@materializecms/server 0.8.0 → 0.9.0

package/src/brief.js

@@ -1,5 +1,6 @@
 import { normalizeTheme } from '@materializecms/core/page';
 import { z } from 'zod';
+import { t } from './t.js';
 import { contentTools, pageTools, ToolError } from './tools.js';
 /**
  * A site from a brief: the AI reads a few lines about the business and builds the first pages
@@ -100,7 +101,7 @@ export function briefTools(call, options) {
         }),
         {
             name: 'propose_theme',
-            title: 'Propongo colori e caratteri',
+            title: t('Propongo colori e caratteri'),
             description: 'Proposes the site’s colors (light and dark), fonts (Google Fonts names) and roundness. Nothing changes now: the person sees the proposal at the end and applies it if they like it. Call it once, with the whole palette; pages built meanwhile use the theme tokens, so they follow it.',
             input: z.object({
                 display: z.string().max(60).optional().describe('Font for titles'),
@@ -130,7 +131,7 @@ export function briefTools(call, options) {
     if (options.askVoice)
         tools.push({
             name: 'propose_voice',
-            title: 'Propongo la voce del brand',
+            title: t('Propongo la voce del brand'),
             description: 'Proposes how the site speaks, from the brief: who the brand is and who it writes for, up to three tones, how readers are addressed, words to prefer and to avoid, other rules. Nothing is saved now: the person sees it at the end. Call it once.',
             input: z.object({
                 about: z.string().max(1000).optional(),

package/src/en/api.d.ts

@@ -0,0 +1,2 @@
+/** The server's API (app.ts): errors and checks the panel shows, emails to the team. */
+export declare const api: Record<string, string>;

package/src/en/api.js

@@ -0,0 +1,199 @@
+/** The server's API (app.ts): errors and checks the panel shows, emails to the team. */
+export const api = {
+    'Codice lingua non valido': 'Not a valid language code',
+    'Backup fuori dal server non riuscito': 'Off-server backup failed',
+    'La copia dei backup di {site} fuori dal server non è riuscita: {message}': 'The off-server copy of the {site} backups failed: {message}',
+    'Controlla in Impostazioni → Sicurezza → Backup. Ti scriviamo di nuovo solo quando torna a funzionare e si ferma di nuovo.': 'Check Settings → Security → Backups. We will write again only if it starts working and then stops again.',
+    'Solo un amministratore può modificare il codice personalizzato e dove arrivano i messaggi dei moduli': 'Only an administrator can change custom code and where form messages go',
+    'Puoi modificare testi, collegamenti e immagini, non il layout della pagina': 'You can change texts, links and images, not the page layout',
+    'Versione adatta.': 'Supported version.',
+    'Serve Node 24 o più recente.': 'Node 24 or later is required.',
+    'Cartella dei file': 'Files folder',
+    'Database e immagini si possono salvare.': 'The database and images can be saved.',
+    'Il programma non può scrivere in {dir}: dagli i permessi su quella cartella.': 'The program cannot write to {dir}: give it permission on that folder.',
+    Sito: 'Site',
+    'Il sito si genera da solo a ogni pubblicazione.': 'The site builds itself every time you publish.',
+    'Solo il CMS: in questa cartella non c’è un sito Astro.': 'CMS only: there is no Astro site in this folder.',
+    'Connessione sicura': 'Secure connection',
+    'HTTPS attivo.': 'HTTPS is on.',
+    'In locale non serve HTTPS.': 'HTTPS is not needed locally.',
+    'Senza HTTPS la password viaggia in chiaro: attivalo prima di metterlo online (guida in docs/sicurezza.md).': 'Without HTTPS the password travels in plain text: turn it on before going online (guide in docs/sicurezza.md).',
+    Aggiornamenti: 'Updates',
+    'Si installano dal pannello, con un clic.': 'They install from the panel, in one click.',
+    'Si installano da terminale.': 'They install from the terminal.',
+    'Per installare serve il link stampato all’avvio del server (materialize start), con il suo codice': 'To install, use the link printed when the server starts (materialize start), with its code',
+    'Troppi tentativi: riprova tra un minuto': 'Too many attempts: try again in a minute',
+    'Troppi tentativi: riprova tra {n} minuti': 'Too many attempts: try again in {n} minutes',
+    'Tentativi di accesso non riusciti': 'Failed sign-in attempts',
+    'Qualcuno ha provato {n} volte di fila a entrare nel pannello del sito con il tuo indirizzo, senza la password giusta. Per sicurezza gli accessi con il tuo indirizzo sono in pausa per qualche minuto.': 'Someone tried {n} times in a row to sign in to the site’s panel with your address, without the right password. To be safe, sign-ins with your address are paused for a few minutes.',
+    'Se eri tu, aspetta e riprova. Se non eri tu, la tua password è ancora al sicuro: per più protezione attiva la verifica in due passaggi dal tuo profilo.': 'If it was you, wait and try again. If it was not you, your password is still safe: for more protection, turn on two-step verification in your profile.',
+    'Nuova password': 'New password',
+    'Qualcuno ha chiesto una nuova password per il tuo account su {site}.': 'Someone asked for a new password for your account on {site}.',
+    'Se non sei stato tu, ignora questa email: la password resta quella di prima.': 'If it was not you, ignore this email: your password stays the same.',
+    'Per sceglierne una nuova, apri questo link entro un’ora:': 'To choose a new one, open this link within an hour:',
+    'La password non è corretta': 'The password is wrong',
+    'Il codice non è corretto': 'The code is wrong',
+    'Un amministratore entra con la sola password': 'One administrator signs in with a password only',
+    '{n} amministratori entrano con la sola password': '{n} administrators sign in with a password only',
+    '{names}: chi ruba quella password controlla tutto il sito. Attiva la verifica in due passaggi dal profilo → Sicurezza.': '{names}: whoever steals that password controls the whole site. Turn on two-step verification in your profile → Security.',
+    'Gli amministratori usano la verifica in due passaggi': 'Administrators use two-step verification',
+    'Per entrare servono password e codice dal telefono.': 'Signing in takes a password and a code from the phone.',
+    'Verifica in due passaggi richiesta a tutti': 'Two-step verification required for everyone',
+    'Una persona la attiverà al prossimo accesso.': 'One person will turn it on at their next sign-in.',
+    '{n} persone la attiveranno al prossimo accesso.': '{n} people will turn it on at their next sign-in.',
+    'Tutti l’hanno attivata.': 'Everyone has turned it on.',
+    'Una persona entra con la sola password': 'One person signs in with a password only',
+    '{n} persone entrano con la sola password': '{n} people sign in with a password only',
+    'Tutti usano la verifica in due passaggi': 'Everyone uses two-step verification',
+    'Puoi richiederla a tutti da Persone: chi non l’ha la attiverà al prossimo accesso.': 'You can require it for everyone in People: whoever does not have it will turn it on at their next sign-in.',
+    'Puoi anche richiederla a tutti da Persone, per chi entrerà in futuro.': 'You can also require it for everyone in People, for whoever joins later.',
+    'Gli avvisi arrivano per email': 'Alerts arrive by email',
+    'Tentativi di accesso falliti, cambi di indirizzo e di verifica vengono segnalati a chi riguardano.': 'Failed sign-ins and changes of address or verification are reported to the people they concern.',
+    'L’invio delle email non è configurato': 'Email is not set up',
+    'Nessuno viene avvisato di tentativi di accesso falliti o di un indirizzo cambiato, e i link per una nuova password vanno mandati a mano.': 'Nobody is told about failed sign-ins or a changed address, and links for a new password must be sent by hand.',
+    'Pannello aperto in locale': 'Panel open locally',
+    'Online, il sito va servito in HTTPS: password e sessioni viaggiano cifrate.': 'Online, the site must be served over HTTPS: passwords and sessions travel encrypted.',
+    'Connessione cifrata (HTTPS)': 'Encrypted connection (HTTPS)',
+    'Password e sessioni viaggiano cifrate.': 'Passwords and sessions travel encrypted.',
+    'Il pannello non usa HTTPS': 'The panel does not use HTTPS',
+    'Password e sessioni viaggiano in chiaro: attiva HTTPS sull’hosting (Let’s Encrypt è gratuito) o metti il sito dietro Cloudflare.': 'Passwords and sessions travel in plain text: turn on HTTPS at your host (Let’s Encrypt is free) or put the site behind Cloudflare.',
+    'Il sito è dietro un proxy, ma non lo sa': 'The site is behind a proxy, but does not know it',
+    'Tutte le richieste sembrano arrivare dallo stesso indirizzo, quindi i limiti agli accessi per indirizzo non funzionano. Imposta server: {code} in materialize.config.ts.': 'All requests seem to come from the same address, so sign-in limits per address do not work. Set server: {code} in materialize.config.ts.',
+    'trustProxy è acceso, ma non arriva nessun proxy': 'trustProxy is on, but no proxy is in front',
+    'Senza un proxy davanti, chiunque può dichiarare un indirizzo falso e aggirare i limiti agli accessi. Se il sito non è dietro un proxy, spegnilo in materialize.config.ts.': 'Without a proxy in front, anyone can claim a false address and get around sign-in limits. If the site is not behind a proxy, turn it off in materialize.config.ts.',
+    'Un accesso fallito nelle ultime 24 ore': 'One failed sign-in in the last 24 hours',
+    '{n} accessi falliti nelle ultime 24 ore': '{n} failed sign-ins in the last 24 hours',
+    'Nessun accesso fallito nelle ultime 24 ore': 'No failed sign-ins in the last 24 hours',
+    'In pausa adesso: {list}. Le pause finiscono da sole.': 'Paused now: {list}. Pauses end by themselves.',
+    'indirizzo {ip}': 'address {ip}',
+    'un codice di verifica': 'a verification code',
+    'Dopo 5 errori un’email va in pausa, dopo 20 un indirizzo: la pausa raddoppia a ogni nuovo errore.': 'After 5 failures an email is paused, after 20 an address: the pause doubles with each new failure.',
+    'Database ospitato da un fornitore': 'Database hosted by a provider',
+    'I backup del database li fa il fornitore (Turso, libSQL): controlla che siano attivi nel suo pannello.': 'The provider (Turso, libSQL) backs up the database: check that backups are on in its dashboard.',
+    'Backup automatici spenti': 'Automatic backups are off',
+    'L’ultima copia è di un giorno fa. Riaccendili qui sotto.': 'The last copy is a day old. Turn them back on below.',
+    'L’ultima copia è di {n} giorni fa. Riaccendili qui sotto.': 'The last copy is {n} days old. Turn them back on below.',
+    'Non c’è nessuna copia del database. Riaccendili qui sotto.': 'There is no copy of the database. Turn them back on below.',
+    'L’ultimo backup è vecchio': 'The last backup is old',
+    'Il primo backup arriva a breve': 'The first backup is coming soon',
+    'Il server fa una copia al giorno mentre è acceso: se resta spento a lungo, scaricane una a mano.': 'The server makes one copy a day while it is running: if it stays off for long, download one by hand.',
+    'Il server fa una copia del database poco dopo l’avvio, poi una al giorno.': 'The server copies the database soon after it starts, then once a day.',
+    'Backup del database ogni giorno': 'Daily database backup',
+    'Ultima copia {when}, immagini comprese; ne restano {keep}.': 'Last copy {when}, images included; {keep} are kept.',
+    'I backup restano sul server': 'Backups stay on the server',
+    'Se il server si rompe, si perdono anche le copie. Attiva la copia fuori dal server (S3 o WebDAV), oppure scarica ogni tanto l’archivio completo.': 'If the server breaks, the copies are lost too. Turn on the off-server copy (S3 or WebDAV), or download the full archive from time to time.',
+    'La copia fuori dal server non riesce': 'The off-server copy is failing',
+    'Controlla il collegamento.': 'Check the connection.',
+    'Copia cifrata fuori dal server': 'Encrypted off-server copy',
+    'Ultima copia {when}, su {where}.': 'Last copy {when}, on {where}.',
+    'La prima copia parte entro un’ora.': 'The first copy starts within an hour.',
+    'Un token di accesso per i client AI': 'One access token for AI clients',
+    '{n} token di accesso per i client AI': '{n} access tokens for AI clients',
+    'Uno non è usato da più di 90 giorni: chi li ha creati può revocarli da Impostazioni → AI e MCP.': 'One has not been used in over 90 days: whoever created it can revoke it in Settings → AI and MCP.',
+    '{n} non sono usati da più di 90 giorni: chi li ha creati può revocarli da Impostazioni → AI e MCP.': '{n} have not been used in over 90 days: whoever created them can revoke them in Settings → AI and MCP.',
+    'Tutti usati di recente. Ognuno può revocare i propri da Impostazioni → AI e MCP.': 'All used recently. Everyone can revoke their own in Settings → AI and MCP.',
+    'Questo server non è avviato da materialize start: aggiorna da terminale.': 'This server was not started with materialize start: update from the terminal.',
+    'Gli aggiornamenti dal pannello non sono disponibili qui': 'Updates from the panel are not available here',
+    'Il tuo indirizzo email è cambiato': 'Your email address has changed',
+    'Hai cambiato l’indirizzo con cui entri nel pannello del sito: da {before} a {after}.': 'You changed the address you use to sign in to the site’s panel: from {before} to {after}.',
+    '{by} ha cambiato l’indirizzo con cui entri nel pannello del sito: da {before} a {after}.': '{by} changed the address you use to sign in to the site’s panel: from {before} to {after}.',
+    'Se non te lo aspettavi, rispondi a questa email o avvisa un amministratore del sito.': 'If you did not expect this, reply to this email or tell an administrator of the site.',
+    'La password attuale non è corretta': 'The current password is wrong',
+    'Il tuo invito': 'Your invitation',
+    '{name} ti ha invitato a lavorare sul sito con Materialize.': '{name} invited you to work on the site with Materialize.',
+    'Apri questo link per scegliere la tua password ed entrare:': 'Open this link to choose your password and sign in:',
+    'Verifica in due passaggi disattivata': 'Two-step verification turned off',
+    '{name} ha disattivato la verifica in due passaggi del tuo account: per entrare nel pannello ora basta la password.': '{name} turned off two-step verification on your account: signing in to the panel now takes only the password.',
+    'Riattivala dal tuo profilo appena puoi. Se non te lo aspettavi, avvisa un amministratore.': 'Turn it back on in your profile as soon as you can. If you did not expect this, tell an administrator.',
+    'È stata chiesta una nuova password per il tuo account. Il link vale 24 ore:': 'A new password was requested for your account. The link is valid for 24 hours:',
+    'La sezione è ancora in {pages}: toglila prima dalle pagine': 'The section is still in {pages}: remove it from those pages first',
+    '{name} sta modificando questo documento: le tue modifiche non sono state salvate': '{name} is editing this document: your changes were not saved',
+    'Questo documento è aperto in un’altra scheda: le modifiche di qui non sono state salvate': 'This document is open in another tab: the changes made here were not saved',
+    'Prova di invio da Materialize': 'Test email from Materialize',
+    'Se leggi questo messaggio, l’invio delle email dal sito funziona.': 'If you are reading this, the site can send email.',
+    'L’AI non è configurata: Impostazioni → AI e MCP': 'AI is not set up: Settings → AI and MCP',
+    'Troppe richieste: aspetta un minuto': 'Too many requests: wait a minute',
+    'Il sito ha ancora pochi testi pubblicati: scrivi la voce a mano': 'The site has too little published text yet: write the voice by hand',
+    'L’AI non ha risposto come doveva: riprova': 'The AI did not reply as expected: try again',
+    'Non c’è testo da rivedere': 'There is no text to review',
+    'Quel testo è cambiato: rifai la revisione': 'That text has changed: run the review again',
+    'Scegli prima un’immagine della libreria': 'Choose an image from the library first',
+    'Non c’è testo su cui lavorare': 'There is no text to work on',
+    'Puoi cambiare solo i contenuti: le modifiche al layout non sono state applicate.': 'You can change only the contents: the layout changes were not applied.',
+    Errore: 'Error',
+    'Scrivi qualche riga in più sull’attività': 'Write a few more lines about the business',
+    'Scrivi il brief': 'Write the brief',
+    'Questa conversazione non c’è più: parti da un nuovo brief': 'This conversation is gone: start from a new brief',
+    'Il sito non ha una raccolta di pagine costruite sulla tela': 'The site has no collection of pages built on the canvas',
+    'Messaggio ripetuto': 'Repeated message',
+    'Allegati ({files}): li trovi in Impostazioni → Messaggi.': 'Attachments ({files}): find them in Settings → Messages.',
+    'Nuovo messaggio dal sito: {subject}': 'New message from the site: {subject}',
+    'Nuovo messaggio dal sito': 'New message from the site',
+    Data: 'Date',
+    Modulo: 'Form',
+    Pagina: 'Page',
+    'Segnato a mano': 'Marked by hand',
+    'File non trovato': 'File not found',
+    'Il file non c’è più': 'The file is gone',
+    'Un ID di Google Analytics 4 inizia con G-': 'A Google Analytics 4 ID starts with G-',
+    'Un ID di Tag Manager inizia con GTM-': 'A Tag Manager ID starts with GTM-',
+    'L’ID del Pixel è fatto di sole cifre': 'The Pixel ID is made of digits only',
+    'Scrivi il dominio come su Plausible, per esempio example.com': 'Write the domain as on Plausible, for example example.com',
+    'Un indirizzo https://': 'An https:// address',
+    'L’indirizzo di Matomo, con https://': 'The Matomo address, with https://',
+    'Il numero del sito su Matomo': 'The site’s number on Matomo',
+    'Il codice non può contenere </template>': 'The code cannot contain </template>',
+    'Un indirizzo che inizia con / o https://': 'An address starting with / or https://',
+    'Scegli un momento nel futuro, almeno tra un minuto': 'Choose a time in the future, at least a minute from now',
+    'La pagina non è sul sito: programma prima la pubblicazione': 'The page is not on the site: schedule its publication first',
+    'La pagina verrebbe tolta prima di essere pubblicata': 'The page would be removed before it is published',
+    'La pubblicazione verrebbe dopo il momento in cui la pagina va tolta': 'The publication would come after the time the page is removed',
+    'La raccolta non esiste più': 'The collection no longer exists',
+    'Alcuni campi vanno completati: {fields}': 'Some fields need to be completed: {fields}',
+    'Alcuni campi vanno completati': 'Some fields need to be completed',
+    'La pagina non esiste più': 'The page no longer exists',
+    'Errore imprevisto': 'Unexpected error',
+    'Il rilascio è vuoto': 'The release is empty',
+    '{why} (già uscite: {done})': '{why} (already out: {done})',
+    'Questo rilascio non esiste': 'This release does not exist',
+    'Questo rilascio è già uscito o è stato annullato': 'This release is already out or was canceled',
+    'La pagina non è sul sito: non c’è niente da togliere': 'The page is not on the site: there is nothing to remove',
+    'Alcune pagine non sono pronte: non è uscito niente': 'Some pages aren’t ready: nothing went out',
+    'Il rilascio non è uscito': 'The release did not go out',
+    'Aggiungi prima qualcosa al rilascio': 'Add something to the release first',
+    'Questo iscritto non esiste': 'This subscriber does not exist',
+    'Nel file non ho trovato indirizzi email': 'No email addresses found in the file',
+    'Questa newsletter non esiste': 'This newsletter does not exist',
+    'Questa newsletter è già partita: non si può più cambiare': 'This newsletter has already gone out: it can no longer change',
+    'La newsletter sta partendo: aspetta che finisca': 'The newsletter is being sent: wait for it to finish',
+    'Per inviare la newsletter serve l’email: Impostazioni → Email': 'Sending the newsletter needs email: Settings → Email',
+    '[Prova] {subject}': '[Test] {subject}',
+    'Non ci sono ancora iscritti attivi': 'There are no active subscribers yet',
+    'Non ci sono ancora articoli pubblicati da raccontare': 'There are no published articles to write about yet',
+    'La risposta dell’AI non era leggibile: riprova': 'The AI’s reply could not be read: try again',
+    'L’email non è configurata': 'Email is not set up',
+    'Non più iscritto': 'No longer subscribed',
+    'Nessun invio riuscito: controlla Impostazioni → Email': 'No email went out: check Settings → Email',
+    'Questo sito non ha pagine da mostrare in anteprima': 'This site has no pages to preview',
+    'Questo contenuto non ha una pagina sul sito': 'This content has no page on the site',
+    'Link non trovato': 'Link not found',
+    'La lingua principale deve essere tra quelle del sito': 'The main language must be one of the site’s languages',
+    'Questa lingua esiste già: aprila dall’elenco delle lingue': 'This language already exists: open it from the list of languages',
+    '"{label}" esiste già in questa lingua': '"{label}" already exists in this language',
+    'Questa è la versione originale': 'This is the original version',
+    'Il sito non risponde: {message}': 'The site does not answer: {message}',
+    'la pagina non c’è più': 'the page is gone',
+    'la pagina è vuota': 'the page is empty',
+    'troppo grandi (oltre 25 MB)': 'too large (over 25 MB)',
+    'non raggiungibili': 'not reachable',
+    'non trovate sul sito ({status})': 'not found on the site ({status})',
+    'SVG: la libreria non li accetta, perché possono contenere codice': 'SVG: the library does not accept them, since they can contain code',
+    'in un formato che la libreria non legge': 'in a format the library cannot read',
+    'La richiesta è troppo grande': 'The request is too large',
+    'Troppe prove: riprova tra un’ora': 'Too many tries: try again in an hour',
+    'L’indirizzo del sito non è impostato': 'The site address is not set',
+    'Senza, “Password dimenticata?” non manda il link: la richiesta può dichiarare un indirizzo falso. Imposta {env} nell’ambiente del server, o site.url in materialize.config.ts.': 'Without it, “Forgot password?” sends no link: the request could claim a false address. Set {env} in the server’s environment, or site.url in materialize.config.ts.',
+    // Pieces of saved messages (a release that did not go out)
+    '{list}': '{list}',
+    '{title}: {message}': '{title}: {message}',
+};

package/src/en/index.d.ts

@@ -0,0 +1,5 @@
+/**
+ * The English texts of @materializecms/server, by area. Keys are the Italian texts exactly as written
+ * in the code (with their {placeholders}); a test checks that every text passed to t() is here.
+ */
+export declare const en: Record<string, string>;

package/src/en/index.js

@@ -0,0 +1,7 @@
+import { api } from './api.js';
+import { services } from './services.js';
+/**
+ * The English texts of @materializecms/server, by area. Keys are the Italian texts exactly as written
+ * in the code (with their {placeholders}); a test checks that every text passed to t() is here.
+ */
+export const en = { ...api, ...services };

package/src/en/services.d.ts

@@ -0,0 +1,2 @@
+/** English texts of the server's services: mail, backups, storage, AI, imports, the status page. */
+export declare const services: Record<string, string>;

package/src/en/services.js

@@ -0,0 +1,154 @@
+/** English texts of the server's services: mail, backups, storage, AI, imports, the status page. */
+export const services = {
+    'Nuovo messaggio dal modulo del sito (pagina {page}).': 'New message from the site form (page {page}).',
+    'Nuovo messaggio dal modulo del sito.': 'New message from the site form.',
+    'Il server «{host}» non esiste': 'The server “{host}” does not exist',
+    'Controlla il nome del server: un errore di battitura basta.': 'Check the server name: a single typo is enough.',
+    'La sicurezza non corrisponde alla porta': 'The security setting does not match the port',
+    'Di solito: porta 587 con STARTTLS, porta 465 con TLS.': 'Usually: port 587 with STARTTLS, port 465 with TLS.',
+    'Il certificato del server di posta non è valido': 'The mail server’s certificate is not valid',
+    'Controlla il nome del server: deve essere esattamente quello indicato dal fornitore.': 'Check the server name: it must be exactly the one your provider gives.',
+    'Il server non risponde sulla porta {port}, ma risponde sulla {open}': 'The server does not answer on port {port}, but it answers on {open}',
+    ' e sulla ': ' and on ',
+    'Prova la porta {try} con TLS: la {port} potrebbe essere bloccata dal fornitore del server.': 'Try port {try} with TLS: port {port} may be blocked by your server provider.',
+    'Prova la porta {try} con STARTTLS: la {port} potrebbe essere bloccata dal fornitore del server.': 'Try port {try} with STARTTLS: port {port} may be blocked by your server provider.',
+    'Il server di posta non risponde (porta {port})': 'The mail server does not answer (port {port})',
+    'Molti fornitori di VPS bloccano le porte della posta in uscita, soprattutto per gli account nuovi: chiedi al loro supporto di sbloccarle, oppure usa un servizio che accetta la porta 2525.': 'Many VPS providers block outgoing mail ports, especially on new accounts: ask their support to unblock them, or use a service that accepts port 2525.',
+    'Utente o password rifiutati dal server di posta': 'The mail server refused the username or password',
+    'Controlla utente e password.': 'Check the username and password.',
+    'Il server di posta non accetta questo mittente': 'The mail server does not accept this sender',
+    'Il mittente deve essere un indirizzo o un dominio verificato presso il fornitore.': 'The sender must be an address or domain verified with your provider.',
+    'Il destinatario è stato rifiutato': 'The recipient was refused',
+    'Controlla l’indirizzo del destinatario dei moduli.': 'Check the address that receives form messages.',
+    'Il server di posta ha rimandato l’invio': 'The mail server postponed sending',
+    'Spesso è un limite di messaggi raggiunto: riprova più tardi o controlla il piano del fornitore.': 'Often a message limit has been reached: try again later or check your provider’s plan.',
+    'Invio non riuscito': 'Sending failed',
+    'Manca il record SPF': 'The SPF record is missing',
+    'Senza SPF le email da {domain} finiscono spesso nello spam. Aggiungi nel DNS un record TXT su {domain}: v=spf1 include:{host} ~all': 'Without SPF, emails from {domain} often end up in spam. Add a TXT record on {domain} in your DNS: v=spf1 include:{host} ~all',
+    'Senza SPF le email da {domain} finiscono spesso nello spam. Il fornitore della posta indica quale record TXT aggiungere nel DNS.': 'Without SPF, emails from {domain} often end up in spam. Your mail provider tells you which TXT record to add in your DNS.',
+    'Ci sono due record SPF': 'There are two SPF records',
+    'I server di posta li scartano entrambi: uniscili in un solo record TXT che inizia con v=spf1.': 'Mail servers discard both: merge them into a single TXT record starting with v=spf1.',
+    'Il record SPF non autorizza nessun server': 'The SPF record does not authorize any server',
+    '{record}: così il dominio dichiara di non inviare email, e i messaggi vengono rifiutati. Aggiungi il server del tuo fornitore (include:{host}).': '{record}: this way the domain declares it sends no email, and messages are rejected. Add your provider’s server (include:{host}).',
+    '{record}: così il dominio dichiara di non inviare email, e i messaggi vengono rifiutati. Aggiungi il server del tuo fornitore.': '{record}: this way the domain declares it sends no email, and messages are rejected. Add your provider’s server.',
+    'Il record SPF non autorizza {provider}': 'The SPF record does not authorize {provider}',
+    'Aggiungi include:{host} al record attuale, prima di ~all o -all: {record}': 'Add include:{host} to the current record, before ~all or -all: {record}',
+    'Record SPF presente': 'SPF record found',
+    'Firma DKIM: da controllare nel pannello del fornitore': 'DKIM signature: check it in your provider’s panel',
+    '{provider} dà a ogni account nomi propri per la firma DKIM: nel suo pannello vedi se il dominio è verificato.': '{provider} gives each account its own names for the DKIM signature: its panel shows whether the domain is verified.',
+    'Firma DKIM presente': 'DKIM signature found',
+    'Trovata con il nome {name}.': 'Found under the name {name}.',
+    'Firma DKIM non trovata': 'DKIM signature not found',
+    'Non l’ho trovata con i nomi più comuni di {provider}. Nel pannello del fornitore attiva la firma del dominio: ti dà i record da aggiungere nel DNS.': 'Not found under {provider}’s most common names. Turn on domain signing in your provider’s panel: it gives you the records to add in your DNS.',
+    'Non l’ho trovata con i nomi più comuni. Nel pannello del fornitore attiva la firma del dominio: ti dà i record da aggiungere nel DNS.': 'Not found under the most common names. Turn on domain signing in your provider’s panel: it gives you the records to add in your DNS.',
+    'Manca il record DMARC': 'The DMARC record is missing',
+    'Gmail e Yahoo lo chiedono a chi invia molte email. Un inizio sicuro, che osserva senza bloccare niente: record TXT su _dmarc.{domain} con v=DMARC1; p=none': 'Gmail and Yahoo require it from bulk senders. A safe start that only monitors and blocks nothing: a TXT record on _dmarc.{domain} with v=DMARC1; p=none',
+    'Record DMARC presente': 'DMARC record found',
+    'Osserva soltanto (p=none): {record}': 'Monitoring only (p=none): {record}',
+    'Il pannello non è ancora compilato': 'The panel has not been built yet',
+    'Esegui {command} nella cartella di Materialize, poi ricarica la pagina.': 'Run {command} in the Materialize folder, then reload the page.',
+    'Errore del sito': 'Site error',
+    '{site} è online': '{site} is online',
+    '{n} collezione': '{n} collection',
+    '{n} collezioni': '{n} collections',
+    'lingue: {list}': 'languages: {list}',
+    'Configura il pannello': 'Set up the panel',
+    'Apri il pannello': 'Open the panel',
+    'Solo indirizzi http e https': 'Only http and https addresses',
+    'Questo indirizzo non è pubblico': 'This address is not public',
+    'Reindirizzamento senza destinazione ({status})': 'Redirect without a destination ({status})',
+    'Il file è troppo grande': 'The file is too large',
+    'Troppi reindirizzamenti': 'Too many redirects',
+    'Il server ha risposto {status}': 'The server answered {status}',
+    'accesso rifiutato: controlla le credenziali e i permessi': 'access denied: check the credentials and permissions',
+    'non trovato: controlla l’indirizzo, il bucket o la cartella': 'not found: check the address, the bucket or the folder',
+    'una cartella del percorso non esiste: crea almeno quella che contiene la cartella dei backup': 'a folder in the path does not exist: create at least the one that holds the backup folder',
+    'spazio esaurito': 'out of space',
+    'il servizio ha risposto {status}': 'the service answered {status}',
+    'Il servizio {host} non si trova: controlla l’indirizzo': 'The service {host} cannot be found: check the address',
+    'Il servizio non risponde ({cause})': 'The service does not answer ({cause})',
+    'Risposta vuota': 'Empty response',
+    'Il download si è interrotto ({cause}): riprova': 'The download was interrupted ({cause}): try again',
+    'Creazione della cartella dei backup': 'Creating the backup folder',
+    'Creazione della cartella {dir}': 'Creating the folder {dir}',
+    'Caricamento di {key}': 'Uploading {key}',
+    'Download di {key}': 'Downloading {key}',
+    'Eliminazione di {key}': 'Deleting {key}',
+    'Elenco dei file': 'Listing the files',
+    'La chiave di ripristino non è valida: deve iniziare con mzk1-': 'The recovery key is not valid: it must start with mzk1-',
+    'Non è un file di backup cifrato da Materialize': 'This is not a backup file encrypted by Materialize',
+    'Il file è incompleto': 'The file is incomplete',
+    'Il file è danneggiato': 'The file is damaged',
+    'Chiave sbagliata, oppure il file è stato modificato': 'Wrong key, or the file has been changed',
+    'Il file è incompleto o è stato modificato': 'The file is incomplete or has been changed',
+    'La copia fuori dal server non è configurata': 'The off-site copy is not set up',
+    'Scegli S3 o WebDAV e compila i campi': 'Choose S3 or WebDAV and fill in the fields',
+    'Il file di prova è tornato diverso': 'The test file came back different',
+    'Il file non è un’immagine leggibile né un modello 3D (.glb)': 'The file is not a readable image or a 3D model (.glb)',
+    'Formato non supportato: usa JPG, PNG, WebP, AVIF o GIF': 'Unsupported format: use JPG, PNG, WebP, AVIF or GIF',
+    'La richiesta è stata rifiutata dal modello.': 'The model refused the request.',
+    'Mi sono fermato: servivano troppi passaggi. Dimmi se continuare.': 'I stopped: it needed too many steps. Tell me whether to go on.',
+    'La chiave API di Anthropic non è valida.': 'The Anthropic API key is not valid.',
+    'La chiave non ha accesso a questo modello.': 'The key has no access to this model.',
+    'Il modello “{model}” non esiste.': 'The model “{model}” does not exist.',
+    'Troppe richieste ad Anthropic: riprova tra poco.': 'Too many requests to Anthropic: try again shortly.',
+    'Questa conversazione non può continuare: iniziane una nuova con ↺ in alto.': 'This conversation cannot go on: start a new one with ↺ at the top.',
+    'Richiesta non valida: {detail}': 'Invalid request: {detail}',
+    'Anthropic non risponde ({status}).': 'Anthropic is not answering ({status}).',
+    rete: 'network',
+    'Il server AI non risponde su {base}.': 'The AI server is not answering at {base}.',
+    'Il server AI ha risposto {status}.': 'The AI server answered {status}.',
+    'Il server AI ha dato una risposta vuota.': 'The AI server gave an empty answer.',
+    'Il modello non ha restituito la traduzione completa: riprova.': 'The model did not return the full translation: try again.',
+    'Interrotto.': 'Stopped.',
+    'Propongo colori e caratteri': 'Proposing colors and fonts',
+    'Propongo la voce del brand': 'Proposing the brand voice',
+    'Leggo la pagina': 'Reading the page',
+    'Leggo un elemento': 'Reading an element',
+    'Modifico la pagina': 'Editing the page',
+    'Guardo il sito': 'Looking at the site',
+    'Elenco i contenuti': 'Listing the content',
+    'Leggo un contenuto': 'Reading an entry',
+    'Creo un contenuto': 'Creating an entry',
+    'Modifico un contenuto': 'Editing an entry',
+    Pubblico: 'Publishing',
+    'Tolgo dal sito': 'Unpublishing',
+    Programmo: 'Scheduling',
+    'Creo un link di anteprima': 'Creating a preview link',
+    'Guardo i rilasci': 'Looking at the releases',
+    'Creo un rilascio': 'Creating a release',
+    'Aggiungo al rilascio': 'Adding to the release',
+    'Pubblico il rilascio': 'Publishing the release',
+    'Programmo il rilascio': 'Scheduling the release',
+    'Guardo le lingue': 'Looking at the languages',
+    Traduco: 'Translating',
+    'Guardo la libreria di sezioni': 'Looking at the section library',
+    'Leggo il tema': 'Reading the theme',
+    'Modifico il tema': 'Editing the theme',
+    'Guardo la libreria media': 'Looking at the media library',
+    'Aggiungo un’immagine dal web': 'Adding an image from the web',
+    'Non trovo l’API di WordPress a questo indirizzo: controlla che sia il sito giusto, oppure usa il file di esportazione.': 'I can’t find the WordPress API at this address: check that it is the right site, or use the export file.',
+    'WordPress non dà accesso ai contenuti: controlla utente e password applicativa.': 'WordPress does not give access to the content: check the username and application password.',
+    'WordPress ha risposto {status} leggendo {route}': 'WordPress answered {status} while reading {route}',
+    'Questo non è un file di esportazione di WordPress (Strumenti → Esporta).': 'This is not a WordPress export file (Tools → Export).',
+    Sezione: 'Section',
+    Immagine: 'Image',
+    Pulsante: 'Button',
+    'Punto elenco': 'List item',
+    Titolo: 'Title',
+    Citazione: 'Quote',
+    Testo: 'Text',
+    'indirizzo già usato da un’altra pagina importata: ora è {now}, era {before}': 'address already used by another imported page: now it is {now}, it was {before}',
+    'c’è già un contenuto con lo stesso indirizzo': 'there is already an entry with the same address',
+    'importato come bozza: ha campi da completare': 'imported as a draft: it has fields to fill in',
+    'impaginazione semplice lasciata: {why}': 'simple layout kept: {why}',
+    'l’AI non ha rifatto l’impaginazione: {detail}': 'the AI did not redo the layout: {detail}',
+    'la pagina sarebbe rimasta vuota': 'the page would have been left empty',
+    'l’AI avrebbe tolto parte del testo': 'the AI would have removed part of the text',
+    'l’AI avrebbe aggiunto testi che non c’erano': 'the AI would have added texts that were not there',
+    'l’AI avrebbe tolto delle immagini': 'the AI would have removed some images',
+    // Spam reasons, saved with each message and read in the language of whoever opens it
+    'Compilato in meno di 3 secondi': 'Filled in under 3 seconds',
+    'Link nascosti nel testo': 'Links hidden in the text',
+    'Troppi link ({n})': 'Too many links ({n})',
+};

package/src/forms.d.ts

@@ -30,7 +30,8 @@ export declare function readSubmission(raw: Record<string, unknown>, def: FormDe
 }>;
 /**
  * Why a message looks like spam, without a CAPTCHA: filled in at once, too many links, links
- * hidden in markup. Null for a message that looks real. Repeats are checked by the caller.
+ * hidden in markup. Null for a message that looks real. Repeats are checked by the caller. The
+ * reason is saved with the message and read in the language of whoever opens it (t.keep).
  */
 export declare function spamReason(data: Record<string, string>, elapsedMs: number | null): string | null;
 /** The same words from the same form: two identical messages in a day are a repeat. */
@@ -42,6 +43,8 @@ export declare const removeFiles: (dir: string, id: string) => Promise<void>;
 export declare const webhookSignature: (secret: string, body: string) => string;
 /**
  * Posts a message to a webhook (Zapier, Make, n8n…), signed; tries three times, waiting a little
- * longer each time. Resolves with whether it was taken.
+ * longer each time. Resolves with whether it was taken. What visitors wrote goes there, so an
+ * address on this machine or its network is refused (a stolen admin session could otherwise reach
+ * services that trust the local network), unless `allowPrivate` (an n8n beside the site, on purpose).
  */
-export declare function sendWebhook(url: string, payload: unknown, secret: string, wait?: (ms: number) => Promise<void>): Promise<boolean>;
+export declare function sendWebhook(url: string, payload: unknown, secret: string, wait?: (ms: number) => Promise<void>, allowPrivate?: boolean): Promise<boolean>;

package/src/forms.js

@@ -2,6 +2,8 @@ import { createHash, createHmac } from 'node:crypto';
 import { mkdir, rm, writeFile } from 'node:fs/promises';
 import { extname, join } from 'node:path';
 import { FILE_TYPES, FORM_FILE_MAX } from '@materializecms/core/page';
+import { RemoteError, remoteFetch } from './remote.js';
+import { t } from './t.js';
 const EMAIL = /^[^\s@]+@[^\s@]+\.[^\s@]+$/;
 const isFile = (v) => typeof v === 'object' && v !== null && 'arrayBuffer' in v && typeof v.name === 'string';
 /**
@@ -77,17 +79,18 @@ export async function readSubmission(raw, def) {
 const MIN_FILL_MS = 2500;
 /**
  * Why a message looks like spam, without a CAPTCHA: filled in at once, too many links, links
- * hidden in markup. Null for a message that looks real. Repeats are checked by the caller.
+ * hidden in markup. Null for a message that looks real. Repeats are checked by the caller. The
+ * reason is saved with the message and read in the language of whoever opens it (t.keep).
  */
 export function spamReason(data, elapsedMs) {
     if (elapsedMs !== null && elapsedMs >= 0 && elapsedMs < MIN_FILL_MS)
-        return 'Compilato in meno di 3 secondi';
+        return t.keep('Compilato in meno di 3 secondi');
     const text = Object.values(data).join('\n');
     if (/\[url=|<a\s+href|\[link=/i.test(text))
-        return 'Link nascosti nel testo';
+        return t.keep('Link nascosti nel testo');
     const links = text.match(/https?:\/\/|www\./gi)?.length ?? 0;
     if (links > 3)
-        return `Troppi link (${links})`;
+        return t.keep('Troppi link ({n})', { n: links });
     return null;
 }
 /** The same words from the same form: two identical messages in a day are a repeat. */
@@ -122,15 +125,17 @@ export const removeFiles = (dir, id) => rm(join(dir, id), { recursive: true, for
 export const webhookSignature = (secret, body) => `sha256=${createHmac('sha256', secret).update(body).digest('hex')}`;
 /**
  * Posts a message to a webhook (Zapier, Make, n8n…), signed; tries three times, waiting a little
- * longer each time. Resolves with whether it was taken.
+ * longer each time. Resolves with whether it was taken. What visitors wrote goes there, so an
+ * address on this machine or its network is refused (a stolen admin session could otherwise reach
+ * services that trust the local network), unless `allowPrivate` (an n8n beside the site, on purpose).
  */
-export async function sendWebhook(url, payload, secret, wait = (ms) => new Promise((r) => setTimeout(r, ms))) {
+export async function sendWebhook(url, payload, secret, wait = (ms) => new Promise((r) => setTimeout(r, ms)), allowPrivate = false) {
     const body = JSON.stringify(payload);
     for (const delay of [0, 20_000, 120_000]) {
         if (delay)
             await wait(delay);
         try {
-            const res = await fetch(url, {
+            const res = await remoteFetch(url, {
                 method: 'POST',
                 headers: {
                     'content-type': 'application/json',
@@ -138,16 +143,22 @@ export async function sendWebhook(url, payload, secret, wait = (ms) => new Promi
                     'x-materialize-signature': webhookSignature(secret, body),
                 },
                 body,
-                redirect: 'error',
-                signal: AbortSignal.timeout(10_000),
+                max: 1024 * 1024,
+                maxRedirects: 0,
+                timeout: 10_000,
+                allowPrivate,
             });
-            if (res.ok)
+            if (res.status >= 200 && res.status < 300)
                 return true;
             // The receiver refused it on purpose: trying again would not help.
             if (res.status >= 400 && res.status < 500 && res.status !== 429)
                 return false;
         }
-        catch { }
+        catch (error) {
+            // An address that is not public stays so: no point waiting to try again.
+            if (error instanceof RemoteError && error.reason === 'private')
+                return false;
+        }
     }
     return false;
 }

package/src/index.d.ts

@@ -32,4 +32,17 @@ export interface ServerOptions {
     /** Required by the installation in the browser while there is no account yet. */
     setupToken?: string;
 }
+/**
+ * Whether the visitor reached the site over HTTPS: directly, through a proxy the config trusts, or at
+ * a site whose address is https (not on this computer). The same rule as the session cookie in app.ts.
+ */
+export declare function secureSiteRequest(req: IncomingMessage, config: MaterializeConfig): boolean;
+/**
+ * The security headers of every page of the public site, in dev and production (pages, 404, feeds,
+ * static files, redirects): the site skips Hono, so its secureHeaders never sees these requests.
+ * Set before the renderer runs, so the headers it writes (x-robots-tag on share links) add to these.
+ * Framing stays allowed from the same origin, where the editor previews the site; no script rules,
+ * since sites run their own code and tracking scripts.
+ */
+export declare function setSiteHeaders(req: IncomingMessage, res: ServerResponse, config: MaterializeConfig): void;
 export declare function startServer(initial: MaterializeConfig, options?: ServerOptions): Promise<RunningServer>;

package/src/index.js

@@ -3,6 +3,7 @@ import { getRequestListener } from '@hono/node-server';
 import { ADMIN_DIST } from '@materializecms/admin';
 import { openDatabase } from '@materializecms/db';
 import { createApp } from './app.js';
+import { t } from './t.js';
 export { isPatch, newer, } from '@materializecms/core/updates';
 export { createApp, VERSION } from './app.js';
 export { extractTarGz } from './archive.js';
@@ -14,6 +15,46 @@ export { decryptTree, parseRecoveryKey } from './offsite.js';
 export { hashPassword, verifyPassword } from './password.js';
 export { apiCaller, siteTools } from './tools.js';
 const OWN = /^\/(api|admin|media|fonts|mcp)(\/|\?|$)/;
+/** This computer: browsers may refuse HSTS over plain http, and it would stick to localhost for months. */
+const isLocalHost = (hostname) => hostname === 'localhost' ||
+    hostname.endsWith('.localhost') ||
+    /^127\.\d+\.\d+\.\d+$/.test(hostname) ||
+    hostname === '[::1]';
+/**
+ * Whether the visitor reached the site over HTTPS: directly, through a proxy the config trusts, or at
+ * a site whose address is https (not on this computer). The same rule as the session cookie in app.ts.
+ */
+export function secureSiteRequest(req, config) {
+    if (req.socket.encrypted)
+        return true;
+    const proto = req.headers['x-forwarded-proto'];
+    if (config.server.trustProxy &&
+        String(proto ?? '')
+            .split(',')[0]
+            ?.trim() === 'https')
+        return true;
+    let hostname = 'localhost';
+    try {
+        hostname = new URL(`http://${req.headers.host ?? 'localhost'}`).hostname;
+    }
+    catch { }
+    return !isLocalHost(hostname) && !!config.site.url?.startsWith('https:');
+}
+/**
+ * The security headers of every page of the public site, in dev and production (pages, 404, feeds,
+ * static files, redirects): the site skips Hono, so its secureHeaders never sees these requests.
+ * Set before the renderer runs, so the headers it writes (x-robots-tag on share links) add to these.
+ * Framing stays allowed from the same origin, where the editor previews the site; no script rules,
+ * since sites run their own code and tracking scripts.
+ */
+export function setSiteHeaders(req, res, config) {
+    res.setHeader('x-content-type-options', 'nosniff');
+    res.setHeader('referrer-policy', 'strict-origin-when-cross-origin');
+    res.setHeader('x-frame-options', 'SAMEORIGIN');
+    res.setHeader('content-security-policy', "frame-ancestors 'self'");
+    if (secureSiteRequest(req, config))
+        res.setHeader('strict-transport-security', 'max-age=15552000');
+}
 export async function startServer(initial, options = {}) {
     let config = initial;
     const database = await openDatabase(config.database);
@@ -30,10 +71,19 @@ export async function startServer(initial, options = {}) {
     const site = options.site;
     const server = createServer((req, res) => {
         if (site && !OWN.test(req.url ?? '/')) {
-            Promise.resolve(site(req, res)).catch((error) => {
+            setSiteHeaders(req, res, config);
+            Promise.resolve()
+                .then(() => site(req, res))
+                .catch((error) => {
+                // A malformed address (/%E0%A4%A) is the visitor's mistake, not the site's.
+                if (error instanceof URIError) {
+                    if (!res.headersSent)
+                        res.writeHead(400, { 'content-type': 'text/plain; charset=utf-8' }).end('Bad request');
+                    return;
+                }
                 console.error(error);
                 if (!res.headersSent)
-                    res.writeHead(500).end('Errore del sito');
+                    res.writeHead(500).end(t('Errore del sito'));
             });
             return;
         }