pgkiln 0.59.0 → 0.61.0

package/src/builder/i18n/en.ts

@@ -1714,4 +1714,101 @@ export const en = {
   'dev.not_found': 'Not found.',
   'dev.role_changed': 'Role changed.',
   'dev.removed': 'Developer removed.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Two-factor sign-in',
+  'mfa.title': 'Security',
+  'mfa.intro': 'After your password, confirm it’s you with a passkey (fingerprint, face, security key) or a code from an authenticator app. Recovery codes get you in when you lose them.',
+  'mfa.required_you': 'Your administrator requires two-factor sign-in: add a passkey or an authenticator app.',
+  'mfa.banner': 'Two-factor sign-in is required. Set it up before {date}: {link}',
+  'mfa.set_up_now': 'set up now',
+  'mfa.factors': 'Passkeys and authenticator apps',
+  'mfa.app_name': 'Name',
+  'mfa.app_default': 'Phone',
+  'mfa.added': 'Added',
+  'mfa.last_used': 'Last used',
+  'mfa.no_apps': 'No second factor yet: you sign in with your password only.',
+  'mfa.add_app': 'Add an authenticator app',
+  'mfa.no_key': 'Two-factor sign-in needs the instance key (PGKILN_SECRET_KEY) to store the app’s secret.',
+  'mfa.scan': 'Scan the QR code with an authenticator app.',
+  'mfa.or_enter': 'Or enter this key by hand:',
+  'mfa.enter_code': 'Enter the 6-digit code the app shows.',
+  'mfa.qr_label': 'QR code for the authenticator app',
+  'mfa.confirm_app': 'Confirm and turn on',
+  'mfa.cancel_setup': 'Cancel',
+  'mfa.setup_expired': 'The setup took too long: start again.',
+  'mfa.wrong_setup': 'That code doesn’t match: check the time on your phone and try the next code.',
+  'mfa.app_added': 'Authenticator app added: from now on you sign in with a code too.',
+  'mfa.remove': 'Remove',
+  'mfa.remove_app': 'Remove this app',
+  'mfa.your_password': 'Your password',
+  'mfa.wrong_password': 'Wrong password.',
+  'mfa.cannot_remove_required': 'Two-factor sign-in is required for you: add another passkey or app before you remove this one.',
+  'mfa.cannot_remove_admin': 'At least two administrators (or every administrator, when there are fewer) must keep two-factor sign-in while the policy is on.',
+  'mfa.keep_admins': 'Not now: the two-factor policy needs at least two administrators with two-factor sign-in (or every administrator, when there are fewer).',
+  'mfa.removed': 'Removed.',
+  'mfa.codes_title': 'Recovery codes',
+  'mfa.codes_once': 'Save these codes somewhere safe, away from your phone. Each one signs you in once instead of an app code. They are shown only now.',
+  'mfa.codes_saved': 'I saved these codes',
+  'mfa.codes_done': 'Done',
+  'mfa.codes_kept': 'Recovery codes saved.',
+  'mfa.codes_left': 'Unused recovery codes: {n}.',
+  'mfa.codes_after': 'You get recovery codes when you add a passkey or an authenticator app.',
+  'mfa.codes_low': 'Few recovery codes left: make new ones.',
+  'mfa.codes_new': 'New recovery codes',
+  'mfa.codes_new_confirm': 'Make new recovery codes? The old ones stop working.',
+  'mfa.expired': 'The sign-in took too long: sign in again.',
+  'mfa.step_title': 'Two-factor sign-in',
+  'mfa.step_intro': 'Confirm it’s you, {user}: use a passkey or enter a code from your authenticator app.',
+  'mfa.code': 'Code',
+  'mfa.code_help': '6 digits from the app, or one of your recovery codes.',
+  'mfa.verify': 'Verify',
+  'mfa.cancel': 'Back to sign-in',
+  'mfa.locked_out': 'Lost your phone, key and codes? Ask an administrator to reset your two-factor sign-in.',
+  'mfa.wrong': 'That code is not right, or was already used.',
+  'mfa.column': 'Two-factor',
+  'mfa.on': 'on',
+  'mfa.off': 'off',
+  'mfa.reset': 'Reset',
+  'mfa.reason': 'Reason',
+  'mfa.reset_help': 'Removes the apps and recovery codes of {user} and signs them out. Logged; the administrators are told by mail.',
+  'mfa.reset_btn': 'Reset two-factor sign-in',
+  'mfa.reason_needed': 'Give a reason for the reset.',
+  'mfa.reset_done': 'Two-factor sign-in of {user} reset.',
+  'mfa.policy_title': 'Two-factor sign-in',
+  'mfa.policy_label': 'Require two-factor sign-in for',
+  'mfa.policy_off': 'Nobody (optional)',
+  'mfa.policy_admins': 'Administrators',
+  'mfa.policy_all': 'All developers',
+  'mfa.grace': 'Grace period (days)',
+  'mfa.grace_help': 'Developers without an app see a reminder until then; after it, only their Security page.',
+  'mfa.policy_help': 'Administrators with two-factor sign-in: {enrolled} of {admins}. Requiring it needs at least two of them (or every one, when there are fewer).',
+  'mfa.policy_save': 'Save',
+  'mfa.policy_saved': 'Two-factor policy saved.',
+  'mfa.policy_needs_admins': 'First, at least two administrators (or every administrator, when there are fewer) set up two-factor sign-in, so nobody is locked out alone.',
+  'mfa.without': 'Without two-factor sign-in: {list}.',
+  'mfa.cli_note': 'Locked out? On the server: pgkiln admin reset-2fa <developer> or pgkiln admin set-2fa-policy off.',
+  // ------------------------------------------------------------ Security: passkeys and trusted browsers (sprint 127)
+  'mfa.kind': 'Kind',
+  'mfa.kind_passkey': 'Passkeys',
+  'mfa.kind_app': 'Authenticator apps',
+  'mfa.other_domain': 'for {domain}',
+  'mfa.other_domain_help': 'Made for {domain}: it doesn’t work at this address. Add a new passkey here.',
+  'mfa.passkey_intro': 'Sign in with your fingerprint, face or screen lock, or a security key. A passkey only works on this site.',
+  'mfa.passkey_default': 'Passkey',
+  'mfa.add_passkey': 'Add a passkey',
+  'mfa.passkey_needs_js': 'Adding a passkey needs JavaScript; an authenticator app works without it.',
+  'mfa.passkey_failed': 'The passkey didn’t work. Try again, or use a code.',
+  'mfa.passkey_known': 'This passkey is already added.',
+  'mfa.passkey_added': 'Passkey added: from now on you can sign in with it.',
+  'mfa.remove_passkey': 'Remove this passkey',
+  'mfa.use_passkey': 'Use a passkey',
+  'mfa.trust_browser': 'Trust this browser for {days} days',
+  'mfa.trusted_title': 'Trusted browsers',
+  'mfa.trusted_count': 'Browsers that skip the second step: {n} (for up to {days} days).',
+  'mfa.trusted_off': 'Trusting browsers is turned off.',
+  'mfa.forget_browsers': 'Forget trusted browsers',
+  'mfa.browsers_forgotten': 'Every browser asks for the second step again.',
+  'mfa.trust_days': 'Trust a browser (days)',
+  'mfa.trust_days_help': 'After the second step a developer may skip it in that browser for this many days. 0: never.',
+  'mfa.passkey_needs_host': 'Passkeys need a host name, not an IP address ({host}): open the builder at localhost or its domain name.',
 } as const;

package/src/builder/i18n/es.ts

@@ -1711,4 +1711,101 @@ export const es: BuilderMessages = {
   'dev.not_found': 'No encontrado.',
   'dev.role_changed': 'Rol cambiado.',
   'dev.removed': 'Desarrollador quitado.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Inicio de sesión en dos pasos',
+  'mfa.title': 'Seguridad',
+  'mfa.intro': 'Después de su contraseña, confirme que es usted con una llave de acceso (huella, rostro, llave de seguridad) o un código de una aplicación de autenticación. Los códigos de recuperación le permiten entrar si los pierde.',
+  'mfa.required_you': 'Su administrador exige el inicio de sesión en dos pasos: añada una llave de acceso o una aplicación de autenticación.',
+  'mfa.banner': 'El inicio de sesión en dos pasos es obligatorio. Configúrelo antes del {date}: {link}',
+  'mfa.set_up_now': 'configurar ahora',
+  'mfa.factors': 'Llaves de acceso y aplicaciones de autenticación',
+  'mfa.app_name': 'Nombre',
+  'mfa.app_default': 'Teléfono',
+  'mfa.added': 'Añadida',
+  'mfa.last_used': 'Último uso',
+  'mfa.no_apps': 'Aún no hay segundo factor: inicia sesión solo con su contraseña.',
+  'mfa.add_app': 'Añadir una aplicación de autenticación',
+  'mfa.no_key': 'El inicio de sesión en dos pasos necesita la clave de la instancia (PGKILN_SECRET_KEY) para guardar el secreto de la aplicación.',
+  'mfa.scan': 'Escanee el código QR con una aplicación de autenticación.',
+  'mfa.or_enter': 'O introduzca esta clave a mano:',
+  'mfa.enter_code': 'Introduzca el código de 6 dígitos que muestra la aplicación.',
+  'mfa.qr_label': 'Código QR para la aplicación de autenticación',
+  'mfa.confirm_app': 'Confirmar y activar',
+  'mfa.cancel_setup': 'Cancelar',
+  'mfa.setup_expired': 'La configuración tardó demasiado: empiece de nuevo.',
+  'mfa.wrong_setup': 'Ese código no coincide: compruebe la hora del teléfono y pruebe el siguiente código.',
+  'mfa.app_added': 'Aplicación de autenticación añadida: a partir de ahora también inicia sesión con un código.',
+  'mfa.remove': 'Quitar',
+  'mfa.remove_app': 'Quitar esta aplicación',
+  'mfa.your_password': 'Su contraseña',
+  'mfa.wrong_password': 'Contraseña incorrecta.',
+  'mfa.cannot_remove_required': 'El inicio de sesión en dos pasos es obligatorio para usted: añada otra llave o aplicación antes de quitar esta.',
+  'mfa.cannot_remove_admin': 'Al menos dos administradores (o todos, si hay menos) deben mantener el inicio de sesión en dos pasos mientras la política esté activa.',
+  'mfa.keep_admins': 'Ahora no: la política de dos pasos necesita al menos dos administradores con inicio de sesión en dos pasos (o todos, si hay menos).',
+  'mfa.removed': 'Quitado.',
+  'mfa.codes_title': 'Códigos de recuperación',
+  'mfa.codes_once': 'Guarde estos códigos en un lugar seguro, lejos del teléfono. Cada uno sustituye una vez a un código de la aplicación. Solo se muestran ahora.',
+  'mfa.codes_saved': 'He guardado estos códigos',
+  'mfa.codes_done': 'Hecho',
+  'mfa.codes_kept': 'Códigos de recuperación guardados.',
+  'mfa.codes_left': 'Códigos de recuperación sin usar: {n}.',
+  'mfa.codes_after': 'Recibe códigos de recuperación al añadir una llave de acceso o una aplicación de autenticación.',
+  'mfa.codes_low': 'Quedan pocos códigos de recuperación: genere nuevos.',
+  'mfa.codes_new': 'Nuevos códigos de recuperación',
+  'mfa.codes_new_confirm': '¿Generar nuevos códigos de recuperación? Los antiguos dejan de funcionar.',
+  'mfa.expired': 'El inicio de sesión tardó demasiado: inicie sesión de nuevo.',
+  'mfa.step_title': 'Inicio de sesión en dos pasos',
+  'mfa.step_intro': 'Confirme que es usted, {user}: use una llave de acceso o introduzca un código de su aplicación de autenticación.',
+  'mfa.code': 'Código',
+  'mfa.code_help': '6 dígitos de la aplicación o uno de sus códigos de recuperación.',
+  'mfa.verify': 'Verificar',
+  'mfa.cancel': 'Volver al inicio de sesión',
+  'mfa.locked_out': '¿Perdió el teléfono, la llave y los códigos? Pida a un administrador que restablezca su inicio de sesión en dos pasos.',
+  'mfa.wrong': 'Ese código no es correcto o ya se usó.',
+  'mfa.column': 'Dos pasos',
+  'mfa.on': 'activado',
+  'mfa.off': 'desactivado',
+  'mfa.reset': 'Restablecer',
+  'mfa.reason': 'Motivo',
+  'mfa.reset_help': 'Quita las aplicaciones y los códigos de recuperación de {user} y cierra su sesión. Se registra; los administradores reciben un correo.',
+  'mfa.reset_btn': 'Restablecer el inicio de sesión en dos pasos',
+  'mfa.reason_needed': 'Indique un motivo para el restablecimiento.',
+  'mfa.reset_done': 'Inicio de sesión en dos pasos de {user} restablecido.',
+  'mfa.policy_title': 'Inicio de sesión en dos pasos',
+  'mfa.policy_label': 'Exigir el inicio de sesión en dos pasos a',
+  'mfa.policy_off': 'Nadie (opcional)',
+  'mfa.policy_admins': 'Administradores',
+  'mfa.policy_all': 'Todos los desarrolladores',
+  'mfa.grace': 'Período de gracia (días)',
+  'mfa.grace_help': 'Los desarrolladores sin aplicación ven un aviso hasta entonces; después, solo su página de Seguridad.',
+  'mfa.policy_help': 'Administradores con inicio de sesión en dos pasos: {enrolled} de {admins}. Para exigirlo hacen falta al menos dos (o todos, si hay menos).',
+  'mfa.policy_save': 'Guardar',
+  'mfa.policy_saved': 'Política de dos pasos guardada.',
+  'mfa.policy_needs_admins': 'Primero, al menos dos administradores (o todos, si hay menos) deben configurar el inicio de sesión en dos pasos, para que nadie quede bloqueado solo.',
+  'mfa.without': 'Sin inicio de sesión en dos pasos: {list}.',
+  'mfa.cli_note': '¿Bloqueado? En el servidor: pgkiln admin reset-2fa <developer> o pgkiln admin set-2fa-policy off.',
+  // ------------------------------------------------------------ Security: passkeys and trusted browsers (sprint 127)
+  'mfa.kind': 'Tipo',
+  'mfa.kind_passkey': 'Llaves de acceso',
+  'mfa.kind_app': 'Aplicaciones de autenticación',
+  'mfa.other_domain': 'para {domain}',
+  'mfa.other_domain_help': 'Creada para {domain}: no funciona en esta dirección. Añada aquí una nueva llave.',
+  'mfa.passkey_intro': 'Inicie sesión con su huella, su rostro, el bloqueo de pantalla o una llave de seguridad. Una llave de acceso solo funciona en este sitio.',
+  'mfa.passkey_default': 'Llave de acceso',
+  'mfa.add_passkey': 'Añadir una llave de acceso',
+  'mfa.passkey_needs_js': 'Añadir una llave de acceso requiere JavaScript; una aplicación de autenticación funciona sin él.',
+  'mfa.passkey_failed': 'La llave de acceso no funcionó. Inténtelo de nuevo o use un código.',
+  'mfa.passkey_known': 'Esta llave de acceso ya está añadida.',
+  'mfa.passkey_added': 'Llave de acceso añadida: a partir de ahora puede iniciar sesión con ella.',
+  'mfa.remove_passkey': 'Quitar esta llave de acceso',
+  'mfa.use_passkey': 'Usar una llave de acceso',
+  'mfa.trust_browser': 'Confiar en este navegador durante {days} días',
+  'mfa.trusted_title': 'Navegadores de confianza',
+  'mfa.trusted_count': 'Navegadores que omiten el segundo paso: {n} (hasta {days} días).',
+  'mfa.trusted_off': 'La confianza en navegadores está desactivada.',
+  'mfa.forget_browsers': 'Olvidar los navegadores de confianza',
+  'mfa.browsers_forgotten': 'Todos los navegadores vuelven a pedir el segundo paso.',
+  'mfa.trust_days': 'Confiar en un navegador (días)',
+  'mfa.trust_days_help': 'Tras el segundo paso, un desarrollador puede omitirlo en ese navegador durante estos días. 0: nunca.',
+  'mfa.passkey_needs_host': 'Las llaves de acceso necesitan un nombre de host, no una dirección IP ({host}): abra el constructor en localhost o en su nombre de dominio.',
 };

package/src/builder/i18n/fr.ts

@@ -1711,4 +1711,101 @@ export const fr: BuilderMessages = {
   'dev.not_found': 'Introuvable.',
   'dev.role_changed': 'Rôle modifié.',
   'dev.removed': 'Développeur retiré.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Connexion à deux facteurs',
+  'mfa.title': 'Sécurité',
+  'mfa.intro': 'Après votre mot de passe, confirmez que c’est vous avec une clé d’accès (empreinte, visage, clé de sécurité) ou un code d’une application d’authentification. Les codes de récupération vous laissent entrer si vous les perdez.',
+  'mfa.required_you': 'Votre administrateur exige la connexion à deux facteurs : ajoutez une clé d’accès ou une application d’authentification.',
+  'mfa.banner': 'La connexion à deux facteurs est obligatoire. Configurez-la avant le {date} : {link}',
+  'mfa.set_up_now': 'configurer maintenant',
+  'mfa.factors': 'Clés d’accès et applications d’authentification',
+  'mfa.app_name': 'Nom',
+  'mfa.app_default': 'Téléphone',
+  'mfa.added': 'Ajoutée',
+  'mfa.last_used': 'Dernière utilisation',
+  'mfa.no_apps': 'Pas encore de second facteur : vous vous connectez avec votre mot de passe seul.',
+  'mfa.add_app': 'Ajouter une application d’authentification',
+  'mfa.no_key': 'La connexion à deux facteurs a besoin de la clé de l’instance (PGKILN_SECRET_KEY) pour stocker le secret de l’application.',
+  'mfa.scan': 'Scannez le code QR avec une application d’authentification.',
+  'mfa.or_enter': 'Ou saisissez cette clé à la main :',
+  'mfa.enter_code': 'Saisissez le code à 6 chiffres affiché par l’application.',
+  'mfa.qr_label': 'Code QR pour l’application d’authentification',
+  'mfa.confirm_app': 'Confirmer et activer',
+  'mfa.cancel_setup': 'Annuler',
+  'mfa.setup_expired': 'La configuration a pris trop de temps : recommencez.',
+  'mfa.wrong_setup': 'Ce code ne correspond pas : vérifiez l’heure de votre téléphone et essayez le code suivant.',
+  'mfa.app_added': 'Application d’authentification ajoutée : désormais, vous vous connectez aussi avec un code.',
+  'mfa.remove': 'Supprimer',
+  'mfa.remove_app': 'Supprimer cette application',
+  'mfa.your_password': 'Votre mot de passe',
+  'mfa.wrong_password': 'Mot de passe incorrect.',
+  'mfa.cannot_remove_required': 'La connexion à deux facteurs est obligatoire pour vous : ajoutez une autre clé ou application avant de supprimer celle-ci.',
+  'mfa.cannot_remove_admin': 'Au moins deux administrateurs (ou tous, s’ils sont moins nombreux) doivent garder la connexion à deux facteurs tant que la règle est active.',
+  'mfa.keep_admins': 'Pas maintenant : la règle à deux facteurs exige au moins deux administrateurs avec la connexion à deux facteurs (ou tous, s’ils sont moins nombreux).',
+  'mfa.removed': 'Supprimé.',
+  'mfa.codes_title': 'Codes de récupération',
+  'mfa.codes_once': 'Conservez ces codes en lieu sûr, loin de votre téléphone. Chacun remplace une fois un code de l’application. Ils ne sont affichés que maintenant.',
+  'mfa.codes_saved': 'J’ai conservé ces codes',
+  'mfa.codes_done': 'Terminé',
+  'mfa.codes_kept': 'Codes de récupération conservés.',
+  'mfa.codes_left': 'Codes de récupération inutilisés : {n}.',
+  'mfa.codes_after': 'Vous recevez des codes de récupération en ajoutant une clé d’accès ou une application d’authentification.',
+  'mfa.codes_low': 'Il reste peu de codes de récupération : créez-en de nouveaux.',
+  'mfa.codes_new': 'Nouveaux codes de récupération',
+  'mfa.codes_new_confirm': 'Créer de nouveaux codes de récupération ? Les anciens ne fonctionneront plus.',
+  'mfa.expired': 'La connexion a pris trop de temps : reconnectez-vous.',
+  'mfa.step_title': 'Connexion à deux facteurs',
+  'mfa.step_intro': 'Confirmez que c’est vous, {user} : utilisez une clé d’accès ou saisissez un code de votre application d’authentification.',
+  'mfa.code': 'Code',
+  'mfa.code_help': '6 chiffres de l’application, ou l’un de vos codes de récupération.',
+  'mfa.verify': 'Vérifier',
+  'mfa.cancel': 'Retour à la connexion',
+  'mfa.locked_out': 'Téléphone, clé et codes perdus ? Demandez à un administrateur de réinitialiser votre connexion à deux facteurs.',
+  'mfa.wrong': 'Ce code est incorrect ou a déjà été utilisé.',
+  'mfa.column': 'Deux facteurs',
+  'mfa.on': 'activée',
+  'mfa.off': 'désactivée',
+  'mfa.reset': 'Réinitialiser',
+  'mfa.reason': 'Motif',
+  'mfa.reset_help': 'Supprime les applications et codes de récupération de {user} et le déconnecte. Journalisé ; les administrateurs sont prévenus par e-mail.',
+  'mfa.reset_btn': 'Réinitialiser la connexion à deux facteurs',
+  'mfa.reason_needed': 'Indiquez un motif pour la réinitialisation.',
+  'mfa.reset_done': 'Connexion à deux facteurs de {user} réinitialisée.',
+  'mfa.policy_title': 'Connexion à deux facteurs',
+  'mfa.policy_label': 'Exiger la connexion à deux facteurs pour',
+  'mfa.policy_off': 'Personne (facultatif)',
+  'mfa.policy_admins': 'Administrateurs',
+  'mfa.policy_all': 'Tous les développeurs',
+  'mfa.grace': 'Délai de grâce (jours)',
+  'mfa.grace_help': 'Les développeurs sans application voient un rappel jusque-là ; ensuite, seulement leur page Sécurité.',
+  'mfa.policy_help': 'Administrateurs avec la connexion à deux facteurs : {enrolled} sur {admins}. L’exiger demande au moins deux d’entre eux (ou tous, s’ils sont moins nombreux).',
+  'mfa.policy_save': 'Enregistrer',
+  'mfa.policy_saved': 'Règle à deux facteurs enregistrée.',
+  'mfa.policy_needs_admins': 'D’abord, au moins deux administrateurs (ou tous, s’ils sont moins nombreux) configurent la connexion à deux facteurs, pour que personne ne reste bloqué seul.',
+  'mfa.without': 'Sans connexion à deux facteurs : {list}.',
+  'mfa.cli_note': 'Bloqué ? Sur le serveur : pgkiln admin reset-2fa <developer> ou pgkiln admin set-2fa-policy off.',
+  // ------------------------------------------------------------ Security: passkeys and trusted browsers (sprint 127)
+  'mfa.kind': 'Type',
+  'mfa.kind_passkey': 'Clés d’accès',
+  'mfa.kind_app': 'Applications d’authentification',
+  'mfa.other_domain': 'pour {domain}',
+  'mfa.other_domain_help': 'Créée pour {domain} : elle ne fonctionne pas à cette adresse. Ajoutez ici une nouvelle clé.',
+  'mfa.passkey_intro': 'Connectez-vous avec votre empreinte, votre visage, le verrouillage d’écran ou une clé de sécurité. Une clé d’accès ne fonctionne que sur ce site.',
+  'mfa.passkey_default': 'Clé d’accès',
+  'mfa.add_passkey': 'Ajouter une clé d’accès',
+  'mfa.passkey_needs_js': 'Ajouter une clé d’accès nécessite JavaScript ; une application d’authentification fonctionne sans.',
+  'mfa.passkey_failed': 'La clé d’accès n’a pas fonctionné. Réessayez ou utilisez un code.',
+  'mfa.passkey_known': 'Cette clé d’accès est déjà ajoutée.',
+  'mfa.passkey_added': 'Clé d’accès ajoutée : vous pouvez désormais vous connecter avec elle.',
+  'mfa.remove_passkey': 'Supprimer cette clé d’accès',
+  'mfa.use_passkey': 'Utiliser une clé d’accès',
+  'mfa.trust_browser': 'Faire confiance à ce navigateur pendant {days} jours',
+  'mfa.trusted_title': 'Navigateurs de confiance',
+  'mfa.trusted_count': 'Navigateurs qui passent la seconde étape : {n} (jusqu’à {days} jours).',
+  'mfa.trusted_off': 'La confiance envers les navigateurs est désactivée.',
+  'mfa.forget_browsers': 'Oublier les navigateurs de confiance',
+  'mfa.browsers_forgotten': 'Chaque navigateur redemande la seconde étape.',
+  'mfa.trust_days': 'Faire confiance à un navigateur (jours)',
+  'mfa.trust_days_help': 'Après la seconde étape, un développeur peut la passer dans ce navigateur pendant ce nombre de jours. 0 : jamais.',
+  'mfa.passkey_needs_host': 'Les clés d’accès ont besoin d’un nom d’hôte, pas d’une adresse IP ({host}) : ouvrez le builder sur localhost ou son nom de domaine.',
 };

package/src/builder/i18n/nl.ts

@@ -1711,4 +1711,101 @@ export const nl: BuilderMessages = {
   'dev.not_found': 'Niet gevonden.',
   'dev.role_changed': 'Rol gewijzigd.',
   'dev.removed': 'Ontwikkelaar verwijderd.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Aanmelden in twee stappen',
+  'mfa.title': 'Beveiliging',
+  'mfa.intro': 'Bevestig na uw wachtwoord dat u het bent met een passkey (vingerafdruk, gezicht, beveiligingssleutel) of een code uit een authenticator-app. Met herstelcodes komt u binnen als u die kwijtraakt.',
+  'mfa.required_you': 'Uw beheerder vereist aanmelden in twee stappen: voeg een passkey of een authenticator-app toe.',
+  'mfa.banner': 'Aanmelden in twee stappen is verplicht. Stel het in vóór {date}: {link}',
+  'mfa.set_up_now': 'nu instellen',
+  'mfa.factors': 'Passkeys en authenticator-apps',
+  'mfa.app_name': 'Naam',
+  'mfa.app_default': 'Telefoon',
+  'mfa.added': 'Toegevoegd',
+  'mfa.last_used': 'Laatst gebruikt',
+  'mfa.no_apps': 'Nog geen tweede factor: u meldt zich alleen met uw wachtwoord aan.',
+  'mfa.add_app': 'Authenticator-app toevoegen',
+  'mfa.no_key': 'Aanmelden in twee stappen heeft de instantiesleutel (PGKILN_SECRET_KEY) nodig om het geheim van de app op te slaan.',
+  'mfa.scan': 'Scan de QR-code met een authenticator-app.',
+  'mfa.or_enter': 'Of voer deze sleutel met de hand in:',
+  'mfa.enter_code': 'Voer de 6-cijferige code uit de app in.',
+  'mfa.qr_label': 'QR-code voor de authenticator-app',
+  'mfa.confirm_app': 'Bevestigen en inschakelen',
+  'mfa.cancel_setup': 'Annuleren',
+  'mfa.setup_expired': 'Het instellen duurde te lang: begin opnieuw.',
+  'mfa.wrong_setup': 'Die code klopt niet: controleer de tijd op uw telefoon en probeer de volgende code.',
+  'mfa.app_added': 'Authenticator-app toegevoegd: voortaan meldt u zich ook met een code aan.',
+  'mfa.remove': 'Verwijderen',
+  'mfa.remove_app': 'Deze app verwijderen',
+  'mfa.your_password': 'Uw wachtwoord',
+  'mfa.wrong_password': 'Onjuist wachtwoord.',
+  'mfa.cannot_remove_required': 'Aanmelden in twee stappen is voor u verplicht: voeg eerst een andere passkey of app toe.',
+  'mfa.cannot_remove_admin': 'Minstens twee beheerders (of alle, als het er minder zijn) moeten aanmelden in twee stappen houden zolang het beleid aan staat.',
+  'mfa.keep_admins': 'Nu niet: het beleid vereist minstens twee beheerders met aanmelden in twee stappen (of alle, als het er minder zijn).',
+  'mfa.removed': 'Verwijderd.',
+  'mfa.codes_title': 'Herstelcodes',
+  'mfa.codes_once': 'Bewaar deze codes op een veilige plek, niet bij uw telefoon. Elke code vervangt één keer een app-code. Ze worden alleen nu getoond.',
+  'mfa.codes_saved': 'Ik heb deze codes bewaard',
+  'mfa.codes_done': 'Klaar',
+  'mfa.codes_kept': 'Herstelcodes bewaard.',
+  'mfa.codes_left': 'Ongebruikte herstelcodes: {n}.',
+  'mfa.codes_after': 'U krijgt herstelcodes zodra u een passkey of authenticator-app toevoegt.',
+  'mfa.codes_low': 'Nog maar weinig herstelcodes: maak nieuwe.',
+  'mfa.codes_new': 'Nieuwe herstelcodes',
+  'mfa.codes_new_confirm': 'Nieuwe herstelcodes maken? De oude werken dan niet meer.',
+  'mfa.expired': 'Het aanmelden duurde te lang: meld u opnieuw aan.',
+  'mfa.step_title': 'Aanmelden in twee stappen',
+  'mfa.step_intro': 'Bevestig dat u het bent, {user}: gebruik een passkey of voer een code uit uw authenticator-app in.',
+  'mfa.code': 'Code',
+  'mfa.code_help': '6 cijfers uit de app, of een van uw herstelcodes.',
+  'mfa.verify': 'Controleren',
+  'mfa.cancel': 'Terug naar aanmelden',
+  'mfa.locked_out': 'Telefoon, sleutel en codes kwijt? Vraag een beheerder uw aanmelden in twee stappen te resetten.',
+  'mfa.wrong': 'Die code klopt niet of is al gebruikt.',
+  'mfa.column': 'Twee stappen',
+  'mfa.on': 'aan',
+  'mfa.off': 'uit',
+  'mfa.reset': 'Resetten',
+  'mfa.reason': 'Reden',
+  'mfa.reset_help': 'Verwijdert de apps en herstelcodes van {user} en meldt deze af. Wordt gelogd; de beheerders krijgen een e-mail.',
+  'mfa.reset_btn': 'Aanmelden in twee stappen resetten',
+  'mfa.reason_needed': 'Geef een reden voor de reset.',
+  'mfa.reset_done': 'Aanmelden in twee stappen van {user} gereset.',
+  'mfa.policy_title': 'Aanmelden in twee stappen',
+  'mfa.policy_label': 'Aanmelden in twee stappen verplicht voor',
+  'mfa.policy_off': 'Niemand (optioneel)',
+  'mfa.policy_admins': 'Beheerders',
+  'mfa.policy_all': 'Alle ontwikkelaars',
+  'mfa.grace': 'Overgangsperiode (dagen)',
+  'mfa.grace_help': 'Ontwikkelaars zonder app zien tot dan een herinnering; daarna alleen hun Beveiligingspagina.',
+  'mfa.policy_help': 'Beheerders met aanmelden in twee stappen: {enrolled} van {admins}. Verplichten kan pas met minstens twee (of alle, als het er minder zijn).',
+  'mfa.policy_save': 'Opslaan',
+  'mfa.policy_saved': 'Beleid voor twee stappen opgeslagen.',
+  'mfa.policy_needs_admins': 'Eerst moeten minstens twee beheerders (of alle, als het er minder zijn) aanmelden in twee stappen instellen, zodat niemand alleen buitengesloten raakt.',
+  'mfa.without': 'Zonder aanmelden in twee stappen: {list}.',
+  'mfa.cli_note': 'Buitengesloten? Op de server: pgkiln admin reset-2fa <developer> of pgkiln admin set-2fa-policy off.',
+  // ------------------------------------------------------------ Security: passkeys and trusted browsers (sprint 127)
+  'mfa.kind': 'Soort',
+  'mfa.kind_passkey': 'Passkeys',
+  'mfa.kind_app': 'Authenticator-apps',
+  'mfa.other_domain': 'voor {domain}',
+  'mfa.other_domain_help': 'Gemaakt voor {domain}: werkt niet op dit adres. Voeg hier een nieuwe passkey toe.',
+  'mfa.passkey_intro': 'Meld u aan met uw vingerafdruk, gezicht, schermvergrendeling of een beveiligingssleutel. Een passkey werkt alleen op deze site.',
+  'mfa.passkey_default': 'Passkey',
+  'mfa.add_passkey': 'Passkey toevoegen',
+  'mfa.passkey_needs_js': 'Een passkey toevoegen vraagt JavaScript; een authenticator-app werkt zonder.',
+  'mfa.passkey_failed': 'De passkey werkte niet. Probeer het opnieuw of gebruik een code.',
+  'mfa.passkey_known': 'Deze passkey is al toegevoegd.',
+  'mfa.passkey_added': 'Passkey toegevoegd: voortaan kunt u zich ermee aanmelden.',
+  'mfa.remove_passkey': 'Deze passkey verwijderen',
+  'mfa.use_passkey': 'Passkey gebruiken',
+  'mfa.trust_browser': 'Deze browser {days} dagen vertrouwen',
+  'mfa.trusted_title': 'Vertrouwde browsers',
+  'mfa.trusted_count': 'Browsers die de tweede stap overslaan: {n} (hoogstens {days} dagen).',
+  'mfa.trusted_off': 'Browsers vertrouwen staat uit.',
+  'mfa.forget_browsers': 'Vertrouwde browsers vergeten',
+  'mfa.browsers_forgotten': 'Elke browser vraagt weer om de tweede stap.',
+  'mfa.trust_days': 'Browser vertrouwen (dagen)',
+  'mfa.trust_days_help': 'Na de tweede stap mag een ontwikkelaar die in die browser zoveel dagen overslaan. 0: nooit.',
+  'mfa.passkey_needs_host': 'Passkeys hebben een hostnaam nodig, geen IP-adres ({host}): open de builder via localhost of de domeinnaam.',
 };

package/src/builder/i18n/pt.ts

@@ -1711,4 +1711,101 @@ export const pt: BuilderMessages = {
   'dev.not_found': 'Não encontrado.',
   'dev.role_changed': 'Papel alterado.',
   'dev.removed': 'Desenvolvedor removido.',
+  // ------------------------------------------------------------ Security: two-factor sign-in (sprint 126)
+  'mfa.menu': 'Login em duas etapas',
+  'mfa.title': 'Segurança',
+  'mfa.intro': 'Depois da senha, confirme que é você com uma chave de acesso (digital, rosto, chave de segurança) ou um código de um aplicativo autenticador. Os códigos de recuperação permitem entrar se você os perder.',
+  'mfa.required_you': 'Seu administrador exige login em duas etapas: adicione uma chave de acesso ou um aplicativo autenticador.',
+  'mfa.banner': 'O login em duas etapas é obrigatório. Configure-o antes de {date}: {link}',
+  'mfa.set_up_now': 'configurar agora',
+  'mfa.factors': 'Chaves de acesso e aplicativos autenticadores',
+  'mfa.app_name': 'Nome',
+  'mfa.app_default': 'Telefone',
+  'mfa.added': 'Adicionado',
+  'mfa.last_used': 'Último uso',
+  'mfa.no_apps': 'Nenhum segundo fator ainda: você entra apenas com sua senha.',
+  'mfa.add_app': 'Adicionar um aplicativo autenticador',
+  'mfa.no_key': 'O login em duas etapas precisa da chave da instância (PGKILN_SECRET_KEY) para guardar o segredo do aplicativo.',
+  'mfa.scan': 'Leia o código QR com um aplicativo autenticador.',
+  'mfa.or_enter': 'Ou digite esta chave à mão:',
+  'mfa.enter_code': 'Digite o código de 6 dígitos que o aplicativo mostra.',
+  'mfa.qr_label': 'Código QR para o aplicativo autenticador',
+  'mfa.confirm_app': 'Confirmar e ativar',
+  'mfa.cancel_setup': 'Cancelar',
+  'mfa.setup_expired': 'A configuração demorou demais: comece de novo.',
+  'mfa.wrong_setup': 'Esse código não confere: verifique a hora do telefone e tente o próximo código.',
+  'mfa.app_added': 'Aplicativo autenticador adicionado: a partir de agora você entra também com um código.',
+  'mfa.remove': 'Remover',
+  'mfa.remove_app': 'Remover este aplicativo',
+  'mfa.your_password': 'Sua senha',
+  'mfa.wrong_password': 'Senha incorreta.',
+  'mfa.cannot_remove_required': 'O login em duas etapas é obrigatório para você: adicione outra chave ou aplicativo antes de remover este.',
+  'mfa.cannot_remove_admin': 'Pelo menos dois administradores (ou todos, se forem menos) devem manter o login em duas etapas enquanto a política estiver ativa.',
+  'mfa.keep_admins': 'Agora não: a política exige pelo menos dois administradores com login em duas etapas (ou todos, se forem menos).',
+  'mfa.removed': 'Removido.',
+  'mfa.codes_title': 'Códigos de recuperação',
+  'mfa.codes_once': 'Guarde estes códigos em local seguro, longe do telefone. Cada um substitui uma vez um código do aplicativo. Eles são mostrados só agora.',
+  'mfa.codes_saved': 'Guardei estes códigos',
+  'mfa.codes_done': 'Concluído',
+  'mfa.codes_kept': 'Códigos de recuperação guardados.',
+  'mfa.codes_left': 'Códigos de recuperação não usados: {n}.',
+  'mfa.codes_after': 'Você recebe códigos de recuperação ao adicionar uma chave de acesso ou um aplicativo autenticador.',
+  'mfa.codes_low': 'Restam poucos códigos de recuperação: gere novos.',
+  'mfa.codes_new': 'Novos códigos de recuperação',
+  'mfa.codes_new_confirm': 'Gerar novos códigos de recuperação? Os antigos deixam de funcionar.',
+  'mfa.expired': 'O login demorou demais: entre novamente.',
+  'mfa.step_title': 'Login em duas etapas',
+  'mfa.step_intro': 'Confirme que é você, {user}: use uma chave de acesso ou digite um código do seu aplicativo autenticador.',
+  'mfa.code': 'Código',
+  'mfa.code_help': '6 dígitos do aplicativo ou um dos seus códigos de recuperação.',
+  'mfa.verify': 'Verificar',
+  'mfa.cancel': 'Voltar ao login',
+  'mfa.locked_out': 'Perdeu o telefone, a chave e os códigos? Peça a um administrador para redefinir seu login em duas etapas.',
+  'mfa.wrong': 'Esse código não está certo ou já foi usado.',
+  'mfa.column': 'Duas etapas',
+  'mfa.on': 'ativado',
+  'mfa.off': 'desativado',
+  'mfa.reset': 'Redefinir',
+  'mfa.reason': 'Motivo',
+  'mfa.reset_help': 'Remove os aplicativos e códigos de recuperação de {user} e encerra a sessão. Fica registrado; os administradores recebem um e-mail.',
+  'mfa.reset_btn': 'Redefinir o login em duas etapas',
+  'mfa.reason_needed': 'Informe um motivo para a redefinição.',
+  'mfa.reset_done': 'Login em duas etapas de {user} redefinido.',
+  'mfa.policy_title': 'Login em duas etapas',
+  'mfa.policy_label': 'Exigir login em duas etapas de',
+  'mfa.policy_off': 'Ninguém (opcional)',
+  'mfa.policy_admins': 'Administradores',
+  'mfa.policy_all': 'Todos os desenvolvedores',
+  'mfa.grace': 'Período de carência (dias)',
+  'mfa.grace_help': 'Desenvolvedores sem aplicativo veem um lembrete até lá; depois, só a página de Segurança.',
+  'mfa.policy_help': 'Administradores com login em duas etapas: {enrolled} de {admins}. Para exigir é preciso pelo menos dois (ou todos, se forem menos).',
+  'mfa.policy_save': 'Salvar',
+  'mfa.policy_saved': 'Política de duas etapas salva.',
+  'mfa.policy_needs_admins': 'Primeiro, pelo menos dois administradores (ou todos, se forem menos) configuram o login em duas etapas, para ninguém ficar bloqueado sozinho.',
+  'mfa.without': 'Sem login em duas etapas: {list}.',
+  'mfa.cli_note': 'Bloqueado? No servidor: pgkiln admin reset-2fa <developer> ou pgkiln admin set-2fa-policy off.',
+  // ------------------------------------------------------------ Security: passkeys and trusted browsers (sprint 127)
+  'mfa.kind': 'Tipo',
+  'mfa.kind_passkey': 'Chaves de acesso',
+  'mfa.kind_app': 'Aplicativos autenticadores',
+  'mfa.other_domain': 'para {domain}',
+  'mfa.other_domain_help': 'Criada para {domain}: não funciona neste endereço. Adicione aqui uma nova chave.',
+  'mfa.passkey_intro': 'Entre com sua digital, rosto, bloqueio de tela ou uma chave de segurança. Uma chave de acesso só funciona neste site.',
+  'mfa.passkey_default': 'Chave de acesso',
+  'mfa.add_passkey': 'Adicionar uma chave de acesso',
+  'mfa.passkey_needs_js': 'Adicionar uma chave de acesso exige JavaScript; um aplicativo autenticador funciona sem ele.',
+  'mfa.passkey_failed': 'A chave de acesso não funcionou. Tente de novo ou use um código.',
+  'mfa.passkey_known': 'Esta chave de acesso já foi adicionada.',
+  'mfa.passkey_added': 'Chave de acesso adicionada: a partir de agora você pode entrar com ela.',
+  'mfa.remove_passkey': 'Remover esta chave de acesso',
+  'mfa.use_passkey': 'Usar uma chave de acesso',
+  'mfa.trust_browser': 'Confiar neste navegador por {days} dias',
+  'mfa.trusted_title': 'Navegadores confiáveis',
+  'mfa.trusted_count': 'Navegadores que pulam a segunda etapa: {n} (até {days} dias).',
+  'mfa.trusted_off': 'A confiança em navegadores está desativada.',
+  'mfa.forget_browsers': 'Esquecer os navegadores confiáveis',
+  'mfa.browsers_forgotten': 'Todos os navegadores voltam a pedir a segunda etapa.',
+  'mfa.trust_days': 'Confiar em um navegador (dias)',
+  'mfa.trust_days_help': 'Depois da segunda etapa, um desenvolvedor pode pulá-la naquele navegador por estes dias. 0: nunca.',
+  'mfa.passkey_needs_host': 'Chaves de acesso precisam de um nome de host, não de um endereço IP ({host}): abra o construtor em localhost ou no nome de domínio.',
 };

package/src/builder/instance.ts

@@ -3,6 +3,7 @@ import { html } from '../html.ts';
 import { configurationValue, CONFIGURATION, INSTANCE_SETTINGS, instanceSetting, origin, refreshInstanceSettings, saveInstanceSettings } from '../instance.ts';
 import { clientIp, logActivity, type Session } from '../session.ts';
 import { isAdmin } from './locks.ts';
+import { policyRegion } from './security.ts';
 import { releaseCheckRegion } from './workspace-home.ts';
 import { back, BASE, csrf, developer, flash, region, send, shell, type Req } from './ui.ts';
 
@@ -39,6 +40,7 @@ export async function instanceRoutes(app: FastifyInstance) {
           })}</div>
           <div class="buttons"><button class="btn btn-hot">Save</button></div></form>`)}
         ${await releaseCheckRegion(s)}
+        ${await policyRegion(s)}
         ${region('Configuration', html`<p class="muted u-mt0">Environment variables of this server (chapter 1 of the guide). Secrets show only whether they are set.</p>
           <div class="table-wrap"><table class="report report-reflow"><thead><tr><th>Variable</th><th>Value</th><th>Purpose</th></tr></thead>
           <tbody>${CONFIGURATION.map((c) => {