pgkiln 0.61.0 → 0.63.0

package/src/builder/i18n/en.ts

@@ -1811,4 +1811,66 @@ export const en = {
   'mfa.trust_days': 'Trust a browser (days)',
   'mfa.trust_days_help': 'After the second step a developer may skip it in that browser for this many days. 0: never.',
   'mfa.passkey_needs_host': 'Passkeys need a host name, not an IP address ({host}): open the builder at localhost or its domain name.',
+  'signin.passkey': 'Sign in with a passkey',
+  'mfa.passkey_signin': 'Developers may sign in with a passkey alone (no password)',
+  'mfa.passkey_signin_help': 'Only when the device checked the developer (fingerprint, face or PIN): the passkey then counts as both factors.',
+  'mfa.weak_required': 'Two-factor sign-in is required: change the default password before you continue.',
+  'wsp.mfa': 'Two-factor sign-in',
+  'wsp.mfa_required': 'Require two-factor sign-in of this workspace’s developers',
+  'wsp.mfa_required_help': 'On top of the instance’s policy. Developers without a passkey or authenticator app get the instance’s grace period, then only their Security page.',
+  'wsp.mfa_since': 'Required since {date}.',
+  'wsp.mfa_without': 'Not set up yet: {list}.',
+  'wsp.mfa_save': 'Save two-factor rule',
+  'wsp.mfa_on': 'This workspace’s developers need two-factor sign-in.',
+  'wsp.mfa_off': 'The workspace no longer requires two-factor sign-in (the instance’s policy still applies).',
+  'signin.method': 'Sign in with',
+  'signin.method_pgkiln': 'pgkiln account',
+  'signin.with': 'Sign in with {provider}',
+  'signin.ldap_unavailable': '{directory} cannot be reached. Try again later.',
+  'signin.sso_required': 'Your workspace requires single sign-on: use your identity provider.',
+  'signin.sso_unavailable': '{provider} cannot be reached. Try again later.',
+  'bsso.title': 'Builder sign-in',
+  'bsso.intro': 'Developers can sign in to the builder with this provider too. They are found by the identity they linked, never by name alone.',
+  'bsso.on': 'Developers can sign in to the builder with it',
+  'bsso.on_help': 'The sign-in page shows it. Signing in this way skips pgkiln’s own second factor: the provider decides.',
+  'bsso.auto_create': 'Create developers on their first sign-in',
+  'bsso.auto_create_help': 'For members of the developers group below (anyone, when it is empty). New developers join the Default workspace.',
+  'bsso.link_existing': 'Link an existing developer with the same user name',
+  'bsso.link_existing_help': 'Once, on the first sign-in; never a break-glass administrator. Turn it on only when the provider’s user names are yours to trust. Otherwise developers link the identity on their Security page.',
+  'bsso.group': 'Developers group',
+  'bsso.group_help': 'Only its members get a developer account. Empty: anyone the provider signs in.',
+  'bsso.admin_group': 'Administrators group',
+  'bsso.admin_group_help': 'When set, its members are instance administrators and others are not, checked at every sign-in (break-glass administrators keep their role).',
+  'bsso.save': 'Save builder sign-in',
+  'bsso.saved': 'Builder sign-in saved.',
+  'bsso.linked': 'Linked developers',
+  'bsso.none_linked': 'No developer is linked yet.',
+  'bsso.unlink': 'Unlink',
+  'bsso.unlink_confirm': 'Unlink {user}? They sign in with the password, or link again.',
+  'bsso.unlink_mine_confirm': 'Unlink {provider}? You can link it again.',
+  'bsso.unlinked': 'The identity is unlinked.',
+  'bsso.keep_one': 'A workspace requires single sign-on of this developer: keep one linked identity.',
+  'bsso.yours': 'Single sign-on',
+  'bsso.yours_intro': 'The identity providers you can sign in to the builder with.',
+  'bsso.none_yours': 'No identity linked yet.',
+  'bsso.link': 'Link {provider}',
+  'bsso.linked_now': '{provider} is linked: you can sign in with it.',
+  'bsso.directories_note': 'An LDAP directory is linked when you first sign in with it (an administrator allows that per directory).',
+  'bsso.break_glass': 'break-glass',
+  'bsso.break_glass_help': 'May sign in with the pgkiln password where a workspace requires single sign-on, for when the identity provider fails.',
+  'bsso.break_glass_make': 'Make break-glass',
+  'bsso.break_glass_remove': 'Remove break-glass',
+  'bsso.break_glass_on': '{user} is a break-glass administrator. Give them a second factor too.',
+  'bsso.break_glass_off': '{user} is no longer a break-glass administrator.',
+  'bsso.break_glass_admins': 'Only administrators can have break-glass access.',
+  'bsso.keep_break_glass': 'A workspace requires single sign-on: keep at least one break-glass administrator.',
+  'wsp.sso': 'Single sign-on',
+  'wsp.sso_only': 'This workspace’s developers must sign in through an identity provider',
+  'wsp.sso_only_help': 'Or an LDAP directory. The pgkiln password and a passkey alone are refused, except for break-glass administrators. `pgkiln admin builder-sign-in password` turns it off.',
+  'wsp.sso_unlinked': 'No linked identity yet (they cannot sign in): {list}.',
+  'wsp.sso_save': 'Save single sign-on rule',
+  'wsp.sso_on': 'This workspace’s developers must use single sign-on.',
+  'wsp.sso_off': 'The workspace’s developers may use the pgkiln password again.',
+  'wsp.sso_no_break_glass': 'Make an administrator break-glass first (Developers), so someone can still sign in when the identity provider fails.',
+  'wsp.sso_link_first': 'Link an identity on your Security page first, or you could not sign in yourself.',
 } as const;

package/src/builder/i18n/es.ts

@@ -1808,4 +1808,66 @@ export const es: BuilderMessages = {
   'mfa.trust_days': 'Confiar en un navegador (días)',
   'mfa.trust_days_help': 'Tras el segundo paso, un desarrollador puede omitirlo en ese navegador durante estos días. 0: nunca.',
   'mfa.passkey_needs_host': 'Las llaves de acceso necesitan un nombre de host, no una dirección IP ({host}): abra el constructor en localhost o en su nombre de dominio.',
+  'signin.passkey': 'Iniciar sesión con una llave de acceso',
+  'mfa.passkey_signin': 'Los desarrolladores pueden iniciar sesión solo con una llave de acceso (sin contraseña)',
+  'mfa.passkey_signin_help': 'Solo cuando el dispositivo verificó al desarrollador (huella, rostro o PIN): la llave cuenta entonces como ambos factores.',
+  'mfa.weak_required': 'El inicio de sesión en dos pasos es obligatorio: cambie la contraseña predeterminada antes de continuar.',
+  'wsp.mfa': 'Inicio de sesión en dos pasos',
+  'wsp.mfa_required': 'Exigir el inicio de sesión en dos pasos a los desarrolladores de este espacio de trabajo',
+  'wsp.mfa_required_help': 'Además de la política de la instancia. Los desarrolladores sin llave de acceso ni app de autenticación tienen el periodo de gracia de la instancia y después solo su página de seguridad.',
+  'wsp.mfa_since': 'Obligatorio desde {date}.',
+  'wsp.mfa_without': 'Aún sin configurar: {list}.',
+  'wsp.mfa_save': 'Guardar la regla de dos pasos',
+  'wsp.mfa_on': 'Los desarrolladores de este espacio de trabajo necesitan el inicio de sesión en dos pasos.',
+  'wsp.mfa_off': 'El espacio de trabajo ya no exige el inicio de sesión en dos pasos (la política de la instancia sigue vigente).',
+  'signin.method': 'Iniciar sesión con',
+  'signin.method_pgkiln': 'Cuenta de pgkiln',
+  'signin.with': 'Iniciar sesión con {provider}',
+  'signin.ldap_unavailable': 'No se puede acceder a {directory}. Inténtelo más tarde.',
+  'signin.sso_required': 'Su espacio de trabajo exige el inicio de sesión único: use su proveedor de identidad.',
+  'signin.sso_unavailable': 'No se puede acceder a {provider}. Inténtelo más tarde.',
+  'bsso.title': 'Inicio de sesión en el builder',
+  'bsso.intro': 'Los desarrolladores también pueden iniciar sesión en el builder con este proveedor. Se les identifica por la identidad vinculada, nunca solo por el nombre.',
+  'bsso.on': 'Los desarrolladores pueden iniciar sesión en el builder con él',
+  'bsso.on_help': 'La página de inicio de sesión lo muestra. Así se omite el segundo factor propio de pgkiln: decide el proveedor.',
+  'bsso.auto_create': 'Crear desarrolladores en su primer inicio de sesión',
+  'bsso.auto_create_help': 'Para los miembros del grupo de desarrolladores de abajo (cualquiera, si está vacío). Los nuevos desarrolladores entran en el espacio de trabajo Default.',
+  'bsso.link_existing': 'Vincular un desarrollador existente con el mismo nombre de usuario',
+  'bsso.link_existing_help': 'Una vez, en el primer inicio de sesión; nunca un administrador de emergencia. Actívelo solo si confía en los nombres de usuario del proveedor. Si no, los desarrolladores vinculan la identidad en su página de seguridad.',
+  'bsso.group': 'Grupo de desarrolladores',
+  'bsso.group_help': 'Solo sus miembros reciben una cuenta de desarrollador. Vacío: cualquiera que el proveedor autentique.',
+  'bsso.admin_group': 'Grupo de administradores',
+  'bsso.admin_group_help': 'Si se indica, sus miembros son administradores de la instancia y los demás no; se comprueba en cada inicio de sesión (los administradores de emergencia conservan su rol).',
+  'bsso.save': 'Guardar el inicio de sesión en el builder',
+  'bsso.saved': 'Inicio de sesión en el builder guardado.',
+  'bsso.linked': 'Desarrolladores vinculados',
+  'bsso.none_linked': 'Aún no hay ningún desarrollador vinculado.',
+  'bsso.unlink': 'Desvincular',
+  'bsso.unlink_confirm': '¿Desvincular a {user}? Iniciará sesión con la contraseña o volverá a vincular.',
+  'bsso.unlink_mine_confirm': '¿Desvincular {provider}? Puede volver a vincularlo.',
+  'bsso.unlinked': 'La identidad está desvinculada.',
+  'bsso.keep_one': 'Un espacio de trabajo exige a este desarrollador el inicio de sesión único: mantenga una identidad vinculada.',
+  'bsso.yours': 'Inicio de sesión único',
+  'bsso.yours_intro': 'Los proveedores de identidad con los que puede iniciar sesión en el builder.',
+  'bsso.none_yours': 'Aún no hay ninguna identidad vinculada.',
+  'bsso.link': 'Vincular {provider}',
+  'bsso.linked_now': '{provider} está vinculado: puede iniciar sesión con él.',
+  'bsso.directories_note': 'Un directorio LDAP se vincula la primera vez que inicia sesión con él (un administrador lo permite por directorio).',
+  'bsso.break_glass': 'de emergencia',
+  'bsso.break_glass_help': 'Puede iniciar sesión con la contraseña de pgkiln donde un espacio de trabajo exige el inicio de sesión único, por si falla el proveedor de identidad.',
+  'bsso.break_glass_make': 'Dar acceso de emergencia',
+  'bsso.break_glass_remove': 'Quitar acceso de emergencia',
+  'bsso.break_glass_on': '{user} es administrador de emergencia. Configúrele también un segundo factor.',
+  'bsso.break_glass_off': '{user} ya no es administrador de emergencia.',
+  'bsso.break_glass_admins': 'Solo los administradores pueden tener acceso de emergencia.',
+  'bsso.keep_break_glass': 'Un espacio de trabajo exige el inicio de sesión único: mantenga al menos un administrador de emergencia.',
+  'wsp.sso': 'Inicio de sesión único',
+  'wsp.sso_only': 'Los desarrolladores de este espacio de trabajo deben iniciar sesión mediante un proveedor de identidad',
+  'wsp.sso_only_help': 'O un directorio LDAP. Se rechazan la contraseña de pgkiln y una llave de acceso sola, salvo para los administradores de emergencia. `pgkiln admin builder-sign-in password` lo desactiva.',
+  'wsp.sso_unlinked': 'Aún sin identidad vinculada (no pueden iniciar sesión): {list}.',
+  'wsp.sso_save': 'Guardar la regla de inicio de sesión único',
+  'wsp.sso_on': 'Los desarrolladores de este espacio de trabajo deben usar el inicio de sesión único.',
+  'wsp.sso_off': 'Los desarrolladores del espacio de trabajo pueden volver a usar la contraseña de pgkiln.',
+  'wsp.sso_no_break_glass': 'Primero dé acceso de emergencia a un administrador (Desarrolladores), para que alguien pueda entrar si falla el proveedor de identidad.',
+  'wsp.sso_link_first': 'Vincule primero una identidad en su página de seguridad, o usted mismo no podría iniciar sesión.',
 };

package/src/builder/i18n/fr.ts

@@ -1808,4 +1808,66 @@ export const fr: BuilderMessages = {
   'mfa.trust_days': 'Faire confiance à un navigateur (jours)',
   'mfa.trust_days_help': 'Après la seconde étape, un développeur peut la passer dans ce navigateur pendant ce nombre de jours. 0 : jamais.',
   'mfa.passkey_needs_host': 'Les clés d’accès ont besoin d’un nom d’hôte, pas d’une adresse IP ({host}) : ouvrez le builder sur localhost ou son nom de domaine.',
+  'signin.passkey': 'Se connecter avec une clé d’accès',
+  'mfa.passkey_signin': 'Les développeurs peuvent se connecter avec une clé d’accès seule (sans mot de passe)',
+  'mfa.passkey_signin_help': 'Seulement quand l’appareil a vérifié le développeur (empreinte, visage ou code PIN) : la clé compte alors pour les deux facteurs.',
+  'mfa.weak_required': 'La connexion à deux facteurs est obligatoire : changez le mot de passe par défaut avant de continuer.',
+  'wsp.mfa': 'Connexion à deux facteurs',
+  'wsp.mfa_required': 'Exiger la connexion à deux facteurs des développeurs de cet espace de travail',
+  'wsp.mfa_required_help': 'En plus de la politique de l’instance. Les développeurs sans clé d’accès ni application d’authentification ont le délai de grâce de l’instance, puis seulement leur page Sécurité.',
+  'wsp.mfa_since': 'Obligatoire depuis le {date}.',
+  'wsp.mfa_without': 'Pas encore configuré : {list}.',
+  'wsp.mfa_save': 'Enregistrer la règle à deux facteurs',
+  'wsp.mfa_on': 'Les développeurs de cet espace de travail ont besoin de la connexion à deux facteurs.',
+  'wsp.mfa_off': 'L’espace de travail n’exige plus la connexion à deux facteurs (la politique de l’instance s’applique toujours).',
+  'signin.method': 'Se connecter avec',
+  'signin.method_pgkiln': 'Compte pgkiln',
+  'signin.with': 'Se connecter avec {provider}',
+  'signin.ldap_unavailable': '{directory} est injoignable. Réessayez plus tard.',
+  'signin.sso_required': 'Votre espace de travail exige l’authentification unique : utilisez votre fournisseur d’identité.',
+  'signin.sso_unavailable': '{provider} est injoignable. Réessayez plus tard.',
+  'bsso.title': 'Connexion au builder',
+  'bsso.intro': 'Les développeurs peuvent aussi se connecter au builder avec ce fournisseur. Ils sont reconnus par l’identité liée, jamais par le seul nom.',
+  'bsso.on': 'Les développeurs peuvent s’en servir pour se connecter au builder',
+  'bsso.on_help': 'La page de connexion l’affiche. Cette connexion se passe du second facteur de pgkiln : le fournisseur décide.',
+  'bsso.auto_create': 'Créer les développeurs à leur première connexion',
+  'bsso.auto_create_help': 'Pour les membres du groupe de développeurs ci-dessous (tout le monde s’il est vide). Les nouveaux développeurs rejoignent l’espace de travail Default.',
+  'bsso.link_existing': 'Lier un développeur existant ayant le même nom d’utilisateur',
+  'bsso.link_existing_help': 'Une fois, à la première connexion ; jamais un administrateur de secours. À activer seulement si vous faites confiance aux noms d’utilisateur du fournisseur. Sinon, les développeurs lient l’identité sur leur page Sécurité.',
+  'bsso.group': 'Groupe des développeurs',
+  'bsso.group_help': 'Seuls ses membres reçoivent un compte de développeur. Vide : toute personne que le fournisseur connecte.',
+  'bsso.admin_group': 'Groupe des administrateurs',
+  'bsso.admin_group_help': 'Si renseigné, ses membres sont administrateurs de l’instance et les autres non, vérifié à chaque connexion (les administrateurs de secours gardent leur rôle).',
+  'bsso.save': 'Enregistrer la connexion au builder',
+  'bsso.saved': 'Connexion au builder enregistrée.',
+  'bsso.linked': 'Développeurs liés',
+  'bsso.none_linked': 'Aucun développeur n’est encore lié.',
+  'bsso.unlink': 'Délier',
+  'bsso.unlink_confirm': 'Délier {user} ? La personne se connecte avec le mot de passe ou lie à nouveau.',
+  'bsso.unlink_mine_confirm': 'Délier {provider} ? Vous pourrez le lier à nouveau.',
+  'bsso.unlinked': 'L’identité est déliée.',
+  'bsso.keep_one': 'Un espace de travail exige l’authentification unique de ce développeur : gardez une identité liée.',
+  'bsso.yours': 'Authentification unique',
+  'bsso.yours_intro': 'Les fournisseurs d’identité avec lesquels vous pouvez vous connecter au builder.',
+  'bsso.none_yours': 'Aucune identité liée pour l’instant.',
+  'bsso.link': 'Lier {provider}',
+  'bsso.linked_now': '{provider} est lié : vous pouvez vous connecter avec.',
+  'bsso.directories_note': 'Un annuaire LDAP est lié à votre première connexion avec lui (un administrateur l’autorise par annuaire).',
+  'bsso.break_glass': 'de secours',
+  'bsso.break_glass_help': 'Peut se connecter avec le mot de passe pgkiln là où un espace de travail exige l’authentification unique, au cas où le fournisseur d’identité tombe en panne.',
+  'bsso.break_glass_make': 'Donner l’accès de secours',
+  'bsso.break_glass_remove': 'Retirer l’accès de secours',
+  'bsso.break_glass_on': '{user} est administrateur de secours. Donnez-lui aussi un second facteur.',
+  'bsso.break_glass_off': '{user} n’est plus administrateur de secours.',
+  'bsso.break_glass_admins': 'Seuls les administrateurs peuvent avoir l’accès de secours.',
+  'bsso.keep_break_glass': 'Un espace de travail exige l’authentification unique : gardez au moins un administrateur de secours.',
+  'wsp.sso': 'Authentification unique',
+  'wsp.sso_only': 'Les développeurs de cet espace de travail doivent se connecter via un fournisseur d’identité',
+  'wsp.sso_only_help': 'Ou un annuaire LDAP. Le mot de passe pgkiln et une clé d’accès seule sont refusés, sauf pour les administrateurs de secours. `pgkiln admin builder-sign-in password` le désactive.',
+  'wsp.sso_unlinked': 'Pas encore d’identité liée (ne peuvent pas se connecter) : {list}.',
+  'wsp.sso_save': 'Enregistrer la règle d’authentification unique',
+  'wsp.sso_on': 'Les développeurs de cet espace de travail doivent utiliser l’authentification unique.',
+  'wsp.sso_off': 'Les développeurs de l’espace de travail peuvent de nouveau utiliser le mot de passe pgkiln.',
+  'wsp.sso_no_break_glass': 'Donnez d’abord l’accès de secours à un administrateur (Développeurs), pour que quelqu’un puisse se connecter si le fournisseur d’identité tombe en panne.',
+  'wsp.sso_link_first': 'Liez d’abord une identité sur votre page Sécurité, sinon vous ne pourriez plus vous connecter.',
 };

package/src/builder/i18n/nl.ts

@@ -1808,4 +1808,66 @@ export const nl: BuilderMessages = {
   'mfa.trust_days': 'Browser vertrouwen (dagen)',
   'mfa.trust_days_help': 'Na de tweede stap mag een ontwikkelaar die in die browser zoveel dagen overslaan. 0: nooit.',
   'mfa.passkey_needs_host': 'Passkeys hebben een hostnaam nodig, geen IP-adres ({host}): open de builder via localhost of de domeinnaam.',
+  'signin.passkey': 'Aanmelden met een passkey',
+  'mfa.passkey_signin': 'Ontwikkelaars mogen alleen met een passkey aanmelden (zonder wachtwoord)',
+  'mfa.passkey_signin_help': 'Alleen als het apparaat de ontwikkelaar heeft gecontroleerd (vingerafdruk, gezicht of pincode): de passkey telt dan als beide factoren.',
+  'mfa.weak_required': 'Tweestapsaanmelding is verplicht: wijzig het standaardwachtwoord voordat u verdergaat.',
+  'wsp.mfa': 'Tweestapsaanmelding',
+  'wsp.mfa_required': 'Tweestapsaanmelding verplichten voor de ontwikkelaars van deze werkruimte',
+  'wsp.mfa_required_help': 'Bovenop het beleid van de instantie. Ontwikkelaars zonder passkey of authenticator-app krijgen de overgangstermijn van de instantie, daarna alleen hun beveiligingspagina.',
+  'wsp.mfa_since': 'Verplicht sinds {date}.',
+  'wsp.mfa_without': 'Nog niet ingesteld: {list}.',
+  'wsp.mfa_save': 'Tweestapsregel opslaan',
+  'wsp.mfa_on': 'De ontwikkelaars van deze werkruimte hebben tweestapsaanmelding nodig.',
+  'wsp.mfa_off': 'De werkruimte verplicht geen tweestapsaanmelding meer (het beleid van de instantie blijft gelden).',
+  'signin.method': 'Aanmelden met',
+  'signin.method_pgkiln': 'pgkiln-account',
+  'signin.with': 'Aanmelden met {provider}',
+  'signin.ldap_unavailable': '{directory} is niet bereikbaar. Probeer het later opnieuw.',
+  'signin.sso_required': 'Uw werkruimte vereist single sign-on: gebruik uw identiteitsprovider.',
+  'signin.sso_unavailable': '{provider} is niet bereikbaar. Probeer het later opnieuw.',
+  'bsso.title': 'Aanmelden bij de builder',
+  'bsso.intro': 'Ontwikkelaars kunnen met deze provider ook bij de builder aanmelden. Ze worden gevonden via de gekoppelde identiteit, nooit alleen via de naam.',
+  'bsso.on': 'Ontwikkelaars kunnen hiermee bij de builder aanmelden',
+  'bsso.on_help': 'De aanmeldpagina toont hem. Zo aanmelden slaat de eigen tweede factor van pgkiln over: de provider beslist.',
+  'bsso.auto_create': 'Ontwikkelaars aanmaken bij hun eerste aanmelding',
+  'bsso.auto_create_help': 'Voor leden van de ontwikkelaarsgroep hieronder (iedereen als die leeg is). Nieuwe ontwikkelaars komen in de werkruimte Default.',
+  'bsso.link_existing': 'Een bestaande ontwikkelaar met dezelfde gebruikersnaam koppelen',
+  'bsso.link_existing_help': 'Eenmalig, bij de eerste aanmelding; nooit een noodbeheerder. Zet het alleen aan als u de gebruikersnamen van de provider vertrouwt. Anders koppelen ontwikkelaars de identiteit op hun beveiligingspagina.',
+  'bsso.group': 'Ontwikkelaarsgroep',
+  'bsso.group_help': 'Alleen de leden krijgen een ontwikkelaarsaccount. Leeg: iedereen die de provider aanmeldt.',
+  'bsso.admin_group': 'Beheerdersgroep',
+  'bsso.admin_group_help': 'Indien ingevuld zijn de leden beheerder van de instantie en anderen niet, gecontroleerd bij elke aanmelding (noodbeheerders houden hun rol).',
+  'bsso.save': 'Aanmelden bij de builder opslaan',
+  'bsso.saved': 'Aanmelden bij de builder opgeslagen.',
+  'bsso.linked': 'Gekoppelde ontwikkelaars',
+  'bsso.none_linked': 'Nog geen ontwikkelaar gekoppeld.',
+  'bsso.unlink': 'Ontkoppelen',
+  'bsso.unlink_confirm': '{user} ontkoppelen? Diegene meldt zich aan met het wachtwoord of koppelt opnieuw.',
+  'bsso.unlink_mine_confirm': '{provider} ontkoppelen? U kunt het opnieuw koppelen.',
+  'bsso.unlinked': 'De identiteit is ontkoppeld.',
+  'bsso.keep_one': 'Een werkruimte vereist single sign-on van deze ontwikkelaar: houd één gekoppelde identiteit.',
+  'bsso.yours': 'Single sign-on',
+  'bsso.yours_intro': 'De identiteitsproviders waarmee u bij de builder kunt aanmelden.',
+  'bsso.none_yours': 'Nog geen identiteit gekoppeld.',
+  'bsso.link': '{provider} koppelen',
+  'bsso.linked_now': '{provider} is gekoppeld: u kunt ermee aanmelden.',
+  'bsso.directories_note': 'Een LDAP-directory wordt gekoppeld als u er voor het eerst mee aanmeldt (een beheerder staat dat per directory toe).',
+  'bsso.break_glass': 'noodtoegang',
+  'bsso.break_glass_help': 'Mag met het pgkiln-wachtwoord aanmelden waar een werkruimte single sign-on vereist, voor als de identiteitsprovider uitvalt.',
+  'bsso.break_glass_make': 'Noodtoegang geven',
+  'bsso.break_glass_remove': 'Noodtoegang intrekken',
+  'bsso.break_glass_on': '{user} is noodbeheerder. Geef diegene ook een tweede factor.',
+  'bsso.break_glass_off': '{user} is geen noodbeheerder meer.',
+  'bsso.break_glass_admins': 'Alleen beheerders kunnen noodtoegang hebben.',
+  'bsso.keep_break_glass': 'Een werkruimte vereist single sign-on: houd minstens één noodbeheerder.',
+  'wsp.sso': 'Single sign-on',
+  'wsp.sso_only': 'De ontwikkelaars van deze werkruimte moeten aanmelden via een identiteitsprovider',
+  'wsp.sso_only_help': 'Of een LDAP-directory. Het pgkiln-wachtwoord en alleen een passkey worden geweigerd, behalve voor noodbeheerders. `pgkiln admin builder-sign-in password` zet het uit.',
+  'wsp.sso_unlinked': 'Nog geen gekoppelde identiteit (kunnen niet aanmelden): {list}.',
+  'wsp.sso_save': 'Single-sign-onregel opslaan',
+  'wsp.sso_on': 'De ontwikkelaars van deze werkruimte moeten single sign-on gebruiken.',
+  'wsp.sso_off': 'De ontwikkelaars van de werkruimte mogen weer het pgkiln-wachtwoord gebruiken.',
+  'wsp.sso_no_break_glass': 'Geef eerst een beheerder noodtoegang (Ontwikkelaars), zodat iemand kan aanmelden als de identiteitsprovider uitvalt.',
+  'wsp.sso_link_first': 'Koppel eerst een identiteit op uw beveiligingspagina, anders kunt u zelf niet aanmelden.',
 };

package/src/builder/i18n/pt.ts

@@ -1808,4 +1808,66 @@ export const pt: BuilderMessages = {
   'mfa.trust_days': 'Confiar em um navegador (dias)',
   'mfa.trust_days_help': 'Depois da segunda etapa, um desenvolvedor pode pulá-la naquele navegador por estes dias. 0: nunca.',
   'mfa.passkey_needs_host': 'Chaves de acesso precisam de um nome de host, não de um endereço IP ({host}): abra o construtor em localhost ou no nome de domínio.',
+  'signin.passkey': 'Entrar com uma chave de acesso',
+  'mfa.passkey_signin': 'Os desenvolvedores podem entrar só com uma chave de acesso (sem senha)',
+  'mfa.passkey_signin_help': 'Só quando o dispositivo verificou o desenvolvedor (impressão digital, rosto ou PIN): a chave conta então como os dois fatores.',
+  'mfa.weak_required': 'O login em duas etapas é obrigatório: altere a senha padrão antes de continuar.',
+  'wsp.mfa': 'Login em duas etapas',
+  'wsp.mfa_required': 'Exigir login em duas etapas dos desenvolvedores deste espaço de trabalho',
+  'wsp.mfa_required_help': 'Além da política da instância. Desenvolvedores sem chave de acesso ou app autenticador têm o período de carência da instância e depois só a página de segurança.',
+  'wsp.mfa_since': 'Obrigatório desde {date}.',
+  'wsp.mfa_without': 'Ainda não configurado: {list}.',
+  'wsp.mfa_save': 'Salvar a regra de duas etapas',
+  'wsp.mfa_on': 'Os desenvolvedores deste espaço de trabalho precisam do login em duas etapas.',
+  'wsp.mfa_off': 'O espaço de trabalho já não exige login em duas etapas (a política da instância continua valendo).',
+  'signin.method': 'Entrar com',
+  'signin.method_pgkiln': 'Conta do pgkiln',
+  'signin.with': 'Entrar com {provider}',
+  'signin.ldap_unavailable': 'Não é possível acessar {directory}. Tente mais tarde.',
+  'signin.sso_required': 'Seu espaço de trabalho exige login único: use seu provedor de identidade.',
+  'signin.sso_unavailable': 'Não é possível acessar {provider}. Tente mais tarde.',
+  'bsso.title': 'Login no builder',
+  'bsso.intro': 'Os desenvolvedores também podem entrar no builder com este provedor. Eles são reconhecidos pela identidade vinculada, nunca só pelo nome.',
+  'bsso.on': 'Os desenvolvedores podem entrar no builder com ele',
+  'bsso.on_help': 'A página de login o mostra. Entrar assim dispensa o segundo fator do próprio pgkiln: o provedor decide.',
+  'bsso.auto_create': 'Criar desenvolvedores no primeiro login',
+  'bsso.auto_create_help': 'Para membros do grupo de desenvolvedores abaixo (qualquer um, se estiver vazio). Novos desenvolvedores entram no espaço de trabalho Default.',
+  'bsso.link_existing': 'Vincular um desenvolvedor existente com o mesmo nome de usuário',
+  'bsso.link_existing_help': 'Uma vez, no primeiro login; nunca um administrador de emergência. Ative só se confiar nos nomes de usuário do provedor. Caso contrário, os desenvolvedores vinculam a identidade na página de segurança.',
+  'bsso.group': 'Grupo de desenvolvedores',
+  'bsso.group_help': 'Só seus membros recebem uma conta de desenvolvedor. Vazio: qualquer pessoa que o provedor autentique.',
+  'bsso.admin_group': 'Grupo de administradores',
+  'bsso.admin_group_help': 'Se preenchido, seus membros são administradores da instância e os demais não, verificado a cada login (administradores de emergência mantêm a função).',
+  'bsso.save': 'Salvar o login no builder',
+  'bsso.saved': 'Login no builder salvo.',
+  'bsso.linked': 'Desenvolvedores vinculados',
+  'bsso.none_linked': 'Ainda não há desenvolvedor vinculado.',
+  'bsso.unlink': 'Desvincular',
+  'bsso.unlink_confirm': 'Desvincular {user}? A pessoa entra com a senha ou vincula de novo.',
+  'bsso.unlink_mine_confirm': 'Desvincular {provider}? Você pode vinculá-lo de novo.',
+  'bsso.unlinked': 'A identidade foi desvinculada.',
+  'bsso.keep_one': 'Um espaço de trabalho exige login único deste desenvolvedor: mantenha uma identidade vinculada.',
+  'bsso.yours': 'Login único',
+  'bsso.yours_intro': 'Os provedores de identidade com que você pode entrar no builder.',
+  'bsso.none_yours': 'Ainda não há identidade vinculada.',
+  'bsso.link': 'Vincular {provider}',
+  'bsso.linked_now': '{provider} está vinculado: você pode entrar com ele.',
+  'bsso.directories_note': 'Um diretório LDAP é vinculado no primeiro login com ele (um administrador permite isso por diretório).',
+  'bsso.break_glass': 'de emergência',
+  'bsso.break_glass_help': 'Pode entrar com a senha do pgkiln onde um espaço de trabalho exige login único, para quando o provedor de identidade falhar.',
+  'bsso.break_glass_make': 'Dar acesso de emergência',
+  'bsso.break_glass_remove': 'Remover acesso de emergência',
+  'bsso.break_glass_on': '{user} é administrador de emergência. Configure também um segundo fator.',
+  'bsso.break_glass_off': '{user} não é mais administrador de emergência.',
+  'bsso.break_glass_admins': 'Só administradores podem ter acesso de emergência.',
+  'bsso.keep_break_glass': 'Um espaço de trabalho exige login único: mantenha pelo menos um administrador de emergência.',
+  'wsp.sso': 'Login único',
+  'wsp.sso_only': 'Os desenvolvedores deste espaço de trabalho devem entrar por um provedor de identidade',
+  'wsp.sso_only_help': 'Ou um diretório LDAP. A senha do pgkiln e uma chave de acesso sozinha são recusadas, exceto para administradores de emergência. `pgkiln admin builder-sign-in password` desativa.',
+  'wsp.sso_unlinked': 'Ainda sem identidade vinculada (não podem entrar): {list}.',
+  'wsp.sso_save': 'Salvar a regra de login único',
+  'wsp.sso_on': 'Os desenvolvedores deste espaço de trabalho devem usar login único.',
+  'wsp.sso_off': 'Os desenvolvedores do espaço de trabalho podem voltar a usar a senha do pgkiln.',
+  'wsp.sso_no_break_glass': 'Primeiro dê acesso de emergência a um administrador (Desenvolvedores), para que alguém possa entrar se o provedor de identidade falhar.',
+  'wsp.sso_link_first': 'Vincule primeiro uma identidade na sua página de segurança, ou você mesmo não conseguiria entrar.',
 };

package/src/builder/ldap.ts

@@ -3,6 +3,7 @@ import { owner } from '../db.ts';
 import { html, raw } from '../html.ts';
 import { testDirectory, type Directory } from '../ldap.ts';
 import { administrator, back, BASE, csrf, flash, input, region, send, shell, type Req } from './ui.ts';
+import { builderSignInRegion } from './builder-sso.ts';
 
 // Users → LDAP directories: the directories an application's password form
 // can check (enabled per app under Settings → Sign-in methods). The bind
@@ -114,6 +115,7 @@ export async function ldapRoutes(app: FastifyInstance) {
           <form method="post" action="${BASE}/users/directories/${d.id}/test" class="search u-mwnone">${csrf(s)}
             <input name="username" placeholder="Username (optional)" aria-label="Username to look up" maxlength="100">
             <button class="btn">Test</button></form>`)}
+        ${await builderSignInRegion(s, 'directory', d)}
       </div>`;
     return send(reply, s, shell(s, d.display_name, [['Users', `${BASE}/users`], ['LDAP directories', `${BASE}/users/directories`], [d.display_name]], main, 'users'));
   });