pgkiln 0.58.0 → 0.60.0

package/src/builder/i18n/pt.ts

@@ -1383,4 +1383,405 @@ export const pt: BuilderMessages = {
   'st.saved': 'Salvo.',
   'st.settings_saved': 'Configurações salvas.',
   'st.app_deleted': 'Aplicação excluída.',
+  // ------------------------------------------------------------ Users and identity providers (sprint 125)
+  'us.hints_none': 'Esta aplicação ainda não verifica nenhum papel. Papéis só importam onde um esquema de autorização ou {fn} os verifica (Shared Components → Esquemas de autorização).',
+  'us.hints_label': 'Papéis que esta aplicação verifica',
+  'us.hints_add': 'Adicionar',
+  'us.hints_app': '{app} verifica',
+  'us.title': 'Usuários',
+  'us.providers_btn': 'Provedores de identidade (login único)',
+  'us.ldap_btn': 'Diretórios LDAP',
+  'us.intro': 'Uma conta por pessoa. Dê às contas acesso às aplicações, com papéis por aplicação, aqui ou em {where} de uma aplicação.',
+  'us.access_path': 'Shared Components → Controle de acesso',
+  'us.accounts': 'Contas',
+  'us.search_ph': 'Pesquisar nome, usuário ou e-mail…',
+  'us.search_label': 'Pesquisar contas',
+  'us.search': 'Pesquisar',
+  'us.username': 'Nome de usuário',
+  'us.name': 'Nome',
+  'us.apps_roles': 'Aplicações (papéis)',
+  'us.applications': 'Aplicações',
+  'us.signin': 'Login',
+  'us.status': 'Status',
+  'us.none': 'nenhuma',
+  'us.password': 'senha',
+  'us.no_password': 'sem senha',
+  'us.active': 'ativa',
+  'us.inactive': 'inativa',
+  'us.last': 'último {at}',
+  'us.no_accounts': 'Nenhuma conta encontrada.',
+  'us.create': 'Criar conta',
+  'us.username_help': 'Sem espaços nem dois-pontos; não diferencia maiúsculas.',
+  'us.email': 'E-mail',
+  'us.password_label': 'Senha',
+  'us.password_help': 'Pelo menos 8 caracteres. Deixe vazio para contas que só entram por login único.',
+  'us.must_change': 'Exigir a troca da senha no primeiro uso',
+  'us.settings': 'Configurações das contas',
+  'us.min_length': 'Comprimento mínimo da senha',
+  'us.lifetime': 'Validade da senha (dias)',
+  'us.lifetime_help': 'Após esse número de dias os usuários precisam escolher uma nova senha no login. 0 = nunca.',
+  'us.mixed': 'As senhas precisam de letras e dígitos',
+  'us.policy_note': 'As senhas nunca podem conter o nome de usuário. O login é bloqueado por {minutes} minutos após {failures} tentativas falhas (Utilitários do workspace → Configurações da instância); Desbloquear em uma conta remove o bloqueio.',
+  'us.save_settings': 'Salvar configurações',
+  'us.created': 'Conta criada. Agora dê a ela acesso a aplicações.',
+  'us.exists': 'Já existe uma conta com esse nome de usuário.',
+  'us.settings_saved': 'Configurações das contas salvas.',
+  'us.details': 'Detalhes',
+  'us.active_label': 'Ativa',
+  'us.active_help': 'Contas inativas não podem entrar em nenhuma aplicação; desativar encerra suas sessões.',
+  'us.save': 'Salvar',
+  'us.password_title': 'Senha',
+  'us.set': 'Definida',
+  'us.set_on': 'Definida em {date}',
+  'us.sso_only': 'Sem senha (somente login único)',
+  'us.must_next': 'Deve ser trocada no próximo login',
+  'us.expires': 'Expira em {n} dia(s)',
+  'us.fails': '{n} login(s) com falha na última hora',
+  'us.unexpire': 'Cancelar a expiração',
+  'us.expire': 'Expirar a senha',
+  'us.unlock': 'Desbloquear o login',
+  'us.new_password': 'Nova senha',
+  'us.set_password_label': 'Definir uma senha',
+  'us.ends_sessions': 'Encerra as sessões da conta.',
+  'us.set_password': 'Definir senha',
+  'us.remove_confirm': 'Remover a senha? A conta só poderá entrar por login único.',
+  'us.remove_password': 'Remover senha',
+  'us.delete_confirm': 'Excluir a conta {user} e todos os seus acessos a aplicações?',
+  'us.delete': 'Excluir conta',
+  'us.app_access': 'Acesso a aplicações',
+  'us.application': 'Aplicação',
+  'us.roles': 'Papéis',
+  'us.roles_in': 'Papéis em {app}',
+  'us.roles_ph': 'sem papéis (por exemplo {example})',
+  'us.revoke_confirm': 'Revogar o acesso a {app}?',
+  'us.revoke': 'Revogar',
+  'us.no_access': 'Ainda sem acesso a nenhuma aplicação.',
+  'us.grant': 'Conceder acesso',
+  'us.roles_comma': 'separados por vírgulas, ou escolha abaixo',
+  'us.saved': 'Conta salva.',
+  'us.pw_removed': 'Senha removida.',
+  'us.pw_set': 'Senha definida.',
+  'us.pw_expired': 'Senha expirada: precisa ser trocada no próximo login.',
+  'us.pw_unexpired': 'A senha não está mais expirada.',
+  'us.unlocked': 'Login desbloqueado.',
+  'us.deleted': 'Conta excluída.',
+  'us.granted': 'Acesso concedido.',
+  'us.roles_saved': 'Papéis salvos. O usuário os recebe no próximo login.',
+  'us.revoked': 'Acesso revogado.',
+  'idp.title': 'Provedores de identidade',
+  'idp.name': 'Nome (nas URLs)',
+  'idp.name_help': 'em minúsculas, por exemplo entra, google, keycloak',
+  'idp.protocol': 'Protocolo',
+  'idp.label': 'Rótulo do botão',
+  'idp.label_help': 'Exibido como “Entrar com …”',
+  'idp.issuer': 'Emissor (OIDC: URL; SAML: o entity ID do IdP)',
+  'idp.issuer_help': 'por exemplo https://login.microsoftonline.com/<tenant>/v2.0, https://keycloak.example.com/realms/acme, ou para SAML o entityID dos metadados do IdP',
+  'idp.client_id': 'ID do cliente (SAML: o entity ID do pgkiln)',
+  'idp.client_id_help': 'OIDC: obrigatório. SAML: vazio = a URL de metadados deste provedor.',
+  'idp.sso_url': 'SAML: URL de login do IdP',
+  'idp.sso_url_help': 'O endereço do SingleSignOnService (binding HTTP-Redirect) nos metadados do IdP.',
+  'idp.cert': 'SAML: certificado de assinatura do IdP (PEM)',
+  'idp.cert_help': 'Dos metadados do IdP (X509Certificate, entre as linhas BEGIN/END CERTIFICATE). As asserções precisam ser assinadas com ele.',
+  'idp.secret': 'Segredo do cliente',
+  'idp.secret_kept': 'Há um segredo armazenado. Deixe vazio para mantê-lo.',
+  'idp.secret_public': 'Deixe vazio para um cliente público (somente PKCE).',
+  'idp.scopes': 'Escopos',
+  'idp.username_claim': 'Claim do nome de usuário',
+  'idp.username_claim_help': 'Use um claim que os usuários não possam alterar (por exemplo preferred_username, upn, email). SAML: um nome de atributo ou nameID.',
+  'idp.groups_claim': 'Claim de grupos',
+  'idp.groups_claim_help': 'Caminhos com pontos funcionam, por exemplo realm_access.roles',
+  'idp.auto_create': 'Criar contas automaticamente no primeiro login',
+  'idp.auto_create_help': 'Caso contrário, só pessoas com uma conta vinculada a este provedor (ou permitidas abaixo) podem entrar.',
+  'idp.link': 'Vincular contas existentes com o mesmo nome de usuário no primeiro login',
+  'idp.link_help': 'Somente quando os usuários não podem escolher o claim do nome neste provedor: caso contrário, alguém poderia registrar o nome de uma conta existente e tomá-la. Com o claim de e-mail, só endereços verificados são vinculados. Desligue depois que as contas estiverem vinculadas.',
+  'idp.enabled': 'Ativado',
+  'idp.remove_secret': 'Remover o segredo do cliente armazenado',
+  'idp.add': 'Adicionar provedor',
+  'idp.intro': 'Provedores OpenID Connect para login único (Microsoft Entra ID, Google, Okta, Keycloak, Auth0, …). Registre o pgkiln no provedor como aplicação web com a URI de redirecionamento mostrada e ative o provedor por aplicação em {where}.',
+  'idp.where': 'Configurações → Métodos de login',
+  'idp.providers': 'Provedores',
+  'idp.provider': 'Provedor',
+  'idp.issuer_col': 'Emissor',
+  'idp.used_by': 'Usado por',
+  'idp.linked': 'Contas vinculadas',
+  'idp.no_apps': 'nenhuma aplicação',
+  'idp.enabled_s': 'ativado',
+  'idp.disabled_s': 'desativado',
+  'idp.auto_s': 'criação automática',
+  'idp.links_s': 'vincula contas existentes',
+  'idp.none': 'Ainda não há provedores de identidade.',
+  'idp.settings': 'Configurações',
+  'idp.delete_confirm': 'Excluir {name}? As identidades vinculadas são removidas; as contas ficam.',
+  'idp.delete': 'Excluir provedor',
+  'idp.register_idp': 'Registrar no provedor de identidade',
+  'idp.sp_metadata': 'Metadados do provedor de serviço (importe-os no IdP):',
+  'idp.by_hand': 'Ou à mão: entity ID {entity}, assertion consumer service (HTTP-POST) {acs}.',
+  'idp.saml_note': 'Baseado em {env}. Assine as asserções; envie os grupos no atributo {claim} para mapeá-los a papéis.',
+  'idp.register': 'Registrar no provedor',
+  'idp.redirect': 'URI de redirecionamento (callback):',
+  'idp.public_url': 'Baseado em {env}; defina-o como o endereço que os usuários veem (por exemplo https://apps.example.com).',
+  'idp.grant': 'Tipo de concessão: {type} com PKCE. Escopos: {scopes}. Inclua um claim {claim} no token de ID para mapear grupos a papéis.',
+  'idp.auth_code': 'código de autorização',
+  'idp.test': 'Testar a descoberta',
+  'idp.added': 'Provedor adicionado. Registre a URI de redirecionamento no provedor e depois teste a conexão.',
+  'idp.saved': 'Provedor salvo.',
+  'idp.works': 'A descoberta funciona. Endpoint de autorização: {url}',
+  'idp.failed': 'A descoberta falhou: {error}',
+  'idp.deleted': 'Provedor excluído.',
+  // ------------------------------------------------------------ Workspaces (sprint 125)
+  'wsp.title': 'Workspaces',
+  'wsp.admins_only': 'Somente administradores gerenciam workspaces.',
+  'wsp.err.exists': 'Já existe um workspace com este nome.',
+  'wsp.err.name_check': 'O nome tem de 1 a 60 caracteres, sem espaços no início ou no fim.',
+  'wsp.err.name': 'O nome tem de 1 a 60 caracteres.',
+  'wsp.iso.secret': 'defina PGKILN_SECRET_KEY (pelo menos 32 caracteres) no ambiente do servidor: os logins de banco de dados do workspace recebem senhas derivadas dela.',
+  'wsp.iso.runtime': 'defina RUNTIME_DATABASE_URL: as aplicações são executadas na conexão do proprietário, então nenhum workspace pode ser isolado.',
+  'wsp.err.role_taken': 'este papel já pertence a outro workspace.',
+  'wsp.err.role_has': 'o workspace já tem este papel.',
+  'wsp.isolated_tag': 'isolado',
+  'wsp.iso.on': 'Suas aplicações são executadas como {run} e o SQL de seus desenvolvedores (SQL Workshop, verificações de código, o Advisor) como {dev}. Ambos alcançam somente os papéis abaixo e veem nas tabelas do pgkiln somente as aplicações, sessões e contas deste workspace. Desenvolvedores que também pertencem a um workspace compartilhado mantêm lá os direitos dele.',
+  'wsp.db_role': 'Papel do banco de dados',
+  'wsp.used_by': 'Usado por',
+  'wsp.missing': 'ausente',
+  'wsp.no_app': 'nenhuma aplicação',
+  'wsp.remove': 'Remover',
+  'wsp.no_roles': 'Nenhum papel de banco de dados: as aplicações daqui não podem ser executadas com um papel próprio.',
+  'wsp.add_role': 'Adicionar um papel de banco de dados',
+  'wsp.add_role_help': 'Um papel existente (não um superusuário, nem um que cria papéis ou ignora a segurança em nível de linha). Seus direitos passam a ser os deste workspace; ele não pode pertencer a outro.',
+  'wsp.add_role_btn': 'Adicionar papel',
+  'wsp.make_shared_confirm': 'Tornar {name} compartilhado de novo? Suas aplicações passam a ser executadas na conexão de runtime compartilhada, e o SQL de seus desenvolvedores como proprietário.',
+  'wsp.make_shared': 'Tornar compartilhado',
+  'wsp.shared_text': 'Compartilhado: as aplicações são executadas na conexão de runtime compartilhada e o SQL dos desenvolvedores como proprietário, como em todo workspace compartilhado.',
+  'wsp.iso_help': 'Isolar dá ao workspace dois logins de banco de dados próprios e os papéis que suas aplicações usam agora. O código das aplicações então alcança somente esses papéis e as aplicações deste workspace; o SQL Workshop de seus desenvolvedores é executado no login do workspace em vez do proprietário. Novas aplicações recebem um papel e um esquema próprios.',
+  'wsp.to_isolate': 'Para isolar um workspace, {problem}',
+  'wsp.isolate_confirm': 'Isolar {name}?',
+  'wsp.isolate': 'Isolar este workspace',
+  'wsp.isolation': 'Isolamento',
+  'wsp.service': 'Gerenciar o serviço',
+  'wsp.message': 'Mensagem do workspace',
+  'wsp.message_help': 'Exibida aos desenvolvedores deste workspace no início do App Builder, por exemplo uma janela de manutenção. Texto simples.',
+  'wsp.banner': 'Faixa de ambiente',
+  'wsp.banner_help': 'Um rótulo curto no topo de cada página do builder enquanto este workspace estiver ativo. Vazio: sem faixa.',
+  'wsp.banner_colour': 'Cor da faixa',
+  'wsp.save': 'Salvar',
+  'wsp.prefs': 'Preferências do workspace',
+  'wsp.sql_on': 'Ativar o SQL Workshop',
+  'wsp.sql_on_help': 'Desativado: a Planilha SQL, o Browser de Objetos, os scripts SQL, a carga e descarga de dados, o Quick SQL, o construtor de consultas, DDL, Comparar e IA são recusados enquanto este workspace estiver ativo, para todos os desenvolvedores.',
+  'wsp.rest_on': 'Ativar os serviços RESTful',
+  'wsp.rest_on_help': 'Desativado: os módulos REST das aplicações deste workspace respondem 404 (Not found) em {path}; ainda podem ser editados.',
+  'wsp.builder_home': 'Links do builder abrem',
+  'wsp.home.apps': 'App Builder',
+  'wsp.home.home': 'Início do workspace',
+  'wsp.builder_home_help': 'Para onde um link para /builder (um favorito de antes do início do workspace) leva neste workspace. Entrar sempre abre o início do workspace; o App Builder fica em /builder/apps.',
+  'wsp.save_prefs': 'Salvar preferências',
+  'wsp.links': 'Links de extensões',
+  'wsp.links_help': 'Links para outras ferramentas que os desenvolvedores deste workspace usam (monitoramento, uma wiki, um sistema de tickets), no menu {menu} do builder enquanto o workspace estiver ativo. Abrem em uma nova aba.',
+  'wsp.extensions': 'Extensões',
+  'wsp.label': 'Rótulo',
+  'wsp.url': 'URL',
+  'wsp.order': 'Ordem',
+  'wsp.delete_link_confirm': 'Excluir o link {label}?',
+  'wsp.delete': 'Excluir',
+  'wsp.no_links': 'Nenhum link de extensão.',
+  'wsp.label_ph': 'Monitoramento',
+  'wsp.description': 'Descrição',
+  'wsp.add_link': 'Adicionar link',
+  'wsp.switched': 'Workspace {name}.',
+  'wsp.intro': 'Um workspace agrupa aplicações e os desenvolvedores que as constroem. Os desenvolvedores veem e alteram as aplicações de seus próprios workspaces; administradores veem todas. Um workspace compartilhado não é uma fronteira de segurança entre desenvolvedores que escrevem SQL: seu SQL Workshop e o código das aplicações são executados com os direitos desta instalação. Um workspace {isolated} é: suas aplicações e seu SQL são executados em logins de banco de dados próprios que alcançam somente seus papéis e suas próprias aplicações.',
+  'wsp.isolated_word': 'isolado',
+  'wsp.workspace': 'Workspace',
+  'wsp.applications': 'Aplicações',
+  'wsp.developers': 'Desenvolvedores',
+  'wsp.admins_text': 'somente administradores',
+  'wsp.add': 'Adicionar workspace',
+  'wsp.name': 'Nome',
+  'wsp.name_help': 'Por exemplo a equipe ou o departamento que constrói aqui suas aplicações.',
+  'wsp.first_dev': 'Você se torna seu primeiro desenvolvedor; adicione outros na página dele.',
+  'wsp.added': 'Workspace {name} adicionado.',
+  'wsp.settings': 'Configurações',
+  'wsp.default_no_delete': 'O workspace Default não pode ser excluído: aplicações importadas e criadas pela linha de comando começam aqui.',
+  'wsp.delete_confirm': 'Excluir o workspace {name}?',
+  'wsp.delete_ws': 'Excluir workspace',
+  'wsp.move_first': 'Mova primeiro suas aplicações para outro workspace.',
+  'wsp.devs_help': 'Os desenvolvedores deste workspace veem e alteram suas aplicações. Administradores veem todos os workspaces.',
+  'wsp.administrator': '(administrador)',
+  'wsp.ws_admins': 'Administradores do workspace',
+  'wsp.ws_admins_help': 'Eles gerenciam o nome e os desenvolvedores deste workspace. Isolamento, papéis de banco de dados, mover aplicações e excluir o workspace ficam com os administradores.',
+  'wsp.save_devs': 'Salvar desenvolvedores',
+  'wsp.mail_net': 'E-mail e acesso à rede',
+  'wsp.mail_net_text': 'O {mail} próprio deste workspace para suas aplicações sem um próprio, sua lista de {network} (quais hosts suas aplicações podem chamar, dentro da lista da instalação) e a {queue}.',
+  'wsp.mail_service': 'serviço de e-mail',
+  'wsp.network': 'acesso à rede',
+  'wsp.queue': 'fila de e-mails',
+  'wsp.iso_short_on': 'Isolado: suas aplicações e seu SQL são executados em logins de banco de dados próprios.',
+  'wsp.iso_short_off': 'Compartilhado.',
+  'wsp.admins_change': 'Os administradores o alteram.',
+  'wsp.application': 'Aplicação',
+  'wsp.move_to': 'Mover para',
+  'wsp.move_label': 'Mover {app} para',
+  'wsp.move': 'Mover',
+  'wsp.no_other': 'nenhum outro workspace',
+  'wsp.no_apps': 'Nenhuma aplicação.',
+  'wsp.saved': 'Workspace salvo.',
+  'wsp.not_found': 'Não encontrado.',
+  'wsp.devs_saved': 'Desenvolvedores salvos.',
+  'wsp.not_moved': 'Não movida: {why}',
+  'wsp.moved': 'Aplicação movida para {name}.',
+  'wsp.err.default': 'O workspace Default não pode ser excluído.',
+  'wsp.err.isolated': 'Torne o workspace compartilhado (não isolado) antes de excluí-lo.',
+  'wsp.err.has_apps': 'Mova primeiro as aplicações deste workspace para outro.',
+  'wsp.deleted': 'Workspace {name} excluído.',
+  'wsp.isolated_now': 'O workspace está isolado: suas aplicações e seu SQL agora são executados em logins de banco de dados próprios.',
+  'wsp.shared_now': 'O workspace está compartilhado de novo: suas aplicações são executadas na conexão de runtime compartilhada.',
+  'wsp.not_isolated': 'Não isolado: {why}',
+  'wsp.not_changed': 'Não alterado: {why}',
+  'wsp.err.role_name': 'Um nome de papel é uma letra ou _ seguida de letras, dígitos, _ ou $ (no máximo 63).',
+  'wsp.err.no_role': 'Não existe o papel de banco de dados {role}.',
+  'wsp.err.role_used_one': '{apps} é executada como {role}: dê a ela outro papel primeiro.',
+  'wsp.err.role_used': '{apps} são executadas como {role}: dê a elas outro papel primeiro.',
+  'wsp.role_removed': 'Papel {role} removido.',
+  'wsp.role_added': 'Papel {role} adicionado.',
+  'wsp.not_saved': 'Não salvo: {why}',
+  'wsp.err.message': 'A mensagem tem no máximo 2000 caracteres.',
+  'wsp.err.banner': 'O rótulo da faixa tem no máximo 40 caracteres.',
+  'wsp.service_saved': 'Mensagem e faixa salvas.',
+  'wsp.prefs_saved': 'Preferências salvas.',
+  'wsp.err.label': 'O rótulo tem de 1 a 60 caracteres.',
+  'wsp.err.url': 'A URL começa com http:// ou https://.',
+  'wsp.err.description': 'A descrição tem no máximo 500 caracteres.',
+  'wsp.err.order': 'A ordem é um número inteiro.',
+  'wsp.link_added': 'Link {label} adicionado.',
+  'wsp.link_exists': 'Já existe um link {label}.',
+  'wsp.link_not_saved': 'O link não foi salvo.',
+  'wsp.link_deleted': 'Link excluído.',
+  'wsp.util_title': 'Utilização do workspace: {name}',
+  'wsp.pages': 'Páginas',
+  'wsp.views30': 'Visualizações de página (30 dias)',
+  'wsp.scripts': 'Scripts SQL',
+  'wsp.regions': 'Regiões',
+  'wsp.items': 'Itens',
+  'wsp.users30': 'Usuários (30 dias)',
+  'wsp.static': 'Arquivos estáticos',
+  'wsp.views': 'Visualizações de página',
+  'wsp.users': 'Usuários',
+  'wsp.schemas': 'Esquemas',
+  'wsp.schemas_help': 'Os esquemas que os papéis de banco de dados do workspace podem usar, com o armazenamento de suas tabelas, índices e dados TOAST.',
+  'wsp.schema': 'Esquema',
+  'wsp.owner': 'Proprietário',
+  'wsp.tables': 'Tabelas',
+  'wsp.storage': 'Armazenamento',
+  'wsp.no_schemas': 'Nenhum esquema: as aplicações do workspace não têm papel de banco de dados próprio.',
+  'wsp.utilization': 'Utilização',
+  'wsp.util_crumb': 'Utilização: {name}',
+  // ------------------------------------------------------------ Developers (sprint 125)
+  'dev.title': 'Desenvolvedores',
+  'dev.change_pw': 'Alterar sua senha',
+  'dev.current': 'Senha atual',
+  'dev.new': 'Nova senha',
+  'dev.min8': 'Pelo menos 8 caracteres.',
+  'dev.change_btn': 'Alterar senha',
+  'dev.your_email': 'Seu endereço de e-mail',
+  'dev.email': 'Endereço de e-mail',
+  'dev.email_help': '“Encontrar meu workspace” na página de login envia seus workspaces para ele. Vazio: nenhum.',
+  'dev.save': 'Salvar',
+  'dev.accounts': 'Contas de desenvolvedor',
+  'dev.accounts_help': 'Administradores adicionam e removem desenvolvedores e podem quebrar os bloqueios de páginas e aplicações de outros.',
+  'dev.username': 'Nome de usuário',
+  'dev.role': 'Papel',
+  'dev.email_col': 'E-mail',
+  'dev.you': '(você)',
+  'dev.administrator': 'Administrador',
+  'dev.developer': 'Desenvolvedor',
+  'dev.email_of': 'Endereço de e-mail de {user}',
+  'dev.none': 'nenhum',
+  'dev.make_dev': 'Tornar desenvolvedor',
+  'dev.make_admin': 'Tornar administrador',
+  'dev.remove_confirm': 'Remover o desenvolvedor {user}?',
+  'dev.remove': 'Remover',
+  'dev.add': 'Adicionar desenvolvedor',
+  'dev.password': 'Senha',
+  'dev.optional_email': 'Opcional: para “Encontrar meu workspace”.',
+  'dev.admins_only': 'Somente administradores adicionam e removem desenvolvedores.',
+  'dev.err.email': 'O endereço de e-mail não é válido.',
+  'dev.added_ws': 'Desenvolvedor adicionado ao workspace {name}.',
+  'dev.added': 'Desenvolvedor adicionado.',
+  'dev.err.current': 'A senha atual não está correta.',
+  'dev.pw_changed': 'Senha alterada.',
+  'dev.email_saved': 'Endereço de e-mail salvo.',
+  'dev.not_found': 'Não encontrado.',
+  'dev.role_changed': 'Papel alterado.',
+  'dev.removed': 'Desenvolvedor removido.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Login em duas etapas',
+  'mfa.title': 'Segurança',
+  'mfa.intro': 'Entre com um código de um aplicativo autenticador depois da senha. Os códigos de recuperação permitem entrar se você perder o telefone.',
+  'mfa.required_you': 'Seu administrador exige login em duas etapas: adicione um aplicativo autenticador.',
+  'mfa.banner': 'O login em duas etapas é obrigatório. Configure-o antes de {date}: {link}',
+  'mfa.set_up_now': 'configurar agora',
+  'mfa.apps': 'Aplicativos autenticadores',
+  'mfa.app_name': 'Nome',
+  'mfa.app_default': 'Telefone',
+  'mfa.added': 'Adicionado',
+  'mfa.last_used': 'Último uso',
+  'mfa.no_apps': 'Nenhum aplicativo autenticador ainda: você entra apenas com sua senha.',
+  'mfa.add_app': 'Adicionar um aplicativo autenticador',
+  'mfa.no_key': 'O login em duas etapas precisa da chave da instância (PGKILN_SECRET_KEY) para guardar o segredo do aplicativo.',
+  'mfa.scan': 'Leia o código QR com um aplicativo autenticador.',
+  'mfa.or_enter': 'Ou digite esta chave à mão:',
+  'mfa.enter_code': 'Digite o código de 6 dígitos que o aplicativo mostra.',
+  'mfa.qr_label': 'Código QR para o aplicativo autenticador',
+  'mfa.confirm_app': 'Confirmar e ativar',
+  'mfa.cancel_setup': 'Cancelar',
+  'mfa.setup_expired': 'A configuração demorou demais: comece de novo.',
+  'mfa.wrong_setup': 'Esse código não confere: verifique a hora do telefone e tente o próximo código.',
+  'mfa.app_added': 'Aplicativo autenticador adicionado: a partir de agora você entra também com um código.',
+  'mfa.remove': 'Remover',
+  'mfa.remove_app': 'Remover este aplicativo',
+  'mfa.your_password': 'Sua senha',
+  'mfa.wrong_password': 'Senha incorreta.',
+  'mfa.cannot_remove_required': 'O login em duas etapas é obrigatório para você: adicione outro aplicativo antes de remover este.',
+  'mfa.cannot_remove_admin': 'Pelo menos dois administradores (ou todos, se forem menos) devem manter o login em duas etapas enquanto a política estiver ativa.',
+  'mfa.keep_admins': 'Agora não: a política exige pelo menos dois administradores com login em duas etapas (ou todos, se forem menos).',
+  'mfa.removed': 'Aplicativo autenticador removido.',
+  'mfa.codes_title': 'Códigos de recuperação',
+  'mfa.codes_once': 'Guarde estes códigos em local seguro, longe do telefone. Cada um substitui uma vez um código do aplicativo. Eles são mostrados só agora.',
+  'mfa.codes_saved': 'Guardei estes códigos',
+  'mfa.codes_done': 'Concluído',
+  'mfa.codes_kept': 'Códigos de recuperação guardados.',
+  'mfa.codes_left': 'Códigos de recuperação não usados: {n}.',
+  'mfa.codes_after': 'Você recebe códigos de recuperação ao adicionar um aplicativo autenticador.',
+  'mfa.codes_low': 'Restam poucos códigos de recuperação: gere novos.',
+  'mfa.codes_new': 'Novos códigos de recuperação',
+  'mfa.codes_new_confirm': 'Gerar novos códigos de recuperação? Os antigos deixam de funcionar.',
+  'mfa.expired': 'O login demorou demais: entre novamente.',
+  'mfa.step_title': 'Login em duas etapas',
+  'mfa.step_intro': 'Digite o código do seu aplicativo autenticador para {user}.',
+  'mfa.code': 'Código',
+  'mfa.code_help': '6 dígitos do aplicativo ou um dos seus códigos de recuperação.',
+  'mfa.verify': 'Verificar',
+  'mfa.cancel': 'Voltar ao login',
+  'mfa.locked_out': 'Perdeu o telefone e os códigos? Peça a um administrador para redefinir seu login em duas etapas.',
+  'mfa.wrong': 'Esse código não está certo ou já foi usado.',
+  'mfa.column': 'Duas etapas',
+  'mfa.on': 'ativado',
+  'mfa.off': 'desativado',
+  'mfa.reset': 'Redefinir',
+  'mfa.reason': 'Motivo',
+  'mfa.reset_help': 'Remove os aplicativos e códigos de recuperação de {user} e encerra a sessão. Fica registrado; os administradores recebem um e-mail.',
+  'mfa.reset_btn': 'Redefinir o login em duas etapas',
+  'mfa.reason_needed': 'Informe um motivo para a redefinição.',
+  'mfa.reset_done': 'Login em duas etapas de {user} redefinido.',
+  'mfa.policy_title': 'Login em duas etapas',
+  'mfa.policy_label': 'Exigir login em duas etapas de',
+  'mfa.policy_off': 'Ninguém (opcional)',
+  'mfa.policy_admins': 'Administradores',
+  'mfa.policy_all': 'Todos os desenvolvedores',
+  'mfa.grace': 'Período de carência (dias)',
+  'mfa.grace_help': 'Desenvolvedores sem aplicativo veem um lembrete até lá; depois, só a página de Segurança.',
+  'mfa.policy_help': 'Administradores com login em duas etapas: {enrolled} de {admins}. Para exigir é preciso pelo menos dois (ou todos, se forem menos).',
+  'mfa.policy_save': 'Salvar',
+  'mfa.policy_saved': 'Política de duas etapas salva.',
+  'mfa.policy_needs_admins': 'Primeiro, pelo menos dois administradores (ou todos, se forem menos) configuram o login em duas etapas, para ninguém ficar bloqueado sozinho.',
+  'mfa.without': 'Sem login em duas etapas: {list}.',
+  'mfa.cli_note': 'Bloqueado? No servidor: pgkiln admin reset-2fa <developer> ou pgkiln admin set-2fa-policy off.',
 };

package/src/builder/instance.ts

@@ -3,6 +3,7 @@ import { html } from '../html.ts';
 import { configurationValue, CONFIGURATION, INSTANCE_SETTINGS, instanceSetting, origin, refreshInstanceSettings, saveInstanceSettings } from '../instance.ts';
 import { clientIp, logActivity, type Session } from '../session.ts';
 import { isAdmin } from './locks.ts';
+import { policyRegion } from './security.ts';
 import { releaseCheckRegion } from './workspace-home.ts';
 import { back, BASE, csrf, developer, flash, region, send, shell, type Req } from './ui.ts';
 
@@ -39,6 +40,7 @@ export async function instanceRoutes(app: FastifyInstance) {
           })}</div>
           <div class="buttons"><button class="btn btn-hot">Save</button></div></form>`)}
         ${await releaseCheckRegion(s)}
+        ${await policyRegion(s)}
         ${region('Configuration', html`<p class="muted u-mt0">Environment variables of this server (chapter 1 of the guide). Secrets show only whether they are set.</p>
           <div class="table-wrap"><table class="report report-reflow"><thead><tr><th>Variable</th><th>Value</th><th>Purpose</th></tr></thead>
           <tbody>${CONFIGURATION.map((c) => {