pgkiln 0.64.0 → 0.65.0

package/src/i18n/ru.ts

@@ -839,4 +839,35 @@ export const ru: Record<MessageKey, string> = {
   "mfa.codes_left": "Осталось кодов восстановления: {n}",
   "mfa.codes_new": "Новые коды восстановления",
   "mfa.recovery_used": "Вы вошли с кодом восстановления. Осталось кодов восстановления: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "При входе вы также вводите код или используете ключ доступа.",
+  "mfa.use_passkey": "Использовать ключ доступа",
+  "mfa.passkey_failed": "Ключ доступа не сработал. Попробуйте ещё раз или введите код.",
+  "mfa.email_send": "Лучше отправьте мне код по электронной почте",
+  "mfa.email_sent": "Мы отправили код на ваш адрес электронной почты. Он действует {minutes} мин.",
+  "mfa.email_failed": "Сейчас не удалось отправить код. Используйте приложение-аутентификатор, ключ доступа или резервный код.",
+  "mfa.email_subject": "Ваш код входа в {app}",
+  "mfa.email_body": "Ваш код входа в {app}: {code}. Он действует {minutes} мин.\n\nЕсли вы не пытались войти, смените пароль.",
+  "mfa.stepup_title": "Подтвердите, что это вы",
+  "mfa.stepup_intro": "Эта страница снова запрашивает второй шаг. Введите код из приложения-аутентификатора или резервный код либо используйте ключ доступа.",
+  "mfa.stepup_none": "Для этой страницы нужен вход в два этапа. Сначала добавьте приложение-аутентификатор или ключ доступа в разделе «Моя учётная запись».",
+  "mfa.my_account": "Моя учётная запись",
+  "mfa.passkey_default": "Ключ доступа",
+  "mfa.add_passkey": "Добавить ключ доступа",
+  "mfa.passkey_intro": "Ключ доступа позволяет входить по отпечатку пальца, лицу, блокировке экрана или ключу безопасности, не вводя код.",
+  "mfa.passkey_added": "Ключ доступа добавлен.",
+  "mfa.passkey_removed": "Ключ доступа удалён.",
+  "mfa.passkey_known": "Этот ключ доступа уже добавлен.",
+  "mfa.passkey_needs_host": "Для ключей доступа адрес приложения должен быть именем хоста, а не IP-адресом.",
+  "mfa.passkey_needs_js": "Для добавления ключа доступа нужен JavaScript.",
+  "mfa.or_passkey": "Или вместо этого добавьте ключ доступа:",
+  "mfa.kind_passkey": "Ключ доступа",
+  "mfa.kind_app": "Приложение-аутентификатор",
+  "token.title": "Токен REST API",
+  "token.intro": "Токен позволяет скрипту использовать REST API этого приложения от вашего имени, пока не истечёт срок. Он показывается только один раз.",
+  "token.needs_step": "Сначала вы снова проходите второй шаг.",
+  "token.hours": "Срок действия (часы)",
+  "token.create": "Создать токен",
+  "token.shown_once": "Ваш токен (показывается один раз, действует {hours} ч):",
+  "token.step_first": "Подтвердите, что это вы, прежде чем создавать токен.",
 };

package/src/i18n/sv.ts

@@ -839,4 +839,35 @@ export const sv: Record<MessageKey, string> = {
   "mfa.codes_left": "Återstående återställningskoder: {n}",
   "mfa.codes_new": "Nya återställningskoder",
   "mfa.recovery_used": "Du loggade in med en återställningskod. Återstående återställningskoder: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "När du loggar in anger du också en kod eller använder en nyckel (passkey).",
+  "mfa.use_passkey": "Använd en passkey",
+  "mfa.passkey_failed": "Passkey fungerade inte. Försök igen eller ange en kod.",
+  "mfa.email_send": "Skicka en kod via e-post i stället",
+  "mfa.email_sent": "Vi har skickat en kod till din e-postadress. Den gäller i {minutes} minuter.",
+  "mfa.email_failed": "Ingen kod kunde skickas just nu. Använd din autentiseringsapp, en passkey eller en återställningskod.",
+  "mfa.email_subject": "Din inloggningskod för {app}",
+  "mfa.email_body": "Din inloggningskod för {app} är {code}. Den gäller i {minutes} minuter.\n\nOm du inte försökte logga in, byt lösenord.",
+  "mfa.stepup_title": "Bekräfta att det är du",
+  "mfa.stepup_intro": "Den här sidan ber om ditt andra steg igen. Ange en kod från din autentiseringsapp eller en återställningskod, eller använd en passkey.",
+  "mfa.stepup_none": "Den här sidan kräver inloggning i två steg. Lägg först till en autentiseringsapp eller en passkey under Mitt konto.",
+  "mfa.my_account": "Mitt konto",
+  "mfa.passkey_default": "Passkey",
+  "mfa.add_passkey": "Lägg till en passkey",
+  "mfa.passkey_intro": "Med en passkey loggar du in med fingeravtryck, ansikte, skärmlås eller en säkerhetsnyckel, utan att skriva en kod.",
+  "mfa.passkey_added": "Passkey har lagts till.",
+  "mfa.passkey_removed": "Passkey har tagits bort.",
+  "mfa.passkey_known": "Den här passkey har redan lagts till.",
+  "mfa.passkey_needs_host": "Passkeys kräver att programmets adress är ett värdnamn, inte en IP-adress.",
+  "mfa.passkey_needs_js": "Att lägga till en passkey kräver JavaScript.",
+  "mfa.or_passkey": "Eller lägg till en passkey i stället:",
+  "mfa.kind_passkey": "Passkey",
+  "mfa.kind_app": "Autentiseringsapp",
+  "token.title": "REST API-token",
+  "token.intro": "Med en token kan ett skript använda programmets REST API som du, tills den går ut. Den visas bara en gång.",
+  "token.needs_step": "Du anger först ditt andra steg igen.",
+  "token.hours": "Giltig i (timmar)",
+  "token.create": "Skapa token",
+  "token.shown_once": "Din token (visas en gång, giltig i {hours} h):",
+  "token.step_first": "Bekräfta att det är du innan du skapar en token.",
 };

package/src/i18n/tr.ts

@@ -839,4 +839,35 @@ export const tr: Record<MessageKey, string> = {
   "mfa.codes_left": "Kalan kurtarma kodları: {n}",
   "mfa.codes_new": "Yeni kurtarma kodları",
   "mfa.recovery_used": "Kurtarma koduyla oturum açtınız. Kalan kurtarma kodları: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "Oturum açarken ayrıca bir kod girer veya bir geçiş anahtarı kullanırsınız.",
+  "mfa.use_passkey": "Geçiş anahtarı kullan",
+  "mfa.passkey_failed": "Geçiş anahtarı çalışmadı. Tekrar deneyin veya bir kod girin.",
+  "mfa.email_send": "Bunun yerine bana e-postayla kod gönder",
+  "mfa.email_sent": "E-posta adresinize bir kod gönderdik. {minutes} dakika geçerlidir.",
+  "mfa.email_failed": "Şu anda kod gönderilemedi. Kimlik doğrulama uygulamanızı, bir geçiş anahtarını veya bir kurtarma kodunu kullanın.",
+  "mfa.email_subject": "{app} için oturum açma kodunuz",
+  "mfa.email_body": "{app} için oturum açma kodunuz {code}. {minutes} dakika geçerlidir.\n\nOturum açmaya çalışmadıysanız parolanızı değiştirin.",
+  "mfa.stepup_title": "Siz olduğunuzu doğrulayın",
+  "mfa.stepup_intro": "Bu sayfa ikinci adımınızı yeniden istiyor. Kimlik doğrulama uygulamanızdan bir kod veya bir kurtarma kodu girin ya da bir geçiş anahtarı kullanın.",
+  "mfa.stepup_none": "Bu sayfa iki adımlı oturum açma gerektirir. Önce Hesabım bölümünde bir kimlik doğrulama uygulaması veya geçiş anahtarı ekleyin.",
+  "mfa.my_account": "Hesabım",
+  "mfa.passkey_default": "Geçiş anahtarı",
+  "mfa.add_passkey": "Geçiş anahtarı ekle",
+  "mfa.passkey_intro": "Geçiş anahtarıyla kod yazmadan parmak iziniz, yüzünüz, ekran kilidiniz veya bir güvenlik anahtarıyla oturum açarsınız.",
+  "mfa.passkey_added": "Geçiş anahtarı eklendi.",
+  "mfa.passkey_removed": "Geçiş anahtarı kaldırıldı.",
+  "mfa.passkey_known": "Bu geçiş anahtarı zaten eklenmiş.",
+  "mfa.passkey_needs_host": "Geçiş anahtarları, uygulamanın adresinin IP adresi değil bir ana bilgisayar adı olmasını gerektirir.",
+  "mfa.passkey_needs_js": "Geçiş anahtarı eklemek için JavaScript gerekir.",
+  "mfa.or_passkey": "Ya da bunun yerine bir geçiş anahtarı ekleyin:",
+  "mfa.kind_passkey": "Geçiş anahtarı",
+  "mfa.kind_app": "Kimlik doğrulama uygulaması",
+  "token.title": "REST API belirteci",
+  "token.intro": "Belirteç, bir betiğin süresi dolana kadar bu uygulamanın REST API'sini sizin adınıza kullanmasını sağlar. Yalnızca bir kez gösterilir.",
+  "token.needs_step": "Önce ikinci adımınızı yeniden verirsiniz.",
+  "token.hours": "Geçerlilik (saat)",
+  "token.create": "Belirteç oluştur",
+  "token.shown_once": "Belirteciniz (bir kez gösterilir, {hours} sa geçerli):",
+  "token.step_first": "Belirteç oluşturmadan önce siz olduğunuzu doğrulayın.",
 };

package/src/i18n/uk.ts

@@ -839,4 +839,35 @@ export const uk: Record<MessageKey, string> = {
   "mfa.codes_left": "Залишилося кодів відновлення: {n}",
   "mfa.codes_new": "Нові коди відновлення",
   "mfa.recovery_used": "Ви увійшли з кодом відновлення. Залишилося кодів відновлення: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "Під час входу ви також вводите код або використовуєте ключ доступу.",
+  "mfa.use_passkey": "Використати ключ доступу",
+  "mfa.passkey_failed": "Ключ доступу не спрацював. Спробуйте ще раз або введіть код.",
+  "mfa.email_send": "Краще надішліть мені код електронною поштою",
+  "mfa.email_sent": "Ми надіслали код на вашу адресу електронної пошти. Він дійсний {minutes} хв.",
+  "mfa.email_failed": "Зараз не вдалося надіслати код. Використайте застосунок-автентифікатор, ключ доступу або резервний код.",
+  "mfa.email_subject": "Ваш код входу до {app}",
+  "mfa.email_body": "Ваш код входу до {app}: {code}. Він дійсний {minutes} хв.\n\nЯкщо ви не намагалися увійти, змініть пароль.",
+  "mfa.stepup_title": "Підтвердьте, що це ви",
+  "mfa.stepup_intro": "Ця сторінка знову запитує другий крок. Введіть код із застосунку-автентифікатора або резервний код чи використайте ключ доступу.",
+  "mfa.stepup_none": "Для цієї сторінки потрібен вхід у два кроки. Спершу додайте застосунок-автентифікатор або ключ доступу в розділі «Мій обліковий запис».",
+  "mfa.my_account": "Мій обліковий запис",
+  "mfa.passkey_default": "Ключ доступу",
+  "mfa.add_passkey": "Додати ключ доступу",
+  "mfa.passkey_intro": "Ключ доступу дає змогу входити за відбитком пальця, обличчям, блокуванням екрана або ключем безпеки, не вводячи код.",
+  "mfa.passkey_added": "Ключ доступу додано.",
+  "mfa.passkey_removed": "Ключ доступу видалено.",
+  "mfa.passkey_known": "Цей ключ доступу вже додано.",
+  "mfa.passkey_needs_host": "Для ключів доступу адреса застосунку має бути іменем хоста, а не IP-адресою.",
+  "mfa.passkey_needs_js": "Щоб додати ключ доступу, потрібен JavaScript.",
+  "mfa.or_passkey": "Або натомість додайте ключ доступу:",
+  "mfa.kind_passkey": "Ключ доступу",
+  "mfa.kind_app": "Застосунок-автентифікатор",
+  "token.title": "Токен REST API",
+  "token.intro": "Токен дає змогу скрипту використовувати REST API цього застосунку від вашого імені, доки не мине строк. Він показується лише один раз.",
+  "token.needs_step": "Спершу ви знову проходите другий крок.",
+  "token.hours": "Дійсний (години)",
+  "token.create": "Створити токен",
+  "token.shown_once": "Ваш токен (показується один раз, дійсний {hours} год):",
+  "token.step_first": "Підтвердьте, що це ви, перш ніж створювати токен.",
 };

package/src/i18n/zh.ts

@@ -839,4 +839,35 @@ export const zh: Record<MessageKey, string> = {
   "mfa.codes_left": "剩余恢复代码：{n}",
   "mfa.codes_new": "新的恢复代码",
   "mfa.recovery_used": "你使用恢复代码登录了。剩余恢复代码：{n}。",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "登录时，您还需要输入代码或使用通行密钥。",
+  "mfa.use_passkey": "使用通行密钥",
+  "mfa.passkey_failed": "通行密钥无效。请重试或输入代码。",
+  "mfa.email_send": "改为通过电子邮件发送代码",
+  "mfa.email_sent": "我们已向您的电子邮件地址发送了代码，有效期为 {minutes} 分钟。",
+  "mfa.email_failed": "目前无法发送代码。请使用身份验证器应用、通行密钥或恢复代码。",
+  "mfa.email_subject": "您的 {app} 登录代码",
+  "mfa.email_body": "您的 {app} 登录代码是 {code}，有效期为 {minutes} 分钟。\n\n如果您没有尝试登录，请更改密码。",
+  "mfa.stepup_title": "确认是您本人",
+  "mfa.stepup_intro": "此页面再次要求您完成第二步。请输入身份验证器应用中的代码或恢复代码，或使用通行密钥。",
+  "mfa.stepup_none": "此页面需要两步登录。请先在“我的帐户”中添加身份验证器应用或通行密钥。",
+  "mfa.my_account": "我的帐户",
+  "mfa.passkey_default": "通行密钥",
+  "mfa.add_passkey": "添加通行密钥",
+  "mfa.passkey_intro": "使用通行密钥，您可以通过指纹、面容、屏幕锁或安全密钥登录，无需输入代码。",
+  "mfa.passkey_added": "已添加通行密钥。",
+  "mfa.passkey_removed": "已删除通行密钥。",
+  "mfa.passkey_known": "此通行密钥已添加过。",
+  "mfa.passkey_needs_host": "通行密钥要求应用程序的地址是主机名，而不是 IP 地址。",
+  "mfa.passkey_needs_js": "添加通行密钥需要 JavaScript。",
+  "mfa.or_passkey": "或者改为添加通行密钥：",
+  "mfa.kind_passkey": "通行密钥",
+  "mfa.kind_app": "身份验证器应用",
+  "token.title": "REST API 令牌",
+  "token.intro": "令牌允许脚本以您的身份使用此应用程序的 REST API，直到过期。它只显示一次。",
+  "token.needs_step": "您需要先再次完成第二步。",
+  "token.hours": "有效期（小时）",
+  "token.create": "创建令牌",
+  "token.shown_once": "您的令牌（仅显示一次，有效期 {hours} 小时）：",
+  "token.step_first": "创建令牌前，请确认是您本人。",
 };

package/src/i18n.ts

@@ -866,6 +866,37 @@ const en = {
   "mfa.codes_left": "Recovery codes left: {n}",
   "mfa.codes_new": "New recovery codes",
   "mfa.recovery_used": "You signed in with a recovery code. Recovery codes left: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "When you sign in, you also give a code or use a passkey.",
+  "mfa.use_passkey": "Use a passkey",
+  "mfa.passkey_failed": "The passkey did not work. Try again, or enter a code.",
+  "mfa.email_send": "E-mail me a code instead",
+  "mfa.email_sent": "We sent a code to your e-mail address. It is valid for {minutes} minutes.",
+  "mfa.email_failed": "No code could be sent right now. Use your authenticator app, a passkey or a recovery code.",
+  "mfa.email_subject": "Your sign-in code for {app}",
+  "mfa.email_body": "Your sign-in code for {app} is {code}. It is valid for {minutes} minutes.\n\nIf you did not try to sign in, change your password.",
+  "mfa.stepup_title": "Confirm it's you",
+  "mfa.stepup_intro": "This page asks for your second step again. Enter a code from your authenticator app or a recovery code, or use a passkey.",
+  "mfa.stepup_none": "This page needs two-factor sign-in. Add an authenticator app or a passkey on My account first.",
+  "mfa.my_account": "My account",
+  "mfa.passkey_default": "Passkey",
+  "mfa.add_passkey": "Add a passkey",
+  "mfa.passkey_intro": "A passkey signs you in with your fingerprint, face, screen lock or a security key, without typing a code.",
+  "mfa.passkey_added": "The passkey was added.",
+  "mfa.passkey_removed": "The passkey was removed.",
+  "mfa.passkey_known": "This passkey was added already.",
+  "mfa.passkey_needs_host": "Passkeys need the application's address to be a host name, not an IP address.",
+  "mfa.passkey_needs_js": "Adding a passkey needs JavaScript.",
+  "mfa.or_passkey": "Or add a passkey instead:",
+  "mfa.kind_passkey": "Passkey",
+  "mfa.kind_app": "Authenticator app",
+  "token.title": "REST API token",
+  "token.intro": "A token lets a script use this application's REST API as you, until it expires. It is shown only once.",
+  "token.needs_step": "You give your second step again first.",
+  "token.hours": "Valid for (hours)",
+  "token.create": "Create token",
+  "token.shown_once": "Your token (shown once, valid {hours} h):",
+  "token.step_first": "Confirm it's you before you create a token.",
 };
 
 export type MessageKey = keyof typeof en;
@@ -1701,6 +1732,37 @@ const nl: Record<MessageKey, string> = {
   "mfa.codes_left": "Resterende herstelcodes: {n}",
   "mfa.codes_new": "Nieuwe herstelcodes",
   "mfa.recovery_used": "Je hebt je aangemeld met een herstelcode. Resterende herstelcodes: {n}.",
+  // (sprint 131) passkeys, e-mail codes, step-up, API tokens
+  "mfa.on_any": "Bij het aanmelden geef je ook een code of gebruik je een passkey.",
+  "mfa.use_passkey": "Passkey gebruiken",
+  "mfa.passkey_failed": "De passkey werkte niet. Probeer het opnieuw of voer een code in.",
+  "mfa.email_send": "Stuur me liever een code per e-mail",
+  "mfa.email_sent": "We hebben een code naar je e-mailadres gestuurd. Die is {minutes} minuten geldig.",
+  "mfa.email_failed": "Er kon nu geen code worden verstuurd. Gebruik je authenticator-app, een passkey of een herstelcode.",
+  "mfa.email_subject": "Je aanmeldcode voor {app}",
+  "mfa.email_body": "Je aanmeldcode voor {app} is {code}. Die is {minutes} minuten geldig.\n\nProbeerde je niet aan te melden? Wijzig dan je wachtwoord.",
+  "mfa.stepup_title": "Bevestig dat jij het bent",
+  "mfa.stepup_intro": "Deze pagina vraagt opnieuw om je tweede stap. Voer een code uit je authenticator-app of een herstelcode in, of gebruik een passkey.",
+  "mfa.stepup_none": "Voor deze pagina is aanmelden in twee stappen nodig. Voeg eerst een authenticator-app of een passkey toe bij Mijn account.",
+  "mfa.my_account": "Mijn account",
+  "mfa.passkey_default": "Passkey",
+  "mfa.add_passkey": "Passkey toevoegen",
+  "mfa.passkey_intro": "Met een passkey meld je je aan met je vingerafdruk, gezicht, schermvergrendeling of een beveiligingssleutel, zonder een code te typen.",
+  "mfa.passkey_added": "De passkey is toegevoegd.",
+  "mfa.passkey_removed": "De passkey is verwijderd.",
+  "mfa.passkey_known": "Deze passkey was al toegevoegd.",
+  "mfa.passkey_needs_host": "Passkeys werken alleen als het adres van de applicatie een hostnaam is, geen IP-adres.",
+  "mfa.passkey_needs_js": "Voor het toevoegen van een passkey is JavaScript nodig.",
+  "mfa.or_passkey": "Of voeg in plaats daarvan een passkey toe:",
+  "mfa.kind_passkey": "Passkey",
+  "mfa.kind_app": "Authenticator-app",
+  "token.title": "REST API-token",
+  "token.intro": "Met een token gebruikt een script de REST API van deze applicatie als jou, tot het verloopt. Het wordt maar één keer getoond.",
+  "token.needs_step": "Je geeft eerst opnieuw je tweede stap.",
+  "token.hours": "Geldig (uren)",
+  "token.create": "Token maken",
+  "token.shown_once": "Je token (één keer getoond, {hours} uur geldig):",
+  "token.step_first": "Bevestig dat jij het bent voordat je een token maakt.",
 };
 
 const BUILTIN: Record<string, Record<string, string>> = { en, nl, de, fr, es, it, pt, pl, sv, da, nb, cs, ja, zh, fi, tr, el, ru, uk, ko, ar, he };

package/src/metadata.ts

@@ -6,6 +6,8 @@ export interface AuthzScheme {
   type: 'role' | 'sql';
   value: string;
   error_message: string;
+  /** (133) step-up: passes only when the session's last second step is at most this many minutes old */
+  mfa_minutes?: number | null;
 }
 
 export interface NavEntry {
@@ -81,6 +83,10 @@ export interface App {
   /** (132) two-step sign-in for the application's users (src/account-mfa.ts) */
   mfa: 'off' | 'optional' | 'required' | 'roles';
   mfa_roles: string[];
+  /** (133) a code by e-mail at the second step, for users with another factor */
+  mfa_email: boolean;
+  /** (133) users create their own REST API token on My account */
+  api_self_tokens: boolean;
   /** LDAP directories the password form checks after local accounts */
   ldap_directories: string[];
   /** Progressive Web App: installable, offline pages, offline form queue */
@@ -372,7 +378,7 @@ const agg = (table: string, fk: string, parent: string, appId: string) =>
 // No caching on purpose: edits made in the builder show up on the next request.
 export async function loadApp(alias: string) {
   return runtime.one<App>(
-    `select a.id, a.alias, a.name, a.version, a.home_page, a.authentication, a.access_control, a.sso_providers, a.local_login, a.remember_me_days, a.login_page, a.password_reset, a.session_group, a.mfa, a.mfa_roles, a.ldap_directories, a.header_name, a.header_auto_create, a.logout_url, a.db_auth_roles, a.db_auth_member_of, a.custom_auth_function, a.custom_auth_code, a.custom_auth_post_code, a.nav_list, a.navbar_list, a.pwa, a.pwa_short_name, a.pwa_icon is not null as pwa_has_icon, a.pwa_offline_pages, a.pwa_offline_submit, a.pwa_push, a.db_role, a.debug, a.debug_level, a.theme,
+    `select a.id, a.alias, a.name, a.version, a.home_page, a.authentication, a.access_control, a.sso_providers, a.local_login, a.remember_me_days, a.login_page, a.password_reset, a.session_group, a.mfa, a.mfa_roles, a.mfa_email, a.api_self_tokens, a.ldap_directories, a.header_name, a.header_auto_create, a.logout_url, a.db_auth_roles, a.db_auth_member_of, a.custom_auth_function, a.custom_auth_code, a.custom_auth_post_code, a.nav_list, a.navbar_list, a.pwa, a.pwa_short_name, a.pwa_icon is not null as pwa_has_icon, a.pwa_offline_pages, a.pwa_offline_submit, a.pwa_push, a.db_role, a.debug, a.debug_level, a.theme,
             a.availability, a.availability_message, a.availability_users, a.feedback, a.error_function, a.session_warning_seconds, a.component_settings,
             a.language, a.languages, a.language_from, a.date_format, a.timestamp_format, a.time_zone, a.time_zone_auto, a.currency,
             coalesce((select jsonb_agg(jsonb_build_object('name', l.name, 'query', l.query, 'rest_source', l.rest_source)) from meta.lov l where l.app_id = a.id), '[]') as lovs,
@@ -381,7 +387,7 @@ export async function loadApp(alias: string) {
                        'dialog_position', p.dialog_position, 'dialog_size', p.dialog_size))
                         from meta.page p where p.app_id = a.id and meta.build_option_on(a.id, p.build_option)), '[]') as pages,
             ${agg('meta.nav_entry', 'app_id', 'a', 'a.id')} as nav,
-            coalesce((select jsonb_agg(jsonb_build_object('name', s.name, 'type', s.type, 'value', s.value, 'error_message', s.error_message))
+            coalesce((select jsonb_agg(jsonb_build_object('name', s.name, 'type', s.type, 'value', s.value, 'error_message', s.error_message, 'mfa_minutes', s.mfa_minutes))
                         from meta.authz_scheme s where s.app_id = a.id), '[]') as authz_schemes,
             coalesce((select jsonb_agg(i.name) from meta.app_item i where i.app_id = a.id), '[]') as app_items,
             ${agg('meta.app_process', 'app_id', 'a', 'a.id')} as app_processes,

package/src/mfa.ts

@@ -185,22 +185,32 @@ export const addTotp = (username: string, name: string, secret: string, step: nu
 export interface Passkey { id: number; name: string; credential_id: string; public_key: Record<string, string>; alg: number; sign_count: string; transports: string[] }
 
 /** Add a passkey (after src/webauthn.ts checked the browser's answer). */
-export async function addPasskey(username: string, name: string, p: { credentialId: string; jwk: Record<string, string>; alg: number; signCount: number; rpId: string; transports: string[] }) {
+export async function storeAddPasskey(st: FactorStore, who: Who, name: string, p: { credentialId: string; jwk: Record<string, string>; alg: number; signCount: number; rpId: string; transports: string[] }) {
   await owner.query(
-    `insert into meta.developer_factor (username, kind, name, credential_id, public_key, alg, sign_count, rp_id, transports, last_used_at)
+    `insert into ${st.factors} (${st.key}, kind, name, credential_id, public_key, alg, sign_count, rp_id, transports, last_used_at)
      values ($1, 'passkey', $2, $3, $4, $5, $6, $7, $8, now())`,
-    [username, name.trim().slice(0, 60) || 'Passkey', p.credentialId, JSON.stringify(p.jwk), p.alg, p.signCount, p.rpId,
+    [who, name.trim().slice(0, 60) || 'Passkey', p.credentialId, JSON.stringify(p.jwk), p.alg, p.signCount, p.rpId,
      p.transports.filter((t) => /^[a-z-]{1,20}$/.test(t)).slice(0, 8)],
   );
 }
 
-/** The developer's passkeys for this relying party (a passkey only works on the domain it was made for). */
-export async function passkeysOf(username: string, rpId: string): Promise<Passkey[]> {
+/** The passkeys for this relying party (a passkey only works on the domain it was made for). */
+export async function storePasskeys(st: FactorStore, who: Who, rpId: string): Promise<Passkey[]> {
   return (await owner.query<Passkey>(
-    `select id, name, credential_id, public_key, alg, sign_count, transports from meta.developer_factor
-      where username = $1 and kind = 'passkey' and rp_id = $2 order by id`, [username, rpId])).rows;
+    `select id, name, credential_id, public_key, alg, sign_count, transports from ${st.factors}
+      where ${st.key} = $1 and kind = 'passkey' and rp_id = $2 order by id`, [who, rpId])).rows;
 }
 
+/** Record a sign-in with a passkey; false when another sign-in moved the counter first (a replay or a clone). */
+export async function storeUsePasskey(st: FactorStore, id: number, oldCount: string, newCount: number): Promise<boolean> {
+  return !!(await owner.query(
+    `update ${st.factors} set sign_count = $3, last_used_at = now() where id = $1 and sign_count = $2::bigint`,
+    [id, oldCount, newCount])).rowCount;
+}
+
+export const addPasskey = (username: string, name: string, p: Parameters<typeof storeAddPasskey>[3]) => storeAddPasskey(DEVELOPERS, username, name, p);
+export const passkeysOf = (username: string, rpId: string) => storePasskeys(DEVELOPERS, username, rpId);
+
 /** (sprint 128) The passkey with this credential id for this relying party, and whose it is (sign-in without a user name). */
 export async function passkeyByCredential(credentialId: string, rpId: string): Promise<(Passkey & { username: string }) | null> {
   if (!credentialId || credentialId.length > 1400) return null;
@@ -221,12 +231,7 @@ export async function setPasskeySignin(on: boolean) {
   await owner.query(`insert into meta.setting (name, value) values ('mfa_passkey_signin', $1) on conflict (name) do update set value = excluded.value`, [on ? 'on' : 'off']);
 }
 
-/** Record a sign-in with a passkey; false when another sign-in moved the counter first (a replay or a clone). */
-export async function usePasskey(id: number, oldCount: string, newCount: number): Promise<boolean> {
-  return !!(await owner.query(
-    'update meta.developer_factor set sign_count = $3, last_used_at = now() where id = $1 and sign_count = $2::bigint',
-    [id, oldCount, newCount])).rowCount;
-}
+export const usePasskey = (id: number, oldCount: string, newCount: number) => storeUsePasskey(DEVELOPERS, id, oldCount, newCount);
 
 // ---------------------------------------------------------------- trusted browsers (sprint 127)
 

package/src/runtime/account.ts

@@ -12,13 +12,15 @@ import { chrome, clientTexts } from './render.ts';
 import { appStyles, choosable, chosenStyleName, styleChoice } from './styles.ts';
 import { loadApp } from '../metadata.ts';
 import { pushSection } from './push.ts';
-import { twoStepSection } from './two-step.ts';
+import { relyingParty } from '../webauthn.ts';
+import { tokenSection, twoStepSection } from './two-step.ts';
 import { appWithLocale, loadContext, safeNext, txContext, type Req } from './routes.ts';
 
 // "My account": details, own password, and preferences (light/dark and
 // language). APEX has the APIs for this (APEX_UTIL.CHANGE_CURRENT_USER_PW,
 // theme style per user); pgkiln provides the page itself. (sprint 130)
-// Two-step sign-in: authenticator apps and recovery codes (two-step.ts).
+// Two-step sign-in: authenticator apps and recovery codes (two-step.ts). (sprint 131) Passkeys, and a REST API
+// token the user creates (when the application allows it).
 
 /** Keep a signed-in user's style variant for this app (meta.account_style; '' = the base colours). */
 async function saveStyle(appId: number, username: string, style: string) {
@@ -117,7 +119,8 @@ async function accountPage(ctx: PageContext, reply: FastifyReply, error?: string
               <form method="post" action="${ctx.base}/account/devices">${csrf}<button class="btn">${t('account.forget_devices')}</button></form>
             </div></section>`
           : ''}
-        ${await twoStepSection(ctx)}
+        ${await twoStepSection(ctx, relyingParty(reply.request).rpId)}
+        ${await tokenSection(ctx)}
         ${await pushSection(ctx)}
       </div>
     </div>

package/src/runtime/authz.ts

@@ -1,10 +1,14 @@
+import { secondStepWithin } from '../account-mfa.ts';
 import { applyBinds } from '../binds.ts';
+import type { AuthzScheme } from '../metadata.ts';
 import { savepoint } from '../db.ts';
 import { bindValues, publicError, stripSemicolon, type PageContext, type Visibility } from './context.ts';
 import { saveButton, saveRequest } from './grid.ts';
 import { selectionOf } from './report.ts';
 
 export class Forbidden extends Error {}
+/** (sprint 131) The page needs a second step more recent than the session's: ask for one, then come back. */
+export class StepUp extends Forbidden {}
 
 /**
  * Evaluate an authorization reference ("ADMIN", "!ADMIN", or the built-in
@@ -20,15 +24,28 @@ export async function isAuthorized(ctx: PageContext, ref: string | null | undefi
     if (name === 'MUST_NOT_BE_PUBLIC_USER') ok = ctx.user !== 'nobody';
     else {
       const scheme = ctx.app.authz_schemes.find((s) => s.name === name);
-      if (!scheme) ok = false;
-      else if (scheme.type === 'role') ok = ctx.roles.includes(scheme.value.toLowerCase());
-      else ok = await sqlTrue(ctx, scheme.value, `authorization ${name}`);
+      ok = !!scheme && (await schemePasses(ctx, scheme)) && (!scheme.mfa_minutes || secondStepWithin(ctx.session?.state ?? {}, scheme.mfa_minutes));
     }
     ctx.authzCache.set(name, ok);
   }
   return negate ? !ok : ok;
 }
 
+async function schemePasses(ctx: PageContext, scheme: AuthzScheme): Promise<boolean> {
+  if (scheme.type === 'role') return ctx.roles.includes(scheme.value.toLowerCase());
+  return sqlTrue(ctx, scheme.value, `authorization ${scheme.name}`);
+}
+
+/**
+ * (sprint 131) Whether a reference fails only for its step-up: a scheme with mfa_minutes that the user passes, in a
+ * session whose last second step is too old (or never happened).
+ */
+export async function onlyStepUpMissing(ctx: PageContext, ref: string | null | undefined): Promise<boolean> {
+  if (!ref || ref.startsWith('!') || ctx.user === 'nobody') return false;
+  const scheme = ctx.app.authz_schemes.find((s) => s.name === ref.trim().toUpperCase());
+  return !!scheme?.mfa_minutes && !secondStepWithin(ctx.session?.state ?? {}, scheme.mfa_minutes) && (await schemePasses(ctx, scheme));
+}
+
 /**
  * Evaluate a SQL boolean expression with binds. Errors yield `onError`
  * (false by default: a broken condition hides a region or button).
@@ -51,7 +68,9 @@ export function authzMessage(ctx: PageContext, ref: string | null) {
 }
 
 export async function checkPageAccess(ctx: PageContext) {
-  if (!(await isAuthorized(ctx, ctx.page.authz))) throw new Forbidden(authzMessage(ctx, ctx.page.authz));
+  if (await isAuthorized(ctx, ctx.page.authz)) return;
+  if (await onlyStepUpMissing(ctx, ctx.page.authz)) throw new StepUp(authzMessage(ctx, ctx.page.authz));
+  throw new Forbidden(authzMessage(ctx, ctx.page.authz));
 }
 
 /** Can the current user open this page? Used to hide links and menu entries. */

package/src/runtime/routes.ts

@@ -18,7 +18,7 @@ import { english, type Translate } from '../i18n.ts';
 import { checksumValid, loginWindowMinutes, urlChecksum } from '../security.ts';
 import { builderSsoFinish, enabledProviders, finishSignIn, loadProvider, ssoAccess, SsoError, startSignIn, type Provider, type SsoResult } from '../sso.ts';
 import { sessionLimits, clientIp, createSession, destroySession, getSession, loginThrottled, logActivity, saveState, takeFlash, type Session } from '../session.ts';
-import { checkPageAccess, computeVisibility, Forbidden, isAuthorized } from './authz.ts';
+import { checkPageAccess, computeVisibility, Forbidden, isAuthorized, StepUp } from './authz.ts';
 import { bindValues, dbg, publicError, stripSemicolon, timed, toState, writeOut, type PageContext } from './context.ts';
 import { startDebug } from '../debug.ts';
 import { assignable, clearPageItems, fetchForms, processConditionHolds, ProcessFailed, runAppProcesses, runProcesses, runSql, validate, ValidationFailed } from './engine.ts';
@@ -316,6 +316,13 @@ export async function loadContext(req: Req, reply: FastifyReply, { json = false,
   };
 }
 
+/** (sprint 131) Step-up: the page's authorization needs a recent second step; ask for it, then come back. */
+async function stepUp(ctx: PageContext, reply: FastifyReply, next: string) {
+  dbg(ctx, 2, 'access', `step-up: a second step is needed for page ${ctx.page.page_no}`);
+  await saveState(ctx.session);
+  return reply.redirect(`${ctx.base}/login/2fa?next=${encodeURIComponent(next)}`, 303);
+}
+
 async function forbidden(ctx: PageContext, reply: FastifyReply, message: string, detail: string) {
   dbg(ctx, 2, 'access', `refused (403): ${detail}`);
   logActivity({ appId: ctx.app.id, pageNo: ctx.page.page_no, username: ctx.user, event: 'forbidden', ip: ctx.ip, detail });
@@ -487,6 +494,7 @@ export async function runtimeRoutes(app: FastifyInstance) {
         return { html: await timed(ctx, 4, 'page', 'render page', () => renderPage(ctx)) };
       });
     } catch (e) {
+      if (e instanceof StepUp) return stepUp(ctx, reply, req.url);
       if (e instanceof Forbidden) return forbidden(ctx, reply, e.message, `page ${ctx.page.page_no}`);
       throw e;
     }
@@ -583,6 +591,8 @@ export async function runtimeRoutes(app: FastifyInstance) {
         return pressed;
       });
     } catch (e) {
+      // the second step expired while the page was open: ask again, then back to the page (the input is lost)
+      if (e instanceof StepUp) return stepUp(ctx, reply, `${ctx.base}/${ctx.page.page_no}`);
       if (e instanceof Forbidden) return forbidden(ctx, reply, e.message, `forged or unavailable request "${body.__request}" on page ${ctx.page.page_no}`);
       if (e instanceof ValidationFailed) {
         ctx.errors = e.errors;