@fonderie/auth 7.12.0 → 7.14.0

package/brain/signatures.md

@@ -101,13 +101,13 @@ interface IDataExportContributor {
     collect: (userId: string) => Promise<unknown> | unknown;
 }
 
-const AUTH_CONFIG_KEYS: { sessionDuration: string; verificationCooldown: string; mfa: string; requireVerification: string; }
+const AUTH_CONFIG_KEYS: Record<keyof IAuthRuntimeConfig, string>
 
 const MESSAGE_KEYS: { readonly emailRegistration: "email-registration"; readonly emailVerification: "email-verification"; readonly passwordReset: "password-reset"; readonly phoneOtp: "phone-otp"; readonly mfaEnabled: "mfa-enabled"; readonly mfaDisabled: "mfa-disabled"; readonly mfaBackupCodesRegenerated: "mfa-backup-codes-regenerated"; readonly emailChanged: "email-changed"; readonly phoneChanged: "phone-changed"; readonly passwordRevoked: "password-revoked"; readonly oauthRegistration: "oauth-registration"; readonly oauthLinked: "oauth-linked"; readonly oauthUnlinked: "oauth-unlinked"; }
 
 type AuthMessageKey = (typeof MESSAGE_KEYS)[keyof typeof MESSAGE_KEYS];
 
-const DEFAULT_TEMPLATES: { "email-registration": { subject: string; html: string; text: string; }; "email-verification": { subject: string; html: string; text: string; }; "password-reset": { subject: string; html: string; text: string; }; "phone-otp": { text: string; }; "mfa-enabled": { subject: string; html: string; text: string; }; "mfa-disabled": { subject: string; html: string; text: string; }; "mfa-backup-codes-regenerated": { subject: string; html: string; text: string; }; "email-changed": { subject: string; html: string; text: string; }; "phone-changed": { subject: string; html: string; text: string; }; "password-revoked": { subject: string; html: string; text: string; }; "oauth-registration": { subject: string; html: string; text: string; }; "oauth-linked": { subject: string; html: string; text: string; }; "oauth-unlinked": { subject: string; html: string; text: string; }; }
+const DEFAULT_TEMPLATES: { "email-registration": IDefaultTemplate; "email-verification": IDefaultTemplate; "password-reset": IDefaultTemplate; "phone-otp": IDefaultTemplate; "mfa-enabled": IDefaultTemplate; "mfa-disabled": IDefaultTemplate; "mfa-backup-codes-regenerated": IDefaultTemplate; "email-changed": IDefaultTemplate; "phone-changed": IDefaultTemplate; "password-revoked": IDefaultTemplate; "oauth-registration": IDefaultTemplate; "oauth-linked": IDefaultTemplate; "oauth-unlinked": IDefaultTemplate; }
 
 interface IUserDTO {
     id: string;

package/dist/index.cjs

@@ -193,14 +193,16 @@ var email = import_zod.z.string().trim().pipe(import_zod.z.email());
 var password = import_zod.z.string().min(8, "password must be at least 8 characters").max(128);
 var phone = import_zod.z.string().refine((v) => /^\+?[1-9]\d{6,14}$/.test(v.replace(/[\s\-()]/g, "")), "Invalid phone number");
 var sixDigitPin = import_zod.z.string().trim().regex(/^\d{6}$/, "must be a 6-digit code");
+var signupLocale = import_zod.z.string().max(35).nullish();
 var registerSchema = import_zod.z.union([
   import_zod.z.object({
     email,
     password,
     firstName: import_zod.z.string().max(100).nullish(),
-    lastName: import_zod.z.string().max(100).nullish()
+    lastName: import_zod.z.string().max(100).nullish(),
+    locale: signupLocale
   }),
-  import_zod.z.object({ phone })
+  import_zod.z.object({ phone, locale: signupLocale })
 ]);
 var loginSchema = import_zod.z.union([
   import_zod.z.object({ email, password: import_zod.z.string().min(1).max(128) }),
@@ -642,25 +644,25 @@ var UserModel = class {
     );
     return row ?? null;
   }
-  async findOrCreateByPhone(phone2, firstName = null, lastName = null) {
+  async findOrCreateByPhone(phone2, firstName = null, lastName = null, locale = null) {
     const [row] = await this.store.query(
-      `INSERT INTO fonderie_users (phone, first_name, last_name)
-			VALUES ($1, $2, $3)
+      `INSERT INTO fonderie_users (phone, first_name, last_name, locale)
+			VALUES ($1, $2, $3, COALESCE($4, 'en-US'))
 			ON CONFLICT (phone) DO UPDATE
 			SET first_name = COALESCE(EXCLUDED.first_name, fonderie_users.first_name),
 			    last_name  = COALESCE(EXCLUDED.last_name,  fonderie_users.last_name),
 			    updated_at = now()
 			RETURNING id`,
-      [phone2, firstName, lastName]
+      [phone2, firstName, lastName, locale]
     );
     return row;
   }
-  async create(email2, passwordHash, firstName, lastName) {
+  async create(email2, passwordHash, firstName, lastName, locale = null) {
     const [row] = await this.store.query(
-      `INSERT INTO fonderie_users (email, password_hash, first_name, last_name)
-			VALUES ($1, $2, $3, $4)
+      `INSERT INTO fonderie_users (email, password_hash, first_name, last_name, locale)
+			VALUES ($1, $2, $3, $4, COALESCE($5, 'en-US'))
 			RETURNING id`,
-      [email2.toLowerCase().trim(), passwordHash, firstName, lastName]
+      [email2.toLowerCase().trim(), passwordHash, firstName, lastName, locale]
     );
     return row ?? null;
   }
@@ -1619,7 +1621,7 @@ function extractRefreshToken(ctx) {
   const match = cookie.match(/(?:^|;\s*)refresh_token=([^;]+)/);
   return match?.[1] ?? null;
 }
-function authController(store, config, bus) {
+function authController(store, config, bus, locales = (0, import_core6.defineLocales)()) {
   const users = new UserModel(store);
   const sessions = new SessionModel(store, config.location);
   const loginEvents = new LoginEventModel(store, config.location);
@@ -1631,6 +1633,7 @@ function authController(store, config, bus) {
     register: async (ctx) => {
       const body = ctx.meta["body"];
       const { email: email2, password: password2, phone: phone2, firstName = null, lastName = null } = body ?? {};
+      const locale = (0, import_core6.canonicalLocale)(body?.["locale"]) ?? locales.default;
       if (typeof email2 === "string" && typeof password2 === "string") {
         const normalizedEmail = normalizeEmailSafe(email2);
         if (!normalizedEmail) {
@@ -1652,7 +1655,8 @@ function authController(store, config, bus) {
           normalizedEmail,
           passwordHash,
           firstName,
-          lastName
+          lastName,
+          locale
         );
         if (!row) {
           return (0, import_core6.setApiResponse)(import_core6.HTTP.SERVER_ERROR, "SERVER_ERROR", "Registration failed");
@@ -1725,7 +1729,8 @@ function authController(store, config, bus) {
         const { id } = await users.findOrCreateByPhone(
           normalizePhone(phone2),
           firstName ?? null,
-          lastName ?? null
+          lastName ?? null,
+          locale
         );
         const otp = (0, import_node_crypto5.randomInt)(1e5, 1e6).toString();
         const expiresAt = new Date(Date.now() + OTP_TTL_MS);
@@ -3136,9 +3141,9 @@ function oauthController(store, config, bus) {
 }
 
 // src/routes.ts
-function buildAuthRoutes(store, config, bus) {
+function buildAuthRoutes(store, config, bus, locales) {
   const user = userController(store, config, bus);
-  const auth = authController(store, config, bus);
+  const auth = authController(store, config, bus, locales);
   const oauth = oauthController(store, config, bus);
   const mfa = mfaController(store, config, config.appName ?? "Fonderie", bus);
   const verifyGate = config.requireVerification ? import_middlewares2.requireVerified : (_ctx, next) => next();
@@ -3252,20 +3257,27 @@ function collectAuthConfigProblems(config) {
     problems.push({
       module: MODULE,
       severity: "error",
-      message: `jwtSecret must be at least ${import_core11.MIN_SECRET_LENGTH} characters (got ${secret.length})`
+      message: `jwtSecret must be at least ${import_core11.MIN_SECRET_LENGTH} characters (got ${secret.length})`,
+      domain: "auth",
+      reason: "JWT_SECRET_TOO_SHORT",
+      metadata: { min: import_core11.MIN_SECRET_LENGTH, got: secret.length }
     });
   } else if (secretProblem === "placeholder") {
     problems.push({
       module: MODULE,
       severity: "error",
-      message: "jwtSecret looks like a placeholder or dev-default value"
+      message: "jwtSecret looks like a placeholder or dev-default value",
+      domain: "auth",
+      reason: "JWT_SECRET_PLACEHOLDER"
     });
   }
   if (config.secureCookies === false) {
     problems.push({
       module: MODULE,
       severity: process.env["NODE_ENV"] === "production" ? "error" : "warning",
-      message: "secureCookies is false \u2014 auth cookies may be sent over non-HTTPS connections in production"
+      message: "secureCookies is false \u2014 auth cookies may be sent over non-HTTPS connections in production",
+      domain: "auth",
+      reason: "INSECURE_COOKIES"
     });
   }
   if (config.google) {
@@ -3274,13 +3286,17 @@ function collectAuthConfigProblems(config) {
       problems.push({
         module: MODULE,
         severity: "error",
-        message: "google OAuth is configured but clientId, clientSecret, or redirectUri is missing"
+        message: "google OAuth is configured but clientId, clientSecret, or redirectUri is missing",
+        domain: "auth",
+        reason: "GOOGLE_INCOMPLETE"
       });
     } else if (import_core11.PLACEHOLDER_SECRET.test(clientSecret)) {
       problems.push({
         module: MODULE,
         severity: "error",
-        message: "google.clientSecret looks like a placeholder or dev-default value"
+        message: "google.clientSecret looks like a placeholder or dev-default value",
+        domain: "auth",
+        reason: "GOOGLE_SECRET_PLACEHOLDER"
       });
     }
   }
@@ -3290,20 +3306,26 @@ function collectAuthConfigProblems(config) {
       problems.push({
         module: MODULE,
         severity: "error",
-        message: "apple OAuth is configured but clientId, teamId, keyId, privateKey, or redirectUri is missing"
+        message: "apple OAuth is configured but clientId, teamId, keyId, privateKey, or redirectUri is missing",
+        domain: "auth",
+        reason: "APPLE_INCOMPLETE"
       });
     } else if (!/-----BEGIN [A-Z ]*PRIVATE KEY-----/.test(a.privateKey)) {
       problems.push({
         module: MODULE,
         severity: "error",
-        message: "apple.privateKey does not look like a PEM .p8 key (expected `-----BEGIN PRIVATE KEY-----`)"
+        message: "apple.privateKey does not look like a PEM .p8 key (expected `-----BEGIN PRIVATE KEY-----`)",
+        domain: "auth",
+        reason: "APPLE_KEY_NOT_PEM"
       });
     }
     if (a.nativeClientIds?.some((id) => !id || id.trim() === "" || id.includes("*"))) {
       problems.push({
         module: MODULE,
         severity: "error",
-        message: "apple.nativeClientIds must be exact bundle ids \u2014 empty or wildcard entries would accept identity tokens minted for other apps"
+        message: "apple.nativeClientIds must be exact bundle ids \u2014 empty or wildcard entries would accept identity tokens minted for other apps",
+        domain: "auth",
+        reason: "APPLE_NATIVE_IDS_INVALID"
       });
     }
   }
@@ -3311,14 +3333,18 @@ function collectAuthConfigProblems(config) {
     problems.push({
       module: MODULE,
       severity: process.env["NODE_ENV"] === "production" ? "error" : "warning",
-      message: "mfa is enabled without mfaSecretKey \u2014 TOTP secrets are stored plaintext at rest; set a 32-byte key (openssl rand -hex 32)"
+      message: "mfa is enabled without mfaSecretKey \u2014 TOTP secrets are stored plaintext at rest; set a 32-byte key (openssl rand -hex 32)",
+      domain: "auth",
+      reason: "MFA_KEY_MISSING"
     });
   }
   if (config.mfaSecretKey && !/^[0-9a-fA-F]{64}$/.test(config.mfaSecretKey)) {
     problems.push({
       module: MODULE,
       severity: "error",
-      message: "mfaSecretKey must be 64 hex characters (32 bytes, e.g. `openssl rand -hex 32`)"
+      message: "mfaSecretKey must be 64 hex characters (32 bytes, e.g. `openssl rand -hex 32`)",
+      domain: "auth",
+      reason: "MFA_KEY_INVALID"
     });
   }
   return problems;
@@ -3530,7 +3556,7 @@ var AuthModule = class {
   name = "@fonderie/auth";
   // Baked in at build time by tsup.base, so the operator's Modules page can
   // say what is actually deployed rather than 'not reported'.
-  version = "7.12.0";
+  version = "7.14.0";
   // Users, sessions, login history, suspend — only through @fonderie/admin.
   describeAdmin() {
     return { routes: describeAuthAdminRoutes(this.store) };
@@ -3541,7 +3567,7 @@ var AuthModule = class {
   }
   install(app) {
     app.use(withSession(this.store, this.config));
-    const routes = buildAuthRoutes(this.store, this.config, this.bus);
+    const routes = buildAuthRoutes(this.store, this.config, this.bus, app.locales);
     for (const [method, path, ...handlers] of routes) {
       app.addRoute(method, path, ...handlers);
     }
@@ -3549,7 +3575,328 @@ var AuthModule = class {
 };
 
 // src/templates.ts
-var DEFAULT_TEMPLATES = {
+var import_core13 = require("@fonderie/core");
+
+// src/templates.es.ts
+var ES_TEMPLATES = {
+  [MESSAGE_KEYS.emailRegistration]: {
+    subject: "Confirma tu cuenta",
+    html: `<h1>Te damos la bienvenida</h1>
+<p>Hola {{firstName}}:</p>
+<p>Gracias por registrarte. Confirma tu cuenta con este c\xF3digo:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.</p>`,
+    text: `Te damos la bienvenida
+
+Hola {{firstName}}:
+
+Gracias por registrarte. Confirma tu cuenta con este c\xF3digo: {{pin}}
+
+Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.`
+  },
+  [MESSAGE_KEYS.emailVerification]: {
+    subject: "Tu c\xF3digo de verificaci\xF3n",
+    html: `<h1>Verifica tu correo electr\xF3nico</h1>
+<p>Hola {{firstName}}:</p>
+<p>Usa este c\xF3digo para terminar de configurar tu cuenta:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.</p>`,
+    text: `Verifica tu correo electr\xF3nico
+
+Hola {{firstName}}:
+
+Usa este c\xF3digo para terminar de configurar tu cuenta: {{pin}}
+
+Este c\xF3digo caduca en 24 horas. Si no creaste una cuenta, puedes ignorar este correo.`
+  },
+  [MESSAGE_KEYS.passwordReset]: {
+    subject: "Restablece tu contrase\xF1a",
+    html: `<h1>Restablece tu contrase\xF1a</h1>
+<p>Recibimos una solicitud para restablecer tu contrase\xF1a. Usa este c\xF3digo para continuar:</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Este c\xF3digo caduca pronto. Si no lo solicitaste, no tienes que hacer nada &mdash; tu contrase\xF1a sigue siendo la misma.</p>`,
+    text: `Restablece tu contrase\xF1a
+
+Recibimos una solicitud para restablecer tu contrase\xF1a. Usa este c\xF3digo para continuar: {{pin}}
+
+Este c\xF3digo caduca pronto. Si no lo solicitaste, no tienes que hacer nada \u2014 tu contrase\xF1a sigue siendo la misma.`
+  },
+  // SMS — text only.
+  [MESSAGE_KEYS.phoneOtp]: {
+    text: "{{otp}} es tu c\xF3digo de verificaci\xF3n. Caduca en 10 minutos."
+  },
+  [MESSAGE_KEYS.mfaEnabled]: {
+    subject: "La verificaci\xF3n en dos pasos est\xE1 activada",
+    html: `<h1>Verificaci\xF3n en dos pasos activada</h1>
+<p>Se acaba de activar la verificaci\xF3n en dos pasos en tu cuenta. A partir de ahora, introducir\xE1s un c\xF3digo de tu aplicaci\xF3n de autenticaci\xF3n al iniciar sesi\xF3n.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Verificaci\xF3n en dos pasos activada
+
+Se acaba de activar la verificaci\xF3n en dos pasos en tu cuenta. A partir de ahora, introducir\xE1s un c\xF3digo de tu aplicaci\xF3n de autenticaci\xF3n al iniciar sesi\xF3n.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.mfaDisabled]: {
+    subject: "La verificaci\xF3n en dos pasos est\xE1 desactivada",
+    html: `<h1>Verificaci\xF3n en dos pasos desactivada</h1>
+<p>Se acaba de desactivar la verificaci\xF3n en dos pasos en tu cuenta. Ahora tu cuenta est\xE1 protegida solo por tu contrase\xF1a.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato y vuelve a activar la verificaci\xF3n en dos pasos &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Verificaci\xF3n en dos pasos desactivada
+
+Se acaba de desactivar la verificaci\xF3n en dos pasos en tu cuenta. Ahora tu cuenta est\xE1 protegida solo por tu contrase\xF1a.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato y vuelve a activar la verificaci\xF3n en dos pasos \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.mfaBackupCodesRegenerated]: {
+    subject: "Se regeneraron tus c\xF3digos de respaldo",
+    html: `<h1>Nuevos c\xF3digos de respaldo generados</h1>
+<p>Se acaba de generar un nuevo conjunto de c\xF3digos de respaldo de verificaci\xF3n en dos pasos para tu cuenta. Tus c\xF3digos anteriores ya no funcionan.</p>
+<p class="muted">Si no fuiste t\xFA, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Nuevos c\xF3digos de respaldo generados
+
+Se acaba de generar un nuevo conjunto de c\xF3digos de respaldo de verificaci\xF3n en dos pasos para tu cuenta. Tus c\xF3digos anteriores ya no funcionan.
+
+Si no fuiste t\xFA, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.emailChanged]: {
+    subject: "Se cambi\xF3 tu direcci\xF3n de correo electr\xF3nico",
+    html: `<h1>Se cambi\xF3 tu correo electr\xF3nico</h1>
+<p>La direcci\xF3n de correo electr\xF3nico de tu cuenta se acaba de cambiar a <strong>{{newEmail}}</strong>.</p>
+<p class="muted">Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Se cambi\xF3 tu correo electr\xF3nico
+
+La direcci\xF3n de correo electr\xF3nico de tu cuenta se acaba de cambiar a {{newEmail}}.
+
+Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.phoneChanged]: {
+    subject: "Se cambi\xF3 tu n\xFAmero de tel\xE9fono",
+    html: `<h1>Se cambi\xF3 tu n\xFAmero de tel\xE9fono</h1>
+<p>El n\xFAmero de tel\xE9fono de tu cuenta se acaba de actualizar.</p>
+<p class="muted">Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato &mdash; alguien podr\xEDa tener acceso a tu cuenta.</p>`,
+    text: `Se cambi\xF3 tu n\xFAmero de tel\xE9fono
+
+El n\xFAmero de tel\xE9fono de tu cuenta se acaba de actualizar.
+
+Si hiciste este cambio, todo est\xE1 en orden. Si no, contacta con soporte de inmediato \u2014 alguien podr\xEDa tener acceso a tu cuenta.`
+  },
+  [MESSAGE_KEYS.passwordRevoked]: {
+    subject: "Se elimin\xF3 la contrase\xF1a de tu cuenta",
+    html: `<h1>Se elimin\xF3 tu contrase\xF1a</h1>
+<p>Acabas de iniciar sesi\xF3n con <strong>{{provider}}</strong>. Esta cuenta ten\xEDa una contrase\xF1a, pero esta direcci\xF3n de correo nunca se hab\xEDa confirmado &mdash; as\xED que no pod\xEDamos saber qui\xE9n la estableci\xF3, y se ha eliminado.</p>
+<p>Iniciar sesi\xF3n con {{provider}} funciona como antes. Si tambi\xE9n quieres una contrase\xF1a, puedes crearla en la configuraci\xF3n de tu cuenta.</p>
+<p class="muted">Si nunca estableciste una contrase\xF1a aqu\xED, es posible que alguien intentara registrarse con tu direcci\xF3n. No tienes que hacer nada m\xE1s &mdash; la cuenta es tuya.</p>`,
+    text: `Se elimin\xF3 tu contrase\xF1a
+
+Acabas de iniciar sesi\xF3n con {{provider}}. Esta cuenta ten\xEDa una contrase\xF1a, pero
+esta direcci\xF3n de correo nunca se hab\xEDa confirmado \u2014 as\xED que no pod\xEDamos saber
+qui\xE9n la estableci\xF3, y se ha eliminado.
+
+Iniciar sesi\xF3n con {{provider}} funciona como antes. Si tambi\xE9n quieres una
+contrase\xF1a, puedes crearla en la configuraci\xF3n de tu cuenta.
+
+Si nunca estableciste una contrase\xF1a aqu\xED, es posible que alguien intentara
+registrarse con tu direcci\xF3n. No tienes que hacer nada m\xE1s \u2014 la cuenta es tuya.`
+  },
+  [MESSAGE_KEYS.oauthRegistration]: {
+    subject: "Te damos la bienvenida a {{appName}}",
+    html: `<h1>Te damos la bienvenida a {{appName}}</h1>
+<p>Tu cuenta se cre\xF3 con <strong>{{provider}}</strong>. Inicia sesi\xF3n cuando quieras con la misma cuenta de {{provider}} &mdash; no hay ninguna contrase\xF1a que recordar.</p>
+<p class="muted">Si no creaste esta cuenta, contacta con soporte.</p>`,
+    text: `Te damos la bienvenida
+
+Tu cuenta se cre\xF3 con {{provider}}. Inicia sesi\xF3n cuando quieras con la misma
+cuenta de {{provider}} \u2014 no hay ninguna contrase\xF1a que recordar.
+
+Si no creaste esta cuenta, contacta con soporte.`
+  },
+  [MESSAGE_KEYS.oauthLinked]: {
+    subject: "Se a\xF1adi\xF3 un nuevo m\xE9todo de inicio de sesi\xF3n a tu cuenta",
+    html: `<h1>Se a\xF1adi\xF3 el inicio de sesi\xF3n con {{provider}}</h1>
+<p>Ahora tambi\xE9n puedes iniciar sesi\xF3n en tu cuenta con <strong>{{provider}}</strong>.</p>
+<p class="muted">Si fuiste t\xFA, no tienes que hacer nada m\xE1s. Si no, contacta con soporte de inmediato y cambia tu contrase\xF1a &mdash; otra persona podr\xEDa iniciar sesi\xF3n como t\xFA.</p>`,
+    text: `Se a\xF1adi\xF3 el inicio de sesi\xF3n con {{provider}}
+
+Ahora tambi\xE9n puedes iniciar sesi\xF3n en tu cuenta con {{provider}}.
+
+Si fuiste t\xFA, no tienes que hacer nada m\xE1s. Si no, contacta con soporte de
+inmediato y cambia tu contrase\xF1a \u2014 otra persona podr\xEDa iniciar sesi\xF3n como t\xFA.`
+  },
+  [MESSAGE_KEYS.oauthUnlinked]: {
+    subject: "Se elimin\xF3 un m\xE9todo de inicio de sesi\xF3n de tu cuenta",
+    html: `<h1>Se elimin\xF3 el inicio de sesi\xF3n con {{provider}}</h1>
+<p><strong>{{provider}}</strong> ya no se puede usar para iniciar sesi\xF3n. Tu correo electr\xF3nico y tu contrase\xF1a siguen funcionando.</p>
+<p class="muted">Si fuiste t\xFA, todo est\xE1 en orden. Si no, contacta con soporte de inmediato.</p>`,
+    text: `Se elimin\xF3 el inicio de sesi\xF3n con {{provider}}
+
+{{provider}} ya no se puede usar para iniciar sesi\xF3n. Tu correo electr\xF3nico y tu contrase\xF1a siguen funcionando.
+
+Si fuiste t\xFA, todo est\xE1 en orden. Si no, contacta con soporte de inmediato.`
+  }
+};
+
+// src/templates.fr.ts
+var FR_TEMPLATES = {
+  [MESSAGE_KEYS.emailRegistration]: {
+    subject: "Confirmez votre compte",
+    html: `<h1>Bienvenue</h1>
+<p>Bonjour {{firstName}},</p>
+<p>Merci pour votre inscription. Confirmez votre compte avec ce code :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire dans 24 heures. Si vous n&rsquo;avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.</p>`,
+    text: `Bienvenue
+
+Bonjour {{firstName}},
+
+Merci pour votre inscription. Confirmez votre compte avec ce code : {{pin}}
+
+Ce code expire dans 24 heures. Si vous n'avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.`
+  },
+  [MESSAGE_KEYS.emailVerification]: {
+    subject: "Votre code de v\xE9rification",
+    html: `<h1>V\xE9rifiez votre adresse e-mail</h1>
+<p>Bonjour {{firstName}},</p>
+<p>Utilisez ce code pour terminer la cr\xE9ation de votre compte :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire dans 24 heures. Si vous n&rsquo;avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.</p>`,
+    text: `V\xE9rifiez votre adresse e-mail
+
+Bonjour {{firstName}},
+
+Utilisez ce code pour terminer la cr\xE9ation de votre compte : {{pin}}
+
+Ce code expire dans 24 heures. Si vous n'avez pas cr\xE9\xE9 de compte, vous pouvez ignorer cet e-mail.`
+  },
+  [MESSAGE_KEYS.passwordReset]: {
+    subject: "R\xE9initialisez votre mot de passe",
+    html: `<h1>R\xE9initialisez votre mot de passe</h1>
+<p>Nous avons re\xE7u une demande de r\xE9initialisation de votre mot de passe. Utilisez ce code pour continuer :</p>
+<p><span class="pin-code">{{pin}}</span></p>
+<p class="muted">Ce code expire bient\xF4t. Si vous n&rsquo;avez rien demand\xE9, aucune action n&rsquo;est n\xE9cessaire &mdash; votre mot de passe reste inchang\xE9.</p>`,
+    text: `R\xE9initialisez votre mot de passe
+
+Nous avons re\xE7u une demande de r\xE9initialisation de votre mot de passe. Utilisez ce code pour continuer : {{pin}}
+
+Ce code expire bient\xF4t. Si vous n'avez rien demand\xE9, aucune action n'est n\xE9cessaire \u2014 votre mot de passe reste inchang\xE9.`
+  },
+  // SMS — text only.
+  [MESSAGE_KEYS.phoneOtp]: {
+    text: "{{otp}} est votre code de v\xE9rification. Il expire dans 10 minutes."
+  },
+  [MESSAGE_KEYS.mfaEnabled]: {
+    subject: "La double authentification est activ\xE9e",
+    html: `<h1>Double authentification activ\xE9e</h1>
+<p>La double authentification vient d&rsquo;\xEAtre activ\xE9e sur votre compte. D\xE9sormais, vous saisirez un code de votre application d&rsquo;authentification \xE0 chaque connexion.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Double authentification activ\xE9e
+
+La double authentification vient d'\xEAtre activ\xE9e sur votre compte. D\xE9sormais, vous saisirez un code de votre application d'authentification \xE0 chaque connexion.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.mfaDisabled]: {
+    subject: "La double authentification est d\xE9sactiv\xE9e",
+    html: `<h1>Double authentification d\xE9sactiv\xE9e</h1>
+<p>La double authentification vient d&rsquo;\xEAtre d\xE9sactiv\xE9e sur votre compte. Votre compte n&rsquo;est d\xE9sormais prot\xE9g\xE9 que par votre mot de passe.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support et r\xE9activez la double authentification &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Double authentification d\xE9sactiv\xE9e
+
+La double authentification vient d'\xEAtre d\xE9sactiv\xE9e sur votre compte. Votre compte n'est d\xE9sormais prot\xE9g\xE9 que par votre mot de passe.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support et r\xE9activez la double authentification \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.mfaBackupCodesRegenerated]: {
+    subject: "Vos codes de secours ont \xE9t\xE9 r\xE9g\xE9n\xE9r\xE9s",
+    html: `<h1>Nouveaux codes de secours g\xE9n\xE9r\xE9s</h1>
+<p>Une nouvelle s\xE9rie de codes de secours pour la double authentification vient d&rsquo;\xEAtre g\xE9n\xE9r\xE9e pour votre compte. Vos anciens codes ne fonctionnent plus.</p>
+<p class="muted">Si ce n&rsquo;est pas vous, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Nouveaux codes de secours g\xE9n\xE9r\xE9s
+
+Une nouvelle s\xE9rie de codes de secours pour la double authentification vient d'\xEAtre g\xE9n\xE9r\xE9e pour votre compte. Vos anciens codes ne fonctionnent plus.
+
+Si ce n'est pas vous, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.emailChanged]: {
+    subject: "Votre adresse e-mail a \xE9t\xE9 modifi\xE9e",
+    html: `<h1>Votre adresse e-mail a \xE9t\xE9 modifi\xE9e</h1>
+<p>L&rsquo;adresse e-mail de votre compte vient d&rsquo;\xEAtre remplac\xE9e par <strong>{{newEmail}}</strong>.</p>
+<p class="muted">Si vous \xEAtes \xE0 l&rsquo;origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Votre adresse e-mail a \xE9t\xE9 modifi\xE9e
+
+L'adresse e-mail de votre compte vient d'\xEAtre remplac\xE9e par {{newEmail}}.
+
+Si vous \xEAtes \xE0 l'origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.phoneChanged]: {
+    subject: "Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9",
+    html: `<h1>Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9</h1>
+<p>Le num\xE9ro de t\xE9l\xE9phone de votre compte vient d&rsquo;\xEAtre mis \xE0 jour.</p>
+<p class="muted">Si vous \xEAtes \xE0 l&rsquo;origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support &mdash; quelqu&rsquo;un pourrait avoir acc\xE8s \xE0 votre compte.</p>`,
+    text: `Votre num\xE9ro de t\xE9l\xE9phone a \xE9t\xE9 modifi\xE9
+
+Le num\xE9ro de t\xE9l\xE9phone de votre compte vient d'\xEAtre mis \xE0 jour.
+
+Si vous \xEAtes \xE0 l'origine de ce changement, tout est en ordre. Sinon, contactez imm\xE9diatement le support \u2014 quelqu'un pourrait avoir acc\xE8s \xE0 votre compte.`
+  },
+  [MESSAGE_KEYS.passwordRevoked]: {
+    subject: "Le mot de passe de votre compte a \xE9t\xE9 supprim\xE9",
+    html: `<h1>Votre mot de passe a \xE9t\xE9 supprim\xE9</h1>
+<p>Vous venez de vous connecter avec <strong>{{provider}}</strong>. Un mot de passe avait \xE9t\xE9 d\xE9fini sur ce compte, mais cette adresse e-mail n&rsquo;avait jamais \xE9t\xE9 confirm\xE9e &mdash; nous ne pouvions donc pas savoir qui l&rsquo;avait d\xE9fini, et il a \xE9t\xE9 supprim\xE9.</p>
+<p>La connexion avec {{provider}} fonctionne comme avant. Si vous souhaitez aussi un mot de passe, d\xE9finissez-en un dans les param\xE8tres de votre compte.</p>
+<p class="muted">Si vous n&rsquo;avez jamais d\xE9fini de mot de passe ici, quelqu&rsquo;un a peut-\xEAtre tent\xE9 de s&rsquo;inscrire avec votre adresse. Vous n&rsquo;avez rien d&rsquo;autre \xE0 faire &mdash; le compte vous appartient.</p>`,
+    text: `Votre mot de passe a \xE9t\xE9 supprim\xE9
+
+Vous venez de vous connecter avec {{provider}}. Un mot de passe avait \xE9t\xE9 d\xE9fini
+sur ce compte, mais cette adresse e-mail n'avait jamais \xE9t\xE9 confirm\xE9e \u2014 nous ne
+pouvions donc pas savoir qui l'avait d\xE9fini, et il a \xE9t\xE9 supprim\xE9.
+
+La connexion avec {{provider}} fonctionne comme avant. Si vous souhaitez aussi un
+mot de passe, d\xE9finissez-en un dans les param\xE8tres de votre compte.
+
+Si vous n'avez jamais d\xE9fini de mot de passe ici, quelqu'un a peut-\xEAtre tent\xE9 de
+s'inscrire avec votre adresse. Vous n'avez rien d'autre \xE0 faire \u2014 le compte vous
+appartient.`
+  },
+  [MESSAGE_KEYS.oauthRegistration]: {
+    subject: "Bienvenue sur {{appName}}",
+    html: `<h1>Bienvenue sur {{appName}}</h1>
+<p>Votre compte a \xE9t\xE9 cr\xE9\xE9 avec <strong>{{provider}}</strong>. Connectez-vous \xE0 tout moment avec ce m\xEAme compte {{provider}} &mdash; aucun mot de passe \xE0 retenir.</p>
+<p class="muted">Si vous n&rsquo;avez pas cr\xE9\xE9 ce compte, contactez le support.</p>`,
+    text: `Bienvenue
+
+Votre compte a \xE9t\xE9 cr\xE9\xE9 avec {{provider}}. Connectez-vous \xE0 tout moment avec ce
+m\xEAme compte {{provider}} \u2014 aucun mot de passe \xE0 retenir.
+
+Si vous n'avez pas cr\xE9\xE9 ce compte, contactez le support.`
+  },
+  [MESSAGE_KEYS.oauthLinked]: {
+    subject: "Une nouvelle m\xE9thode de connexion a \xE9t\xE9 ajout\xE9e \xE0 votre compte",
+    html: `<h1>Connexion avec {{provider}} ajout\xE9e</h1>
+<p>Vous pouvez d\xE9sormais aussi vous connecter \xE0 votre compte avec <strong>{{provider}}</strong>.</p>
+<p class="muted">Si c&rsquo;est bien vous, vous n&rsquo;avez rien d&rsquo;autre \xE0 faire. Sinon, contactez imm\xE9diatement le support et changez votre mot de passe &mdash; quelqu&rsquo;un d&rsquo;autre pourrait se connecter \xE0 votre place.</p>`,
+    text: `Connexion avec {{provider}} ajout\xE9e
+
+Vous pouvez d\xE9sormais aussi vous connecter \xE0 votre compte avec {{provider}}.
+
+Si c'est bien vous, vous n'avez rien d'autre \xE0 faire. Sinon, contactez
+imm\xE9diatement le support et changez votre mot de passe \u2014 quelqu'un d'autre
+pourrait se connecter \xE0 votre place.`
+  },
+  [MESSAGE_KEYS.oauthUnlinked]: {
+    subject: "Une m\xE9thode de connexion a \xE9t\xE9 retir\xE9e de votre compte",
+    html: `<h1>Connexion avec {{provider}} retir\xE9e</h1>
+<p><strong>{{provider}}</strong> ne peut plus \xEAtre utilis\xE9 pour vous connecter. Votre adresse e-mail et votre mot de passe fonctionnent toujours.</p>
+<p class="muted">Si c&rsquo;est bien vous, tout est en ordre. Sinon, contactez imm\xE9diatement le support.</p>`,
+    text: `Connexion avec {{provider}} retir\xE9e
+
+{{provider}} ne peut plus \xEAtre utilis\xE9 pour vous connecter. Votre adresse e-mail et votre mot de passe fonctionnent toujours.
+
+Si c'est bien vous, tout est en ordre. Sinon, contactez imm\xE9diatement le support.`
+  }
+};
+
+// src/templates.ts
+var EN_TEMPLATES = {
   [MESSAGE_KEYS.emailRegistration]: {
     subject: "Confirm your account",
     html: `<h1>Welcome aboard</h1>
@@ -3705,6 +4052,7 @@ change your password \u2014 someone else may be able to sign in as you.`
 If you did this, you're all set. If not, contact support right away.`
   }
 };
+var DEFAULT_TEMPLATES = (0, import_core13.withTranslations)(EN_TEMPLATES, { fr: FR_TEMPLATES, es: ES_TEMPLATES });
 var SAMPLE_PAYLOADS = {
   [MESSAGE_KEYS.passwordRevoked]: { provider: "Google" },
   [MESSAGE_KEYS.oauthRegistration]: { provider: "Google", appName: "Fonderie" },