aimeat 1.26.0 → 1.27.0

package/README.md

@@ -346,6 +346,13 @@ npx aimeat seed     # seed example packages (in another terminal, server must be
 npx aimeat connect --url https://your-node --owner your-handle
 ```
 
+**App thumbnails (optional).** `aimeat screenshot-worker` renders each published app and stores a
+thumbnail shown in the App Catalogue and on the landing wall (`--watch N` keeps it backfilling). It
+drives your machine's installed **Chrome/Edge** via Playwright — **no browser download** on
+Windows/desktop; a headless server runs `npx playwright install chromium` once. Auth uses a
+long-lived operator token (mint one with `POST /v1/access/tokens`, `grant_operator: true`). The node
+runs fine without it — screenshots are an opt-in operator feature.
+
 ### From source
 
 Requires Node.js 24+ and pnpm 10+. MongoDB is optional.

package/dist/.env.example

@@ -8,6 +8,15 @@ AIMEAT_PORT=40050
 # AIMEAT_NODE_TYPE="full"         # full | relay | mirror
 # AIMEAT_BASE_URL="https://your-domain.com"  # Public URL (default: http://localhost:$PORT)
 
+# ── App Origin Isolation (H-2) ─────────────────────────────────
+# User-published apps run on a dedicated origin so they can never reach the
+# authenticated SPA's session. Requires DNS + a *.apps.<host> TLS cert + an nginx
+# server_name block (see docs/internal/app-origin-deployment.md). Keep DISABLED
+# until that infra is live — enabling it without DNS/cert would 301 apps to a host
+# that does not resolve.
+# AIMEAT_APP_HOST="apps.your-domain.com"   # default: apps.<AIMEAT_BASE_URL host>, empty for localhost/IP
+# AIMEAT_APP_ORIGIN_ENABLED=false          # true → apex inline app HTML 301s to the app origin
+
 # ── Storage Backend ───────────────────────────────────────────
 # Choose storage: memory (default, data lost on restart), sqlite (file-based, zero-config),
 # mongodb (production), or postgresql (production). `postgres` is accepted as an alias.
@@ -250,6 +259,14 @@ AIMEAT_PORT=40050
 # AIMEAT_NONCE_TTL_SECONDS=300                                 # verification nonce TTL (60-3600)
 # AIMEAT_NATIONAL_EID_PID_CLAIM="personal_identity_code"       # FI: personal_identity_code, SE: personalNumber, DK: dk.cpr
 
+# ── Social login — Google sign-in (OIDC) ─────────────────────
+# Create OAuth credentials at https://console.cloud.google.com/apis/credentials
+# Authorized redirect URI must exactly match the callback below.
+# AIMEAT_GOOGLE_OAUTH_ENABLED=false
+# AIMEAT_GOOGLE_OAUTH_CLIENT_ID=""                             # OAuth 2.0 client ID from Google Cloud Console
+# AIMEAT_GOOGLE_OAUTH_CLIENT_SECRET=""                         # OAuth 2.0 client secret
+# AIMEAT_GOOGLE_OAUTH_REDIRECT_URI=""                          # default: <baseUrl>/v1/ghii/login/google/callback
+
 # ── Consul (optional fleet management) ───────────────────────
 # Connect to HashiCorp Consul for centralized config management across nodes.
 # Values in Consul KV take precedence over file/.env but below database overrides.

package/dist/locales/en.json

@@ -52,7 +52,7 @@
   "profile.landing.menu": "Menu",
   "profile.tabs.notebook": "Notebook",
   "profile.notebook.title": "Notebook",
-  "profile.notebook.desc": "Write anything freely — capture it now, find it later. The librarian searches across everything you have: every organism you have contributed to, plus your personal notes.",
+  "profile.notebook.desc": "Write anything freely — capture it now, find it later. The librarian searches across everything you have: every shared space (organism) you have contributed to, plus your personal notes.",
   "profile.notebook.capturePlaceholder": "Write anything — a thought, an idea, a note to keep…",
   "profile.notebook.captureBtn": "Capture",
   "profile.notebook.captureHint": "Saved to your notebook inbox. Sorting into organisms/workspaces comes next.",
@@ -243,10 +243,25 @@
   "profile.scheduler.soon": "soon",
   "profile.scheduler.paused": "paused",
   "profile.scheduler.autoKey": "(auto)",
+  "appGrant": {
+    "title": "Allow this app to access your data?",
+    "intro": "It will receive its own scoped, revocable token — never your login session. You can revoke it anytime in Profile › Access.",
+    "scopesLabel": "Requested access",
+    "approve": "Allow access",
+    "approving": "Approving…",
+    "deny": "Deny",
+    "loginTitle": "Log in to continue",
+    "loginBody": "Log in on aimeat.io, then re-open the app’s link to approve access.",
+    "loginCta": "Log in",
+    "errorTitle": "Cannot grant access",
+    "missing": "No authorization request.",
+    "expired": "This request has expired."
+  },
   "common": {
     "cancel": "Cancel",
     "confirm": "Confirm",
     "delete": "Delete",
+    "back": "Back",
     "somethingWentWrong": "Something went wrong",
     "retry": "Retry",
     "save": "Save",
@@ -380,8 +395,8 @@
       "offerPosted": "Your service is now listed in the directory.",
       "backToChoices": "Back",
       "registerTitle": "Create your free identity",
-      "registerDesc": "When you register, you get a GHII (Global Human Intelligence Identifier) — your own digital identity. Your data is protected by your password: only you can access it. No one else can see your private memory, not even the server operator. You don't have to share anything with anyone.",
-      "registerBtn": "Create free GHII",
+      "registerDesc": "When you register, you get your own private space — your own digital identity. Your data is protected by your password: only you can access it. No one else can see your private memory, not even the server operator. You don't have to share anything with anyone.",
+      "registerBtn": "Create your free space",
       "registerBenefits": [
         "Your own private memory space, password-protected",
         "Full control — only you access your data",
@@ -769,7 +784,7 @@
       "setupStep3Why": "Turn on automation and your agent runs the moment new data arrives — you get fresh insights without lifting a finger.",
       "setupStep3Cta": "Set up automation",
       "setupStep4Title": "Get your insights everywhere",
-      "setupStep4Why": "Pick an organism and your results show up in Claude / Grok / ChatGPT, ready to reuse for marketing or reports and to share with your team — not locked inside this one app.",
+      "setupStep4Why": "Pick a shared space (an organism) and your results show up in Claude / Grok / ChatGPT, ready to reuse for marketing or reports and to share with your team — not locked inside this one app.",
       "setupStep4Cta": "Pick an organism",
       "mcpTitle": "Ask your insights in Claude, Grok, or ChatGPT",
       "mcpSub": "Connect AIMEAT to your AI chat once → then just ask, and get answers, exploration, save and follow-up — straight from everything this app and your agent produce.",
@@ -2074,6 +2089,17 @@
       "hoverReveal": "Click to copy",
       "keepSafe": "Keep this safe — it's your owner recovery key.",
       "keyCopied": "Key copied to clipboard!",
+      "agTitle": "Connected Apps",
+      "agDesc": "Published apps you have granted scoped access to your data. Each holds its own revocable token — never your login session.",
+      "agLoading": "Loading...",
+      "agEmpty": "No apps have access to your data.",
+      "agScopes": "scopes",
+      "agGrantedAt": "Granted",
+      "agLastUsed": "Last used",
+      "agNever": "never",
+      "agConfirmRevoke": "Revoke access for \"{name}\"? It loses access immediately.",
+      "agRevoked": "App access revoked",
+      "agRevoke": "Revoke",
       "patTitle": "Agent Access Tokens",
       "patDesc": "Create a revocable token an agent can use (as a Bearer header) to log in and test your apps. One token can be shared across all your agents.",
       "patLabelRequired": "Give the token a name",
@@ -3649,7 +3675,11 @@
     "realtimeMaxPeersPerRoom": "Maximum peers per room",
     "extensionsEnabled": "Enable V8 isolate extension system?",
     "extensionMaxMemoryMb": "Max memory per extension isolate (MB)",
-    "extensionTimeoutMs": "Extension execution timeout (ms)"
+    "extensionTimeoutMs": "Extension execution timeout (ms)",
+    "appOrigin": "Serve user apps from a separate app origin (*.apps.<domain>) to isolate them from your session? Requires DNS + a wildcard TLS cert (see docs/internal/app-origin-deployment.md). Defaults to off.",
+    "appHost": "App origin host (e.g. apps.example.com)",
+    "appHostHint": "Set up DNS (apps.<domain> + wildcard *.apps.<domain>) and a wildcard TLS cert first — see docs/internal/app-origin-deployment.md",
+    "appHostRequired": "App host is required when app origin isolation is enabled"
   },
   "join": {
     "title": "Join AIMEAT Federation",
@@ -3730,6 +3760,8 @@
     "displayNamePlaceholder": "Display Name (optional, for new accounts)",
     "signInBtn": "Sign In / Register",
     "cancelBtn": "Cancel",
+    "orLabel": "OR",
+    "googleSignIn": "Continue with Google",
     "working": "Working...",
     "errUserShort": "Username must be at least 3 characters",
     "errPassShort": "Password must be at least 4 characters",
@@ -3762,7 +3794,7 @@
     "sendUsername": "Send My Username",
     "usernameSent": "If an account with that email exists, your username was sent.",
     "whyTitle": "✨ What do you get?",
-    "whyGhii": "A free GHII (Global Human Intelligence Identifier), your personal AI identity",
+    "whyGhii": "Your own digital identity — only you control it",
     "whyPrivacy": "Your own private memory space, protected by your password",
     "whyControl": "Full control: only you can access your data, no need to share with anyone",
     "whyAgents": "Connect AI agents that remember you and work on your behalf",
@@ -5536,7 +5568,7 @@
       "loggedIn": "logged in",
       "logoutBtn": "Logout",
       "whyTitle": "✨ What do you get?",
-      "whyGhii": "A free GHII (Global Human Intelligence Identifier), your personal AI identity",
+      "whyGhii": "Your own digital identity — only you control it",
       "whyPrivacy": "Your own private memory space, protected by your password",
       "whyControl": "Full control: only you can access your data, no need to share with anyone",
       "whyAgents": "Connect AI agents that remember you and work on your behalf",
@@ -7100,6 +7132,16 @@
     "heroSub2": "A real app, built and run by AI on AIMEAT — look before you sign up.",
     "heroTryFree": "Try it free →",
     "heroGetOwn": "Get your own →",
+    "buildHeroKicker": "A safe place to build with AI.",
+    "buildHeroTitle": "Build a real app with your AI in minutes, and it’s yours.",
+    "buildHeroSub": "Copy one prompt into Claude, ChatGPT or any AI. It builds you a working app on AIMEAT, published live and yours to keep. Then let your agents run it for you, the way AIMEAT Sanomat writes itself every evening.",
+    "buildHeroCopy": "Copy the build prompt →",
+    "buildHeroCopied": "Copied ✓ — paste into your AI",
+    "wallTitle": "Built by people with their AI. Yours goes here too.",
+    "wallEmpty": "Be the first — copy the prompt above, build something, and it lands here.",
+    "wallAnon": "someone",
+    "wallSearch": "Search apps…",
+    "wallNoMatch": "No apps match your search.",
     "agentBuildTitle": "Build an agent in 10 minutes — copy this prompt",
     "agentBuildSub": "Paste into Claude, ChatGPT or any AI. It builds a local AI agent — running on your own machine, no API keys — connected to your node, and shows you how to share it. For coders and tinkerers; beginners can use the desktop app instead."
   },

package/dist/locales/fi.json

@@ -52,7 +52,7 @@
   "profile.landing.menu": "Valikko",
   "profile.tabs.notebook": "Muistikirja",
   "profile.notebook.title": "Muistikirja",
-  "profile.notebook.desc": "Kirjoita vapaasti mitä vain — talteen heti, löydä myöhemmin. Kirjastonhoitaja hakee kaikesta mitä sinulla on: jokaisesta organismista johon olet tuottanut sisältöä, sekä henkilökohtaisista muistiinpanoistasi.",
+  "profile.notebook.desc": "Kirjoita vapaasti mitä vain — talteen heti, löydä myöhemmin. Kirjastonhoitaja hakee kaikesta mitä sinulla on: jokaisesta yhteisestä tilasta (organismista) johon olet tuottanut sisältöä, sekä henkilökohtaisista muistiinpanoistasi.",
   "profile.notebook.capturePlaceholder": "Kirjoita mitä vain — ajatus, idea, muistiinpano talteen…",
   "profile.notebook.captureBtn": "Tallenna",
   "profile.notebook.captureHint": "Tallennettu muistikirjan inboxiin. Lajittelu organismeihin/workspaceihin tulee seuraavaksi.",
@@ -243,10 +243,25 @@
   "profile.scheduler.soon": "pian",
   "profile.scheduler.paused": "tauolla",
   "profile.scheduler.autoKey": "(auto)",
+  "appGrant": {
+    "title": "Sallitaanko tämän sovelluksen käyttää tietojasi?",
+    "intro": "Se saa oman rajatun ja peruutettavissa olevan tunnuksen — ei koskaan kirjautumisistuntoasi. Voit peruuttaa sen milloin tahansa kohdassa Profiili › Pääsy.",
+    "scopesLabel": "Pyydetty pääsy",
+    "approve": "Salli pääsy",
+    "approving": "Hyväksytään…",
+    "deny": "Estä",
+    "loginTitle": "Kirjaudu jatkaaksesi",
+    "loginBody": "Kirjaudu sisään aimeat.io-palveluun ja avaa sitten sovelluksen linkki uudelleen hyväksyäksesi pääsyn.",
+    "loginCta": "Kirjaudu",
+    "errorTitle": "Pääsyä ei voida myöntää",
+    "missing": "Ei valtuutuspyyntöä.",
+    "expired": "Tämä pyyntö on vanhentunut."
+  },
   "common": {
     "cancel": "Peruuta",
     "confirm": "Vahvista",
     "delete": "Poista",
+    "back": "Takaisin",
     "somethingWentWrong": "Jokin meni pieleen",
     "retry": "Yritä uudelleen",
     "save": "Tallenna",
@@ -380,8 +395,8 @@
       "offerPosted": "Palvelusi on nyt listattu hakemistoon.",
       "backToChoices": "Takaisin",
       "registerTitle": "Luo ilmainen identiteettisi",
-      "registerDesc": "Kun rekisteröidyt, saat GHII:n (Global Human Intelligence Identifier) — oman digitaalisen identiteettisi. Tietosi on suojattu salasanallasi: vain sinä pääset niihin käsiksi. Kukaan muu ei näe yksityistä muistiasi, ei edes palvelimen ylläpitäjä. Sinun ei tarvitse jakaa mitään kenellekään.",
-      "registerBtn": "Luo ilmainen GHII",
+      "registerDesc": "Kun rekisteröidyt, saat oman yksityisen tilan — oman digitaalisen identiteettisi. Tietosi on suojattu salasanallasi: vain sinä pääset niihin käsiksi. Kukaan muu ei näe yksityistä muistiasi, ei edes palvelimen ylläpitäjä. Sinun ei tarvitse jakaa mitään kenellekään.",
+      "registerBtn": "Luo oma tila — ilmainen",
       "registerBenefits": [
         "Oma yksityinen muistitila, salasanasuojattu",
         "Täysi hallinta — vain sinä pääset tietoihisi",
@@ -510,7 +525,7 @@
     "notFederated": "Vain paikallinen",
     "stats": {
       "agents": "Agentit",
-      "morsels": "Muruset",
+      "morsels": "Sydänmuruset",
       "memories": "Muistit",
       "services": "Palvelut",
       "tasks": "Tehtävät",
@@ -586,12 +601,12 @@
       "rateFailed": "Arviointi epäonnistui",
       "selling": "Myynti",
       "priceMorsels": "Hinta",
-      "morsels": "morselia",
+      "morsels": "murusia",
       "perCall": "kutsu",
       "saveBilling": "Tallenna",
       "billSaved": "Tallennettu.",
       "billSaveFailed": "Tallennus epäonnistui",
-      "billHint": "Muut maksavat {n} morselia/kutsu; saat sen miinus markkinapaikan palkkio. Oma käyttösi on ilmaista.",
+      "billHint": "Muut maksavat {n} murusia/kutsu; saat sen miinus markkinapaikan palkkio. Oma käyttösi on ilmaista.",
       "notCallableHint": "Ei vielä koneellisesti kutsuttavissa — muut löytävät sen, mutta kutsuminen vaatii kyvykkyyssidoksen (action_id).",
       "openInbox": "Katso Inboxista →",
       "needsFirst": "Vaatii ensin",
@@ -769,7 +784,7 @@
       "setupStep3Why": "Kytke automaatio päälle, niin agenttisi käynnistyy heti kun uutta dataa saapuu — saat tuoreet oivallukset sormea liikuttamatta.",
       "setupStep3Cta": "Ota automaatio käyttöön",
       "setupStep4Title": "Saat oivallukset kaikkialle",
-      "setupStep4Why": "Valitse organismi, niin tuloksesi näkyvät Claudessa / Grokissa / ChatGPT:ssä, valmiina uudelleenkäyttöön markkinointiin tai raportteihin ja jaettavissa tiimillesi — eivät lukittuna tämän yhden apin sisään.",
+      "setupStep4Why": "Valitse yhteinen tila (organismi), niin tuloksesi näkyvät Claudessa / Grokissa / ChatGPT:ssä, valmiina uudelleenkäyttöön markkinointiin tai raportteihin ja jaettavissa tiimillesi — eivät lukittuna tämän yhden apin sisään.",
       "setupStep4Cta": "Valitse organismi",
       "mcpTitle": "Kysy oivalluksiasi Claudessa, Grokissa tai ChatGPT:ssä",
       "mcpSub": "Yhdistä AIMEAT AI-chattiisi kerran → sen jälkeen vain kysy, ja saat heti vastaukset, tutki, tallenna ja seuraa — suoraan kaikesta mitä tämä appi ja agenttisi tuottavat.",
@@ -1228,7 +1243,7 @@
         "unpublished": "Palvelun julkaisu poistettu",
         "unnamed": "Nimetön",
         "free": "Ilmainen",
-        "morsels": "morselia",
+        "morsels": "murusia",
         "avg": "ka.",
         "unpublishError": "Julkaisun poisto epäonnistui",
         "loadError": "Palveluiden lataus epäonnistui",
@@ -1715,7 +1730,7 @@
     },
     "wallet": {
       "title": "Lompakko",
-      "desc": "Muruset ovat verkon tapa sanoa “kiitos.” Ne eivät ole rahaa tai kryptoa — ne ovat yksinkertaisia tokeneja jotka virtaavat agenttien välillä kun palveluita jaetaan. Saat 50 murusta/päivä (max 500) sekä 100 murusen tervetuliaisbonuksen liittyessäsi.",
+      "desc": "Sydänmuruset ovat verkon tapa sanoa “kiitos.” Ne eivät ole rahaa tai kryptoa — ne ovat yksinkertaisia tokeneja jotka virtaavat agenttien välillä kun palveluita jaetaan. Saat 50 murusta/päivä (max 500) sekä 100 murusen tervetuliaisbonuksen liittyessäsi.",
       "loading": "Ladataan lompakkoa...",
       "empty": "Lompakkotietoja ei saatavilla.",
       "error": "Lompakkotietojen lataus epäonnistui.",
@@ -1751,7 +1766,7 @@
       "lifetimeSpent": "Käytetty",
       "lifetimeAllowance": "Kiintiö vastaanotettu",
       "lifetimeWelcome": "Tervetuliaisbonus",
-      "federatedInfo": "Lompakkosi on kotisolmullasi. Morselisaldo, tapahtumat ja päiväkohtaiset lisäykset hallitaan siellä.",
+      "federatedInfo": "Lompakkosi on kotisolmullasi. Murusaldo, tapahtumat ja päiväkohtaiset lisäykset hallitaan siellä.",
       "federatedHomeNode": "Kotisolmu"
     },
     "memory": {
@@ -2074,6 +2089,17 @@
       "hoverReveal": "Klikkaa kopioidaksesi",
       "keepSafe": "Pidä tämä turvassa — se on palautusavaimesi.",
       "keyCopied": "Avain kopioitu leikepöydälle!",
+      "agTitle": "Yhdistetyt sovellukset",
+      "agDesc": "Julkaistut sovellukset, joille olet myöntänyt rajatun pääsyn tietoihisi. Jokaisella on oma peruutettavissa oleva tunnus — ei koskaan kirjautumisistuntoasi.",
+      "agLoading": "Ladataan...",
+      "agEmpty": "Millään sovelluksella ei ole pääsyä tietoihisi.",
+      "agScopes": "oikeutta",
+      "agGrantedAt": "Myönnetty",
+      "agLastUsed": "Viimeksi käytetty",
+      "agNever": "ei koskaan",
+      "agConfirmRevoke": "Peruutetaanko sovelluksen \"{name}\" pääsy? Se menettää pääsyn välittömästi.",
+      "agRevoked": "Sovelluksen pääsy peruutettu",
+      "agRevoke": "Peruuta",
       "patTitle": "Agenttien käyttötokenit",
       "patDesc": "Luo peruutettava token, jota agentti voi käyttää (Bearer-headerina) kirjautuakseen ja testatakseen appejasi. Yhtä tokenia voi jakaa kaikille agenteillesi.",
       "patLabelRequired": "Anna tokenille nimi",
@@ -3649,7 +3675,11 @@
     "realtimeMaxPeersPerRoom": "Enimmäismäärä osallistujia per huone",
     "extensionsEnabled": "Ota V8-eristetty laajennusjärjestelmä käyttöön?",
     "extensionMaxMemoryMb": "Enimmäismuisti per laajennus (MB)",
-    "extensionTimeoutMs": "Laajennuksen suorituksen aikakatkaisu (ms)"
+    "extensionTimeoutMs": "Laajennuksen suorituksen aikakatkaisu (ms)",
+    "appOrigin": "Tarjotaanko käyttäjien sovellukset erillisestä sovellusalkuperästä (*.apps.<domain>) niiden eristämiseksi istunnostasi? Vaatii DNS:n + jokerimerkki-TLS-varmenteen (katso docs/internal/app-origin-deployment.md). Oletuksena pois päältä.",
+    "appHost": "Sovellusalkuperän isäntä (esim. apps.example.com)",
+    "appHostHint": "Määritä ensin DNS (apps.<domain> + jokerimerkki *.apps.<domain>) ja jokerimerkki-TLS-varmenne — katso docs/internal/app-origin-deployment.md",
+    "appHostRequired": "Sovellusisäntä vaaditaan, kun sovellusalkuperän eristys on käytössä"
   },
   "join": {
     "title": "Liity AIMEAT-federaatioon",
@@ -3730,6 +3760,8 @@
     "displayNamePlaceholder": "Näyttönimi (valinnainen, uusille tileille)",
     "signInBtn": "Kirjaudu / Rekisteröidy",
     "cancelBtn": "Peruuta",
+    "orLabel": "TAI",
+    "googleSignIn": "Jatka Googlella",
     "working": "Käsitellään...",
     "errUserShort": "Käyttäjänimen tulee olla vähintään 3 merkkiä",
     "errPassShort": "Salasanan tulee olla vähintään 4 merkkiä",
@@ -3762,7 +3794,7 @@
     "sendUsername": "Lähetä käyttäjätunnukseni",
     "usernameSent": "Jos sähköpostiosoitteella on tili, käyttäjätunnus lähetettiin.",
     "whyTitle": "✨ Mitä saat?",
-    "whyGhii": "Ilmaisen GHII:n (Global Human Intelligence Identifier), oma henkilökohtainen tekoälyidentiteettisi",
+    "whyGhii": "Oma digitaalinen identiteetti — vain sinä hallitset sitä",
     "whyPrivacy": "Oman yksityisen muistitilan, suojattuna salasanallasi",
     "whyControl": "Täyden hallinnan: vain sinä pääset tietoihisi, ei tarvitse jakaa kenellekään",
     "whyAgents": "Yhdistä AI-agentteja jotka muistavat sinut ja toimivat puolestasi",
@@ -5536,7 +5568,7 @@
       "loggedIn": "kirjautuneena",
       "logoutBtn": "Kirjaudu ulos",
       "whyTitle": "✨ Mitä saat?",
-      "whyGhii": "Ilmaisen GHII:n (Global Human Intelligence Identifier), oma henkilökohtainen tekoälyidentiteettisi",
+      "whyGhii": "Oma digitaalinen identiteetti — vain sinä hallitset sitä",
       "whyPrivacy": "Oman yksityisen muistitilan, suojattuna salasanallasi",
       "whyControl": "Täyden hallinnan: vain sinä pääset tietoihisi, ei tarvitse jakaa kenellekään",
       "whyAgents": "Yhdistä AI-agentteja jotka muistavat sinut ja toimivat puolestasi",
@@ -6560,7 +6592,7 @@
     "usernameLabel": "Käyttäjänimi",
     "passwordLabel": "Salasana",
     "totpLabel": "2FA-koodi (jos käytössä)",
-    "morsels": "morselia",
+    "morsels": "murusia",
     "doneTitle": "Valmis",
     "authCodeLabel": "Valtuutuskoodi:",
     "authCodeHint": "Liitä tämä koodi takaisin sovellukseen, joka pyysi pääsyä.",
@@ -7100,6 +7132,16 @@
     "heroSub2": "Oikea appi, jonka tekoäly rakensi ja ajaa AIMEATissa — katso ennen kuin rekisteröidyt.",
     "heroTryFree": "Kokeile ilmaiseksi →",
     "heroGetOwn": "Hanki oma →",
+    "buildHeroKicker": "Turvallinen paikka rakentaa AI:lla.",
+    "buildHeroTitle": "Rakenna oikea appsi AI:llasi minuuteissa, ja se on sinun.",
+    "buildHeroSub": "Kopioi yksi prompti Claudeen, ChatGPT:hen tai mihin tahansa AI:hin. Se rakentaa sinulle toimivan appsin AIMEATiin, julkaistuna heti ja sinun pidettäväksi. Anna sitten agenttiesi pyörittää sitä puolestasi, kuten AIMEAT Sanomat kirjoittaa itsensä joka ilta.",
+    "buildHeroCopy": "Kopioi build-prompti →",
+    "buildHeroCopied": "Kopioitu ✓ — liitä AI:hisi",
+    "wallTitle": "Ihmisten AI:llaan rakentamia. Sinun tulee tähän.",
+    "wallEmpty": "Ole ensimmäinen — kopioi prompti yltä, rakenna jotain, ja se ilmestyy tähän.",
+    "wallAnon": "joku",
+    "wallSearch": "Hae appseja…",
+    "wallNoMatch": "Mikään appsi ei vastaa hakuasi.",
     "agentBuildTitle": "Rakenna agentti 10 minuutissa — kopioi tämä prompti",
     "agentBuildSub": "Liitä Claudeen, ChatGPT:hen tai mihin tahansa tekoälyyn. Se rakentaa paikallisen AI-agentin — pyörii omalla koneellasi, ei API-avaimia — yhdistettynä nodeesi, ja näyttää miten jaat sen. Koodareille ja näpertelijöille; aloittelijat voivat käyttää desktop-sovellusta."
   },

package/dist/public/css/components/app-sandbox.css

@@ -0,0 +1,62 @@
+/**
+ * @file public/css/components/app-sandbox.css
+ * @description Full-screen overlay that hosts a sandboxed (opaque-origin) iframe for
+ *   viewing user-published apps without granting them the apex origin (H-2). Paired with
+ *   /js/app-sandbox.js (openAppSandboxed).
+ * @usage Linked from spa.html; classes applied by /js/app-sandbox.js.
+ * @version-history
+ *   v1.0.0 — 2026-06-20 — Initial (H-2 app-origin isolation, Phase 0).
+ */
+
+.app-sandbox-overlay {
+  position: fixed;
+  inset: 0;
+  z-index: 10000;
+  display: flex;
+  flex-direction: column;
+  background: var(--bg, #0e0e14);
+}
+
+.app-sandbox-toolbar {
+  display: flex;
+  align-items: center;
+  gap: 0.75rem;
+  padding: 0.5rem 0.75rem;
+  background: var(--surface, #1a1a26);
+  border-bottom: 1px solid var(--border, #2a2a3a);
+  flex: 0 0 auto;
+}
+
+.app-sandbox-title {
+  flex: 1 1 auto;
+  font-weight: 600;
+  font-size: 0.95rem;
+  color: var(--text, #e8e8f0);
+  white-space: nowrap;
+  overflow: hidden;
+  text-overflow: ellipsis;
+}
+
+.app-sandbox-close {
+  flex: 0 0 auto;
+  width: 2rem;
+  height: 2rem;
+  border: 1px solid var(--border, #2a2a3a);
+  border-radius: 6px;
+  background: var(--bg-dim, #14141c);
+  color: var(--text, #e8e8f0);
+  font-size: 1rem;
+  line-height: 1;
+  cursor: pointer;
+}
+
+.app-sandbox-close:hover {
+  border-color: var(--border-hover, #3a3a4a);
+}
+
+.app-sandbox-frame {
+  flex: 1 1 auto;
+  width: 100%;
+  border: 0;
+  background: #fff;
+}

package/dist/public/css/views/app-grant.css

@@ -0,0 +1,51 @@
+/**
+ * @file public/css/views/app-grant.css
+ * @description Styles for the app-grant consent page (agr- prefix) — the trusted apex approval
+ *   screen where an owner reviews a published app's requested scopes (H-2 Phase 3).
+ * @version-history
+ *   v1.0.0 — 2026-06-20 — Initial (H-2 app-origin isolation, Phase 3).
+ */
+
+.agr-wrap { max-width: 540px; margin: 3rem auto; padding: 0 1.25rem; }
+
+.agr-card {
+  border: 1px solid var(--border);
+  border-radius: 14px;
+  background: var(--card);
+  padding: 1.75rem 1.6rem;
+}
+
+.agr-title { font-size: 1.4rem; font-weight: 800; margin: 0 0 1rem; color: var(--text); }
+
+.agr-app {
+  display: flex;
+  flex-direction: column;
+  gap: 0.15rem;
+  padding: 0.8rem 1rem;
+  border: 1px solid var(--border);
+  border-radius: 10px;
+  background: var(--bg-dim);
+  margin-bottom: 1rem;
+}
+.agr-app-name { font-weight: 700; color: var(--text); }
+.agr-app-origin { font-size: 0.82rem; color: var(--text-dim); font-family: var(--font-mono, monospace); }
+
+.agr-muted { color: var(--text-dim); font-size: 0.92rem; margin: 0 0 1rem; }
+
+.agr-scopes-label { font-weight: 700; font-size: 0.9rem; margin-bottom: 0.5rem; color: var(--text); }
+
+.agr-scopes { list-style: none; margin: 0 0 1.5rem; padding: 0; display: flex; flex-direction: column; gap: 0.5rem; }
+.agr-scope {
+  display: flex;
+  flex-direction: column;
+  gap: 0.1rem;
+  padding: 0.6rem 0.8rem;
+  border: 1px solid var(--border);
+  border-radius: 8px;
+  background: var(--surface, var(--bg-dim));
+}
+.agr-scope-name { font-family: var(--font-mono, monospace); font-size: 0.82rem; color: var(--accent); }
+.agr-scope-desc { font-size: 0.88rem; color: var(--text); }
+
+.agr-actions { display: flex; gap: 0.75rem; justify-content: flex-end; }
+.agr-btn { min-width: 8rem; text-align: center; }

package/dist/public/css/views/landing.css

@@ -7,6 +7,8 @@
  *   v1.1.0 — 2026-06-16 — Add public activity feed styles (pa- prefix).
  *   v1.2.0 — 2026-06-16 — Add reward-first Hero v2 styles (ld-hero2-*): newspaper-framed
  *     Sanomat teaser (designed masthead card; real screenshot when one exists), mobile-first, two CTAs.
+ *   v1.3.0 — 2026-06-20 — Live wall: .ld-gallery is now a fixed 3-up grid (2-up tablet, 1-up phone)
+ *     + .ld-wall-search filter box, for the real published-apps wall.
  */
 .ld { max-width: 980px; margin: 0 auto; padding: 2rem 1.25rem 3rem; color: var(--text); }
 
@@ -59,9 +61,13 @@
 .ld-loop-arrow { color: var(--text-dim); }
 .ld-section { margin: 2rem 0; }
 .ld-h2 { font-size: 1.3rem; margin: 0 0 1rem; }
-.ld-gallery { display: grid; grid-template-columns: repeat(auto-fill, minmax(220px, 1fr)); gap: .9rem; }
-.ld-app-card { display: block; border: 1px solid var(--border); border-radius: 10px; background: var(--card); padding: .9rem 1rem; text-decoration: none; color: var(--text); }
+.ld-wall-search { width: 100%; max-width: 360px; margin: 0 0 1rem; padding: .55rem .8rem; border: 1px solid var(--border); border-radius: 8px; background: var(--card); color: var(--text); font-size: .9rem; }
+.ld-gallery { display: grid; grid-template-columns: repeat(3, 1fr); gap: .9rem; }
+@media (max-width: 900px) { .ld-gallery { grid-template-columns: repeat(2, 1fr); } }
+@media (max-width: 560px) { .ld-gallery { grid-template-columns: 1fr; } }
+.ld-app-card { display: block; border: 1px solid var(--border); border-radius: 10px; background: var(--card); padding: .9rem 1rem; text-decoration: none; color: var(--text); cursor: pointer; }
 .ld-app-card:hover { border-color: var(--accent); }
+.ld-app-shot { display: block; width: 100%; aspect-ratio: 16 / 10; object-fit: cover; border-radius: 8px; border: 1px solid var(--border); margin-bottom: .55rem; background: var(--bg-dim); }
 .ld-app-name { font-weight: 700; margin-bottom: .25rem; }
 .ld-app-desc { font-size: .82rem; color: var(--text-dim); margin-bottom: .4rem; }
 .ld-app-meta { font-size: .72rem; color: var(--muted); }

package/dist/public/js/app-sandbox.js

@@ -0,0 +1,83 @@
+/**
+ * @file public/js/app-sandbox.js
+ * @description Open a user-published app's HTML inside a full-screen, sandboxed,
+ *   opaque-origin iframe overlay — the H-2-safe way to "view" an app from anywhere in
+ *   the SPA. The iframe's `sandbox` deliberately omits `allow-same-origin`, so even
+ *   apex-hosted (`/v1/apps/...?mode=inline`) content runs with an opaque origin and can
+ *   neither read aimeat.io localStorage nor send credentialed same-origin requests
+ *   (e.g. POST /v1/auth/refresh). Replaces every top-level `window.open(...?mode=inline)`
+ *   / `<a target="_blank">` app link that previously ran app HTML on the apex origin.
+ * @structure isAppHtmlUrl() route matcher · openAppSandboxed() overlay builder.
+ * @usage import { openAppSandboxed, isAppHtmlUrl } from '/js/app-sandbox.js'
+ * @version-history
+ *   v1.0.0 — 2026-06-20 — Initial (H-2 app-origin isolation, Phase 0).
+ */
+
+/** Matches the published-app HTML route: /v1/apps/<owner>/<file> (optionally ?mode=inline). */
+export function isAppHtmlUrl(href) {
+  if (!href) return false;
+  let path;
+  try {
+    path = new URL(href, window.location.href).pathname;
+  } catch {
+    return false;
+  }
+  // /v1/apps/<owner>/<file> — two path segments after /v1/apps/. The bare collection
+  // (/v1/apps) and single-segment forms are API/JSON, not runnable HTML.
+  return /^\/v1\/apps\/[^/]+\/[^/]+$/.test(path);
+}
+
+let escHandler = null;
+
+/** Remove the overlay (if present) and detach the Escape handler. */
+function closeOverlay() {
+  const existing = document.getElementById('app-sandbox-overlay');
+  if (existing) existing.remove();
+  if (escHandler) {
+    document.removeEventListener('keydown', escHandler);
+    escHandler = null;
+  }
+}
+
+/**
+ * Show `url` in a sandboxed (opaque-origin) iframe overlay. `name` labels the toolbar.
+ * Any previously-open overlay is replaced.
+ */
+export function openAppSandboxed(url, name) {
+  closeOverlay();
+
+  const overlay = document.createElement('div');
+  overlay.id = 'app-sandbox-overlay';
+  overlay.className = 'app-sandbox-overlay';
+
+  const toolbar = document.createElement('div');
+  toolbar.className = 'app-sandbox-toolbar';
+
+  const title = document.createElement('span');
+  title.className = 'app-sandbox-title';
+  title.textContent = name || 'App';
+
+  const close = document.createElement('button');
+  close.type = 'button';
+  close.className = 'app-sandbox-close';
+  close.setAttribute('aria-label', 'Close');
+  close.textContent = '✕';
+  close.addEventListener('click', closeOverlay);
+
+  toolbar.appendChild(title);
+  toolbar.appendChild(close);
+
+  const iframe = document.createElement('iframe');
+  iframe.className = 'app-sandbox-frame';
+  // No allow-same-origin → opaque origin. This is the entire H-2 protection.
+  iframe.setAttribute('sandbox', 'allow-scripts allow-forms allow-popups allow-modals');
+  iframe.setAttribute('referrerpolicy', 'no-referrer');
+  iframe.src = url;
+
+  overlay.appendChild(toolbar);
+  overlay.appendChild(iframe);
+  document.body.appendChild(overlay);
+
+  escHandler = (e) => { if (e.key === 'Escape') closeOverlay(); };
+  document.addEventListener('keydown', escHandler);
+}