@fonderie/auth 7.11.1 → 7.13.0

package/brain/outcomes.md

@@ -138,8 +138,8 @@ Raw SQL ships in `node_modules/@fonderie/auth/dist/migrations/sql/` — read it
 
 | Method | Path | Middleware chain (auth / validation / handler) |
 |---|---|---|
-| GET | `/_admin/users` | `async (ctx) => { const params = new URL(ctx.request.url).searchParams; const email = params.get('email')?.trim().toLowerCase(); if (email) { const user = await users.findByEmail(email); return user ? setApiResponse(HTTP.OK, 'USER', 'User', toAdminUserDTO(user)) : NOT_FOUND(); } const rawLimit = Number(params.get('limit') ?? 50); const limit = Number.isFinite(rawLimit) ? Math.min(Math.max(Math.trunc(rawLimit), 1), 200) : 50; const cursorParam = params.get('cursor'); const cursor = cursorParam ? decodeLoginCursor(cursorParam) : null; if (cursorParam && !cursor) return setApiResponse(HTTP.UNPROCESSABLE, 'INVALID_PARAMETER', 'Invalid cursor'); const page = await users.list({ limit, ...(cursor ? { cursor } : {}) }); return setApiResponse(HTTP.OK, 'USERS', 'Users', toAdminUserPageDTO(page)); }` |
-| GET | `/_admin/users/:id` | `async (ctx) => { const user = await users.findById(idOf(ctx)); return user ? setApiResponse(HTTP.OK, 'USER', 'User', toAdminUserDTO(user)) : NOT_FOUND(); }` |
+| GET | `/_admin/users` | `async (ctx) => { const params = new URL(ctx.request.url).searchParams; const email = params.get('email')?.trim().toLowerCase(); if (email) { const user = await users.findByEmail(email); return user ? setApiResponse(HTTP.OK, 'USER', 'User', toAdminUserDTO(user)) : NOT_FOUND(); } const rawLimit = Number(params.get('limit') ?? 50); const limit = Number.isFinite(rawLimit) ? Math.min(Math.max(Math.trunc(rawLimit), 1), 200) : 50; const cursorParam = params.get('cursor'); const cursor = cursorParam ? decodeLoginCursor(cursorParam) : null; if (cursorParam && !cursor) return setApiResponse(HTTP.UNPROCESSABLE, 'INVALID_PARAMETER', 'Invalid cursor'); const deleted = params.get('deleted') === '1' || params.get('deleted') === 'true'; const page = await users.list({ limit, ...(cursor ? { cursor } : {}), ...(deleted ? { deleted } : {}), }); return setApiResponse(HTTP.OK, 'USERS', 'Users', toAdminUserPageDTO(page)); }` |
+| GET | `/_admin/users/:id` | `async (ctx) => { // Read-only view: a soft-deleted account resolves (deletedAt set), so // an operator arriving from billing sees what happened to it. const user = await users.findByIdIncludingDeleted(idOf(ctx)); return user ? setApiResponse(HTTP.OK, 'USER', 'User', toAdminUserDTO(user)) : NOT_FOUND(); }` |
 | GET | `/_admin/users/:id/login-history` | `async (ctx) => { if (!(await users.findById(idOf(ctx)))) return NOT_FOUND(); const params = new URL(ctx.request.url).searchParams; const rawLimit = Number(params.get('limit') ?? 50); const limit = Number.isFinite(rawLimit) ? Math.min(Math.max(Math.trunc(rawLimit), 1), 200) : 50; const cursorParam = params.get('cursor'); const cursor = cursorParam ? decodeLoginCursor(cursorParam) : null; if (cursorParam && !cursor) return setApiResponse(HTTP.UNPROCESSABLE, 'INVALID_PARAMETER', 'Invalid cursor'); const page = await events.listByUser({ userId: idOf(ctx), limit, ...(cursor ? { cursor } : {}), }); return setApiResponse( HTTP.OK, 'LOGIN_HISTORY', 'Login history', toLoginHistoryPageDTO(page), ); }` |
 | DELETE | `/_admin/users/:id/sessions` | `async (ctx) => { if (!(await users.findById(idOf(ctx)))) return NOT_FOUND(); await sessions.deleteByUser(idOf(ctx)); return setApiResponse(HTTP.OK, 'SESSIONS_REVOKED', 'All sessions revoked'); }` |
 | GET | `/_admin/users/:id/sessions` | `async (ctx) => { if (!(await users.findById(idOf(ctx)))) return NOT_FOUND(); const rows = await sessions.listLiveByUser(idOf(ctx)); return setApiResponse( HTTP.OK, 'SESSIONS', 'Live sessions', rows.map((r) => toSessionDTO(r, null)), ); }` |

package/brain/signatures.md

@@ -101,13 +101,13 @@ interface IDataExportContributor {
     collect: (userId: string) => Promise<unknown> | unknown;
 }
 
-const AUTH_CONFIG_KEYS: { sessionDuration: string; verificationCooldown: string; mfa: string; requireVerification: string; }
+const AUTH_CONFIG_KEYS: Record<keyof IAuthRuntimeConfig, string>
 
 const MESSAGE_KEYS: { readonly emailRegistration: "email-registration"; readonly emailVerification: "email-verification"; readonly passwordReset: "password-reset"; readonly phoneOtp: "phone-otp"; readonly mfaEnabled: "mfa-enabled"; readonly mfaDisabled: "mfa-disabled"; readonly mfaBackupCodesRegenerated: "mfa-backup-codes-regenerated"; readonly emailChanged: "email-changed"; readonly phoneChanged: "phone-changed"; readonly passwordRevoked: "password-revoked"; readonly oauthRegistration: "oauth-registration"; readonly oauthLinked: "oauth-linked"; readonly oauthUnlinked: "oauth-unlinked"; }
 
 type AuthMessageKey = (typeof MESSAGE_KEYS)[keyof typeof MESSAGE_KEYS];
 
-const DEFAULT_TEMPLATES: { "email-registration": { subject: string; html: string; text: string; }; "email-verification": { subject: string; html: string; text: string; }; "password-reset": { subject: string; html: string; text: string; }; "phone-otp": { text: string; }; "mfa-enabled": { subject: string; html: string; text: string; }; "mfa-disabled": { subject: string; html: string; text: string; }; "mfa-backup-codes-regenerated": { subject: string; html: string; text: string; }; "email-changed": { subject: string; html: string; text: string; }; "phone-changed": { subject: string; html: string; text: string; }; "password-revoked": { subject: string; html: string; text: string; }; "oauth-registration": { subject: string; html: string; text: string; }; "oauth-linked": { subject: string; html: string; text: string; }; "oauth-unlinked": { subject: string; html: string; text: string; }; }
+const DEFAULT_TEMPLATES: { "email-registration": IDefaultTemplate; "email-verification": IDefaultTemplate; "password-reset": IDefaultTemplate; "phone-otp": IDefaultTemplate; "mfa-enabled": IDefaultTemplate; "mfa-disabled": IDefaultTemplate; "mfa-backup-codes-regenerated": IDefaultTemplate; "email-changed": IDefaultTemplate; "phone-changed": IDefaultTemplate; "password-revoked": IDefaultTemplate; "oauth-registration": IDefaultTemplate; "oauth-linked": IDefaultTemplate; "oauth-unlinked": IDefaultTemplate; }
 
 interface IUserDTO {
     id: string;
@@ -213,12 +213,15 @@ function normalizeEmailSafe(email: string): string | null
 
 function importUser(store: IStoreAdapter, user: IImportUser): Promise<{ id: string; }>
 
-function purgeSoftDeletedUsers(store: IStoreAdapter, { olderThanDays }: IPurgeOptions): Promise<number>
+function purgeSoftDeletedUsers(store: IStoreAdapter, { olderThanDays, bus }: IPurgeOptions): Promise<number>
 
 function startUserRetention(store: IStoreAdapter, options: IUserRetentionScheduleOptions): { stop: () => void; }
 
 interface IPurgeOptions {
     olderThanDays: number;
+    bus?: {
+        emit(type: string, payload: unknown): Promise<void>;
+    } | undefined;
 }
 
 interface IUserRetentionScheduleOptions extends IPurgeOptions {

package/dist/index.cjs

@@ -193,14 +193,16 @@ var email = import_zod.z.string().trim().pipe(import_zod.z.email());
 var password = import_zod.z.string().min(8, "password must be at least 8 characters").max(128);
 var phone = import_zod.z.string().refine((v) => /^\+?[1-9]\d{6,14}$/.test(v.replace(/[\s\-()]/g, "")), "Invalid phone number");
 var sixDigitPin = import_zod.z.string().trim().regex(/^\d{6}$/, "must be a 6-digit code");
+var signupLocale = import_zod.z.string().max(35).nullish();
 var registerSchema = import_zod.z.union([
   import_zod.z.object({
     email,
     password,
     firstName: import_zod.z.string().max(100).nullish(),
-    lastName: import_zod.z.string().max(100).nullish()
+    lastName: import_zod.z.string().max(100).nullish(),
+    locale: signupLocale
   }),
-  import_zod.z.object({ phone })
+  import_zod.z.object({ phone, locale: signupLocale })
 ]);
 var loginSchema = import_zod.z.union([
   import_zod.z.object({ email, password: import_zod.z.string().min(1).max(128) }),
@@ -320,6 +322,8 @@ var MESSAGE_KEYS = {
 var EVENT_KEYS = {
   userRegistered: "fonderie.user.registered",
   userDeleted: "fonderie.user.deleted",
+  // Emitted by purgeSoftDeletedUsers (given a bus) once the row is hard-deleted.
+  userPurged: "fonderie.user.purged",
   emailVerified: "fonderie.user.email_verified",
   passwordChanged: "fonderie.user.password_changed"
 };
@@ -593,7 +597,7 @@ var UserModel = class {
   async list(query = {}) {
     const limit = Math.min(query.limit ?? 50, MAX_LIST_LIMIT);
     const params = [];
-    const where = ["deleted_at IS NULL"];
+    const where = [query.deleted ? "deleted_at IS NOT NULL" : "deleted_at IS NULL"];
     if (query.cursor) {
       params.push(query.cursor.createdAt, query.cursor.id);
       where.push(`(created_at, id) < ($${params.length - 1}::timestamptz, $${params.length}::uuid)`);
@@ -609,6 +613,16 @@ var UserModel = class {
     );
     return { users: rows.slice(0, limit), hasMore: rows.length > limit };
   }
+  // For operator views only: a soft-deleted account still resolves, with
+  // deletedAt set, so the console can say "deleted on …" instead of "no such
+  // user". Nothing that authenticates or acts on an account may use this.
+  async findByIdIncludingDeleted(id) {
+    const [row] = await this.store.query(
+      `SELECT ${USER_COLUMNS} FROM fonderie_users WHERE id = $1`,
+      [id]
+    );
+    return row ?? null;
+  }
   async findById(id) {
     const [row] = await this.store.query(
       `SELECT ${USER_COLUMNS} FROM fonderie_users WHERE id = $1 AND deleted_at IS NULL`,
@@ -630,25 +644,25 @@ var UserModel = class {
     );
     return row ?? null;
   }
-  async findOrCreateByPhone(phone2, firstName = null, lastName = null) {
+  async findOrCreateByPhone(phone2, firstName = null, lastName = null, locale = null) {
     const [row] = await this.store.query(
-      `INSERT INTO fonderie_users (phone, first_name, last_name)
-			VALUES ($1, $2, $3)
+      `INSERT INTO fonderie_users (phone, first_name, last_name, locale)
+			VALUES ($1, $2, $3, COALESCE($4, 'en-US'))
 			ON CONFLICT (phone) DO UPDATE
 			SET first_name = COALESCE(EXCLUDED.first_name, fonderie_users.first_name),
 			    last_name  = COALESCE(EXCLUDED.last_name,  fonderie_users.last_name),
 			    updated_at = now()
 			RETURNING id`,
-      [phone2, firstName, lastName]
+      [phone2, firstName, lastName, locale]
     );
     return row;
   }
-  async create(email2, passwordHash, firstName, lastName) {
+  async create(email2, passwordHash, firstName, lastName, locale = null) {
     const [row] = await this.store.query(
-      `INSERT INTO fonderie_users (email, password_hash, first_name, last_name)
-			VALUES ($1, $2, $3, $4)
+      `INSERT INTO fonderie_users (email, password_hash, first_name, last_name, locale)
+			VALUES ($1, $2, $3, $4, COALESCE($5, 'en-US'))
 			RETURNING id`,
-      [email2.toLowerCase().trim(), passwordHash, firstName, lastName]
+      [email2.toLowerCase().trim(), passwordHash, firstName, lastName, locale]
     );
     return row ?? null;
   }
@@ -1607,7 +1621,7 @@ function extractRefreshToken(ctx) {
   const match = cookie.match(/(?:^|;\s*)refresh_token=([^;]+)/);
   return match?.[1] ?? null;
 }
-function authController(store, config, bus) {
+function authController(store, config, bus, locales = (0, import_core6.defineLocales)()) {
   const users = new UserModel(store);
   const sessions = new SessionModel(store, config.location);
   const loginEvents = new LoginEventModel(store, config.location);
@@ -1619,6 +1633,7 @@ function authController(store, config, bus) {
     register: async (ctx) => {
       const body = ctx.meta["body"];
       const { email: email2, password: password2, phone: phone2, firstName = null, lastName = null } = body ?? {};
+      const locale = (0, import_core6.canonicalLocale)(body?.["locale"]) ?? locales.default;
       if (typeof email2 === "string" && typeof password2 === "string") {
         const normalizedEmail = normalizeEmailSafe(email2);
         if (!normalizedEmail) {
@@ -1640,7 +1655,8 @@ function authController(store, config, bus) {
           normalizedEmail,
           passwordHash,
           firstName,
-          lastName
+          lastName,
+          locale
         );
         if (!row) {
           return (0, import_core6.setApiResponse)(import_core6.HTTP.SERVER_ERROR, "SERVER_ERROR", "Registration failed");
@@ -1713,7 +1729,8 @@ function authController(store, config, bus) {
         const { id } = await users.findOrCreateByPhone(
           normalizePhone(phone2),
           firstName ?? null,
-          lastName ?? null
+          lastName ?? null,
+          locale
         );
         const otp = (0, import_node_crypto5.randomInt)(1e5, 1e6).toString();
         const expiresAt = new Date(Date.now() + OTP_TTL_MS);
@@ -3124,9 +3141,9 @@ function oauthController(store, config, bus) {
 }
 
 // src/routes.ts
-function buildAuthRoutes(store, config, bus) {
+function buildAuthRoutes(store, config, bus, locales) {
   const user = userController(store, config, bus);
-  const auth = authController(store, config, bus);
+  const auth = authController(store, config, bus, locales);
   const oauth = oauthController(store, config, bus);
   const mfa = mfaController(store, config, config.appName ?? "Fonderie", bus);
   const verifyGate = config.requireVerification ? import_middlewares2.requireVerified : (_ctx, next) => next();
@@ -3426,7 +3443,12 @@ function adminRouteTable(store) {
         const cursor = cursorParam ? decodeLoginCursor(cursorParam) : null;
         if (cursorParam && !cursor)
           return (0, import_core12.setApiResponse)(import_core12.HTTP.UNPROCESSABLE, "INVALID_PARAMETER", "Invalid cursor");
-        const page = await users.list({ limit, ...cursor ? { cursor } : {} });
+        const deleted = params.get("deleted") === "1" || params.get("deleted") === "true";
+        const page = await users.list({
+          limit,
+          ...cursor ? { cursor } : {},
+          ...deleted ? { deleted } : {}
+        });
         return (0, import_core12.setApiResponse)(import_core12.HTTP.OK, "USERS", "Users", toAdminUserPageDTO(page));
       }
     ],
@@ -3434,7 +3456,7 @@ function adminRouteTable(store) {
       "GET",
       "/_admin/users/:id",
       async (ctx) => {
-        const user = await users.findById(idOf(ctx));
+        const user = await users.findByIdIncludingDeleted(idOf(ctx));
         return user ? (0, import_core12.setApiResponse)(import_core12.HTTP.OK, "USER", "User", toAdminUserDTO(user)) : NOT_FOUND();
       }
     ],
@@ -3513,7 +3535,7 @@ var AuthModule = class {
   name = "@fonderie/auth";
   // Baked in at build time by tsup.base, so the operator's Modules page can
   // say what is actually deployed rather than 'not reported'.
-  version = "7.11.1";
+  version = "7.13.0";
   // Users, sessions, login history, suspend — only through @fonderie/admin.
   describeAdmin() {
     return { routes: describeAuthAdminRoutes(this.store) };
@@ -3524,7 +3546,7 @@ var AuthModule = class {
   }
   install(app) {
     app.use(withSession(this.store, this.config));
-    const routes = buildAuthRoutes(this.store, this.config, this.bus);
+    const routes = buildAuthRoutes(this.store, this.config, this.bus, app.locales);
     for (const [method, path, ...handlers] of routes) {
       app.addRoute(method, path, ...handlers);
     }
@@ -3532,7 +3554,328 @@ var AuthModule = class {
 };
 
 // src/templates.ts
-var DEFAULT_TEMPLATES = {
+var import_core13 = require("@fonderie/core");
+
+// src/templates.es.ts
+var ES_TEMPLATES = {
+  [MESSAGE_KEYS.emailRegistration]: {
+    subject: "Confirma tu cuenta",
+    html: `<h1>Te damos la bienvenida</h1>
+<p>Hola {{firstName}}:</p>
+<p>Gracias por registrarte. Confirma tu cuenta con este c\xF3digo:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.</p>`,
+    text: `Te damos la bienvenida
+
+Hola {{firstName}}:
+
+Gracias por registrarte. Confirma tu cuenta con este c\xF3digo: {{pin}}
+
+Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.`
+  },
+  [MESSAGE_KEYS.emailVerification]: {
+    subject: "Tu c\xF3digo de verificaci\xF3n",
+    html: `<h1>Verifica tu correo electr\xF3nico</h1>
+<p>Hola {{firstName}}:</p>
+<p>Usa este c\xF3digo para terminar de configurar tu cuenta:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.</p>`,
+    text: `Verifica tu correo electr\xF3nico
+
+Hola {{firstName}}:
+
+Usa este c\xF3digo para terminar de configurar tu cuenta: {{pin}}
+
+Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.`
+  },
+  [MESSAGE_KEYS.passwordReset]: {
+    subject: "Restablece tu contrase\xF1a",
+    html: `<h1>Restablece tu contrase\xF1a</h1>
+<p>Recibimos una solicitud para restablecer tu contrase\xF1a. Usa este c\xF3digo para continuar:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca pronto. Si no lo solicitaste, no tienes que hacer nada &mdash; tu contrase\xF1a sigue siendo la misma.</p>`,
+    text: `Restablece tu contrase\xF1a
+
+Recibimos una solicitud para restablecer tu contrase\xF1a. Usa este c\xF3digo para continuar: {{pin}}
+
+Este c\xF3digo caduca pronto. Si no lo solicitaste, no tienes que hacer nada \u2014 tu contrase\xF1a sigue siendo la misma.`
+  },
+  // SMS — text only.
+  [MESSAGE_KEYS.phoneOtp]: {
+    text: "{{otp}} es tu c\xF3digo de verificaci\xF3n. Caduca en 10 minutos."
+  },
+  [MESSAGE_KEYS.mfaEnabled]: {
+    subject: "La verificaci\xF3n en dos pasos est\xE1 activada",
+    html: `<h1>Verificaci\xF3n en dos pasos activada</h1>
+<p>Se acaba de activar la verificaci\xF3n en dos pasos en tu cuenta. A partir de ahora, introducir\xE1s un c\xF3digo de tu aplicaci\xF3n de autenticaci\xF3n al iniciar sesi\xF3n.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Verificaci\xF3n en dos pasos activada
+
+Se acaba de activar la verificaci\xF3n en dos pasos en tu cuenta. A partir de ahora, introducir\xE1s un c\xF3digo de tu aplicaci\xF3n de autenticaci\xF3n al iniciar sesi\xF3n.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.mfaDisabled]: {
+    subject: "La verificaci\xF3n en dos pasos est\xE1 desactivada",
+    html: `<h1>Verificaci\xF3n en dos pasos desactivada</h1>
+<p>Se acaba de desactivar la verificaci\xF3n en dos pasos en tu cuenta. Ahora tu cuenta est\xE1 protegida solo por tu contrase\xF1a.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato y vuelve a activar la verificaci\xF3n en dos pasos &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Verificaci\xF3n en dos pasos desactivada
+
+Se acaba de desactivar la verificaci\xF3n en dos pasos en tu cuenta. Ahora tu cuenta est\xE1 protegida solo por tu contrase\xF1a.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato y vuelve a activar la verificaci\xF3n en dos pasos \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.mfaBackupCodesRegenerated]: {
+    subject: "Se regeneraron tus c\xF3digos de respaldo",
+    html: `<h1>Nuevos c\xF3digos de respaldo generados</h1>
+<p>Se acaba de generar un nuevo conjunto de c\xF3digos de respaldo de verificaci\xF3n en dos pasos para tu cuenta. Tus c\xF3digos anteriores ya no funcionan.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Nuevos c\xF3digos de respaldo generados
+
+Se acaba de generar un nuevo conjunto de c\xF3digos de respaldo de verificaci\xF3n en dos pasos para tu cuenta. Tus c\xF3digos anteriores ya no funcionan.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.emailChanged]: {
+    subject: "Se cambi\xF3 tu direcci\xF3n de correo electr\xF3nico",
+    html: `<h1>Se cambi\xF3 tu correo electr\xF3nico</h1>
+<p>La direcci\xF3n de correo electr\xF3nico de tu cuenta se acaba de cambiar a <strong>{{newEmail}}</strong>.</p>
+<p class="muted">Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Se cambi\xF3 tu correo electr\xF3nico
+
+La direcci\xF3n de correo electr\xF3nico de tu cuenta se acaba de cambiar a {{newEmail}}.
+
+Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.phoneChanged]: {
+    subject: "Se cambi\xF3 tu n\xFAmero de tel\xE9fono",
+    html: `<h1>Se cambi\xF3 tu n\xFAmero de tel\xE9fono</h1>
+<p>El n\xFAmero de tel\xE9fono de tu cuenta se acaba de actualizar.</p>
+<p class="muted">Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Se cambi\xF3 tu n\xFAmero de tel\xE9fono
+
+El n\xFAmero de tel\xE9fono de tu cuenta se acaba de actualizar.
+
+Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.passwordRevoked]: {
+    subject: "Se elimin\xF3 la contrase\xF1a de tu cuenta",
+    html: `<h1>Se elimin\xF3 tu contrase\xF1a</h1>
+<p>Acabas de iniciar sesi\xF3n con <strong>{{provider}}</strong>. Esta cuenta ten\xEDa una contrase\xF1a, pero esta direcci\xF3n de correo nunca se hab\xEDa confirmado &mdash; as\xED que no pod\xEDamos saber qui\xE9n la estableci\xF3, y se ha eliminado.</p>
+<p>Iniciar sesi\xF3n con {{provider}} funciona como antes. Si tambi\xE9n quieres una contrase\xF1a, puedes crearla en la configuraci\xF3n de tu cuenta.</p>
+<p class="muted">Si nunca estableciste una contrase\xF1a aqu\xED, es posible que alguien intentara registrarse con tu direcci\xF3n. No tienes que hacer nada m\xE1s &mdash; la cuenta es tuya.</p>`,
+    text: `Se elimin\xF3 tu contrase\xF1a
+
+Acabas de iniciar sesi\xF3n con {{provider}}. Esta cuenta ten\xEDa una contrase\xF1a, pero
+esta direcci\xF3n de correo nunca se hab\xEDa confirmado \u2014 as\xED que no pod\xEDamos saber
+qui\xE9n la estableci\xF3, y se ha eliminado.
+
+Iniciar sesi\xF3n con {{provider}} funciona como antes. Si tambi\xE9n quieres una
+contrase\xF1a, puedes crearla en la configuraci\xF3n de tu cuenta.
+
+Si nunca estableciste una contrase\xF1a aqu\xED, es posible que alguien intentara
+registrarse con tu direcci\xF3n. No tienes que hacer nada m\xE1s \u2014 la cuenta es tuya.`
+  },
+  [MESSAGE_KEYS.oauthRegistration]: {
+    subject: "Te damos la bienvenida a {{appName}}",
+    html: `<h1>Te damos la bienvenida a {{appName}}</h1>
+<p>Tu cuenta se cre\xF3 con <strong>{{provider}}</strong>. Inicia sesi\xF3n cuando quieras con la misma cuenta de {{provider}} &mdash; no hay ninguna contrase\xF1a que recordar.</p>
+<p class="muted">Si no creaste esta cuenta, contacta con soporte.</p>`,
+    text: `Te damos la bienvenida
+
+Tu cuenta se cre\xF3 con {{provider}}. Inicia sesi\xF3n cuando quieras con la misma
+cuenta de {{provider}} \u2014 no hay ninguna contrase\xF1a que recordar.
+
+Si no creaste esta cuenta, contacta con soporte.`
+  },
+  [MESSAGE_KEYS.oauthLinked]: {
+    subject: "Se a\xF1adi\xF3 un nuevo m\xE9todo de inicio de sesi\xF3n a tu cuenta",
+    html: `<h1>Se a\xF1adi\xF3 el inicio de sesi\xF3n con {{provider}}</h1>
+<p>Ahora tambi\xE9n puedes iniciar sesi\xF3n en tu cuenta con <strong>{{provider}}</strong>.</p>
+<p class="muted">Si fuiste t\xFA, no tienes que hacer nada m\xE1s. Si no, contacta con soporte de inmediato y cambia tu contrase\xF1a &mdash; otra persona podr\xEDa iniciar sesi\xF3n como t\xFA.</p>`,
+    text: `Se a\xF1adi\xF3 el inicio de sesi\xF3n con {{provider}}
+
+Ahora tambi\xE9n puedes iniciar sesi\xF3n en tu cuenta con {{provider}}.
+
+Si fuiste t\xFA, no tienes que hacer nada m\xE1s. Si no, contacta con soporte de
+inmediato y cambia tu contrase\xF1a \u2014 otra persona podr\xEDa iniciar sesi\xF3n como t\xFA.`
+  },
+  [MESSAGE_KEYS.oauthUnlinked]: {
+    subject: "Se elimin\xF3 un m\xE9todo de inicio de sesi\xF3n de tu cuenta",
+    html: `<h1>Se elimin\xF3 el inicio de sesi\xF3n con {{provider}}</h1>
+<p><strong>{{provider}}</strong> ya no se puede usar para iniciar sesi\xF3n. Tu correo electr\xF3nico y tu contrase\xF1a siguen funcionando.</p>
+<p class="muted">Si fuiste t\xFA, todo est\xE1 en orden. Si no, contacta con soporte de inmediato.</p>`,
+    text: `Se elimin\xF3 el inicio de sesi\xF3n con {{provider}}
+
+{{provider}} ya no se puede usar para iniciar sesi\xF3n. Tu correo electr\xF3nico y tu contrase\xF1a siguen funcionando.
+
+Si fuiste t\xFA, todo est\xE1 en orden. Si no, contacta con soporte de inmediato.`
+  }
+};
+
+// src/templates.fr.ts
+var FR_TEMPLATES = {
+  [MESSAGE_KEYS.emailRegistration]: {
+    subject: "Confirmez votre compte",
+    html: `<h1>Bienvenue</h1>
+<p>Bonjour {{firstName}},</p>
+<p>Merci pour votre inscription. Confirmez votre compte avec ce code :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire dans 24 heures. Si vous n&rsquo;avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.</p>`,
+    text: `Bienvenue
+
+Bonjour {{firstName}},
+
+Merci pour votre inscription. Confirmez votre compte avec ce code : {{pin}}
+
+Ce code expire dans 24 heures. Si vous n'avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.`
+  },
+  [MESSAGE_KEYS.emailVerification]: {
+    subject: "Votre code de v\xE9rification",
+    html: `<h1>V\xE9rifiez votre adresse e-mail</h1>
+<p>Bonjour {{firstName}},</p>
+<p>Utilisez ce code pour terminer la cr\xE9ation de votre compte :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire dans 24 heures. Si vous n&rsquo;avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.</p>`,
+    text: `V\xE9rifiez votre adresse e-mail
+
+Bonjour {{firstName}},
+
+Utilisez ce code pour terminer la cr\xE9ation de votre compte : {{pin}}
+
+Ce code expire dans 24 heures. Si vous n'avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.`
+  },
+  [MESSAGE_KEYS.passwordReset]: {
+    subject: "R\xE9initialisez votre mot de passe",
+    html: `<h1>R\xE9initialisez votre mot de passe</h1>
+<p>Nous avons re\xE7u une demande de r\xE9initialisation de votre mot de passe. Utilisez ce code pour continuer :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire bient\xF4t. Si vous n&rsquo;avez rien demand\xE9, aucune action n&rsquo;est n\xE9cessaire &mdash; votre mot de passe reste inchang\xE9.</p>`,
+    text: `R\xE9initialisez votre mot de passe
+
+Nous avons re\xE7u une demande de r\xE9initialisation de votre mot de passe. Utilisez ce code pour continuer : {{pin}}
+
+Ce code expire bient\xF4t. Si vous n'avez rien demand\xE9, aucune action n'est n\xE9cessaire \u2014 votre mot de passe reste inchang\xE9.`
+  },
+  // SMS — text only.
+  [MESSAGE_KEYS.phoneOtp]: {
+    text: "{{otp}} est votre code de v\xE9rification. Il expire dans 10 minutes."
+  },
+  [MESSAGE_KEYS.mfaEnabled]: {
+    subject: "La double authentification est activ\xE9e",
+    html: `<h1>Double authentification activ\xE9e</h1>
+<p>La double authentification vient d&rsquo;\xEAtre activ\xE9e sur votre compte. D\xE9sormais, vous saisirez un code de votre application d&rsquo;authentification \xE0 chaque connexion.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Double authentification activ\xE9e
+
+La double authentification vient d'\xEAtre activ\xE9e sur votre compte. D\xE9sormais, vous saisirez un code de votre application d'authentification \xE0 chaque connexion.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.mfaDisabled]: {
+    subject: "La double authentification est d\xE9sactiv\xE9e",
+    html: `<h1>Double authentification d\xE9sactiv\xE9e</h1>
+<p>La double authentification vient d&rsquo;\xEAtre d\xE9sactiv\xE9e sur votre compte. Votre compte n&rsquo;est d\xE9sormais prot\xE9g\xE9 que par votre mot de passe.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support et r\xE9activez la double authentification &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Double authentification d\xE9sactiv\xE9e
+
+La double authentification vient d'\xEAtre d\xE9sactiv\xE9e sur votre compte. Votre compte n'est d\xE9sormais prot\xE9g\xE9 que par votre mot de passe.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support et r\xE9activez la double authentification \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.mfaBackupCodesRegenerated]: {
+    subject: "Vos codes de secours ont \xE9t\xE9 r\xE9g\xE9n\xE9r\xE9s",
+    html: `<h1>Nouveaux codes de secours g\xE9n\xE9r\xE9s</h1>
+<p>Une nouvelle s\xE9rie de codes de secours pour la double authentification vient d&rsquo;\xEAtre g\xE9n\xE9r\xE9e pour votre compte. Vos anciens codes ne fonctionnent plus.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Nouveaux codes de secours g\xE9n\xE9r\xE9s
+
+Une nouvelle s\xE9rie de codes de secours pour la double authentification vient d'\xEAtre g\xE9n\xE9r\xE9e pour votre compte. Vos anciens codes ne fonctionnent plus.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.emailChanged]: {
+    subject: "Votre adresse e-mail a \xE9t\xE9 modifi\xE9e",
+    html: `<h1>Votre adresse e-mail a \xE9t\xE9 modifi\xE9e</h1>
+<p>L&rsquo;adresse e-mail de votre compte vient d&rsquo;\xEAtre remplac\xE9e par <strong>{{newEmail}}</strong>.</p>
+<p class="muted">Si vous \xEAtes \xE0 l&rsquo;origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Votre adresse e-mail a \xE9t\xE9 modifi\xE9e
+
+L'adresse e-mail de votre compte vient d'\xEAtre remplac\xE9e par {{newEmail}}.
+
+Si vous \xEAtes \xE0 l'origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.phoneChanged]: {
+    subject: "Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9",
+    html: `<h1>Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9</h1>
+<p>Le num\xE9ro de t\xE9l\xE9phone de votre compte vient d&rsquo;\xEAtre mis \xE0 jour.</p>
+<p class="muted">Si vous \xEAtes \xE0 l&rsquo;origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9
+
+Le num\xE9ro de t\xE9l\xE9phone de votre compte vient d'\xEAtre mis \xE0 jour.
+
+Si vous \xEAtes \xE0 l'origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.passwordRevoked]: {
+    subject: "Le mot de passe de votre compte a \xE9t\xE9 supprim\xE9",
+    html: `<h1>Votre mot de passe a \xE9t\xE9 supprim\xE9</h1>
+<p>Vous venez de vous connecter avec <strong>{{provider}}</strong>. Un mot de passe avait \xE9t\xE9 d\xE9fini sur ce compte, mais cette adresse e-mail n&rsquo;avait jamais \xE9t\xE9 confirm\xE9e &mdash; nous ne pouvions donc pas savoir qui l&rsquo;avait d\xE9fini, et il a \xE9t\xE9 supprim\xE9.</p>
+<p>La connexion avec {{provider}} fonctionne comme avant. Si vous souhaitez aussi un mot de passe, d\xE9finissez-en un dans les param\xE8tres de votre compte.</p>
+<p class="muted">Si vous n&rsquo;avez jamais d\xE9fini de mot de passe ici, quelqu&rsquo;un a peut-\xEAtre tent\xE9 de s&rsquo;inscrire avec votre adresse. Vous n&rsquo;avez rien d&rsquo;autre \xE0 faire &mdash; le compte vous appartient.</p>`,
+    text: `Votre mot de passe a \xE9t\xE9 supprim\xE9
+
+Vous venez de vous connecter avec {{provider}}. Un mot de passe avait \xE9t\xE9 d\xE9fini
+sur ce compte, mais cette adresse e-mail n'avait jamais \xE9t\xE9 confirm\xE9e \u2014 nous ne
+pouvions donc pas savoir qui l'avait d\xE9fini, et il a \xE9t\xE9 supprim\xE9.
+
+La connexion avec {{provider}} fonctionne comme avant. Si vous souhaitez aussi un
+mot de passe, d\xE9finissez-en un dans les param\xE8tres de votre compte.
+
+Si vous n'avez jamais d\xE9fini de mot de passe ici, quelqu'un a peut-\xEAtre tent\xE9 de
+s'inscrire avec votre adresse. Vous n'avez rien d'autre \xE0 faire \u2014 le compte vous
+appartient.`
+  },
+  [MESSAGE_KEYS.oauthRegistration]: {
+    subject: "Bienvenue sur {{appName}}",
+    html: `<h1>Bienvenue sur {{appName}}</h1>
+<p>Votre compte a \xE9t\xE9 cr\xE9\xE9 avec <strong>{{provider}}</strong>. Connectez-vous \xE0 tout moment avec ce m\xEAme compte {{provider}} &mdash; aucun mot de passe \xE0 retenir.</p>
+<p class="muted">Si vous n&rsquo;avez pas cr\xE9\xE9 ce compte, contactez le support.</p>`,
+    text: `Bienvenue
+
+Votre compte a \xE9t\xE9 cr\xE9\xE9 avec {{provider}}. Connectez-vous \xE0 tout moment avec ce
+m\xEAme compte {{provider}} \u2014 aucun mot de passe \xE0 retenir.
+
+Si vous n'avez pas cr\xE9\xE9 ce compte, contactez le support.`
+  },
+  [MESSAGE_KEYS.oauthLinked]: {
+    subject: "Une nouvelle m\xE9thode de connexion a \xE9t\xE9 ajout\xE9e \xE0 votre compte",
+    html: `<h1>Connexion avec {{provider}} ajout\xE9e</h1>
+<p>Vous pouvez d\xE9sormais aussi vous connecter \xE0 votre compte avec <strong>{{provider}}</strong>.</p>
+<p class="muted">Si c&rsquo;est bien vous, vous n&rsquo;avez rien d&rsquo;autre \xE0 faire. Sinon, contactez imm\xE9diatement le support et changez votre mot de passe &mdash; quelqu&rsquo;un d&rsquo;autre pourrait se connecter \xE0 votre place.</p>`,
+    text: `Connexion avec {{provider}} ajout\xE9e
+
+Vous pouvez d\xE9sormais aussi vous connecter \xE0 votre compte avec {{provider}}.
+
+Si c'est bien vous, vous n'avez rien d'autre \xE0 faire. Sinon, contactez
+imm\xE9diatement le support et changez votre mot de passe \u2014 quelqu'un d'autre
+pourrait se connecter \xE0 votre place.`
+  },
+  [MESSAGE_KEYS.oauthUnlinked]: {
+    subject: "Une m\xE9thode de connexion a \xE9t\xE9 retir\xE9e de votre compte",
+    html: `<h1>Connexion avec {{provider}} retir\xE9e</h1>
+<p><strong>{{provider}}</strong> ne peut plus \xEAtre utilis\xE9 pour vous connecter. Votre adresse e-mail et votre mot de passe fonctionnent toujours.</p>
+<p class="muted">Si c&rsquo;est bien vous, tout est en ordre. Sinon, contactez imm\xE9diatement le support.</p>`,
+    text: `Connexion avec {{provider}} retir\xE9e
+
+{{provider}} ne peut plus \xEAtre utilis\xE9 pour vous connecter. Votre adresse e-mail et votre mot de passe fonctionnent toujours.
+
+Si c'est bien vous, tout est en ordre. Sinon, contactez imm\xE9diatement le support.`
+  }
+};
+
+// src/templates.ts
+var EN_TEMPLATES = {
   [MESSAGE_KEYS.emailRegistration]: {
     subject: "Confirm your account",
     html: `<h1>Welcome aboard</h1>
@@ -3688,6 +4031,7 @@ change your password \u2014 someone else may be able to sign in as you.`
 If you did this, you're all set. If not, contact support right away.`
   }
 };
+var DEFAULT_TEMPLATES = (0, import_core13.withTranslations)(EN_TEMPLATES, { fr: FR_TEMPLATES, es: ES_TEMPLATES });
 var SAMPLE_PAYLOADS = {
   [MESSAGE_KEYS.passwordRevoked]: { provider: "Google" },
   [MESSAGE_KEYS.oauthRegistration]: { provider: "Google", appName: "Fonderie" },
@@ -3744,7 +4088,7 @@ async function importUser(store, user) {
 }
 
 // src/services/retention.ts
-async function purgeSoftDeletedUsers(store, { olderThanDays }) {
+async function purgeSoftDeletedUsers(store, { olderThanDays, bus }) {
   if (!Number.isFinite(olderThanDays) || olderThanDays < 0) {
     throw new Error("[auth] purgeSoftDeletedUsers: olderThanDays must be a non-negative number");
   }
@@ -3755,6 +4099,9 @@ async function purgeSoftDeletedUsers(store, { olderThanDays }) {
 		 RETURNING id`,
     [olderThanDays]
   );
+  if (bus) {
+    for (const { id } of rows) await bus.emit("fonderie.user.purged", { userId: id });
+  }
   return rows.length;
 }
 function startUserRetention(store, options) {
@@ -3763,7 +4110,10 @@ function startUserRetention(store, options) {
   const run = async () => {
     if (stopped) return;
     try {
-      const deleted = await purgeSoftDeletedUsers(store, { olderThanDays: options.olderThanDays });
+      const deleted = await purgeSoftDeletedUsers(store, {
+        olderThanDays: options.olderThanDays,
+        ...options.bus ? { bus: options.bus } : {}
+      });
       options.onPurge?.(deleted);
     } catch (err) {
       console.error("[auth] scheduled user retention purge failed:", err);