uruchomień."
       },
+      "webhooks": {
+        "label": "Webhooki · webhooks",
+        "description": "Dodatkowo rejestrowanie webhooków wysyłających zmiany do innego systemu."
+      },
       "write": {
-        "label": "Odczyt i zapis",
+        "label": "Zapis · write",
         "description": "Dodatkowo tworzenie i uruchamianie zadań."
       },
       "decide": {
-        "label": "Odczyt, zapis i decyzje",
+        "label": "Decyzje · decide",
         "description": "Dodatkowo odpowiadanie na pytania, na które czeka wstrzymane uruchomienie."
       },
       "admin": {
-        "label": "Pełny dostęp",
+        "label": "Pełny dostęp · admin",
         "description": "Dodatkowo usuwanie zadań i reagowanie na powiadomienia, co może scalić pull request."
       }
     },
@@ -3612,7 +3616,7 @@
         "labelHelp": "Nazwa, po której później rozpoznasz ten token.",
         "labelPlaceholder": "np. potok CI",
         "scope": "Zakres",
-        "scopeHelp": "Każdy poziom obejmuje wszystko, na co pozwala poprzedni. Odczyt: przeglądanie zadań, przebiegów i ich wyników. Zapis: dodatkowo tworzenie, edytowanie, uruchamianie, zatrzymywanie i ponawianie zadań oraz uruchamianie przeglądów i ocen. Decyzje: dodatkowo odpowiadanie na decyzje człowieka w przebiegu (zatwierdzenia, uwagi z przeglądu, pytania z wywiadu i pytania doprecyzowujące, testy ręczne); token potrzebuje tego poziomu także do uruchomienia potoku, który może się zatrzymać na takiej decyzji. Pełny dostęp: dodatkowo dodawanie, konfigurowanie i usuwanie usług, usuwanie zadań, łączenie repozytoriów, zarządzanie połączeniami środowisk i webhookami oraz reagowanie na powiadomienia.",
+        "scopeHelp": "Każdy poziom obejmuje wszystko, na co pozwala poprzedni. Odczyt: przeglądanie zadań, przebiegów i ich wyników. Webhooki: dodatkowo rejestrowanie i usuwanie webhooków wysyłających zmiany do innego systemu, takich jak webhooki katalogu i powiadomień. Zapis: dodatkowo tworzenie, edytowanie, uruchamianie, zatrzymywanie i ponawianie zadań oraz uruchamianie przeglądów i ocen. Decyzje: dodatkowo odpowiadanie na decyzje człowieka w przebiegu (zatwierdzenia, uwagi z przeglądu, pytania z wywiadu i pytania doprecyzowujące, testy ręczne); token potrzebuje tego poziomu także do uruchomienia potoku, który może się zatrzymać na takiej decyzji. Pełny dostęp (admin): dodatkowo dodawanie, konfigurowanie i usuwanie usług, usuwanie zadań, łączenie repozytoriów, zarządzanie połączeniami środowisk oraz reagowanie na powiadomienia.",
         "create": "Utwórz token",
         "identity": "Działa jako",
         "identitySystem": "Ten obszar roboczy (token systemowy)",
@@ -3621,16 +3625,18 @@
         "identitySelfHelp": "Uruchomienia rozpoczęte tym tokenem są przypisywane Tobie i mogą korzystać z Twojej osobistej subskrypcji Claude / Codex / GLM. Każde takie wywołanie musi dodatkowo przesłać Twoje hasło osobiste w nagłówku X-Personal-Password; nie jest ono nigdzie zapisywane. Użyj go do własnych uruchomień headless.",
         "reach": "Obszary robocze",
         "reachHelp": "W których obszarach roboczych ten token może działać. Token obejmujący więcej niż jeden wskazuje obszar roboczy przy każdym wywołaniu w nagłówku x-cat-factory-workspace.",
+        "reachAdminOnly": "Tylko administrator konta może utworzyć token obejmujący inne obszary robocze, którego wymagają webhooki katalogu. Poproś o to administratora.",
         "reachThis": "Tylko ten obszar roboczy",
         "reachAll": "Wszystkie obszary robocze konta",
         "reachSelected": "Wybrane obszary robocze",
         "reachPick": "Wybierz obszary robocze"
       },
       "scopes": {
-        "read": "Odczyt",
-        "write": "Zapis (obejmuje Odczyt)",
-        "decide": "Decyzje (obejmuje Zapis)",
-        "admin": "Pełny dostęp (obejmuje Decyzje)"
+        "read": "Odczyt · read",
+        "webhooks": "Webhooki · webhooks (obejmuje Odczyt)",
+        "write": "Zapis · write (obejmuje Webhooki)",
+        "decide": "Decyzje · decide (obejmuje Zapis)",
+        "admin": "Pełny dostęp · admin (obejmuje Decyzje)"
       },
       "toast": {
         "loadFailed": "Nie udało się załadować tokenów API",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "Ustawienia frontendu nie zostały zapisane. Otwórz inspektor każdej aplikacji frontendowej, aby ustawić jej podkatalog i usługi backendowe."
       },
       "repoType": "Typ repozytorium",
-      "repoTypeHint": "Czym jest to repozytorium: usługą backendową, aplikacją frontendową, współdzieloną biblioteką lub repozytorium dokumentacji (tylko dokumenty/spike'i)."
+      "repoTypeHint": "Czym jest to repozytorium: usługą backendową, aplikacją frontendową, współdzieloną biblioteką lub repozytorium dokumentacji (tylko dokumenty/spike'i).",
+      "prefillProviderMismatch": "Link wskazywał {repo} u innego dostawcy, a ta tablica jest połączona z {connected}. Wyszukaj repozytorium ręcznie albo otwórz link na tablicy połączonej z jego dostawcą."
     },
     "repoTree": {
       "root": "katalog główny",

package/i18n/locales/tr.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "Her düzey kendisinden öncekileri de kapsar.",
     "scope": {
       "read": {
-        "label": "Yalnızca okuma",
+        "label": "Okuma · read",
         "description": "Servisleri, görevleri, hatları ve çalışmaları görüntüler."
       },
+      "webhooks": {
+        "label": "Webhooklar · webhooks",
+        "description": "Ayrıca değişiklikleri başka bir sisteme gönderen webhooklar kaydeder."
+      },
       "write": {
-        "label": "Okuma ve yazma",
+        "label": "Yazma · write",
         "description": "Ayrıca görev oluşturur ve başlatır."
       },
       "decide": {
-        "label": "Okuma, yazma ve karar",
+        "label": "Karar · decide",
         "description": "Ayrıca duraklatılmış bir çalışmanın beklediği soruları yanıtlar."
       },
       "admin": {
-        "label": "Tam erişim",
+        "label": "Tam erişim · admin",
         "description": "Ayrıca görev siler ve bildirimlere işlem uygular; bu bir pull request'i birleştirebilir."
       }
     },
@@ -3753,7 +3757,7 @@
         "labelHelp": "Bu belirteci daha sonra tanımak için bir ad.",
         "labelPlaceholder": "örn. CI hattı",
         "scope": "Kapsam",
-        "scopeHelp": "Her seviye, bir öncekinin izin verdiği her şeyi içerir. Okuma: görevleri, çalıştırmaları ve sonuçlarını görüntüleme. Yazma: ayrıca görev oluşturma, düzenleme, başlatma, durdurma ve yeniden deneme, inceleme ve değerlendirme başlatma. Karar: ayrıca bir çalıştırmanın insan kararlarını yanıtlama (onaylar, inceleme bulguları, görüşme ve netleştirme soruları, manuel testler); bir belirtecin, bunlardan birinde durabilecek bir işlem hattını başlatmak için de bu seviyeye ihtiyacı vardır. Tam erişim: ayrıca hizmet ekleme, yapılandırma ve silme, görev silme, depo bağlama, ortam bağlantılarını ve webhookları yönetme ve bildirimler üzerinde işlem yapma.",
+        "scopeHelp": "Her seviye, bir öncekinin izin verdiği her şeyi içerir. Okuma: görevleri, çalıştırmaları ve sonuçlarını görüntüleme. Webhooklar: ayrıca değişiklikleri başka bir sisteme gönderen webhookları (dizin ve bildirim webhookları gibi) kaydetme ve kaldırma. Yazma: ayrıca görev oluşturma, düzenleme, başlatma, durdurma ve yeniden deneme, inceleme ve değerlendirme başlatma. Karar: ayrıca bir çalıştırmanın insan kararlarını yanıtlama (onaylar, inceleme bulguları, görüşme ve netleştirme soruları, manuel testler); bir belirtecin, bunlardan birinde durabilecek bir işlem hattını başlatmak için de bu seviyeye ihtiyacı vardır. Tam erişim (admin): ayrıca hizmet ekleme, yapılandırma ve silme, görev silme, depo bağlama, ortam bağlantılarını yönetme ve bildirimler üzerinde işlem yapma.",
         "create": "Belirteç oluştur",
         "identity": "Şu kimlikle çalışır",
         "identitySystem": "Bu çalışma alanı (sistem belirteci)",
@@ -3762,16 +3766,18 @@
         "identitySelfHelp": "Bu belirteçle başlatılan çalıştırmalar size ait sayılır ve kişisel Claude / Codex / GLM aboneliğinizi kullanabilir. Bu tür her çağrının ayrıca kişisel parolanızı X-Personal-Password başlığında göndermesi gerekir; parola hiçbir zaman saklanmaz. Kendi headless çalıştırmalarınız için bunu kullanın.",
         "reach": "Çalışma alanları",
         "reachHelp": "Bu belirtecin hangi çalışma alanlarında işlem yapabileceği. Birden fazla çalışma alanına erişen bir belirteç, her çağrıda çalışma alanını x-cat-factory-workspace başlığında belirtir.",
+        "reachAdminOnly": "Diğer çalışma alanlarına erişen bir belirteci yalnızca bir hesap yöneticisi oluşturabilir; dizin webhookları buna ihtiyaç duyar. Bir hesap yöneticisinden isteyin.",
         "reachThis": "Yalnızca bu çalışma alanı",
         "reachAll": "Hesaptaki tüm çalışma alanları",
         "reachSelected": "Seçili çalışma alanları",
         "reachPick": "Çalışma alanlarını seçin"
       },
       "scopes": {
-        "read": "Okuma",
-        "write": "Yazma (Okuma dahil)",
-        "decide": "Karar (Yazma dahil)",
-        "admin": "Tam erişim (Karar dahil)"
+        "read": "Okuma · read",
+        "webhooks": "Webhooklar · webhooks (Okuma dahil)",
+        "write": "Yazma · write (Webhooklar dahil)",
+        "decide": "Karar · decide (Yazma dahil)",
+        "admin": "Tam erişim · admin (Karar dahil)"
       },
       "toast": {
         "loadFailed": "API belirteçleri yüklenemedi",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "Frontend ayarları kaydedilmedi. Alt dizinini ve backend servislerini ayarlamak için her frontend uygulamasının inspector’ını açın."
       },
       "repoType": "Depo türü",
-      "repoTypeHint": "Bu deponun türü: bir backend servisi, bir frontend uygulaması, paylaşılan bir kütüphane veya bir doküman deposu (yalnızca doküman/spike)."
+      "repoTypeHint": "Bu deponun türü: bir backend servisi, bir frontend uygulaması, paylaşılan bir kütüphane veya bir doküman deposu (yalnızca doküman/spike).",
+      "prefillProviderMismatch": "Bağlantı başka bir sağlayıcıdaki {repo} deposunu istiyordu, bu pano ise {connected} ile bağlı. Depoyu elle arayın veya bağlantıyı onun sağlayıcısına bağlı bir panoda açın."
     },
     "repoTree": {
       "root": "kök",

package/i18n/locales/uk.json

@@ -2910,19 +2910,23 @@
     "scopeHint": "Кожен рівень включає попередні.",
     "scope": {
       "read": {
-        "label": "Лише читання",
+        "label": "Читання · read",
         "description": "Переглядати сервіси, завдання, конвеєри та запуски."
       },
+      "webhooks": {
+        "label": "Вебхуки · webhooks",
+        "description": "А також реєструвати вебхуки, що надсилають зміни в іншу систему."
+      },
       "write": {
-        "label": "Читання та запис",
+        "label": "Запис · write",
         "description": "А також створювати й запускати завдання."
       },
       "decide": {
-        "label": "Читання, запис і рішення",
+        "label": "Рішення · decide",
         "description": "А також відповідати на питання, на які чекає призупинений запуск."
       },
       "admin": {
-        "label": "Повний доступ",
+        "label": "Повний доступ · admin",
         "description": "А також видаляти завдання й діяти за сповіщеннями, що може злити пулреквест."
       }
     },
@@ -3612,7 +3616,7 @@
         "labelHelp": "Назва, за якою ви пізніше впізнаєте цей токен.",
         "labelPlaceholder": "напр. конвеєр CI",
         "scope": "Обсяг доступу",
-        "scopeHelp": "Кожен рівень включає все, що дозволяє попередній. Читання: перегляд завдань, виконань та їхніх результатів. Запис: додатково створення, редагування, запуск, зупинка й повторення завдань, а також запуск рев'ю та оцінок. Рішення: додатково відповіді на людські рішення у виконанні (схвалення, зауваження рев'ю, питання інтерв'ю та уточнювальні питання, ручні тести); токен потребує цього рівня й для запуску конвеєра, який може зупинитися на одному з них. Повний доступ: додатково додавання, налаштування й видалення сервісів, видалення завдань, під'єднання репозиторіїв, керування підключеннями середовищ і вебхуками, а також дії зі сповіщеннями.",
+        "scopeHelp": "Кожен рівень включає все, що дозволяє попередній. Читання: перегляд завдань, виконань та їхніх результатів. Вебхуки: додатково реєстрація й видалення вебхуків, що надсилають зміни в іншу систему, як-от вебхуки каталогу та сповіщень. Запис: додатково створення, редагування, запуск, зупинка й повторення завдань, а також запуск рев'ю та оцінок. Рішення: додатково відповіді на людські рішення у виконанні (схвалення, зауваження рев'ю, питання інтерв'ю та уточнювальні питання, ручні тести); токен потребує цього рівня й для запуску конвеєра, який може зупинитися на одному з них. Повний доступ (admin): додатково додавання, налаштування й видалення сервісів, видалення завдань, під'єднання репозиторіїв, керування підключеннями середовищ, а також дії зі сповіщеннями.",
         "create": "Створити токен",
         "identity": "Виконується як",
         "identitySystem": "Цей робочий простір (системний токен)",
@@ -3621,16 +3625,18 @@
         "identitySelfHelp": "Запуски, розпочаті цим токеном, вважаються вашими й можуть використовувати вашу особисту підписку Claude / Codex / GLM. Кожен такий виклик має також надсилати ваш особистий пароль у заголовку X-Personal-Password; він ніколи не зберігається. Використовуйте його для власних headless-запусків.",
         "reach": "Робочі простори",
         "reachHelp": "У яких робочих просторах може діяти цей токен. Токен, що охоплює більше одного, вказує робочий простір у кожному виклику в заголовку x-cat-factory-workspace.",
+        "reachAdminOnly": "Лише адміністратор облікового запису може створити токен, що охоплює інші робочі простори, як того потребують вебхуки каталогу. Попросіть адміністратора.",
         "reachThis": "Лише цей робочий простір",
         "reachAll": "Усі робочі простори облікового запису",
         "reachSelected": "Вибрані робочі простори",
         "reachPick": "Виберіть робочі простори"
       },
       "scopes": {
-        "read": "Читання",
-        "write": "Запис (включає Читання)",
-        "decide": "Рішення (включає Запис)",
-        "admin": "Повний доступ (включає Рішення)"
+        "read": "Читання · read",
+        "webhooks": "Вебхуки · webhooks (включає Читання)",
+        "write": "Запис · write (включає Вебхуки)",
+        "decide": "Рішення · decide (включає Запис)",
+        "admin": "Повний доступ · admin (включає Рішення)"
       },
       "toast": {
         "loadFailed": "Не вдалося завантажити токени API",
@@ -4639,7 +4645,8 @@
         "frontendWiringFailedNote": "Налаштування фронтенду не збережено. Відкрийте інспектор кожного фронтенд-застосунку, щоб указати його підкаталог і бекенд-сервіси."
       },
       "repoType": "Тип репозиторію",
-      "repoTypeHint": "Що це за репозиторій: бекенд-сервіс, фронтенд-застосунок, спільна бібліотека або репозиторій документації (лише документи/спайки)."
+      "repoTypeHint": "Що це за репозиторій: бекенд-сервіс, фронтенд-застосунок, спільна бібліотека або репозиторій документації (лише документи/спайки).",
+      "prefillProviderMismatch": "Посилання вказувало на {repo} в іншого провайдера, а ця дошка підключена до {connected}. Знайдіть репозиторій вручну або відкрийте посилання на дошці, підключеній до його провайдера."
     },
     "repoTree": {
       "root": "корінь",

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@cat-factory/app",
-  "version": "0.315.9",
+  "version": "0.317.0",
   "description": "Reusable Nuxt layer for the Agent Architecture Board SPA (components, stores, composables, pages). Consume it from a thin deployment app via `extends: ['@cat-factory/app']` and point it at your backend with NUXT_PUBLIC_API_BASE. See deploy/frontend for an example.",
   "repository": {
     "type": "git",
@@ -18,7 +18,7 @@
     "access": "public"
   },
   "dependencies": {
-    "@cat-factory/contracts": "0.369.0",
+    "@cat-factory/contracts": "0.371.0",
     "@modular-frontend/core": "0.6.0",
     "@modular-vue/core": "^1.5.0",
     "@modular-vue/journeys": "^1.4.0",