@oxy.so/core 1.16.0 → 1.18.1

package/src/__tests__/serviceIdentityWhenAnonymous.test.ts

@@ -0,0 +1,159 @@
+/**
+ * `serviceIdentity: 'when-anonymous'` — a backend's session-less reads carry
+ * its service token.
+ *
+ * oxy-api charges anonymous requests to their source address, and a backend
+ * fleet leaves through one NAT address, so past 100 anonymous requests in 15
+ * minutes EVERY anonymous read that backend makes pays a +500 ms `slowDown`.
+ * Mention measured 543–575 ms for `GET /users/:id` anonymous against ~20 ms
+ * with its service token (OxyHQ/Mention#1173). A first-party service token is
+ * exempt, so a backend should present one on every read that has no user.
+ *
+ * What is asserted is the `Authorization` header that reaches `fetch`, because
+ * that is the only thing oxy-api's limiter sees.
+ */
+
+import { OxyServices } from '../OxyServices';
+import { ANONYMOUS_SERVICE_TOKEN_RETRY_MS } from '../mixins/OxyServices.auth';
+
+interface FetchCall {
+  url: string;
+  authorization: string | undefined;
+}
+
+function jsonResponse(data: unknown): Response {
+  return new Response(JSON.stringify({ data }), {
+    status: 200,
+    headers: { 'content-type': 'application/json' },
+  });
+}
+
+function authorizationOf(init: RequestInit | undefined): string | undefined {
+  const headers = init?.headers;
+  if (!headers) return undefined;
+  if (headers instanceof Headers) return headers.get('authorization') ?? undefined;
+  const record = headers as Record<string, string>;
+  return record.Authorization ?? record.authorization;
+}
+
+function createJwt(payload: Record<string, unknown>): string {
+  const encode = (value: unknown): string => Buffer.from(JSON.stringify(value)).toString('base64url');
+  return `${encode({ alg: 'EdDSA', typ: 'JWT' })}.${encode(payload)}.signature`;
+}
+
+describe("OxyServices serviceIdentity: 'when-anonymous'", () => {
+  const originalFetch = globalThis.fetch;
+  let calls: FetchCall[];
+
+  beforeEach(() => {
+    calls = [];
+    globalThis.fetch = (async (input: RequestInfo | URL, init?: RequestInit) => {
+      calls.push({ url: String(input), authorization: authorizationOf(init) });
+      return jsonResponse({ id: 'u1', username: 'alice', name: { displayName: 'Alice' } });
+    }) as typeof fetch;
+  });
+
+  afterEach(() => {
+    globalThis.fetch = originalFetch;
+    jest.restoreAllMocks();
+  });
+
+  function backend(): OxyServices {
+    return new OxyServices({ baseURL: 'https://api.oxy.test', serviceIdentity: 'when-anonymous' });
+  }
+
+  it('sends a session-less read with the service token', async () => {
+    const oxy = backend();
+    jest.spyOn(oxy, '_canUseWorkloadIdentity').mockResolvedValue(true);
+    const getServiceToken = jest.spyOn(oxy, 'getServiceToken').mockResolvedValue('svc-token');
+
+    await oxy.getUserById('u1');
+    await oxy.getProfileByUsername('alice');
+
+    expect(calls.map((call) => call.authorization)).toEqual(['Bearer svc-token', 'Bearer svc-token']);
+    expect(getServiceToken).toHaveBeenCalledTimes(2);
+  });
+
+  it('uses a configured key pair without asking about attestation', async () => {
+    const oxy = backend();
+    oxy.configureServiceAuth('oxy_dk_test', 'secret');
+    const canAttest = jest.spyOn(oxy, '_canUseWorkloadIdentity');
+    jest.spyOn(oxy, 'getServiceToken').mockResolvedValue('keypair-token');
+
+    await oxy.getUserById('u1');
+
+    expect(calls[0].authorization).toBe('Bearer keypair-token');
+    expect(canAttest).not.toHaveBeenCalled();
+  });
+
+  it('lets a user session win over the service token', async () => {
+    const oxy = backend();
+    const getServiceToken = jest.spyOn(oxy, 'getServiceToken').mockResolvedValue('svc-token');
+    const userToken = createJwt({ userId: 'viewer', exp: Math.floor(Date.now() / 1000) + 3600 });
+    oxy.setTokens(userToken);
+
+    await oxy.getUserById('u1');
+
+    expect(calls[0].authorization).toBe(`Bearer ${userToken}`);
+    expect(getServiceToken).not.toHaveBeenCalled();
+  });
+
+  it('stays anonymous where no service token can exist (a local checkout)', async () => {
+    const oxy = backend();
+    jest.spyOn(oxy, '_canUseWorkloadIdentity').mockResolvedValue(false);
+    const getServiceToken = jest.spyOn(oxy, 'getServiceToken');
+
+    await oxy.getUserById('u1');
+
+    expect(calls[0].authorization).toBeUndefined();
+    expect(getServiceToken).not.toHaveBeenCalled();
+  });
+
+  it('sends the read anonymous when the mint fails, and does not retry the mint for a window', async () => {
+    const oxy = backend();
+    jest.spyOn(oxy, '_canUseWorkloadIdentity').mockResolvedValue(true);
+    const getServiceToken = jest
+      .spyOn(oxy, 'getServiceToken')
+      .mockRejectedValue(new Error('Oxy refused the workload attestation (401)'));
+    const now = jest.spyOn(Date, 'now');
+    const start = 1_800_000_000_000;
+    now.mockReturnValue(start);
+
+    // Different ids: each is a real request, not a cache hit or a deduplicated one.
+    await expect(oxy.getUserById('u1')).resolves.toBeDefined();
+    await expect(oxy.getUserById('u2')).resolves.toBeDefined();
+
+    expect(calls.map((call) => call.authorization)).toEqual([undefined, undefined]);
+    expect(getServiceToken).toHaveBeenCalledTimes(1);
+
+    // After the window the mint is tried again.
+    getServiceToken.mockResolvedValue('svc-token');
+    now.mockReturnValue(start + ANONYMOUS_SERVICE_TOKEN_RETRY_MS + 1);
+    await oxy.getUserById('u3');
+
+    expect(calls[2].authorization).toBe('Bearer svc-token');
+    expect(getServiceToken).toHaveBeenCalledTimes(2);
+  });
+
+  it('never attaches a bearer to a skipAuth request', async () => {
+    const oxy = backend();
+    jest.spyOn(oxy, '_canUseWorkloadIdentity').mockResolvedValue(true);
+    const getServiceToken = jest.spyOn(oxy, 'getServiceToken').mockResolvedValue('svc-token');
+
+    await oxy.makeRequest('GET', '/auth/lookup/alice', undefined, { skipAuth: true, cache: false });
+
+    expect(calls[0].authorization).toBeUndefined();
+    expect(getServiceToken).not.toHaveBeenCalled();
+  });
+
+  it('is off by default: a client without the option stays anonymous', async () => {
+    const oxy = new OxyServices({ baseURL: 'https://api.oxy.test' });
+    jest.spyOn(oxy, '_canUseWorkloadIdentity').mockResolvedValue(true);
+    const getServiceToken = jest.spyOn(oxy, 'getServiceToken').mockResolvedValue('svc-token');
+
+    await oxy.getUserById('u1');
+
+    expect(calls[0].authorization).toBeUndefined();
+    expect(getServiceToken).not.toHaveBeenCalled();
+  });
+});

package/src/crypto/__tests__/identityLink.test.ts

@@ -0,0 +1,18 @@
+import { deriveIdentityLinkCode } from '../identityLink';
+
+const LINK_ID = 'ab'.repeat(16);
+const KEY = `04${'1f'.repeat(64)}`;
+
+describe('deriveIdentityLinkCode', () => {
+  it('is 6 digits, the same on both devices whatever the key spelling', () => {
+    const code = deriveIdentityLinkCode(LINK_ID, KEY);
+    expect(code).toMatch(/^\d{6}$/);
+    expect(deriveIdentityLinkCode(LINK_ID, ` ${KEY.toUpperCase()} `)).toBe(code);
+  });
+
+  it('changes with the key and with the request', () => {
+    const code = deriveIdentityLinkCode(LINK_ID, KEY);
+    expect(deriveIdentityLinkCode(LINK_ID, `04${'2e'.repeat(64)}`)).not.toBe(code);
+    expect(deriveIdentityLinkCode('cd'.repeat(16), KEY)).not.toBe(code);
+  });
+});

package/src/crypto/__tests__/identityProof.test.ts

@@ -6,12 +6,13 @@
 import { buildIdentityProofMessage, canonicalJson, type IdentityProofClaims } from '@oxy.so/contracts';
 import { verifySignature } from '@oxy.so/protocol';
 import { digestIdentityPayload, signIdentityProof } from '../identityProof';
-import { deriveIdentityFromMnemonic } from '../webIdentityCarrier';
+import { deriveSecp256k1PublicKey } from '@oxy.so/protocol/secp256k1';
 
-const identity = deriveIdentityFromMnemonic('abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon abandon about');
+const keyPair = (privateKey: string) => ({ privateKey, publicKey: deriveSecp256k1PublicKey(privateKey) });
+const identity = keyPair('11'.repeat(32));
 
 const claims = (overrides: Partial<IdentityProofClaims> = {}): IdentityProofClaims => ({
-  action: 'web_envelope_put',
+  action: 'link_identity',
   subject: 'user-1',
   actor: 'user-1',
   rootPublicKey: identity.publicKey,
@@ -42,7 +43,7 @@ describe('canonical JSON', () => {
 describe('the signed bytes', () => {
   it('are a fixed, versioned, domain-separated shape', () => {
     expect(buildIdentityProofMessage(claims())).toBe(
-      `{"action":"web_envelope_put","actor":"user-1","audience":"oxy-api/identity","challenge":"${'ab'.repeat(32)}","domain":"oxy-identity-proof","expectedRevision":3,"expiresAt":1800000000000,"payloadDigest":"${claims().payloadDigest}","rootPublicKey":"${identity.publicKey}","subject":"user-1","v":2}`,
+      `{"action":"link_identity","actor":"user-1","audience":"oxy-api/identity","challenge":"${'ab'.repeat(32)}","domain":"oxy-identity-proof","expectedRevision":3,"expiresAt":1800000000000,"payloadDigest":"${claims().payloadDigest}","rootPublicKey":"${identity.publicKey}","subject":"user-1","v":2}`,
     );
   });
 
@@ -61,7 +62,6 @@ describe('signing', () => {
 
     expect(await verifySignature(buildIdentityProofMessage(claims()), proof.signature, identity.publicKey)).toBe(true);
     for (const changed of [
-      claims({ action: 'web_envelope_delete' }),
       claims({ subject: 'user-2' }),
       claims({ actor: 'user-2' }),
       claims({ payloadDigest: digestIdentityPayload({ b: 2 }) }),
@@ -75,7 +75,7 @@ describe('signing', () => {
   });
 
   it('will not sign claims naming a different root', async () => {
-    const other = deriveIdentityFromMnemonic('legal winner thank year wave sausage worth useful legal winner thank yellow');
+    const other = keyPair('22'.repeat(32));
     await expect(signIdentityProof(identity, claims({ rootPublicKey: other.publicKey }))).rejects.toThrow('different root');
   });
 });

package/src/crypto/identityLink.ts

@@ -0,0 +1,18 @@
+/**
+ * The code both screens show while Commons is being linked to a passkey
+ * account (ADR 0029 D3): 6 digits derived from the link request and the key
+ * Commons signed with. auth.oxy.so derives it from the key the API relayed,
+ * Commons from its own; the person checks they match before the passkey is
+ * asserted, so a photographed QR cannot slip another key in.
+ */
+
+import { sha256 } from '@noble/hashes/sha256';
+import { utf8ToBytes } from '@noble/hashes/utils';
+
+const DOMAIN = 'oxy-identity-link-code/v1';
+
+export function deriveIdentityLinkCode(linkId: string, publicKey: string): string {
+  const digest = sha256(utf8ToBytes(`${DOMAIN}|${linkId}|${publicKey.trim().toLowerCase()}`));
+  const value = ((digest[0] << 24) | (digest[1] << 16) | (digest[2] << 8) | digest[3]) >>> 0;
+  return String(value % 1_000_000).padStart(6, '0');
+}

package/src/i18n/locales/ar-SA.json

@@ -50,7 +50,26 @@
     "createInCommons": "أنشئ هويتك في Commons",
     "createAccount": "إنشاء حساب",
     "backToSignInLink": "لديك حساب بالفعل؟ سجّل الدخول",
-    "webSubtitle": "بلا كلمة مرور. ينشئ جهازك مفتاح مرور، ويحصل حسابك على عبارة استرداد تحتفظ بها أنت وحدك."
+    "webSubtitle": "بلا كلمة مرور: ينشئ جهازك مفتاح مرور، ويعيدك بريد الاسترداد إذا فقدته.",
+    "username": {
+      "label": "اسم المستخدم",
+      "placeholder": "yourname",
+      "required": "اختر اسم مستخدم.",
+      "taken": "اسم المستخدم هذا مستخدم بالفعل."
+    },
+    "email": {
+      "title": "بريد الاسترداد",
+      "subtitle": "إذا فقدت مفتاح المرور، نرسل إلى هنا رمزًا لتعود. لا يُستخدم لأي شيء آخر.",
+      "label": "البريد الإلكتروني",
+      "placeholder": "you@example.com",
+      "invalid": "أدخل بريدًا إلكترونيًا صالحًا."
+    },
+    "passkey": {
+      "title": "أنشئ مفتاح المرور",
+      "subtitle": "تسجّل الدخول به: ببصمتك أو وجهك أو قفل الشاشة. لا شيء تتذكره.",
+      "action": "إنشاء مفتاح مرور"
+    },
+    "commonsInstead": "تريد الاحتفاظ بمفتاحك بنفسك؟ استخدم Commons"
   },
   "accountSwitcher": {
     "loading": "جارٍ تحميل الحسابات...",
@@ -225,7 +244,63 @@
     "help": "المساعدة والملاحظات",
     "signOut": "تسجيل الخروج",
     "privacy": "سياسة الخصوصية",
-    "terms": "شروط الخدمة",
-    "identity": "هويتك"
+    "terms": "شروط الخدمة"
+  },
+  "recover": {
+    "title": "استرد حسابك",
+    "subtitle": "أدخل اسم المستخدم أو بريد الاسترداد. سنرسل رمزًا إلى بريد الاسترداد الخاص بالحساب.",
+    "identifier": {
+      "label": "اسم المستخدم أو البريد",
+      "placeholder": "yourname",
+      "required": "أدخل اسم المستخدم أو البريد."
+    },
+    "commonsNote": "هل يستخدم حسابك Commons؟ استرده في Commons بعبارة الاسترداد.",
+    "passkey": {
+      "title": "أضف مفتاح مرور جديدًا",
+      "subtitle": "لـ @{{username}}. أزل مفاتيح المرور المفقودة لاحقًا من إعدادات أمان حسابك.",
+      "action": "إنشاء مفتاح مرور"
+    },
+    "backToSignIn": "العودة إلى تسجيل الدخول"
+  },
+  "emailCode": {
+    "title": "تحقق من بريدك",
+    "sentTo": "أرسلنا رمزًا من 6 أرقام إلى {{email}}.",
+    "sentIfAccount": "إذا كان لهذا الحساب بريد استرداد، فقد أرسلنا إليه رمزًا من 6 أرقام.",
+    "label": "الرمز",
+    "resend": "أرسل رمزًا جديدًا",
+    "resent": "أرسلنا رمزًا جديدًا.",
+    "changeEmail": "استخدم بريدًا آخر",
+    "errors": {
+      "codeInvalid": "الرمز غير صحيح أو انتهت صلاحيته.",
+      "tooManyAttempts": "رموز خاطئة كثيرة. اطلب رمزًا جديدًا.",
+      "expired": "استغرق الأمر وقتًا طويلًا. ابدأ من جديد.",
+      "unavailable": "لا يستطيع Oxy إرسال البريد الآن. حاول لاحقًا.",
+      "rateLimited": "رموز كثيرة. حاول لاحقًا."
+    }
+  },
+  "deleteAccount": {
+    "passkey": {
+      "subtitle": "أكّد بمفتاح المرور. سيُحذف @{{username}} وكل ما فيه نهائيًا.",
+      "action": "الحذف بمفتاح المرور",
+      "done": "حُذف حسابك.",
+      "closeWindow": "يمكنك إغلاق هذه النافذة.",
+      "commons": "يستخدم هذا الحساب Commons: احذفه في Oxy Commons من الإعدادات > حذف الحساب، بمفتاحه."
+    }
+  },
+  "linkCommons": {
+    "title": "اربط Commons",
+    "subtitle": "احتفظ بمفتاحك: اربط Commons ليصبح هذا الحساب لك وحدك. يُحذف بريد الاسترداد الخاص به، وتصبح عبارة الاسترداد في Commons طريقك للعودة.",
+    "scan": "على هاتفك، افتح Commons واختر «لدي حساب Oxy على الويب» ثم امسح هذا الرمز.",
+    "waiting": "بانتظار Commons…",
+    "compareTitle": "تحقق من الرمز",
+    "compare": "يعرض Commons الرمز نفسه. إن لم يكن كذلك، ألغِ العملية.",
+    "confirm": "نعم، اربط Commons",
+    "cancel": "إلغاء",
+    "doneTitle": "تم ربط Commons",
+    "done": "أصبح هذا الحساب ذاتي الحفظ. حُذف بريد الاسترداد الخاص به: عبارة الاسترداد في Commons هي طريقك للعودة.",
+    "already": "يستخدم هذا الحساب Commons بالفعل.",
+    "expired": "انتهت صلاحية هذا الرمز.",
+    "renew": "اعرض رمزًا جديدًا",
+    "failed": "تعذّر ربط Commons. حاول مجددًا."
   }
 }

package/src/i18n/locales/ca-ES.json

@@ -50,7 +50,26 @@
     "createInCommons": "Crea la teva identitat a Commons",
     "createAccount": "Crear compte",
     "backToSignInLink": "Ja tens compte? Inicia sessió",
-    "webSubtitle": "Sense contrasenya. El teu dispositiu crea una passkey i el teu compte rep una frase de recuperació que només guardes tu."
+    "webSubtitle": "Sense contrasenya: el teu dispositiu crea una passkey i un correu de recuperació et torna l'accés si la perds.",
+    "username": {
+      "label": "Nom d'usuari",
+      "placeholder": "elteunom",
+      "required": "Tria un nom d'usuari.",
+      "taken": "Aquest nom d'usuari ja està agafat."
+    },
+    "email": {
+      "title": "El teu correu de recuperació",
+      "subtitle": "Si perds la passkey, t'hi enviem un codi per tornar a entrar. No s'utilitza per a res més.",
+      "label": "Correu",
+      "placeholder": "tu@exemple.com",
+      "invalid": "Escriu un correu vàlid."
+    },
+    "passkey": {
+      "title": "Crea la teva passkey",
+      "subtitle": "Hi inicies la sessió: l'empremta, la cara o el bloqueig de pantalla. No cal recordar res.",
+      "action": "Crea la passkey"
+    },
+    "commonsInstead": "Vols guardar la teva pròpia clau? Fes servir Commons"
   },
   "accountSwitcher": {
     "loading": "S'estan carregant els comptes...",
@@ -225,7 +244,63 @@
     "help": "Ajuda i comentaris",
     "signOut": "Tancar sessió",
     "privacy": "Política de privacitat",
-    "terms": "Condicions del servei",
-    "identity": "La teva identitat"
+    "terms": "Condicions del servei"
+  },
+  "recover": {
+    "title": "Recupera el compte",
+    "subtitle": "Escriu el nom d'usuari o el correu de recuperació. Enviarem un codi al correu de recuperació del compte.",
+    "identifier": {
+      "label": "Usuari o correu",
+      "placeholder": "elteunom",
+      "required": "Escriu l'usuari o el correu."
+    },
+    "commonsNote": "El teu compte fa servir Commons? Recupera-lo a Commons amb la frase de recuperació.",
+    "passkey": {
+      "title": "Afegeix una passkey nova",
+      "subtitle": "Per a @{{username}}. Treu les passkeys perdudes més tard a la configuració de seguretat del compte.",
+      "action": "Crea la passkey"
+    },
+    "backToSignIn": "Torna a iniciar la sessió"
+  },
+  "emailCode": {
+    "title": "Mira el correu",
+    "sentTo": "Hem enviat un codi de 6 xifres a {{email}}.",
+    "sentIfAccount": "Si aquest compte té un correu de recuperació, li hem enviat un codi de 6 xifres.",
+    "label": "Codi",
+    "resend": "Envia un codi nou",
+    "resent": "T'hem enviat un codi nou.",
+    "changeEmail": "Fes servir un altre correu",
+    "errors": {
+      "codeInvalid": "Aquest codi no és correcte o ha caducat.",
+      "tooManyAttempts": "Massa codis incorrectes. Demana-ne un de nou.",
+      "expired": "Ha passat massa temps. Torna a començar.",
+      "unavailable": "Oxy no pot enviar correus ara. Torna-ho a provar més tard.",
+      "rateLimited": "Massa codis. Torna-ho a provar més tard."
+    }
+  },
+  "deleteAccount": {
+    "passkey": {
+      "subtitle": "Confirma amb la passkey. @{{username}} i tot el que conté s'eliminen per sempre.",
+      "action": "Elimina amb passkey",
+      "done": "El teu compte s'ha eliminat.",
+      "closeWindow": "Pots tancar aquesta finestra.",
+      "commons": "Aquest compte fa servir Commons: elimina'l a Oxy Commons, Configuració > Elimina el compte, amb la seva clau."
+    }
+  },
+  "linkCommons": {
+    "title": "Vincula Commons",
+    "subtitle": "Guarda la teva pròpia clau: vincula Commons i aquest compte serà només teu. El seu correu de recuperació s'elimina, i la frase de recuperació de Commons és com hi tornes a entrar.",
+    "scan": "Al mòbil, obre Commons, tria «Tinc un compte d'Oxy al web» i escaneja aquest codi.",
+    "waiting": "Esperant Commons…",
+    "compareTitle": "Comprova el codi",
+    "compare": "Commons mostra el mateix codi. Si no és així, cancel·la.",
+    "confirm": "Sí, vincula Commons",
+    "cancel": "Cancel·la",
+    "doneTitle": "Commons està vinculat",
+    "done": "Aquest compte ara és d'autocustòdia. El seu correu de recuperació s'ha eliminat: la frase de recuperació de Commons és com hi tornes a entrar.",
+    "already": "Aquest compte ja fa servir Commons.",
+    "expired": "Aquest codi ha caducat.",
+    "renew": "Mostra un codi nou",
+    "failed": "No s'ha pogut vincular Commons. Torna-ho a provar."
   }
 }

package/src/i18n/locales/de-DE.json

@@ -50,7 +50,26 @@
     "createInCommons": "Erstellen Sie Ihre Identität in Commons",
     "createAccount": "Konto erstellen",
     "backToSignInLink": "Sie haben bereits ein Konto? Anmelden",
-    "webSubtitle": "Kein Passwort. Dein Gerät erstellt einen Passkey, und dein Konto erhält eine Wiederherstellungsphrase, die nur du aufbewahrst."
+    "webSubtitle": "Kein Passwort: Dein Gerät erstellt einen Passkey, und eine Wiederherstellungs-E-Mail bringt dich zurück, wenn du ihn verlierst.",
+    "username": {
+      "label": "Benutzername",
+      "placeholder": "deinname",
+      "required": "Wähle einen Benutzernamen.",
+      "taken": "Dieser Benutzername ist vergeben."
+    },
+    "email": {
+      "title": "Deine Wiederherstellungs-E-Mail",
+      "subtitle": "Wenn du deinen Passkey verlierst, schicken wir dir hierhin einen Code, um wieder hineinzukommen. Sonst wird sie für nichts verwendet.",
+      "label": "E-Mail",
+      "placeholder": "du@beispiel.de",
+      "invalid": "Gib eine gültige E-Mail-Adresse ein."
+    },
+    "passkey": {
+      "title": "Erstelle deinen Passkey",
+      "subtitle": "Damit meldest du dich an: Fingerabdruck, Gesicht oder Bildschirmsperre. Nichts zu merken.",
+      "action": "Passkey erstellen"
+    },
+    "commonsInstead": "Willst du deinen eigenen Schlüssel behalten? Nutze stattdessen Commons"
   },
   "accountSwitcher": {
     "loading": "Konten werden geladen...",
@@ -225,7 +244,63 @@
     "help": "Hilfe & Feedback",
     "signOut": "Abmelden",
     "privacy": "Datenschutzerklärung",
-    "terms": "Nutzungsbedingungen",
-    "identity": "Ihre Identität"
+    "terms": "Nutzungsbedingungen"
+  },
+  "recover": {
+    "title": "Konto wiederherstellen",
+    "subtitle": "Gib deinen Benutzernamen oder deine Wiederherstellungs-E-Mail ein. Wir schicken einen Code an die Wiederherstellungs-E-Mail des Kontos.",
+    "identifier": {
+      "label": "Benutzername oder E-Mail",
+      "placeholder": "deinname",
+      "required": "Gib deinen Benutzernamen oder deine E-Mail ein."
+    },
+    "commonsNote": "Nutzt dein Konto Commons? Stelle es in Commons mit deiner Wiederherstellungsphrase wieder her.",
+    "passkey": {
+      "title": "Neuen Passkey hinzufügen",
+      "subtitle": "Für @{{username}}. Entferne verlorene Passkeys später in den Sicherheitseinstellungen deines Kontos.",
+      "action": "Passkey erstellen"
+    },
+    "backToSignIn": "Zurück zur Anmeldung"
+  },
+  "emailCode": {
+    "title": "Sieh in deine E-Mails",
+    "sentTo": "Wir haben einen 6-stelligen Code an {{email}} geschickt.",
+    "sentIfAccount": "Wenn dieses Konto eine Wiederherstellungs-E-Mail hat, haben wir ihr einen 6-stelligen Code geschickt.",
+    "label": "Code",
+    "resend": "Neuen Code senden",
+    "resent": "Wir haben einen neuen Code geschickt.",
+    "changeEmail": "Andere E-Mail verwenden",
+    "errors": {
+      "codeInvalid": "Dieser Code stimmt nicht oder ist abgelaufen.",
+      "tooManyAttempts": "Zu viele falsche Codes. Fordere einen neuen an.",
+      "expired": "Das hat zu lange gedauert. Fang noch einmal an.",
+      "unavailable": "Oxy kann gerade keine E-Mails senden. Versuch es später noch einmal.",
+      "rateLimited": "Zu viele Codes. Versuch es später noch einmal."
+    }
+  },
+  "deleteAccount": {
+    "passkey": {
+      "subtitle": "Bestätige mit deinem Passkey. @{{username}} und alles darin werden endgültig gelöscht.",
+      "action": "Mit Passkey löschen",
+      "done": "Dein Konto ist gelöscht.",
+      "closeWindow": "Du kannst dieses Fenster schließen.",
+      "commons": "Dieses Konto nutzt Commons: Lösche es in Oxy Commons unter Einstellungen > Konto löschen, mit seinem Schlüssel."
+    }
+  },
+  "linkCommons": {
+    "title": "Commons verknüpfen",
+    "subtitle": "Behalte deinen eigenen Schlüssel: Verknüpfe Commons, und dieses Konto gehört nur dir. Seine Wiederherstellungs-E-Mail wird gelöscht, und deine Wiederherstellungsphrase in Commons bringt dich zurück.",
+    "scan": "Öffne Commons auf deinem Handy, wähle „Ich habe ein Oxy-Konto im Web“ und scanne diesen Code.",
+    "waiting": "Warte auf Commons…",
+    "compareTitle": "Prüfe den Code",
+    "compare": "Commons zeigt denselben Code. Wenn nicht, brich ab.",
+    "confirm": "Ja, Commons verknüpfen",
+    "cancel": "Abbrechen",
+    "doneTitle": "Commons ist verknüpft",
+    "done": "Dieses Konto ist jetzt selbstverwahrt. Seine Wiederherstellungs-E-Mail wurde gelöscht: Deine Wiederherstellungsphrase in Commons bringt dich zurück.",
+    "already": "Dieses Konto nutzt bereits Commons.",
+    "expired": "Dieser Code ist abgelaufen.",
+    "renew": "Neuen Code anzeigen",
+    "failed": "Commons konnte nicht verknüpft werden. Versuch es noch einmal."
   }
 }