pgkiln 0.62.0 → 0.64.0

package/src/devsso.ts

@@ -0,0 +1,149 @@
+import { randomBytes } from 'node:crypto';
+import { owner } from './db.ts';
+import { SsoError } from './sso.ts';
+
+// (sprint 129, SEC-1) Developers sign in to the builder through an identity
+// provider (OpenID Connect, SAML) or an LDAP directory that has "builder"
+// turned on. The rules, as for application accounts (sso.ts, ldap.ts):
+//  * a developer is found by the provider's stable subject
+//    (meta.developer_identity), never by a name the provider sends alone;
+//  * an existing developer with the same username is linked on the first
+//    sign-in only when the source allows it (builder_link_existing), with a
+//    verified e-mail address when that is the username, and never a
+//    break-glass developer; otherwise the developer links the identity
+//    themselves on the Security page, signed in;
+//  * a new developer is created when the source allows it
+//    (builder_auto_create), for members of builder_group when one is set;
+//  * builder_admin_group, when set, decides on every sign-in who is an
+//    instance administrator (break-glass developers and the last
+//    administrator are never demoted).
+// A workspace can require these sign-ins of its developers (sso_only);
+// break-glass developers may still use the pgkiln password.
+
+export interface BuilderSource {
+  kind: 'provider' | 'directory';
+  id: number;
+  name: string;
+  builder_auto_create: boolean;
+  builder_link_existing: boolean;
+  builder_group: string | null;
+  builder_admin_group: string | null;
+}
+
+export interface BuilderIdentity {
+  subject: string;
+  username: string;
+  name?: string | null;
+  email?: string | null;
+  /** false: the username is an unverified e-mail address and links nothing */
+  mayLink: boolean;
+  groups: string[];
+}
+
+const column = (k: BuilderSource['kind']) => (k === 'provider' ? 'provider_id' : 'directory_id');
+const validEmail = (v: unknown): v is string => typeof v === 'string' && /^[^@\s<>"(),;:\\]+@[^@\s<>"(),;:\\]+\.[^@\s<>"(),;:\\]+$/.test(v) && v.length <= 254;
+
+/** The providers and directories developers can sign in with. */
+export async function builderSources() {
+  const providers = (await owner.query<{ name: string; display_name: string }>('select name, display_name from meta.auth_provider where enabled and builder order by display_name')).rows;
+  const directories = (await owner.query<{ name: string; display_name: string }>('select name, display_name from meta.ldap_directory where enabled and builder order by display_name')).rows;
+  return { providers, directories };
+}
+
+export async function builderProvider(name: string) {
+  return owner.one('select * from meta.auth_provider where enabled and builder and name = $1', [name]);
+}
+export async function builderDirectory(name: string) {
+  return owner.one('select * from meta.ldap_directory where enabled and builder and name = $1', [name]);
+}
+
+/** The developer for an identity (see the rules above); throws SsoError when there is none. */
+export async function resolveDeveloper(src: BuilderSource, id: BuilderIdentity): Promise<string> {
+  const col = column(src.kind);
+  return owner.tx(async (c) => {
+    let username: string | undefined = (await c.query(`select username from meta.developer_identity where ${col} = $1 and subject = $2`, [src.id, id.subject])).rows[0]?.username;
+    if (!username) {
+      const existing = (
+        await c.query(
+          `select d.username, d.break_glass, exists (select 1 from meta.developer_identity i where i.username = d.username and i.${col} = $2) as linked
+             from meta.developer d where lower(d.username) = lower($1)`,
+          [id.username, src.id],
+        )
+      ).rows[0];
+      if (existing) {
+        if (existing.linked) throw new SsoError('This developer is already linked to another identity here.');
+        if (!src.builder_link_existing || !id.mayLink || existing.break_glass)
+          throw new SsoError(`A developer "${existing.username}" exists but is not linked to this identity. Sign in with the password and link it on the Security page.`);
+        username = existing.username as string;
+      } else {
+        const member = !src.builder_group || id.groups.includes(src.builder_group) || (!!src.builder_admin_group && id.groups.includes(src.builder_admin_group));
+        if (!src.builder_auto_create || !member) throw new SsoError(`There is no developer "${id.username}". Ask an administrator for access.`);
+        // a password nobody knows: the developer signs in through the provider (an administrator can set one)
+        username = (
+          await c.query(
+            `insert into meta.developer (username, password_hash, is_admin, email) values ($1, crypt($2, gen_salt('bf', 10)), false, $3) returning username`,
+            [id.username, randomBytes(32).toString('base64url'), validEmail(id.email) ? id.email : null],
+          )
+        ).rows[0].username;
+      }
+      await c.query(`insert into meta.developer_identity (${col}, subject, username) values ($1, $2, $3)`, [src.id, id.subject, username]);
+    }
+    if (src.builder_admin_group) {
+      const admin = id.groups.includes(src.builder_admin_group);
+      // never the last administrator either: the instance would have none
+      await c.query(
+        `update meta.developer set is_admin = $2 where username = $1 and is_admin <> $2
+            and ($2 or (not break_glass and (select count(*) from meta.developer where is_admin) > 1))`,
+        [username, admin],
+      );
+    }
+    return username!;
+  });
+}
+
+/** Link an identity to a signed-in developer (Security page). */
+export async function linkDeveloper(src: Pick<BuilderSource, 'kind' | 'id'>, subject: string, username: string) {
+  const col = column(src.kind);
+  const other = await owner.one(`select username from meta.developer_identity where ${col} = $1 and (subject = $2 or username = $3)`, [src.id, subject, username]);
+  if (other) throw new SsoError(other.username === username ? 'You already linked an identity here; unlink it first.' : 'This identity is linked to another developer.');
+  await owner.query(`insert into meta.developer_identity (${col}, subject, username) values ($1, $2, $3)`, [src.id, subject, username]);
+}
+
+/** A developer's linked identities (Security page, provider pages). */
+export async function identitiesOf(username: string) {
+  return (
+    await owner.query<{ id: number; source: string; display_name: string; kind: 'provider' | 'directory'; linked_at: string }>(
+      `select i.id, coalesce(p.name, d.name) as source, coalesce(p.display_name, d.display_name) as display_name,
+              case when i.provider_id is null then 'directory' else 'provider' end as kind, i.linked_at
+         from meta.developer_identity i
+         left join meta.auth_provider p on p.id = i.provider_id
+         left join meta.ldap_directory d on d.id = i.directory_id
+        where i.username = $1 order by 3`,
+      [username],
+    )
+  ).rows;
+}
+
+/**
+ * Must the developer sign in through an identity provider? A member of a workspace that requires it,
+ * unless break-glass.
+ */
+export async function ssoRequired(username: string) {
+  const r = await owner.one(
+    `select not d.break_glass and exists (select 1 from meta.workspace_member m join meta.workspace w on w.id = m.workspace_id
+                                           where m.username = d.username and w.sso_only) as required
+       from meta.developer d where d.username = $1`,
+    [username],
+  );
+  return !!r?.required;
+}
+
+/** Instance administrators who may still sign in with the password. */
+export async function breakGlassAdmins() {
+  return (await owner.query<{ username: string }>('select username from meta.developer where is_admin and break_glass order by username')).rows.map((r) => r.username);
+}
+
+/** `pgkiln admin builder-sign-in password`: every workspace allows the password again. */
+export async function clearSsoOnly() {
+  return (await owner.query('update meta.workspace set sso_only = false where sso_only')).rowCount ?? 0;
+}

package/src/i18n/ar.ts

@@ -805,4 +805,38 @@ export const ar: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} لكل مجموعة",
   'ai_filter.needs_number': "تحتاج {fn} إلى عمود أرقام.",
   'ai_filter.invalid': "هذا التغيير غير ممكن: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "تسجيل الدخول بخطوتين",
+  "mfa.step_intro": "أدخل الرمز المكوّن من 6 أرقام من تطبيق المصادقة، أو أحد رموز الاسترداد.",
+  "mfa.code": "الرمز",
+  "mfa.verify": "تحقق",
+  "mfa.wrong": "الرمز غير صحيح أو سبق استخدامه.",
+  "mfa.expired": "استغرق تسجيل الدخول وقتًا طويلًا. يُرجى تسجيل الدخول مرة أخرى.",
+  "mfa.enrol_title": "إعداد تسجيل الدخول بخطوتين",
+  "mfa.enrol_intro": "يطلب هذا التطبيق رمزًا من تطبيق مصادقة عند تسجيل الدخول. أضف تطبيقًا الآن للمتابعة.",
+  "mfa.scan": "امسح رمز QR باستخدام تطبيق مصادقة، مثل Google Authenticator أو Microsoft Authenticator أو 1Password.",
+  "mfa.or_enter": "أو أدخل هذا المفتاح:",
+  "mfa.enter_code": "أدخل الرمز المكوّن من 6 أرقام الذي يعرضه التطبيق.",
+  "mfa.qr_label": "رمز QR لتطبيق المصادقة",
+  "mfa.codes_title": "رموز الاسترداد",
+  "mfa.codes_once": "احتفظ بهذه الرموز في مكان آمن. يتيح لك كل رمز تسجيل الدخول مرة واحدة عندما لا يكون هاتفك معك. لن تظهر إلا الآن.",
+  "mfa.codes_saved": "لقد حفظت هذه الرموز",
+  "mfa.continue": "متابعة",
+  "mfa.no_key": "لم يتم إعداد تسجيل الدخول بخطوتين على هذا الخادم بعد. يُرجى التواصل مع المسؤول.",
+  "mfa.app_name": "الاسم",
+  "mfa.app_default": "تطبيق المصادقة",
+  "mfa.on": "عند تسجيل الدخول، تُدخل أيضًا رمزًا من تطبيق المصادقة.",
+  "mfa.off": "أضف تطبيق مصادقة لحماية حسابك بخطوة ثانية عند تسجيل الدخول.",
+  "mfa.required_you": "يتطلب هذا التطبيق منك تسجيل الدخول بخطوتين: أضف تطبيق مصادقة.",
+  "mfa.add_app": "إضافة تطبيق مصادقة",
+  "mfa.confirm_app": "إضافة التطبيق",
+  "mfa.cancel": "إلغاء",
+  "mfa.remove": "إزالة",
+  "mfa.remove_code": "رمز حالي أو رمز استرداد",
+  "mfa.removed": "تمت إزالة تطبيق المصادقة.",
+  "mfa.keep_one": "يتطلب هذا التطبيق منك تسجيل الدخول بخطوتين: أضف تطبيقًا آخر قبل إزالة هذا التطبيق.",
+  "mfa.added": "تمت إضافة تطبيق المصادقة.",
+  "mfa.codes_left": "رموز الاسترداد المتبقية: {n}",
+  "mfa.codes_new": "رموز استرداد جديدة",
+  "mfa.recovery_used": "سجّلت الدخول باستخدام رمز استرداد. رموز الاسترداد المتبقية: {n}.",
 };

package/src/i18n/cs.ts

@@ -805,4 +805,38 @@ export const cs: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} na skupinu",
   'ai_filter.needs_number': "{fn} potřebuje sloupec s čísly.",
   'ai_filter.invalid': "Tuto změnu nelze provést: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Dvoufázové přihlášení",
+  "mfa.step_intro": "Zadejte šestimístný kód z ověřovací aplikace nebo jeden ze záložních kódů.",
+  "mfa.code": "Kód",
+  "mfa.verify": "Ověřit",
+  "mfa.wrong": "Kód není správný nebo už byl použit.",
+  "mfa.expired": "Přihlášení trvalo příliš dlouho. Přihlaste se znovu.",
+  "mfa.enrol_title": "Nastavení dvoufázového přihlášení",
+  "mfa.enrol_intro": "Tato aplikace při přihlášení vyžaduje kód z ověřovací aplikace. Pokračujte jejím přidáním.",
+  "mfa.scan": "Naskenujte QR kód ověřovací aplikací, například Google Authenticator, Microsoft Authenticator nebo 1Password.",
+  "mfa.or_enter": "Nebo zadejte tento klíč:",
+  "mfa.enter_code": "Zadejte šestimístný kód, který aplikace zobrazuje.",
+  "mfa.qr_label": "QR kód pro ověřovací aplikaci",
+  "mfa.codes_title": "Záložní kódy",
+  "mfa.codes_once": "Uložte si tyto kódy na bezpečné místo. Každý vás jednou přihlásí, když nemáte telefon. Zobrazují se pouze nyní.",
+  "mfa.codes_saved": "Kódy jsem si uložil",
+  "mfa.continue": "Pokračovat",
+  "mfa.no_key": "Dvoufázové přihlášení zatím na tomto serveru není nastaveno. Obraťte se na správce.",
+  "mfa.app_name": "Název",
+  "mfa.app_default": "Ověřovací aplikace",
+  "mfa.on": "Při přihlášení zadáváte také kód z ověřovací aplikace.",
+  "mfa.off": "Přidejte ověřovací aplikaci a chraňte svůj účet při přihlášení druhým krokem.",
+  "mfa.required_you": "Tato aplikace od vás vyžaduje dvoufázové přihlášení: přidejte ověřovací aplikaci.",
+  "mfa.add_app": "Přidat ověřovací aplikaci",
+  "mfa.confirm_app": "Přidat aplikaci",
+  "mfa.cancel": "Zrušit",
+  "mfa.remove": "Odebrat",
+  "mfa.remove_code": "Aktuální kód nebo záložní kód",
+  "mfa.removed": "Ověřovací aplikace byla odebrána.",
+  "mfa.keep_one": "Tato aplikace od vás vyžaduje dvoufázové přihlášení: než tuto aplikaci odeberete, přidejte jinou.",
+  "mfa.added": "Ověřovací aplikace byla přidána.",
+  "mfa.codes_left": "Zbývající záložní kódy: {n}",
+  "mfa.codes_new": "Nové záložní kódy",
+  "mfa.recovery_used": "Přihlásili jste se záložním kódem. Zbývající záložní kódy: {n}.",
 };

package/src/i18n/da.ts

@@ -805,4 +805,38 @@ export const da: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} pr. gruppe",
   'ai_filter.needs_number': "{fn} kræver en kolonne med tal.",
   'ai_filter.invalid': "Den ændring er ikke mulig: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Totrinslogin",
+  "mfa.step_intro": "Indtast den 6-cifrede kode fra din godkendelsesapp eller en af dine gendannelseskoder.",
+  "mfa.code": "Kode",
+  "mfa.verify": "Bekræft",
+  "mfa.wrong": "Koden er forkert eller er allerede brugt.",
+  "mfa.expired": "Login tog for lang tid. Log ind igen.",
+  "mfa.enrol_title": "Konfigurer totrinslogin",
+  "mfa.enrol_intro": "Denne applikation beder om en kode fra en godkendelsesapp, når du logger ind. Tilføj en nu for at fortsætte.",
+  "mfa.scan": "Scan QR-koden med en godkendelsesapp, f.eks. Google Authenticator, Microsoft Authenticator eller 1Password.",
+  "mfa.or_enter": "Eller indtast denne nøgle:",
+  "mfa.enter_code": "Indtast den 6-cifrede kode, som appen viser.",
+  "mfa.qr_label": "QR-kode til en godkendelsesapp",
+  "mfa.codes_title": "Gendannelseskoder",
+  "mfa.codes_once": "Opbevar koderne et sikkert sted. Hver kode logger dig ind én gang, når du ikke har din telefon. De vises kun nu.",
+  "mfa.codes_saved": "Jeg har gemt koderne",
+  "mfa.continue": "Fortsæt",
+  "mfa.no_key": "Totrinslogin er endnu ikke konfigureret på denne server. Kontakt administratoren.",
+  "mfa.app_name": "Navn",
+  "mfa.app_default": "Godkendelsesapp",
+  "mfa.on": "Når du logger ind, angiver du også en kode fra din godkendelsesapp.",
+  "mfa.off": "Tilføj en godkendelsesapp for at beskytte din konto med et ekstra trin, når du logger ind.",
+  "mfa.required_you": "Denne applikation kræver totrinslogin for dig: tilføj en godkendelsesapp.",
+  "mfa.add_app": "Tilføj en godkendelsesapp",
+  "mfa.confirm_app": "Tilføj app",
+  "mfa.cancel": "Annuller",
+  "mfa.remove": "Fjern",
+  "mfa.remove_code": "En aktuel kode eller en gendannelseskode",
+  "mfa.removed": "Godkendelsesappen blev fjernet.",
+  "mfa.keep_one": "Denne applikation kræver totrinslogin for dig: tilføj en anden app, før du fjerner denne.",
+  "mfa.added": "Godkendelsesappen blev tilføjet.",
+  "mfa.codes_left": "Resterende gendannelseskoder: {n}",
+  "mfa.codes_new": "Nye gendannelseskoder",
+  "mfa.recovery_used": "Du loggede ind med en gendannelseskode. Resterende gendannelseskoder: {n}.",
 };

package/src/i18n/de.ts

@@ -805,4 +805,38 @@ export const de: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} pro Gruppe",
   'ai_filter.needs_number': "{fn} braucht eine Spalte mit Zahlen.",
   'ai_filter.invalid': "Diese Änderung ist nicht möglich: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Anmeldung in zwei Schritten",
+  "mfa.step_intro": "Geben Sie den 6-stelligen Code aus Ihrer Authenticator-App oder einen Ihrer Wiederherstellungscodes ein.",
+  "mfa.code": "Code",
+  "mfa.verify": "Bestätigen",
+  "mfa.wrong": "Dieser Code ist falsch oder wurde bereits verwendet.",
+  "mfa.expired": "Die Anmeldung hat zu lange gedauert. Bitte melden Sie sich erneut an.",
+  "mfa.enrol_title": "Anmeldung in zwei Schritten einrichten",
+  "mfa.enrol_intro": "Diese Anwendung verlangt bei der Anmeldung einen Code aus einer Authenticator-App. Fügen Sie jetzt eine hinzu, um fortzufahren.",
+  "mfa.scan": "Scannen Sie den QR-Code mit einer Authenticator-App wie Google Authenticator, Microsoft Authenticator oder 1Password.",
+  "mfa.or_enter": "Oder geben Sie diesen Schlüssel ein:",
+  "mfa.enter_code": "Geben Sie den 6-stelligen Code ein, den die App anzeigt.",
+  "mfa.qr_label": "QR-Code für eine Authenticator-App",
+  "mfa.codes_title": "Wiederherstellungscodes",
+  "mfa.codes_once": "Bewahren Sie diese Codes sicher auf. Jeder Code meldet Sie einmal an, wenn Sie Ihr Telefon nicht haben. Sie werden nur jetzt angezeigt.",
+  "mfa.codes_saved": "Ich habe diese Codes gespeichert",
+  "mfa.continue": "Weiter",
+  "mfa.no_key": "Die Anmeldung in zwei Schritten ist auf diesem Server noch nicht eingerichtet. Wenden Sie sich an den Administrator.",
+  "mfa.app_name": "Name",
+  "mfa.app_default": "Authenticator-App",
+  "mfa.on": "Bei der Anmeldung geben Sie zusätzlich einen Code aus Ihrer Authenticator-App ein.",
+  "mfa.off": "Fügen Sie eine Authenticator-App hinzu, um Ihr Konto bei der Anmeldung mit einem zweiten Schritt zu schützen.",
+  "mfa.required_you": "Diese Anwendung verlangt von Ihnen die Anmeldung in zwei Schritten: Fügen Sie eine Authenticator-App hinzu.",
+  "mfa.add_app": "Authenticator-App hinzufügen",
+  "mfa.confirm_app": "App hinzufügen",
+  "mfa.cancel": "Abbrechen",
+  "mfa.remove": "Entfernen",
+  "mfa.remove_code": "Ein aktueller Code oder ein Wiederherstellungscode",
+  "mfa.removed": "Die Authenticator-App wurde entfernt.",
+  "mfa.keep_one": "Diese Anwendung verlangt von Ihnen die Anmeldung in zwei Schritten: Fügen Sie zuerst eine andere App hinzu, bevor Sie diese entfernen.",
+  "mfa.added": "Die Authenticator-App wurde hinzugefügt.",
+  "mfa.codes_left": "Verbleibende Wiederherstellungscodes: {n}",
+  "mfa.codes_new": "Neue Wiederherstellungscodes",
+  "mfa.recovery_used": "Sie haben sich mit einem Wiederherstellungscode angemeldet. Verbleibende Wiederherstellungscodes: {n}.",
 };

package/src/i18n/el.ts

@@ -805,4 +805,38 @@ export const el: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} ανά ομάδα",
   'ai_filter.needs_number': "Η συνάρτηση {fn} χρειάζεται στήλη με αριθμούς.",
   'ai_filter.invalid': "Αυτή η αλλαγή δεν είναι δυνατή: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Σύνδεση δύο βημάτων",
+  "mfa.step_intro": "Πληκτρολογήστε τον 6ψήφιο κωδικό από την εφαρμογή ελέγχου ταυτότητας ή έναν από τους κωδικούς ανάκτησης.",
+  "mfa.code": "Κωδικός",
+  "mfa.verify": "Επαλήθευση",
+  "mfa.wrong": "Ο κωδικός δεν είναι σωστός ή έχει ήδη χρησιμοποιηθεί.",
+  "mfa.expired": "Η σύνδεση άργησε πολύ. Συνδεθείτε ξανά.",
+  "mfa.enrol_title": "Ρύθμιση σύνδεσης δύο βημάτων",
+  "mfa.enrol_intro": "Αυτή η εφαρμογή ζητά κωδικό από εφαρμογή ελέγχου ταυτότητας κατά τη σύνδεση. Προσθέστε μία τώρα για να συνεχίσετε.",
+  "mfa.scan": "Σαρώστε τον κωδικό QR με μια εφαρμογή ελέγχου ταυτότητας, όπως Google Authenticator, Microsoft Authenticator ή 1Password.",
+  "mfa.or_enter": "Ή πληκτρολογήστε αυτό το κλειδί:",
+  "mfa.enter_code": "Πληκτρολογήστε τον 6ψήφιο κωδικό που εμφανίζει η εφαρμογή.",
+  "mfa.qr_label": "Κωδικός QR για εφαρμογή ελέγχου ταυτότητας",
+  "mfa.codes_title": "Κωδικοί ανάκτησης",
+  "mfa.codes_once": "Φυλάξτε αυτούς τους κωδικούς σε ασφαλές μέρος. Ο καθένας σας συνδέει μία φορά όταν δεν έχετε το τηλέφωνό σας. Εμφανίζονται μόνο τώρα.",
+  "mfa.codes_saved": "Αποθήκευσα αυτούς τους κωδικούς",
+  "mfa.continue": "Συνέχεια",
+  "mfa.no_key": "Η σύνδεση δύο βημάτων δεν έχει ρυθμιστεί ακόμη σε αυτόν τον διακομιστή. Επικοινωνήστε με τον διαχειριστή.",
+  "mfa.app_name": "Όνομα",
+  "mfa.app_default": "Εφαρμογή ελέγχου ταυτότητας",
+  "mfa.on": "Κατά τη σύνδεση δίνετε επίσης έναν κωδικό από την εφαρμογή ελέγχου ταυτότητας.",
+  "mfa.off": "Προσθέστε μια εφαρμογή ελέγχου ταυτότητας για να προστατεύσετε τον λογαριασμό σας με δεύτερο βήμα κατά τη σύνδεση.",
+  "mfa.required_you": "Αυτή η εφαρμογή απαιτεί από εσάς σύνδεση δύο βημάτων: προσθέστε μια εφαρμογή ελέγχου ταυτότητας.",
+  "mfa.add_app": "Προσθήκη εφαρμογής ελέγχου ταυτότητας",
+  "mfa.confirm_app": "Προσθήκη εφαρμογής",
+  "mfa.cancel": "Ακύρωση",
+  "mfa.remove": "Κατάργηση",
+  "mfa.remove_code": "Ένας τρέχων κωδικός ή ένας κωδικός ανάκτησης",
+  "mfa.removed": "Η εφαρμογή ελέγχου ταυτότητας καταργήθηκε.",
+  "mfa.keep_one": "Αυτή η εφαρμογή απαιτεί από εσάς σύνδεση δύο βημάτων: προσθέστε άλλη εφαρμογή πριν καταργήσετε αυτήν.",
+  "mfa.added": "Η εφαρμογή ελέγχου ταυτότητας προστέθηκε.",
+  "mfa.codes_left": "Κωδικοί ανάκτησης που απομένουν: {n}",
+  "mfa.codes_new": "Νέοι κωδικοί ανάκτησης",
+  "mfa.recovery_used": "Συνδεθήκατε με κωδικό ανάκτησης. Κωδικοί ανάκτησης που απομένουν: {n}.",
 };

package/src/i18n/es.ts

@@ -805,4 +805,38 @@ export const es: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} por grupo",
   'ai_filter.needs_number': "{fn} necesita una columna con números.",
   'ai_filter.invalid': "Ese cambio no es posible: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Inicio de sesión en dos pasos",
+  "mfa.step_intro": "Introduzca el código de 6 dígitos de su aplicación de autenticación, o uno de sus códigos de recuperación.",
+  "mfa.code": "Código",
+  "mfa.verify": "Verificar",
+  "mfa.wrong": "Ese código no es correcto o ya se ha utilizado.",
+  "mfa.expired": "El inicio de sesión tardó demasiado. Vuelva a iniciar sesión.",
+  "mfa.enrol_title": "Configurar el inicio de sesión en dos pasos",
+  "mfa.enrol_intro": "Esta aplicación pide un código de una aplicación de autenticación al iniciar sesión. Añada una ahora para continuar.",
+  "mfa.scan": "Escanee el código QR con una aplicación de autenticación, como Google Authenticator, Microsoft Authenticator o 1Password.",
+  "mfa.or_enter": "O introduzca esta clave:",
+  "mfa.enter_code": "Introduzca el código de 6 dígitos que muestra la aplicación.",
+  "mfa.qr_label": "Código QR para una aplicación de autenticación",
+  "mfa.codes_title": "Códigos de recuperación",
+  "mfa.codes_once": "Guarde estos códigos en un lugar seguro. Cada uno le permite iniciar sesión una vez si no tiene su teléfono. Solo se muestran ahora.",
+  "mfa.codes_saved": "He guardado estos códigos",
+  "mfa.continue": "Continuar",
+  "mfa.no_key": "El inicio de sesión en dos pasos aún no está configurado en este servidor. Consulte al administrador.",
+  "mfa.app_name": "Nombre",
+  "mfa.app_default": "Aplicación de autenticación",
+  "mfa.on": "Al iniciar sesión, también introduce un código de su aplicación de autenticación.",
+  "mfa.off": "Añada una aplicación de autenticación para proteger su cuenta con un segundo paso al iniciar sesión.",
+  "mfa.required_you": "Esta aplicación le exige el inicio de sesión en dos pasos: añada una aplicación de autenticación.",
+  "mfa.add_app": "Añadir una aplicación de autenticación",
+  "mfa.confirm_app": "Añadir aplicación",
+  "mfa.cancel": "Cancelar",
+  "mfa.remove": "Quitar",
+  "mfa.remove_code": "Un código actual o un código de recuperación",
+  "mfa.removed": "Se quitó la aplicación de autenticación.",
+  "mfa.keep_one": "Esta aplicación le exige el inicio de sesión en dos pasos: añada otra aplicación antes de quitar esta.",
+  "mfa.added": "Se añadió la aplicación de autenticación.",
+  "mfa.codes_left": "Códigos de recuperación restantes: {n}",
+  "mfa.codes_new": "Nuevos códigos de recuperación",
+  "mfa.recovery_used": "Ha iniciado sesión con un código de recuperación. Códigos de recuperación restantes: {n}.",
 };

package/src/i18n/fi.ts

@@ -805,4 +805,38 @@ export const fi: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} ryhmää kohden",
   'ai_filter.needs_number': "{fn} vaatii numerosarakkeen.",
   'ai_filter.invalid': "Muutos ei ole mahdollinen: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Kaksivaiheinen kirjautuminen",
+  "mfa.step_intro": "Anna todennussovelluksen 6-numeroinen koodi tai jokin palautuskoodeistasi.",
+  "mfa.code": "Koodi",
+  "mfa.verify": "Vahvista",
+  "mfa.wrong": "Koodi on väärä tai se on jo käytetty.",
+  "mfa.expired": "Kirjautuminen kesti liian kauan. Kirjaudu uudelleen.",
+  "mfa.enrol_title": "Ota kaksivaiheinen kirjautuminen käyttöön",
+  "mfa.enrol_intro": "Tämä sovellus pyytää kirjautuessa koodia todennussovelluksesta. Lisää sellainen nyt jatkaaksesi.",
+  "mfa.scan": "Skannaa QR-koodi todennussovelluksella, kuten Google Authenticator, Microsoft Authenticator tai 1Password.",
+  "mfa.or_enter": "Tai anna tämä avain:",
+  "mfa.enter_code": "Anna sovelluksen näyttämä 6-numeroinen koodi.",
+  "mfa.qr_label": "QR-koodi todennussovellukselle",
+  "mfa.codes_title": "Palautuskoodit",
+  "mfa.codes_once": "Säilytä koodit turvallisessa paikassa. Kukin kirjaa sinut sisään kerran, kun puhelin ei ole käsillä. Ne näytetään vain nyt.",
+  "mfa.codes_saved": "Olen tallentanut koodit",
+  "mfa.continue": "Jatka",
+  "mfa.no_key": "Kaksivaiheista kirjautumista ei ole vielä otettu käyttöön tällä palvelimella. Ota yhteyttä ylläpitäjään.",
+  "mfa.app_name": "Nimi",
+  "mfa.app_default": "Todennussovellus",
+  "mfa.on": "Kirjautuessa annat myös koodin todennussovelluksesta.",
+  "mfa.off": "Lisää todennussovellus suojataksesi tilisi kirjautumisen toisella vaiheella.",
+  "mfa.required_you": "Tämä sovellus edellyttää sinulta kaksivaiheista kirjautumista: lisää todennussovellus.",
+  "mfa.add_app": "Lisää todennussovellus",
+  "mfa.confirm_app": "Lisää sovellus",
+  "mfa.cancel": "Peruuta",
+  "mfa.remove": "Poista",
+  "mfa.remove_code": "Voimassa oleva koodi tai palautuskoodi",
+  "mfa.removed": "Todennussovellus poistettiin.",
+  "mfa.keep_one": "Tämä sovellus edellyttää sinulta kaksivaiheista kirjautumista: lisää toinen sovellus ennen tämän poistamista.",
+  "mfa.added": "Todennussovellus lisättiin.",
+  "mfa.codes_left": "Palautuskoodeja jäljellä: {n}",
+  "mfa.codes_new": "Uudet palautuskoodit",
+  "mfa.recovery_used": "Kirjauduit palautuskoodilla. Palautuskoodeja jäljellä: {n}.",
 };

package/src/i18n/fr.ts

@@ -805,4 +805,38 @@ export const fr: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} par groupe",
   'ai_filter.needs_number': "{fn} demande une colonne de nombres.",
   'ai_filter.invalid': "Cette modification n'est pas possible : {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Connexion en deux étapes",
+  "mfa.step_intro": "Saisissez le code à 6 chiffres de votre application d'authentification, ou l'un de vos codes de récupération.",
+  "mfa.code": "Code",
+  "mfa.verify": "Vérifier",
+  "mfa.wrong": "Ce code est incorrect ou a déjà été utilisé.",
+  "mfa.expired": "La connexion a pris trop de temps. Veuillez vous reconnecter.",
+  "mfa.enrol_title": "Configurer la connexion en deux étapes",
+  "mfa.enrol_intro": "Cette application demande un code d'une application d'authentification à la connexion. Ajoutez-en une maintenant pour continuer.",
+  "mfa.scan": "Scannez le code QR avec une application d'authentification, comme Google Authenticator, Microsoft Authenticator ou 1Password.",
+  "mfa.or_enter": "Ou saisissez cette clé :",
+  "mfa.enter_code": "Saisissez le code à 6 chiffres affiché par l'application.",
+  "mfa.qr_label": "Code QR pour une application d'authentification",
+  "mfa.codes_title": "Codes de récupération",
+  "mfa.codes_once": "Conservez ces codes en lieu sûr. Chacun vous connecte une fois si vous n'avez pas votre téléphone. Ils ne sont affichés que maintenant.",
+  "mfa.codes_saved": "J'ai enregistré ces codes",
+  "mfa.continue": "Continuer",
+  "mfa.no_key": "La connexion en deux étapes n'est pas encore configurée sur ce serveur. Contactez l'administrateur.",
+  "mfa.app_name": "Nom",
+  "mfa.app_default": "Application d'authentification",
+  "mfa.on": "À la connexion, vous saisissez aussi un code de votre application d'authentification.",
+  "mfa.off": "Ajoutez une application d'authentification pour protéger votre compte par une deuxième étape à la connexion.",
+  "mfa.required_you": "Cette application exige pour vous la connexion en deux étapes : ajoutez une application d'authentification.",
+  "mfa.add_app": "Ajouter une application d'authentification",
+  "mfa.confirm_app": "Ajouter l'application",
+  "mfa.cancel": "Annuler",
+  "mfa.remove": "Supprimer",
+  "mfa.remove_code": "Un code actuel ou un code de récupération",
+  "mfa.removed": "L'application d'authentification a été supprimée.",
+  "mfa.keep_one": "Cette application exige pour vous la connexion en deux étapes : ajoutez une autre application avant de supprimer celle-ci.",
+  "mfa.added": "L'application d'authentification a été ajoutée.",
+  "mfa.codes_left": "Codes de récupération restants : {n}",
+  "mfa.codes_new": "Nouveaux codes de récupération",
+  "mfa.recovery_used": "Vous vous êtes connecté avec un code de récupération. Codes de récupération restants : {n}.",
 };

package/src/i18n/he.ts

@@ -805,4 +805,38 @@ export const he: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} לכל קבוצה",
   'ai_filter.needs_number': "{fn} דורש עמודה של מספרים.",
   'ai_filter.invalid': "שינוי זה אינו אפשרי: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "כניסה דו-שלבית",
+  "mfa.step_intro": "הזינו את הקוד בן 6 הספרות מאפליקציית האימות, או אחד מקודי השחזור.",
+  "mfa.code": "קוד",
+  "mfa.verify": "אימות",
+  "mfa.wrong": "הקוד שגוי או שכבר נעשה בו שימוש.",
+  "mfa.expired": "הכניסה ארכה זמן רב מדי. יש להיכנס שוב.",
+  "mfa.enrol_title": "הגדרת כניסה דו-שלבית",
+  "mfa.enrol_intro": "אפליקציה זו מבקשת קוד מאפליקציית אימות בעת הכניסה. הוסיפו אחת עכשיו כדי להמשיך.",
+  "mfa.scan": "סרקו את קוד ה-QR באפליקציית אימות, כמו Google Authenticator,‏ Microsoft Authenticator או 1Password.",
+  "mfa.or_enter": "או הזינו את המפתח הזה:",
+  "mfa.enter_code": "הזינו את הקוד בן 6 הספרות שהאפליקציה מציגה.",
+  "mfa.qr_label": "קוד QR לאפליקציית אימות",
+  "mfa.codes_title": "קודי שחזור",
+  "mfa.codes_once": "שמרו את הקודים האלה במקום בטוח. כל קוד מאפשר כניסה אחת כשהטלפון לא בהישג יד. הם מוצגים רק עכשיו.",
+  "mfa.codes_saved": "שמרתי את הקודים",
+  "mfa.continue": "המשך",
+  "mfa.no_key": "כניסה דו-שלבית עדיין לא הוגדרה בשרת זה. פנו למנהל המערכת.",
+  "mfa.app_name": "שם",
+  "mfa.app_default": "אפליקציית אימות",
+  "mfa.on": "בעת הכניסה מזינים גם קוד מאפליקציית האימות.",
+  "mfa.off": "הוסיפו אפליקציית אימות כדי להגן על החשבון בשלב נוסף בעת הכניסה.",
+  "mfa.required_you": "אפליקציה זו מחייבת אתכם בכניסה דו-שלבית: הוסיפו אפליקציית אימות.",
+  "mfa.add_app": "הוספת אפליקציית אימות",
+  "mfa.confirm_app": "הוספת האפליקציה",
+  "mfa.cancel": "ביטול",
+  "mfa.remove": "הסרה",
+  "mfa.remove_code": "קוד נוכחי או קוד שחזור",
+  "mfa.removed": "אפליקציית האימות הוסרה.",
+  "mfa.keep_one": "אפליקציה זו מחייבת אתכם בכניסה דו-שלבית: הוסיפו אפליקציה אחרת לפני הסרת זו.",
+  "mfa.added": "אפליקציית האימות נוספה.",
+  "mfa.codes_left": "קודי שחזור שנותרו: {n}",
+  "mfa.codes_new": "קודי שחזור חדשים",
+  "mfa.recovery_used": "נכנסתם עם קוד שחזור. קודי שחזור שנותרו: {n}.",
 };

package/src/i18n/it.ts

@@ -805,4 +805,38 @@ export const it: Record<MessageKey, string> = {
   'ai_filter.per_group': "{what} per gruppo",
   'ai_filter.needs_number': "{fn} richiede una colonna di numeri.",
   'ai_filter.invalid': "Questa modifica non è possibile: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "Accesso in due passaggi",
+  "mfa.step_intro": "Inserisci il codice di 6 cifre dell'app di autenticazione, oppure uno dei tuoi codici di recupero.",
+  "mfa.code": "Codice",
+  "mfa.verify": "Verifica",
+  "mfa.wrong": "Il codice non è corretto oppure è già stato usato.",
+  "mfa.expired": "L'accesso ha richiesto troppo tempo. Accedi di nuovo.",
+  "mfa.enrol_title": "Configura l'accesso in due passaggi",
+  "mfa.enrol_intro": "Questa applicazione chiede un codice di un'app di autenticazione all'accesso. Aggiungine una ora per continuare.",
+  "mfa.scan": "Scansiona il codice QR con un'app di autenticazione, come Google Authenticator, Microsoft Authenticator o 1Password.",
+  "mfa.or_enter": "Oppure inserisci questa chiave:",
+  "mfa.enter_code": "Inserisci il codice di 6 cifre mostrato dall'app.",
+  "mfa.qr_label": "Codice QR per un'app di autenticazione",
+  "mfa.codes_title": "Codici di recupero",
+  "mfa.codes_once": "Conserva questi codici in un luogo sicuro. Ognuno ti fa accedere una volta quando non hai il telefono. Vengono mostrati solo ora.",
+  "mfa.codes_saved": "Ho salvato questi codici",
+  "mfa.continue": "Continua",
+  "mfa.no_key": "L'accesso in due passaggi non è ancora configurato su questo server. Rivolgiti all'amministratore.",
+  "mfa.app_name": "Nome",
+  "mfa.app_default": "App di autenticazione",
+  "mfa.on": "All'accesso inserisci anche un codice dell'app di autenticazione.",
+  "mfa.off": "Aggiungi un'app di autenticazione per proteggere il tuo account con un secondo passaggio all'accesso.",
+  "mfa.required_you": "Questa applicazione richiede per te l'accesso in due passaggi: aggiungi un'app di autenticazione.",
+  "mfa.add_app": "Aggiungi un'app di autenticazione",
+  "mfa.confirm_app": "Aggiungi app",
+  "mfa.cancel": "Annulla",
+  "mfa.remove": "Rimuovi",
+  "mfa.remove_code": "Un codice attuale o un codice di recupero",
+  "mfa.removed": "L'app di autenticazione è stata rimossa.",
+  "mfa.keep_one": "Questa applicazione richiede per te l'accesso in due passaggi: aggiungi un'altra app prima di rimuovere questa.",
+  "mfa.added": "L'app di autenticazione è stata aggiunta.",
+  "mfa.codes_left": "Codici di recupero rimasti: {n}",
+  "mfa.codes_new": "Nuovi codici di recupero",
+  "mfa.recovery_used": "Hai effettuato l'accesso con un codice di recupero. Codici di recupero rimasti: {n}.",
 };

package/src/i18n/ja.ts

@@ -805,4 +805,38 @@ export const ja: Record<MessageKey, string> = {
   'ai_filter.per_group': "グループごとの {what}",
   'ai_filter.needs_number': "{fn} には数値の列が必要です。",
   'ai_filter.invalid': "この変更はできません: {why}",
+  // (sprint 130) two-step sign-in
+  "mfa.step_title": "2 段階サインイン",
+  "mfa.step_intro": "認証アプリの 6 桁のコード、または回復コードのいずれかを入力してください。",
+  "mfa.code": "コード",
+  "mfa.verify": "確認",
+  "mfa.wrong": "コードが正しくないか、すでに使用されています。",
+  "mfa.expired": "サインインに時間がかかりすぎました。もう一度サインインしてください。",
+  "mfa.enrol_title": "2 段階サインインの設定",
+  "mfa.enrol_intro": "このアプリケーションではサインイン時に認証アプリのコードが必要です。続行するには今すぐ追加してください。",
+  "mfa.scan": "Google Authenticator、Microsoft Authenticator、1Password などの認証アプリで QR コードを読み取ってください。",
+  "mfa.or_enter": "または次のキーを入力します:",
+  "mfa.enter_code": "アプリに表示される 6 桁のコードを入力します。",
+  "mfa.qr_label": "認証アプリ用の QR コード",
+  "mfa.codes_title": "回復コード",
+  "mfa.codes_once": "これらのコードは安全な場所に保管してください。電話がないときに、それぞれ 1 回だけサインインに使えます。表示されるのは今回だけです。",
+  "mfa.codes_saved": "これらのコードを保存しました",
+  "mfa.continue": "続行",
+  "mfa.no_key": "このサーバーでは 2 段階サインインがまだ設定されていません。管理者に問い合わせてください。",
+  "mfa.app_name": "名前",
+  "mfa.app_default": "認証アプリ",
+  "mfa.on": "サインイン時に認証アプリのコードも入力します。",
+  "mfa.off": "認証アプリを追加すると、サインイン時の 2 つ目の手順でアカウントを保護できます。",
+  "mfa.required_you": "このアプリケーションでは 2 段階サインインが必要です。認証アプリを追加してください。",
+  "mfa.add_app": "認証アプリを追加",
+  "mfa.confirm_app": "アプリを追加",
+  "mfa.cancel": "キャンセル",
+  "mfa.remove": "削除",
+  "mfa.remove_code": "現在のコードまたは回復コード",
+  "mfa.removed": "認証アプリを削除しました。",
+  "mfa.keep_one": "このアプリケーションでは 2 段階サインインが必要です。このアプリを削除する前に別のアプリを追加してください。",
+  "mfa.added": "認証アプリを追加しました。",
+  "mfa.codes_left": "残りの回復コード: {n}",
+  "mfa.codes_new": "新しい回復コード",
+  "mfa.recovery_used": "回復コードでサインインしました。残りの回復コード: {n}。",
 };