ysk-server-shared 1.0.0 → 1.1.0

package/locales/pt/translation.json

@@ -130,7 +130,17 @@
     "labelStderr": "stderr",
     "labelAckCli": "confirmação + CLI JSON",
     "labelStdoutBody": "Corpo padrão da CLI",
-    "resultOuterHint": "O resultado externo é CLI --json stdout."
+    "resultOuterHint": "O resultado externo é CLI --json stdout.",
+    "statusFlowTitle": "Fluxo de status",
+    "statusFlow": "Registrado apenas → online → obsoleto (>60 anos) → offline (desconectado). O filtro “Offline” está desconectado.",
+    "colSession": "UUID da sessão",
+    "copySession": "Copiar UUID de sessão para cluster/CLI --session",
+    "staleFor": "Invisível {{age}}",
+    "commandTitle": "Enfileirar um comando para esta sessão",
+    "historyTitleShort": "Abrir histórico de comandos (somente leitura)",
+    "expEdge": "No limite:",
+    "noteAllowlist": "Agent tool calls must pass the allowlist.",
+    "noteRbacCap": "Agent role is capped at write-low."
   },
   "ai": {
     "status": {
@@ -248,7 +258,11 @@
     "cleanupConflicts": "Limpar resíduos de conflito",
     "cleanupConflictsTitle": "Limpar todos os resíduos de conflito?",
     "cleanupConflictsDesc": "Remova todos os artefatos no disco que entrem em conflito com um projeto ou ServerName independente. As linhas do projeto são mantidas.",
-    "artifactRemovedOk": "Configuração residual removida"
+    "artifactRemovedOk": "Configuração residual removida",
+    "sslTerminatedUpstream": "TLS termina na frente do Nginx",
+    "removeArtifactHint": "Apaga só este conf residual em disco. Não elimina o projeto.",
+    "sourceOrphan": "Leftover",
+    "orphanSite": "Project gone"
   },
   "applyStatus": {
     "draft": "Rascunho",
@@ -285,7 +299,10 @@
       "project.publish": "Publicar Nginx",
       "project.suspend": "Suspender projeto",
       "software.install": "Instalar software",
-      "software.update": "Atualizar software"
+      "software.update": "Atualizar software",
+      "backup.restore": "Backup restore",
+      "backup.run": "Backup run",
+      "backup.delete": "Backup deleted"
     }
   },
   "backups": {
@@ -419,20 +436,39 @@
     "remotePushSub": "Depois que o tar local for bem-sucedido, envie para SFTP, caminho local ou S3",
     "accessKey": "Chave de acesso",
     "secretKey": "Chave secreta",
-    "overwriteConfirmHint": "Digite OVERWRITE para confirmar a substituição"
+    "overwriteConfirmHint": "Digite OVERWRITE para confirmar a substituição",
+    "testRemote": "Testar destino",
+    "testRemoteDone": "Sonda remota concluída",
+    "testRemoteFailed": "Sonda remota falhou",
+    "resticRepoPh": "Diretório de dados do painel / restic-repo",
+    "testDisabledHint": "Ative o envio remoto antes de testar.",
+    "identityId": "Identidade SSH de saída",
+    "identityHint": "Preferido. O mesmo cofre que /security SSH. A senha precisa de sshpass.",
+    "identityNone": "Nenhum – senha ou chave padrão",
+    "remotePathHint": "Relativo à casa do usuário remoto (ou chroot SFTP). “.” é aquela casa.",
+    "restoreFullTitle": "Substitua arquivos de projeto e bancos de dados deste arquivo — digite o nome do arquivo para confirmar",
+    "restoreWebTitle": "Restaure arquivos de sites apenas deste arquivo",
+    "previewTitle": "Visualizar restauração sem escrever",
+    "partialSkipped": "Parcial – alguns projetos ignorados",
+    "testRemoteHint": "Connects to the remote host and writes a small probe file. Not read-only.",
+    "skippedListHint": "These projects were skipped:",
+    "goLogs": "Open logs",
+    "goAbout": "Backup notes",
+    "skippedPendingOs": "Skipped — OS user / home not provisioned",
+    "latestFile": "Latest archive"
   },
   "btTracker": {
     "title": "Rastreador BT",
     "sub": "Self-hosted BitTorrent / WebTorrent tracker for file shares",
     "pageDesc": "Seed panel file shares over BitTorrent. Start the tracker, set a public announce host, then create BT shares in Files.",
     "status": "Status",
-    "running": "Running",
-    "stopped": "Stopped",
+    "running": "Correndo",
+    "stopped": "Parou",
     "installed": "Installed (bundled)",
     "start": "Start tracker",
     "stop": "Stop tracker",
-    "refresh": "Refresh",
-    "settings": "Settings",
+    "refresh": "Atualizar",
+    "settings": "Configurações",
     "httpPort": "HTTP / WebSocket port",
     "udpPort": "UDP port (0 = off)",
     "listenHost": "Listen host",
@@ -451,18 +487,18 @@
     "torrentsEmpty": "No announce traffic yet",
     "torrentsEmptyHint": "Create a file share with BitTorrent mode in Files. This table fills as peers announce and the server seeds.",
     "torrentsDesc": "Live swarm from the tracker, plus local seeder status for panel shares.",
-    "colName": "Name",
+    "colName": "Nome",
     "colHash": "Info hash",
-    "colSeeds": "Seeds",
-    "colLeechers": "Leechers",
+    "colSeeds": "Sementes",
+    "colLeechers": "Sanguessugas",
     "colStatus": "Status",
     "announceUrls": "Announce URLs",
     "announceDesc": "Put these trackers in clients, or rely on magnets generated by the panel.",
-    "copy": "Copy",
-    "copied": "Copied",
-    "statsTorrents": "Torrents",
-    "statsPeers": "Peers",
-    "statsAnnounces": "Announces",
+    "copy": "Cópia",
+    "copied": "Copiado",
+    "statsTorrents": "Torrentes",
+    "statsPeers": "Pares",
+    "statsAnnounces": "Anuncia",
     "statsJobs": "Active jobs",
     "openShares": "File shares",
     "needExecute": "Enable system-change permission (YSK_EXECUTE) to open ports and run production seeds.",
@@ -471,27 +507,27 @@
     "restoreSeeds": "Re-seed BT shares",
     "restoreSeedsHint": "Start tracker if needed and re-seed shares that still have a .torrent on disk.",
     "bundledNote": "Bundled with YSK Server (Node). No apt install/uninstall — Start/Stop manages the process.",
-    "stackTitle": "Software",
+    "stackTitle": "Programas",
     "jobs": "Torrent jobs",
     "jobsEmpty": "No background torrent jobs",
     "jobsEmptyHint": "Large shares (≥128 MiB) build .torrent files in the background so the Files dialog stays responsive.",
     "jobsDesc": "Background create-torrent queue for large file or folder shares.",
-    "colJob": "Job",
-    "colShare": "Share",
+    "colJob": "Trabalho",
+    "colShare": "Compartilhar",
     "colJobStatus": "Job status",
     "colEnqueued": "Enqueued",
     "refreshJobs": "Refresh jobs",
-    "tabOverview": "Overview",
-    "tabTorrents": "Torrents",
-    "tabJobs": "Jobs",
-    "tabSettings": "Settings",
-    "tabAbout": "About",
+    "tabOverview": "Visão geral",
+    "tabTorrents": "Torrentes",
+    "tabJobs": "Empregos",
+    "tabSettings": "Configurações",
+    "tabAbout": "Sobre",
     "heroRunning": "Tracker is live",
     "heroStopped": "Tracker is stopped",
     "heroRunningSub": "Peers can announce and discover seeds for panel shares.",
     "heroStoppedSub": "Start the tracker before sharing large files over BitTorrent.",
-    "live": "Live",
-    "liveOff": "Idle",
+    "live": "Ao vivo",
+    "liveOff": "Parado",
     "quickStart": "Quick start",
     "quickStartDesc": "Three steps to share files over BitTorrent.",
     "step1Title": "Set public announce host",
@@ -500,28 +536,28 @@
     "step2Hint": "Open port exposure if peers are off this host.",
     "step3Title": "Create a BT share",
     "step3Hint": "In Files → Share, choose BitTorrent or both.",
-    "stepDone": "Done",
-    "stepTodo": "Todo",
-    "networkCard": "Network",
+    "stepDone": "Feito",
+    "stepTodo": "Pendência",
+    "networkCard": "Rede",
     "networkCardDesc": "Where the tracker listens and what host appears in magnets.",
-    "seederCard": "Seeder",
+    "seederCard": "Semeador",
     "seederCardDesc": "In-process WebTorrent seeder limits and peer ports.",
-    "lifecycleCard": "Lifecycle",
+    "lifecycleCard": "Vida útil",
     "lifecycleCardDesc": "Boot behaviour and how the service is packaged.",
     "pid": "PID",
-    "port": "Port",
+    "port": "Porta",
     "announceHost": "Announce host",
     "goSettings": "Open settings",
     "searchTorrents": "Search name or hash…",
-    "filterAll": "All",
-    "filterSeeding": "Seeding",
-    "filterOther": "Other",
+    "filterAll": "Todos",
+    "filterSeeding": "Semeando",
+    "filterOther": "Outro",
     "noMatch": "No torrents match your filter",
-    "seedStatusSeeding": "Seeding",
-    "seedStatusPending": "Pending",
-    "seedStatusError": "Error",
-    "seedStatusStopped": "Stopped",
-    "seedStatusNone": "None",
+    "seedStatusSeeding": "Semeando",
+    "seedStatusPending": "Pendente",
+    "seedStatusError": "Erro",
+    "seedStatusStopped": "Parou",
+    "seedStatusNone": "Nenhum",
     "notesTitle": "Service notes",
     "exposureTitle": "Network access",
     "protoHttp": "HTTP",
@@ -538,14 +574,93 @@
     "udpPortClassic": "6969 · Classic",
     "portSuggest8000": "8000 · Recommended",
     "saveOkRestart": "Salvo – reinicie o rastreador para aplicar portas",
-    "announceHostUnset": "—"
+    "announceHostUnset": "Não definido",
+    "tabTrackers": "Rastreadores",
+    "addTorrent": "Adicionar torrent",
+    "addTorrentTitle": "Adicionar torrent",
+    "addTorrentHint": "Carregue um .torrent ou cole um ímã. Escolha uma pasta Arquivos. O WebTorrent baixa arquivos e sementes ausentes quando concluído.",
+    "dropTorrent": "Solte um .torrent aqui",
+    "chooseFile": "ou escolha um arquivo",
+    "magnetLabel": "Ímã",
+    "magnetPlaceholder": "ímã:?xt=urna:btih:…",
+    "inspect": "Ler",
+    "extraTrackersPreview": "Também anunciará para {{n}} rastreadores extras",
+    "saveLocation": "Salvar localização",
+    "saveRootPublic": "Arquivos públicos",
+    "newFolder": "Nova pasta",
+    "destPreview": "Escreverei para",
+    "startDownload": "Iniciar transferência",
+    "filterDownloading": "Baixando",
+    "filterPaused": "Pausado",
+    "filterError": "Erro",
+    "emptyDrop": "Solte um .torrent aqui ou escolha um arquivo",
+    "emptyHint": "Os arquivos vão para a pasta que você escolher. Se já estiverem completos, este hospedeiro semeia. Mecanismo: WebTorrent – ​​sem software de download extra.",
+    "pause": "Pausa",
+    "resume": "Retomar",
+    "openFolder": "Abrir pasta",
+    "remove": "Remover",
+    "removeKeep": "Remover, manter arquivos",
+    "removeDelete": "Remover e excluir arquivos",
+    "removeConfirm": "Remover este torrent da biblioteca?",
+    "kindShare": "Compartilhar",
+    "filesInTorrent": "arquivos",
+    "extraTrackersDesc": "URLs de anúncio extras. As sementes de download/seed da biblioteca e de compartilhamento de arquivos os utilizam além da lista .torrent. Isso não abre o rastreador local para enxames arbitrários.",
+    "extraTrackersEmpty": "Sem rastreadores extras. Adicione URLs de anúncio HTTP(S), UDP ou WS(S) para que este host possa encontrar pares.",
+    "extraTrackerAdd": "Adicionar",
+    "extraTrackerUrl": "Anunciar URL",
+    "extraTrackerApply": "Aplicar às sementes atuais",
+    "extraTrackerApplyOk": "Rastreadores extras aplicados",
+    "extraEnabled": "Sobre",
+    "extraTrackerBad": "O URL deve começar com http://, https://, udp://, ws:// ou wss://",
+    "extraTrackerDup": "Já listado",
+    "extraTrackerLimit": "Máximo de 32 rastreadores extras",
+    "addOk": "Adicionado à biblioteca",
+    "savedTo": "Salvar",
+    "folderEmpty": "Sem subpastas",
+    "needTorrentFile": "Escolha um arquivo .torrent",
+    "torrentTooBig": ".torrent maior que 8 MiB",
+    "seedStatusDownloading": "Baixando",
+    "seedStatusChecking": "Verificando",
+    "seedStatusPaused": "Pausado",
+    "seedStatusQueued": "Na fila",
+    "swarmLeftover": "O Tracker tem {{count}} anúncio(s) fora da biblioteca (origem distinta da lista de torrents)",
+    "addSourceSection": "Origem",
+    "addSourceFile": "Ficheiro",
+    "addSourceMagnet": "Ímã",
+    "previewSection": "Pré-visualização",
+    "saveRoot": "Raiz",
+    "clearFile": "Limpar ficheiro",
+    "extraTrackersTitle": "Announce extra",
+    "extraTrackersEmptyTitle": "Ainda sem trackers",
+    "extraEnabledCount": "{{count}} ativos",
+    "extraApplyHint": "Ative pelo menos um para aplicar às sementes atuais",
+    "destMode": "Utilização desta pasta",
+    "seedExisting": "Semear ficheiros existentes",
+    "downloadNewFolder": "Descarregar para uma pasta nova",
+    "destFileConflict": "Já existe o ficheiro {{name}}. Escolha outra pasta ou semeie o ficheiro existente se coincidir.",
+    "waitingPeers": "A aguardar pares. Se os ficheiros já estão neste anfitrião, adicione de novo e escolha semear existentes.",
+    "stopTitle": "Pare o rastreador – a propagação e os downloads serão interrompidos",
+    "stopDesc": "A execução de torrents para de anunciar. Os peers se desconectam até você iniciar o rastreador novamente.",
+    "fillPublicHost": "Usar {{host}}",
+    "fillPublicHostTitle": "Preencha o nome do host do painel atual como o host do anúncio público",
+    "listenHostHint": "0.0.0.0 listens on every address. Prefer 127.0.0.1 unless peers must reach this host.",
+    "listenAllWarn": "Tracker is bound to all addresses. With the firewall off this is public. Bind 127.0.0.1 for local-only, or restrict the port in the firewall.",
+    "bindLoopback": "127.0.0.1 only",
+    "bindAll": "0.0.0.0 (all)",
+    "seederPortMin": "Peer port start",
+    "seederPortMax": "Peer port end",
+    "statsLibrary": "Library",
+    "statsLibraryHint": "Torrents in the panel library / file shares",
+    "statsTrackerLeftover": "Tracker leftover",
+    "statsTrackerLeftoverHint": "Tracker announce hashes that are not library rows",
+    "statsAnnouncesHint": "Announce requests seen by the tracker process"
   },
   "catalog": {
     "sw": {
       "vsftpd": "vsftpd (FTPS)",
       "db_util": "db-util (banco de dados de usuário FTP)",
       "nginx": "Nginx",
-      "certbot": "Certbot (vamos criptografar)",
+      "certbot": "Certbot (Let's Encrypt)",
       "mysql_client": "Cliente MySQL/MariaDB",
       "mysql_server": "Servidor MySQL",
       "mariadb_server": "Servidor MariaDB",
@@ -555,8 +670,8 @@
       "redis_server": "Servidor Redis",
       "ufw": "Firewall UFW",
       "fail2ban": "fail2ban",
-      "postfix": "Pós-fixo",
-      "dovecot": "Pombal",
+      "postfix": "Postfix",
+      "dovecot": "Dovecot",
       "opendkim": "OpenDKIM",
       "pdns_server": "PowerDNS",
       "git": "Git",
@@ -565,7 +680,7 @@
       "python": "Python",
       "go": "Go",
       "rust": "Rust",
-      "chromium": "Cromo / Cromo"
+      "chromium": "Chromium / Chrome"
     },
     "php": {
       "session": "Sessão",
@@ -689,7 +804,93 @@
     "deleteNodeDesc": "Exclui o nó CDN \"{{name}}\".",
     "deleteSiteDesc": "Exclui site CDN \"{{name}}\".",
     "deleteSiteC1": "Política do site e associações de borda",
-    "deleteSiteC2": "As configurações nginx aplicadas podem precisar de limpeza separada ou reaplicação"
+    "deleteSiteC2": "As configurações nginx aplicadas podem precisar de limpeza separada ou reaplicação",
+    "statOnline": "Online",
+    "statOffline": "Off-line {{n}}",
+    "statHitRate": "Taxa de acerto {{v}}",
+    "hitNoStats": "Ainda sem estatísticas de bordo",
+    "loopbackOriginBlocked": "Não aplica o origin de loopback {{url}} a um bordo remoto. Defina um origin alcançável.",
+    "applyFailedHint": "Falha ao aplicar — veja as notas abaixo",
+    "applyStatus": {
+      "draft": "Rascunho",
+      "planned": "Planeado",
+      "applying": "A aplicar",
+      "applied": "Aplicado",
+      "failed": "Falhou",
+      "partial": "Parcial"
+    },
+    "drain": "Ralo",
+    "drainTitle": "Pare de enviar novo tráfego CDN para esta borda",
+    "drainDesc": "Drenar “{{name}}”? As conexões existentes permanecem até terminarem.",
+    "drainLastTitle": "Esta é a última vantagem – o dreno deixará todos os locais sem borda",
+    "drainLastDesc": "“{{name}}” é a única aresta. Drene-o e todos os sites não terão vantagem.",
+    "clearDrainTitle": "Aceite novo tráfego nesta borda novamente",
+    "clearDrainDesc": "Limpar dreno em “{{name}}”?",
+    "deleteNodeTitle": "Exclua esta borda CDN",
+    "deleteLastNodeTitle": "Exclua a última borda – todos os sites não terão borda",
+    "purge": "Purga",
+    "previewTitle": "Visualizar configuração do nginx (sem gravação)",
+    "writeConfTitle": "Escreva arquivos de configuração do edge nginx",
+    "applyEdgesTitle": "Aplique este site às bordas (escreve nginx)",
+    "purgeTitle": "Limpar cache nas bordas",
+    "dnsSyncTitle": "Gravar registros DNS CDN",
+    "probeDnsTitle": "Sondar bordas e DNS (somente leitura)",
+    "distSslTitle": "Copiar materiais TLS para bordas",
+    "leIssueTitle": "Emita um certificado Let’s Encrypt e distribua-o",
+    "deleteSiteTitle": "Exclua este site CDN",
+    "siteOpConfirmGeneric": "Executar esta ação em “{{name}}”?",
+    "siteOpConfirmDesc": "Site “{{name}}” · {{action}}. Isso pode alterar o nginx, DNS ou certificados.",
+    "siteOpConfirm": {
+      "apply": "Aplicar este site às bordas?",
+      "render": "Escreva a configuração do nginx para este site?",
+      "purge": "Limpar cache deste site?",
+      "dns-sync": "Sincronizar DNS para este site?",
+      "dist": "Distribuir TLS para bordas?",
+      "issue": "Problema Vamos criptografar e distribuir?"
+    },
+    "pillNodesSites": "{{n}} nós · {{s}} locais",
+    "statHit": "Taxa de acerto",
+    "hitUnknown": "Desconhecido",
+    "lastHealthHint": "Última sondagem {{at}} · {{ok}}",
+    "lastHealthNever": "Ainda não investigado – execute Probe",
+    "lastHealthFail": "falha na sonda",
+    "healthLoopNeedSites": "Adicione um site primeiro",
+    "nodeStatus": {
+      "online": "on-line",
+      "offline": "off-line",
+      "draining": "drenando",
+      "unknown": "desconhecido"
+    },
+    "statOnlineOf": "Online {{n}}/{{total}}",
+    "statDraining": "Draining {{n}}",
+    "localTest": "local / test",
+    "colRegion": "Region",
+    "previewOnlyNote": "Preview only — nothing was written to the edges.",
+    "statByRegion": "Region: ",
+    "statByApply": "Apply status: ",
+    "col": {
+      "origin": "Origin",
+      "edges": "Edges",
+      "apply": "Apply",
+      "dns": "DNS",
+      "edgesOnline": "Edges online / applied",
+      "dnsRr": "CDN DNS records"
+    },
+    "mode": {
+      "origin_pull": "Origin pull",
+      "reverse_proxy": "Reverse proxy",
+      "static_edge": "Static edge"
+    },
+    "dnsStrategy": {
+      "multi_a": "Multiple A records",
+      "cname": "CNAME",
+      "geo": "Geo"
+    },
+    "edgesOnlineApplied": "{{online}}/{{total}} online · {{applied}} applied",
+    "hitMiss": "Hits {{hits}} / misses {{misses}}",
+    "cacheBytes": "Cache ≈ {{n}} B",
+    "hitRateUnknown": "No access log with cache status and no cache directory, so hit rate cannot be estimated.",
+    "offlineHint": "Offline — probe failed. Remove the node if it is leftover."
   },
   "cli": {
     "unknownCommand": "Comando desconhecido: {{command}}\nExecute `{{cli}} ajuda`",
@@ -1575,7 +1776,7 @@
             },
             "status": {
               "bans": {
-                "a8d96b": "Uso: {{CLI_NAME}} status de defesa|proibições|suspeitos|ban|unban|whitelist|stack-apply|fail2ban|firewall|timeline|presets [--json]\n` +\n          ` banimentos [--q texto] [--source fail2ban|panel|ufw|auto]\n` +\n          ` suspeitos [--q texto]\n` +\n          ` stack-apply [--execute] # UFW + fail2ban + predefinição atual\n` +\n          `fail2ban | firewall # investigações profundas (honestas)\n` +\n          ` linha do tempo [--limit N] [--q texto]\n` +\n          `predefinições # lista + activePreset"
+                "a8d96b": "Uso: {{CLI_NAME}} status de defesa|proibições|suspeitos|ban|unban|whitelist|stack-apply|fail2ban|firewall|timeline|presets [--json]\n banimentos [--q texto] [--source fail2ban|panel|ufw|auto]\n suspeitos [--q texto]\n stack-apply [--execute] # UFW + fail2ban + predefinição atual\nfail2ban | firewall # investigações profundas (honestas)\n linha do tempo [--limit N] [--q texto]\npredefinições # lista + activePreset"
               }
             }
           }
@@ -1741,7 +1942,7 @@
         }
       },
       "x": {
-        "972912": "Uso:\n  inventário de migração do servidor ysk [--data-dir PATH] --json\n  ysk-server migra host --target root@IP [--identity-file PATH|--identity-id ID|--password PW] --execute [--maintenance] [--force-wipe-target]\n  ysk-server migra post --job ID --data-dir PATH --execute # no destino\n  status de migração do servidor ysk [--ID do trabalho]\n  ysk-server migrar currículo --job ID --execute"
+        "972912": "Uso:\n  inventário de migração do servidor ysk [--data-dir PATH] --json\n  ysk-server migra host --target root@IP [--identity-file PATH|--identity-id ID|--password PW] --execute [--maintenance] [--force-wipe-target]\n  ysk-server migra post --job ID --data-dir PATH --execute # no destino\n  status de migração do servidor ysk [--ID do trabalho]\n  ysk-server migrar currículo --job ID --execute\n  ysk-server migrate orphan-homes [--data-dir PATH] --json\n  ysk-server migrate orphan-homes --path /home/ysk-server-UUID --confirm PATH --execute\n"
       },
       "hostingHelp": "Uso: hospedagem ysk-server <sub>\n  Teste padrão de operações perigosas; adicione --execute (+ YSK_EXECUTE=1) para aplicar\n  nginx | nginx-sync [--executar]\n  redisprovisão | provisão postgres | provisão mysql [--executar]\n  dns-zone --zone X --ip A.B.C.D [--ipv6 X:X::X] [--validate] [--reload]\n  zonas DNS | status do powerdns | powerdns-install [--instalar|--executar]\n  powerdns-load --zone X --ip A.B.C.D [--load|--execute]\n  email-apply --domain X [--install|--execute]\n  email-caixa de correio --domínio X --usuário local [--senha P] [--ip A.B.C.D] [--sistema]\n  ftps-apply --domínio X [--instalar|--executar]\n  tempos de execução | runtime-install --kind node|php|python|go|rust --version V [--install|--execute]\n  dovecot-passdb --domínio X | --todos\n  webmail-apply --domínio webmail.example.com [--download]\n  arquivos públicos --domain files.example.com [--reload]\n  email-bootstrap --domain example.com --ip A.B.C.D [--install|--execute]\n  email-deliverability --domain example.com # PTR/DNSBL/warmup pack (honesto)\n  aplicar firewall [--smtp] [--executar]",
       "logsQuery": "Uso: {{CLI_NAME}} consulta de logs --source <id> [--lines N] [--grep G] [--since 1h] [--priority err]\n  exemplos de origem: diário: diário: arquivo nginx.service: projeto syslog: <uuid>\n  {{CLI_NAME}} fontes de registros --json\n  {{CLI_NAME}} diário de registros [--unit nginx.service] --json"
@@ -1910,6 +2111,7 @@
     "noData": "Sem dados",
     "input": "Entrada",
     "pleaseEnter": "Digite {{value}}",
+    "required": "Obrigatório",
     "about": "Sobre",
     "operation": "Ações",
     "delete": "Excluir",
@@ -1996,7 +2198,13 @@
     "show": "Mostrar",
     "done": "Feito",
     "next": "Próximo",
-    "previous": "Anterior"
+    "previous": "Anterior",
+    "all": "Todos",
+    "showPassword": "Mostrar",
+    "hidePassword": "Esconder",
+    "more": "Mais",
+    "redirectedTo": "Aberto {{to}} (antes {{from}})",
+    "unavailable": "Not available right now"
   },
   "cron": {
     "presetCdTrue": "aplicativo cd + verdadeiro (teste)",
@@ -2135,7 +2343,36 @@
     "sourceHost": "Hospedar",
     "noHostJobs": "Nenhum trabalho crontab neste escopo",
     "hostPartial": "Não foi possível ler o crontab de todos os usuários (é necessário root)",
-    "pendingInstall": "Instalação pendente ({{count}})"
+    "pendingInstall": "Instalação pendente ({{count}})",
+    "hourRange": "A hora deve ser 0–23.",
+    "minuteRange": "O minuto deve ser 0–59.",
+    "hoursCommon": "Horário comum",
+    "hoursAll": "Todas as horas",
+    "invalidExpr": "Não é uma expressão cron válida de 5 campos.",
+    "needCommand": "O comando é necessário.",
+    "needUser": "Escolha um projeto ou um usuário do sistema.",
+    "hostCounts": "Linhas hospedeiras",
+    "hostCountsVal": "{{ysk}} · outro {{other}} · total {{total}}",
+    "hostYskYes": "linhas do painel presentes",
+    "hostYskNo": "sem linhas de painel",
+    "emptyHostCrontab": "Não há crontab para {{user}}.",
+    "writtenOnHost": "Written",
+    "registeredJobsChip": "Registered",
+    "registeredVsWritten": "Registered in the panel vs written to host crontab",
+    "installPreviewTitle": "Preview before installing to system crontab",
+    "installPreviewDesc": "This merges the YSK block into the host crontab. Existing non-YSK lines stay.",
+    "installPreviewMerge": "Install writes a YSK Server crontab merge block. It does not replace the whole crontab.",
+    "installPreviewEmpty": "No pending managed jobs — install still refreshes the YSK block.",
+    "editJobTitle": "Edit job",
+    "editJobDesc": "Changes stay in the panel until you install to the system crontab.",
+    "saveJob": "Save (management only)",
+    "panelLines": "Panel lines",
+    "otherLines": "Other lines",
+    "totalLines": "Total",
+    "writtenOnHostHint": "Lines already written to the host crontab",
+    "registeredJobsHint": "Jobs registered in the panel (including pending install)",
+    "pendingInstallCount": "{{n}} pending install",
+    "systemJobBadge": "No project · system user"
   },
   "dashboard": {
     "title": "Painel",
@@ -2224,7 +2461,7 @@
     "runtime": "Tempo de execução",
     "runtimeHint": "Define a versão de tempo de execução padrão e o estilo de implantação",
     "runtimeVersion": "Versão de tempo de execução",
-    "versionHint": "Armazenado como projeto runtime_version",
+    "versionHint": "Grava a definição de versão do ambiente de execução do projeto",
     "serverIpv4": "Servidor IPv4",
     "serverIpv4Hint": "DNS A / correio SPF",
     "serverIpv4Ph": "Este host IPv4 público",
@@ -2246,7 +2483,26 @@
     "noNotifs": "Sem notificações",
     "noNotifsDesc": "Alertas do sistema e todos aparecem aqui",
     "applyAuditTitle": "Aplicar auditoria de status",
-    "applyAuditDesc": "ok {{ok}} · avisar {{warn}} · ruim {{bad}}"
+    "applyAuditDesc": "ok {{ok}} · avisar {{warn}} · ruim {{bad}}",
+    "barTitle": "{{count}} alerta(s) do host",
+    "levelCritical": "Crítico",
+    "levelWarn": "Aviso",
+    "levelInfo": "Informações",
+    "colTitle": "Alerta",
+    "colDetail": "Detalhe",
+    "colSource": "Origem",
+    "notifSearch": "Alertas de pesquisa",
+    "notifAll": "Todos",
+    "notifDismiss": "Esconder",
+    "goFix": "Consertar",
+    "needDomainFirst": "Introduza primeiro um domínio",
+    "serviceAria": "{{name}}: {{state}}",
+    "sev": {
+      "ok": "OK",
+      "warn": "Warning",
+      "bad": "Problem"
+    },
+    "publicNo2fa": "This panel listens on all interfaces and your admin account has no 2FA."
   },
   "dataTable": {
     "empty": "Sem dados",
@@ -2471,7 +2727,37 @@
       "probe": "Sondar",
       "name": "Nome",
       "type": "Tipo",
-      "status": "Status"
+      "status": {
+        "healthy": "Saudável",
+        "planned": "Planejado",
+        "partial": "Parcial",
+        "failed": "Fracassado",
+        "draft": "Rascunho",
+        "degraded": "Degradado",
+        "applied": "Aplicado"
+      },
+      "fleetSession": "ID de sessão do agente de frota",
+      "fleetSessionHint": "Optional. Paste a session UUID from /agents. Then this peer uses fleet (no SSH). Leave empty for SSH scp.",
+      "fleetSessionPh": "UUID da sessão da página dos agentes",
+      "engineNotInstalled": "{{engine}} não está instalado neste host — instale-o primeiro ou abra o mecanismo que está realmente em execução.",
+      "fleetSessionNone": "Nenhum – use SSH",
+      "fleetSessionOpenAgents": "Abra /agentes para registrar uma sessão",
+      "createWizardTitle": "Abre o assistente de plano. Precisa de um IP local e ≥1 peer. Grava apenas artefatos do painel (simulação). Não reinicia o motor até que você aplique.",
+      "bootstrap": "Inicialização",
+      "fleetApply": "Aplicação de frota",
+      "planTitle": "Gerar novamente o plano de cluster (sem alteração de host)",
+      "writeFileTitle": "Grave arquivos de gerenciamento no diretório de dados do painel (simulação)",
+      "probeLocalTitle": "Sondar apenas este host",
+      "probeAllTitle": "Sonde cada membro registrado",
+      "bootstrapTitle": "Instale o drop-in local e inicialize o primeiro nó",
+      "remoteInstallPlanTitle": "Visualizar instalação remota (sem execução)",
+      "downloadBundleTitle": "Baixe o pacote peer conf (.tar.gz)",
+      "pushPlanTitle": "Visualizar push to peer (sem scp)",
+      "fleetSyncPlanTitle": "Visualizar sincronização da frota (sem execução)",
+      "fleetApplyTitle": "O enfileiramento se aplica aos membros da frota?",
+      "redirectedFromCluster": "You were redirected here from /cluster. This is the database cluster tab.",
+      "roleUnassigned": "No role assigned",
+      "standaloneOtherEngines": "This engine is standalone. Other engines have clusters: {{names}}."
     },
     "console": {
       "dataBrowse": "Navegar pelos dados",
@@ -2511,7 +2797,9 @@
       "reloadConfig": "Recarregar configuração",
       "disableBoot": "Desativar na inicialização",
       "needRights": "Precisa de direitos de alteração do sistema e administrador. Os fracassos mostram razões – nunca finja o sucesso.",
-      "noneFetched": "- nenhum -"
+      "noneFetched": "- nenhum -",
+      "disableBootConfirm": "O mecanismo não iniciará após a reinicialização até que você o habilite novamente.",
+      "affectsProjects": "Sites and services that use this engine will be interrupted."
     },
     "expiresLabel": "Expira",
     "importEntry": "Entrada: {{url}}",
@@ -2537,7 +2825,30 @@
     "unfreezeOk": "{{engine}} reparo concluído",
     "startAfterUnfreeze": "Iniciar serviço (executa automaticamente o plano de reparo em caso de falha)",
     "serviceDownTitle": "O serviço de banco de dados está inativo",
-    "serviceDownBody": "O serviço não é saudável"
+    "serviceDownBody": "O serviço não é saudável",
+    "emptyDbHostHasRows": "O host já possui bancos de dados que não estão nesta lista de plano de controle.",
+    "hostHasUntracked": "{{count}} bancos de dados host não estão registrados no painel",
+    "hostInventoryHint": "A tabela contém apenas linhas do plano de controle. Os nomes ativos vêm de SHOW DATABASES.",
+    "adoptHostDb": "Cadastre-se {{name}}",
+    "remoteTest": "Conexão de teste",
+    "remoteTestDone": "Sondagem de host remoto concluída",
+    "remoteTestOk": "alcançável",
+    "remoteTestFail": "inacessível",
+    "remoteNotChecked": "não testado",
+    "registeredVsHostHint": "Registado no painel / encontrado no anfitrião",
+    "dumpNeedRegistered": "Registe primeiro uma base de dados no painel",
+    "dumpFirstDbTitle": "Exportar a primeira base registada",
+    "importNeedRegistered": "Registe primeiro uma base de dados no painel",
+    "importLatestNeedConfirm": "Precisa de confirmação — importa para a base registada",
+    "adoptHostDbTitle": "Só regista o nome no plano de controlo; não altera dados do anfitrião.",
+    "cleanupExpiredTempUsersTitle": "Remove utilizadores temporários do painel já expirados",
+    "remoteDeleteTitle": "Remover apenas este registo",
+    "remoteDeleteConfirm": "Remover o registo {{name}}? O servidor remoto não é alterado.",
+    "registeredCount": "Registered",
+    "hostCount": "On host",
+    "registeredUsers": "Registered users",
+    "registeredUsersHint": "Panel registrations only — not every MySQL account",
+    "hostStillExists": "Still on host"
   },
   "dialogs": {
     "confirmDefault": "Confirmar",
@@ -2761,7 +3072,272 @@
     "aboutHealthTitle": "Integridade do serviço",
     "aboutHealthBody": "Use Ferramentas para testar o PowerDNS, reparar o bind e abrir a porta 53.",
     "aboutStackTitle": "Programas",
-    "aboutStackBody": "Verifique/atualize o pacote PowerDNS em Software."
+    "aboutStackBody": "Verifique/atualize o pacote PowerDNS em Software.",
+    "invalidZone": "Nome de zona inválido. Use um domínio real (por exemplo, example.com).",
+    "invalidIpv4": "IPv4 inválido. Cada octeto deve ser de 0 a 255.",
+    "mailZonesMissing": "Os domínios de e-mail não têm zona DNS aqui: {{domains}}.",
+    "createMailZone": "Criar zona de correio",
+    "createMailZoneNow": "Zona de correio criada {{domain}}",
+    "healNeedInstall": "PowerDNS não está instalado - instale-o primeiro na guia Software",
+    "applyNeedService": "O serviço DNS não está em execução – inicie ou instale-o antes de aplicar",
+    "deleteZoneNeedName": "Exclua esta zona — você digitará o nome da zona para confirmar",
+    "toolsFirewallTitle": "Firewall (UFW)",
+    "toolsFirewallHint": "Permitir ou negar a porta 53. Não inicia nem para o PowerDNS.",
+    "toolsUnitTitle": "Unidade PowerDNS",
+    "toolsUnitHint": "Unidade systemd pdns — iniciar, parar, reiniciar, recarregar.",
+    "installConfirmTitle": "Instalar o PowerDNS?",
+    "installConfirmDesc": "Instala pdns-server e escreve a configuração gerida. Precisa de root e YSK_EXECUTE=1.",
+    "installConfirmConsequence": "Após instalar e iniciar, o PowerDNS liga a porta 53.",
+    "installPort53Busy": "A porta 53 já tem um ouvinte. O PowerDNS pode falhar a ligar até esse processo ser parado ou reparado.",
+    "installPort53BusyConsequence": "Repare a ligação ou pare o outro ouvinte antes de esperar respostas na 53.",
+    "createZoneNeedValid": "Enter a valid zone name and IPv4 address"
+  },
+  "docker": {
+    "title": "Docker",
+    "subtitle": "Instale e controle o motor Docker, contentores, imagens, projetos Compose e disco neste anfitrião.",
+    "refresh": "Atualizar",
+    "notInstalled": "O Docker Engine não está instalado. Instale docker.io e docker-compose-v2 nesta página.",
+    "protected": "Protegido",
+    "pruneConfirm": "Escreva PRUNE para confirmar a limpeza de volume ou do sistema",
+    "settingsHint": "Apenas um subconjunto seguro de daemon.json. Aplicar escreve o ficheiro e reinicia docker.service.",
+    "cli": {
+      "usage": "Utilização: ysk-server docker status|ps|images|volumes|networks|df|logs|inspect|exec|start|stop|restart|rm|pull|run|prune|engine|compose [--image IMG] [--name N] [--preset version|help|hostname] [--bin BIN] [--project P] [--execute] [--json]"
+    },
+    "tab": {
+      "overview": "Visão geral",
+      "containers": "Contentores",
+      "images": "Imagens",
+      "compose": "Compose",
+      "volumes": "Volumes",
+      "networks": "Redes",
+      "prune": "Limpar",
+      "settings": "Definições",
+      "about": "Sobre"
+    },
+    "col": {
+      "engine": "Motor",
+      "containers": "Contentores",
+      "version": "Versão",
+      "dataRoot": "Diretório de dados",
+      "disk": "Disco",
+      "validators": "Pilhas de validador",
+      "name": "Nome",
+      "image": "Imagem",
+      "status": "Estado",
+      "ports": "Portos",
+      "managed": "Gerido pelo painel",
+      "size": "Tamanho",
+      "driver": "Controlador",
+      "type": "Tipo",
+      "reclaimable": "Recuperável"
+    },
+    "state": {
+      "up": "Ativo",
+      "down": "Parado",
+      "running": "Running",
+      "exited": "Exited",
+      "restarting": "Restarting",
+      "restartingCount": "Restarting · {{n}} times",
+      "paused": "Paused",
+      "created": "Created",
+      "dead": "Dead",
+      "removing": "Removing",
+      "unknown": "Unknown"
+    },
+    "actions": {
+      "start": "Iniciar",
+      "stop": "Parar",
+      "restart": "Reiniciar",
+      "remove": "Remover",
+      "logs": "Registos",
+      "inspect": "Inspecionar",
+      "exec": "Exec (versão)",
+      "run": "Executar imagem",
+      "pull": "Obter",
+      "up": "Subir",
+      "down": "Descer",
+      "createVolume": "Criar volume",
+      "createNetwork": "Criar rede",
+      "pruneContainers": "Limpar contentores",
+      "pruneImages": "Limpar imagens",
+      "pruneVolumes": "Limpar volumes",
+      "pruneSystem": "Limpeza do sistema",
+      "startEngine": "Iniciar motor",
+      "stopEngine": "Parar motor",
+      "restartEngine": "Reiniciar motor",
+      "applyDaemon": "Aplicar definições do motor"
+    },
+    "empty": {
+      "containers": "Sem contentores",
+      "images": "Sem imagens",
+      "compose": "Sem projetos Compose",
+      "volumes": "Sem volumes",
+      "networks": "Sem redes",
+      "composeDesc": "Projects come from validator nodes or Compose files already on this host. This page does not accept arbitrary YAML uploads.",
+      "composeCta": "Open validator nodes"
+    },
+    "logs": {
+      "empty": "Ainda sem registos",
+      "follow": "Follow"
+    },
+    "settings": {
+      "logMaxSize": "Tamanho máximo do registo do contentor",
+      "liveRestore": "Restauro em direto (manter contentores se o daemon reiniciar)",
+      "mirrors": "Espelhos Registry (um URL por linha)",
+      "insecure": "Registries sem cifra (um anfitrião por linha)"
+    },
+    "about": {
+      "body": "O Docker é um serviço de anfitrião de primeira linha no YSK Server, como o Nginx. Instala-se pelo painel (Ubuntu docker.io + docker-compose-v2). Os nós validador correm como projetos Compose yskval-*.",
+      "honesty": "Alterações no anfitrião precisam de root e YSK_EXECUTE=1. O predefinido é dry-run. Esta página não é Kubernetes.",
+      "validators": "Abrir nós validador"
+    },
+    "alerts": {
+      "daemonTitle": "O daemon Docker está parado",
+      "daemonBody": "O Docker está instalado mas o docker.service não está ativo. As pilhas de validador não conseguem arrancar."
+    },
+    "errors": {
+      "notInstalled": "O Docker não está instalado",
+      "daemonDown": "O daemon Docker não está ativo",
+      "needCompose": "É necessário docker compose (extensão v2)",
+      "badImage": "Referência de imagem inválida",
+      "badName": "Nome inválido",
+      "badPort": "Publicação de porto inválida",
+      "badEnv": "Variável de ambiente inválida",
+      "badVolume": "Montagem de volume inválida",
+      "badNetwork": "Rede inválida",
+      "protectedNetwork": "Não é possível remover uma rede Docker integrada",
+      "badRestart": "Política de reinício inválida",
+      "badPrune": "Âmbito de limpeza inválido",
+      "needPruneConfirm": "Limpar volume ou sistema exige confirm=PRUNE",
+      "badDaemon": "Definição do motor inválida",
+      "composeMissing": "Ficheiro Compose deste projeto não encontrado",
+      "logsFailed": "Não foi possível ler os registos do contentor",
+      "mutateFailed": "O comando Docker falhou",
+      "engineFailed": "Não foi possível controlar o docker.service",
+      "badExec": "O exec limita-se a binários e predefinições permitidos (sem shell nem TTY)",
+      "uninstallBusy": "Pare os contentores geridos pelo painel (incluindo pilhas de validador) antes de desinstalar o Docker"
+    },
+    "notes": {
+      "dryMutate": "Apenas dry-run. Passe --execute e YSK_EXECUTE=1 para alterar o anfitrião.",
+      "dryPrune": "Pré-visualização da limpeza (não aplicada).",
+      "dryEngine": "O controlo do motor é dry-run.",
+      "dryDaemon": "Escreveria /etc/docker/daemon.json e reiniciaria o docker.service.",
+      "daemonWrote": "daemon.json escrito",
+      "start": "Contentor iniciado",
+      "stop": "Contentor parado",
+      "restart": "Contentor reiniciado",
+      "remove": "Contentor removido",
+      "ran": "Contentor iniciado a partir da imagem",
+      "pulled": "Imagem obtida",
+      "exec": "Exec permitido executado",
+      "imageRemoved": "Imagem removida",
+      "volumeCreated": "Volume criado",
+      "volumeRemoved": "Volume removido",
+      "networkCreated": "Rede criada",
+      "networkRemoved": "Rede removida",
+      "pruned": "Limpeza concluída",
+      "compose": {
+        "up": "Projeto Compose iniciado",
+        "down": "Projeto Compose parado",
+        "restart": "Projeto Compose reiniciado",
+        "rm": "Compose project removed"
+      },
+      "engine": {
+        "start": "docker.service iniciado",
+        "stop": "docker.service parado",
+        "restart": "docker.service reiniciado"
+      }
+    },
+    "needEngineTitle": "Install Docker Engine first",
+    "notInstalledValue": "Not installed",
+    "nameHint": "Letters, digits, underscore, dot, hyphen (max 128)",
+    "volPlaceholder": "my-data",
+    "netPlaceholder": "my-net",
+    "runPorts": "Publish ports",
+    "runPortsHint": "host:container per line, e.g. 8080:80",
+    "runEnv": "Environment",
+    "runEnvHint": "KEY=value per line",
+    "runRestart": "Restart policy",
+    "runNetwork": "Network",
+    "runVolumes": "Volumes",
+    "runVolumesHint": "volume:dest per line",
+    "runAdvancedHint": "For multi-service stacks use validator nodes or Compose files already on this host.",
+    "daemonConfirmTitle": "Apply daemon settings?",
+    "daemonConfirmDesc": "Writes daemon.json and restarts docker.service. All containers will be interrupted.",
+    "ui": {
+      "whatYouGet": "O que esta página faz",
+      "whatYouGetLead": "Instale primeiro o Docker Engine. Depois pode executar um contentor, obter imagens e ver as pilhas Compose de validador já neste anfitrião.",
+      "capEngine": "Motor",
+      "capEngineDesc": "Instalação num clique de docker.io e docker-compose-v2. Inicie e pare o docker.service aqui.",
+      "capWork": "Contentores e imagens",
+      "capWorkDesc": "Escolha uma imagem comum, obtenha-a, execute-a e depois leia os registos ou inspecione o contentor.",
+      "capStacks": "Pilhas de validador",
+      "capStacksDesc": "Pilhas de vários serviços são projetos Compose de validador (yskval-*). Esta página não aceita YAML carregado.",
+      "cardEngine": "Motor",
+      "cardDisk": "Disco",
+      "cardWork": "Neste anfitrião",
+      "compose": "Compose",
+      "cgroup": "cgroup",
+      "used": "Usado",
+      "free": "Livre",
+      "running": "Em execução",
+      "images": "Imagens",
+      "volumes": "Volumes",
+      "networks": "Redes",
+      "goImages": "Imagens",
+      "goValidators": "Nós validador",
+      "imagePickHint": "Escolha uma imagem comum. Use Outra só quando precisar de outra referência.",
+      "imageCustom": "Outra",
+      "driver": "Controlador",
+      "driverLocalOnly": "Este painel cria apenas volumes local.",
+      "netDefaultDriver": "Novas redes usam o controlador bridge predefinido do Docker.",
+      "pruneWhat": "O que remover",
+      "pruneAck": "Compreendo que os dados não usados serão eliminados e não podem ser restaurados",
+      "pruneAckDesc": "Limpar volumes ou o sistema não pode ser anulado. Contentores parados e imagens não usadas do âmbito escolhido são removidos.",
+      "pruneNow": "Limpar agora",
+      "useMirrors": "Usar espelhos de registo",
+      "useInsecure": "Permitir registos sem cifra",
+      "publishPorts": "Publicar portos no anfitrião",
+      "attachVolume": "Anexar um volume",
+      "setEnv": "Definir variáveis de ambiente",
+      "defaultNet": "Predefinida",
+      "mountPath": "Caminho de montagem",
+      "restartNo": "Nunca",
+      "restartUnless": "Salvo se parado",
+      "restartAlways": "Sempre",
+      "restartOnFail": "Em falha",
+      "needAck": "Confirme antes de limpar",
+      "scopeContainers": "Contentores parados",
+      "scopeImages": "Imagens não usadas",
+      "scopeVolumes": "Volumes não usados",
+      "scopeBuilder": "Cache de construção",
+      "scopeSystem": "Tudo o que não é usado",
+      "noVolumesYet": "Ainda sem volumes — crie um no separador Volumes primeiro.",
+      "customPort": "Outro porto do anfitrião",
+      "customPortHost": "Porto do anfitrião",
+      "customPortContainer": "Porto do contentor",
+      "pctUsed": "{{n}}% usado",
+      "customPortHint": "1–65535. Example: 9090 → 80.",
+      "pickBridge": "Bridge network"
+    },
+    "deleteTitle": "Delete {{id}}",
+    "deleteDesc": "This cannot be undone.",
+    "deleteC1": "The resource is removed from this host.",
+    "deleteComposeVal": "This is a validator stack — the validator instance is also deleted.",
+    "pruneTitle": "Prune Docker resources",
+    "pruneDesc": "Type PRUNE to confirm. Unused data cannot be restored.",
+    "pruneC1": "Unused resources in the selected scope are deleted.",
+    "pruneC2": "Volume and system prune permanently delete unused data volumes.",
+    "pruneC3": "Stopped containers or unused images in this scope are removed.",
+    "df": {
+      "images": "Images",
+      "containers": "Containers",
+      "volumes": "Local volumes",
+      "builder": "Build cache",
+      "other": "Other"
+    },
+    "deleteRunningWarn": "This container is still running or restarting. It will be force-removed.",
+    "stopEngineDesc": "This stops the Docker engine and all {{n}} container(s) on this host."
   },
   "email": {
     "title": "E-mail",
@@ -2812,7 +3388,7 @@
     "needExecute": "Precisa de YSK_EXECUTE",
     "viewQueue": "Ver fila",
     "flushQueue": "Liberar fila",
-    "queueHint": "Clique em Exibir fila para ler a fila local do Postfix",
+    "queueHint": "Fila Postfix local. Ver é sonda de leitura; limpar exige YSK_EXECUTE.",
     "deleteThisId": "Excluir este ID",
     "queueEmpty": "Sem correio diferido",
     "queueEmptyHint": "Nenhuma mensagem adiada",
@@ -3081,7 +3657,8 @@
       "dmarcMissing": "DMARC ausente – altamente recomendado",
       "ptrBad": "DNS reverso PTR ausente ou incorreto – solicitação no provedor VPS",
       "port25Blocked": "A porta de saída 25 parece bloqueada – solicite o desbloqueio ou use a retransmissão SMTP",
-      "port25Unknown": "Status da porta 25 desconhecido – execute a verificação de conectividade"
+      "port25Unknown": "Status da porta 25 desconhecido – execute a verificação de conectividade",
+      "dmarcUnpublished": "O DMARC é gerado no painel, mas ainda não foi publicado no DNS público"
     },
     "stack": {
       "tlsNote": "Certificados TLS via Let’s Encrypt para SMTP/IMAP",
@@ -3122,7 +3699,8 @@
       "postfixReloaded": "Postfix recarregado.",
       "postfixReloadFailed": "Falha ao recarregar o Postfix: {{detail}}",
       "dovecotApplied": "Escreveu o snippet Dovecot TLS e tentou recarregar.",
-      "dovecotSkipped": "Dovecot ignorado (não instalado ou doveconf indisponível)."
+      "dovecotSkipped": "Dovecot ignorado (não instalado ou doveconf indisponível).",
+      "dovecotSslOmitted": "O certificado de correio está faltando; escrevi ssl=no para que o Dovecot possa iniciar sem os arquivos LE."
     },
     "policyApplySystemHint": "Marque “aplicar ao sistema” para escrever mapas Postfix/Rspamd e recarregar;",
     "rateLimitAppliedNote": "Taxa de saída por hora e sinalizador antispam aplicados (quando a aplicação do sistema está ativada).",
@@ -3161,12 +3739,12 @@
     "deliverabilityDesc": "Verificações de PTR/DNS/porta 25",
     "dnsTodosDesc": "Copie e adicione em seu host DNS",
     "deliverabilityHonesty": "Não é possível definir o PTR ou desbloquear a porta 25 para você",
-    "warmupSuggest": "暖身建議",
-    "writeSsoSkeleton": "Sobre Roundcube SSO",
-    "rateLimitPerHour": "每小時訊息上限",
-    "rateLimitGlobalHint": "全域取各域名最小值",
-    "savePolicyWritten": "只寫入控制面",
-    "dnsblMultiIp": "Sobre IP RBL",
+    "warmupSuggest": "Sugestões de aquecimento",
+    "writeSsoSkeleton": "Escrever o esqueleto SSO do Roundcube",
+    "rateLimitPerHour": "Limite de mensagens por hora",
+    "rateLimitGlobalHint": "O global usa o mínimo de cada domínio",
+    "savePolicyWritten": "Gravado apenas no plano de controlo",
+    "dnsblMultiIp": "RBL de várias IP",
     "webmailTool": "Software de webmail",
     "webmailToolRoundcube": "Cubo redondo (padrão)",
     "webmailToolSnappy": "SnappyMail (leve)",
@@ -3238,7 +3816,41 @@
     "mailboxEmptyTitle": "Ainda não há caixas de correio",
     "passwordMismatch": "As senhas não coincidem",
     "passwordTooShort": "A senha deve ter pelo menos 8 caracteres",
-    "mailboxUpdateNeedField": "Defina uma nova senha ou altere o status"
+    "mailboxUpdateNeedField": "Defina uma nova senha ou altere o status",
+    "catchallHint": "Partes locais desconhecidas vão para a caixa destino. Rascunho até aplicar.",
+    "queueSearchPh": "Pesquisar ID, remetente ou destinatário…",
+    "queueId": "ID da fila",
+    "queueSender": "Remetente",
+    "queueRecipients": "Destinatários",
+    "queueSize": "Tamanho",
+    "queueReason": "Motivo",
+    "queueActive": "Ativo",
+    "queueHeld": "Retido",
+    "queueDeferred": "Adiado",
+    "deleteQueueTitle": "Eliminar esta mensagem da fila?",
+    "deleteQueueDesc": "Remover {{id}} da fila MTA local. Precisa de YSK_EXECUTE.",
+    "openQueuePage": "Abrir fila de correio",
+    "healthUnchecked": "Ainda não verificado",
+    "dovecotFailedHint": "Dovecot failed. Open the Software tab for status; if the mail certificate is missing, issue it on the SSL page first.",
+    "domainsListDesc": "Domínios de correio registrados neste host",
+    "healthChecklist": "Lista {{score}}/100",
+    "healthChecklistHint": "Pontuação da lista — DNS / PTR / porta 25 ainda não verificados",
+    "healthLiveHint": "Pontuação da sonda ao vivo",
+    "installWebmailTitle": "Crie o projeto de webmail compartilhado (primeira instalação)",
+    "reinstallWebmailTitle": "Reconstruir/atualizar o projeto de webmail existente",
+    "reinstallNeedInstall": "Instale o webmail primeiro",
+    "dovecotFailedStatus": "Pombal é {{status}}. Abra a guia Software para o resumo da unidade.",
+    "mailCertMissing": "Nenhum certificado para {{hosts}}. Emita-o na página SSL.",
+    "mailCertPresent": "Um certificado de correio já foi emitido — este não é um problema de certificado ausente.",
+    "webmailNeedCert": "Nenhum certificado para {{host}} — emita-o em SSL antes de forçar HTTPS.",
+    "flushQueueEmpty": "A fila está vazia",
+    "flushQueueNeedExecute": "A liberação da fila precisa de YSK_EXECUTE (permissão de execução do host)",
+    "healthUncheckedHint": "DNS / PTR / porta 25 ainda não foram sondados.",
+    "deliverabilityScore": "Pacote de entregabilidade",
+    "opendkimNoReload": "O OpenDKIM não tem reload — use reinício após alterar chaves ou tabelas.",
+    "opendkimNoReloadTitle": "systemctl reload opendkim não é suportado nesta pilha",
+    "tlsRequestLeFor": "Request LE for {{host}}",
+    "deliverabilityChecks": "Checks"
   },
   "errors": {
     "YSK_UNAUTHORIZED": "Não autorizado",
@@ -3279,7 +3891,9 @@
       "sessionExpired": "Sessão expirada; faça login novamente",
       "sessionIdle": "Tempo limite de inatividade; faça login novamente",
       "totpNotEnabled": "2FA não está ativado",
-      "totpSecretNoDataDir": "O segredo TOTP está criptografado, mas dataDir não está definido"
+      "totpSecretNoDataDir": "O segredo TOTP está criptografado, mas dataDir não está definido",
+      "mustChangePassword": "Defina uma nova senha antes de continuar",
+      "policyNeedsOwn2fa": "Ative o 2FA para esta conta e confirme com um código TOTP antes de exigir 2FA para outras contas"
     },
     "http": {
       "notFoundRoute": "Não encontrado: {{method}} {{path}}",
@@ -3289,7 +3903,8 @@
       "unprocessable": "Solicitação rejeitada pelo servidor",
       "requestFailed": "Falha na solicitação ({{status}})",
       "jsonInvalid": "JSON inválido",
-      "internal": "Erro interno"
+      "internal": "Erro interno",
+      "payloadTooLarge": "O corpo do pedido é demasiado grande"
     },
     "YSK_HOST_BROWSE_SSRF": "Navegação no host bloqueada pela política de segurança",
     "YSK_HOST_BROWSE_SESSION": "Sessão de navegação do host não encontrada ou expirada",
@@ -3376,7 +3991,32 @@
       "reload": "fail2ban recarregado",
       "restart": "fail2ban reiniciado",
       "stop": "fail2ban parou"
-    }
+    },
+    "statWhitelist": "Lista de permissões",
+    "invalidIp": "Insira um IPv4, IPv6 ou CIDR válido.",
+    "whitelistPendingApply": "Salvo na lista de painéis. Pressione Aplicar política para escrever jail.local.",
+    "ignoreipFile": "dataDir/fail2ban/ignoreip.txt",
+    "jailsTabHint": "Situação das prisões ativas. Ative ou desative as prisões na guia Política.",
+    "colJail": "Cadeia",
+    "colEnabled": "Sobre",
+    "serviceStateLine": "Unidade {{unit}} · {{state}} · inicialização {{boot}}",
+    "jail": {
+      "sshd": "Força bruta SSH",
+      "nginxHttpAuth": "Autenticação HTTP Nginx",
+      "nginxBotsearch": "Verificadores de scanner/bot Nginx",
+      "nginxBadbots": "Nginx é conhecido por bots ruins",
+      "nginxLimitReq": "Prisão com limite de taxa Nginx",
+      "postfix": "Força bruta de correio Postfix",
+      "dovecot": "Login de e-mail Dovecot",
+      "recidive": "Ofensores reincidentes"
+    },
+    "cannotBanSelf": "Este é o host ou seu IP de login – adicione-o ao ignoreip em vez de banir",
+    "suggestIgnoreHint": "IPs de administrador sugeridos (arquivo do painel somente até você aplicar a política):",
+    "suggestIgnoreAdd": "Adicionar {{ip}}",
+    "whitelistEmptyWarn": "A lista branca está vazia e as jails podem bloqueá-lo. Adicione o IP de início antes de aplicar ignoreip.",
+    "suggestIgnoreLogin": "O seu IP de início {{ip}}",
+    "applyIgnoreEmptyWarn": "Aplicar com lista branca vazia limpa o ignoreip",
+    "applyIgnoreNeedConfirm": "Reescreve o ignoreip do jail e recarrega o fail2ban"
   },
   "featurePage": {
     "back": "Voltar"
@@ -3674,18 +4314,18 @@
     "shareTorrentFile": "Baixar .torrent",
     "shareSeedStatus": "Status de propagação",
     "shareBtStats": "Status do BitTorrent",
-    "btSeeds": "Seeds",
-    "btLeechers": "Leechers",
-    "btPeers": "Peers",
+    "btSeeds": "Sementes",
+    "btLeechers": "Sanguessugas",
+    "btPeers": "Pares",
     "btUploadSpeed": "Velocidade de upload",
     "btDownloadSpeed": "Velocidade de download",
-    "btUploaded": "Uploaded",
-    "btDownloaded": "Downloaded",
-    "btRatio": "Ratio",
-    "btUpdatedAt": "Updated",
+    "btUploaded": "Enviado",
+    "btDownloaded": "Baixado",
+    "btRatio": "Razão",
+    "btUpdatedAt": "Atualizado",
     "btServerStats": "Semeador de servidor",
     "btClientStats": "Seu cliente",
-    "btSeeding": "Seeding",
+    "btSeeding": "Semeando",
     "btPending": "Sementeira pendente",
     "btStopped": "Semente parada",
     "btError": "Erro de semente",
@@ -3699,7 +4339,49 @@
     "publicShareBtFailed": "Falha no WebTorrent: {{detail}}",
     "publicShareBtNeedMagnet": "Nenhum URI magnético para este compartilhamento",
     "publicShareBtUnsupported": "Este navegador não pode executar WebTorrent; use magnet ou .torrent",
-    "btNone": "—"
+    "btNone": "—",
+    "uploadStatusSkipped": "Ignorado",
+    "uploadStatusCancelled": "Cancelado",
+    "conflict": {
+      "titleFile": "Já existe um item chamado “{{name}}”",
+      "titleFolder": "Já existe uma pasta chamada “{{name}}”",
+      "descFile": "Escolha o que fazer. Nada é substituído até escolher Substituir.",
+      "descFolder": "Escolha o que fazer. Unir mantém a pasta existente e continua com o conteúdo.",
+      "incoming": "A entrar",
+      "existing": "Já está aqui",
+      "kindFile": "Ficheiro",
+      "kindFolder": "Pasta",
+      "skip": "Ignorar",
+      "skipHint": "Não adicionar este item",
+      "keepBoth": "Manter os dois",
+      "keepBothHint": "Guardar o item a entrar como {{name}}",
+      "replace": "Substituir",
+      "replaceHint": "Substituir o ficheiro existente. É guardada uma cópia de versão quando possível.",
+      "replaceFolderHint": "Substitui ficheiros com o mesmo nome nesta pasta. Os outros ficam.",
+      "merge": "Unir",
+      "mergeHint": "Manter a pasta existente e adicionar os ficheiros a entrar",
+      "applyAll": "Aplicar a todos os conflitos restantes",
+      "applyAllHint": "Usar esta ação no resto deste arrastar ou transferência",
+      "cancelRest": "Cancelar o resto",
+      "progress": "{{current}} de {{total}}",
+      "typeMismatch": "Já existe {{destKind}} chamado “{{name}}”. O que chega é {{incomingKind}}.",
+      "skipped": "Ignorado",
+      "cancelled": "Cancelado"
+    },
+    "emptyTrashTitle": "Lixo vazio?",
+    "emptyTrashDesc": "Todos os arquivos na lixeira serão excluídos permanentemente. Isto não pode ser desfeito.",
+    "purgeForeverDesc": "Este arquivo será excluído permanentemente. Isto não pode ser desfeito.",
+    "webdavReissueUnchanged": "O ID do token não mudou após a reemissão — a gravação pode não ter persistido. Tente novamente.",
+    "webdavDisableFailed": "O WebDAV ainda está ativado após a desativação — a gravação pode não ter persistido. Tente novamente.",
+    "dirNamedLikeFile": "(pasta residual; o nome parece um ficheiro)",
+    "webdavAfterEnable": "Disponível depois de ativar o WebDAV e emitir um token.",
+    "webdavAlreadyOff": "WebDAV is already off",
+    "deleteMore": " and {{n}} more",
+    "unshareTitle": "Revoke this share?",
+    "unshareDesc": "Revoke the link for {{name}} ({{url}}). The link stops working immediately.",
+    "pillTrash": "{{count}} in trash",
+    "pillSpace": "{{used}} used",
+    "webdavTokenInactive": "Disabled — token #{{id}} is not active"
   },
   "firewall": {
     "profiles": {
@@ -3732,7 +4414,7 @@
     "notInstalled": "UFW não está instalado",
     "toolHintPrefix": "Ferramentas subjacentes:",
     "toolHintBody": "UFW = portas/regras permanentes · para resposta a ataques e uso de banimento automático",
-    "toolHintFail2ban": "fail2ban = banimentos temporários baseados em log",
+    "toolHintfail2ban": "fail2ban = banimentos temporários baseados em log",
     "executeOffHint": "O sistema é desligado — o status é legível;",
     "tabs": {
       "rules": "Regras",
@@ -3740,7 +4422,7 @@
       "deny": "Negar IP permanente",
       "profiles": "Perfis",
       "about": "Sobre",
-      "services": "Services"
+      "services": "Serviços"
     },
     "currentRules": "Regras atuais",
     "rulesSourceHint": "Regras numeradas UFW (status ufw numerado)",
@@ -3796,12 +4478,21 @@
     "servicesEmptyDesc": "Inicie um serviço gerenciado (web, FTPS, VPN, DB…) para preencher esta lista.",
     "servicesManualHint": "Os chips de porta manual estão na guia Portas – prefira gerenciar o acesso aqui para que as regras permaneçam marcadas (ysk-svc).",
     "portsManualHint": "Regras manuais avançadas. Prefira a guia Serviços para software gerenciado.",
-    "colService": "Service",
-    "colMode": "Mode",
-    "colPorts": "Ports",
+    "colService": "Serviço",
+    "colMode": "Modo",
+    "colPorts": "Portas",
     "colSync": "Status",
-    "synced": "Synced",
-    "syncNow": "Sync"
+    "synced": "Sincronizado",
+    "syncNow": "Sincronizar",
+    "disableConfirmTitle": "Desativar o UFW?",
+    "disableConfirmDesc": "A firewall do anfitrião deixará de filtrar o tráfego. Numa rede pública, o SSH e o painel podem ficar expostos.",
+    "disableConfirmConsequence": "As regras de permitir/negar mantêm-se, mas só são aplicadas quando o UFW for reativado.",
+    "toolHintFail2ban": "fail2ban = banimentos temporários baseados em log",
+    "servicesUfwOff": "A UFW está desligada. Esta lista é a exposição desejada, não as regras que o host está aplicando.",
+    "desiredOnlyUfwOff": "Desejado: {{mode}} · UFW desativado (não aplicado)",
+    "syncNotApplied": "UFW desativado · não aplicado",
+    "defaultNotApplied": "n/a (UFW desativado)",
+    "ufwOffHint": "A entrada padrão não é aplicada enquanto o UFW está desligado"
   },
   "ftp": {
     "title": "Contas FTPS",
@@ -3936,7 +4627,22 @@
     "sftpRegister": "Chave de registro",
     "sftpAddedAt": "Adicionado {{time}}",
     "sftpTechSummary": "Detalhes técnicos (avançado)",
-    "sftpTechNote": "As chaves são gravadas no caminho gerenciado"
+    "sftpTechNote": "As chaves são gravadas no caminho gerenciado",
+    "filterProject": "Apenas contas FTP deste projeto",
+    "clearProjectFilter": "Mostrar todas as contas",
+    "vsftpdFailedHint": "vsftpd falhou. Abra a guia Serviço (listen e listen_ipv6 não podem ser SIM).",
+    "tabService": "Serviço",
+    "listenConflictLive": "Live vsftpd.conf tem listen={{v4}} e listen_ipv6={{v6}} - ambos SIM falharão ao iniciar.",
+    "listenConflictNeedFix": "Corrija listen / listen_ipv6 primeiro (ambos não podem ser SIM) e depois aplique.",
+    "fixListenIpv4": "Use apenas IPv4 (ouvir=SIM, ouvir_ipv6=NÃO)",
+    "liveFileValue": "Arquive agora: {{value}}",
+    "startBlockedFailed": "O serviço falhou – aplique uma configuração válida antes de iniciar",
+    "ftpsNeedCert": "Escolha primeiro um domínio de certificado",
+    "detectPublicIp": "Detectar IP público",
+    "detectPublicIpTitle": "Preencha o primeiro IPv4 sem loopback deste host",
+    "pasvIpRequired": "Defina um IP público PASV antes de aplicar (NAT/nuvem). Detete ou escreva um endereço.",
+    "vsftpdFailedGeneric": "vsftpd failed. Open the Service tab for live settings and journal.",
+    "stateFailed": "Failed to start"
   },
   "geo": {
     "continents": {
@@ -4181,26 +4887,26 @@
     "mediaNote": "Navegador real: o vídeo é transmitido; o áudio ainda não está conectado ao painel (fase 2).",
     "isolationNote": "Navegador real cria usuário Linux efêmero para Chrome; sair da página ou o tempo limite de inatividade destrói esse usuário.",
     "resumeHint": "Retomar sessão anterior (guias {{count}})",
-    "resume": "Resume",
-    "resumeDismiss": "Dismiss",
+    "resume": "Retomar",
+    "resumeDismiss": "Liberar",
     "resumeDone": "Sessão retomada",
     "settingsSafety": "Segurança de navegação",
     "settingsSafetyHint": "Strict bloqueia hosts mais arriscados; Relaxado permite alvos de intranet mais amplos. Não desativa as proteções SSRF para metadados na nuvem.",
-    "safetyStrict": "Strict",
-    "safetyStandard": "Standard",
-    "safetyRelaxed": "Relaxed",
+    "safetyStrict": "Estrito",
+    "safetyStandard": "Padrão",
+    "safetyRelaxed": "Descontraído",
     "settingsBlockHosts": "Sufixos de host bloqueados",
     "settingsBlockHostsHint": "Um nome de host ou sufixo por linha (por exemplo, malware.test). As correspondências exatas e de sufixo são bloqueadas.",
     "settingsAllowDangerousDownloads": "Permitir downloads de alto risco (exe/scripts)",
     "settingsAudioBridge": "Conecte o áudio da página ao painel",
     "settingsAudioBridgeHint": "Os streams hospedam o áudio do Chrome neste navegador. Alguns sites precisam de um clique para desbloquear a reprodução.",
-    "downloads": "Downloads",
+    "downloads": "Transferências",
     "downloadsEmpty": "Nenhum download nesta sessão",
-    "downloadReady": "Ready",
-    "downloadBlocked": "Blocked",
-    "downloadPending": "Pending",
-    "downloadFailed": "Failed",
-    "downloadSave": "Save",
+    "downloadReady": "Preparar",
+    "downloadBlocked": "Bloqueado",
+    "downloadPending": "Pendente",
+    "downloadFailed": "Fracassado",
+    "downloadSave": "Salvar",
     "audioUnlock": "Ativar som",
     "audioUnlockHint": "Clique para desbloquear a reprodução de áudio nesta guia",
     "audioUnlocked": "Áudio desbloqueado",
@@ -4210,12 +4916,32 @@
     "audioNotBridged": "Áudio desligado",
     "audioNotBridgedHint": "Ative a ponte de áudio em Configurações para ouvir a página",
     "mediaPolicyTitle": "Mídia em navegador real",
-    "mediaVideoLabel": "Video",
+    "mediaVideoLabel": "Vídeo",
     "mediaVideoDesc": "Renderizado no host e transmitido como quadros no painel.",
-    "mediaAudioLabel": "Audio",
+    "mediaAudioLabel": "Áudio",
     "mediaAudioDesc": "Ponte opcional do host Chrome; pode exigir clique de desbloqueio.",
-    "mediaPolicyLabel": "Policy",
-    "mediaPolicyDesc": "Os downloads e a reprodução automática seguem as configurações de segurança e download acima."
+    "mediaPolicyLabel": "Política",
+    "mediaPolicyDesc": "Os downloads e a reprodução automática seguem as configurações de segurança e download acima.",
+    "frameBlocked": "A página não pôde ser mostrada no quadro do painel.",
+    "historyEmpty": "Não há histórico nesta sessão.",
+    "bookmarksEmpty": "Ainda não há favoritos.",
+    "closeSessionHint": "Limpa os cookies desta sessão de navegação. Os marcadores permanecem.",
+    "bookmarkAdd": "Adicionar ou remover favorito",
+    "bookmarkList": "Lista de favoritos",
+    "envUnset": "não definido",
+    "envPanelValue": "painel: {{value}}",
+    "settingsNoSandboxWarn": "Desativa a sandbox do Chromium. Use apenas dentro de um contêiner confiável. Aplica-se na próxima sessão do navegador real.",
+    "settingsDangerDlWarn": "Permite downloads de executáveis ​​e scripts através do navegador host. Confirme que você precisa disso.",
+    "settingsDangerConfirmTitle": "Ativar uma configuração de navegação de alto risco?",
+    "needUrl": "Introduza um URL acima para iniciar uma sessão.",
+    "envColVar": "Variável",
+    "envColHost": "Processo do anfitrião",
+    "envColPanel": "Definição do painel",
+    "envColEffective": "Efetivo",
+    "engineBrowserNeedChrome": "Real browser (Chrome not installed)",
+    "egressHint": "The target site sees this server’s outbound address ({{host}}), not your laptop. Cookies stay in the server session jar.",
+    "closeNoSession": "No session yet",
+    "resumeHintDetail": "Resume previous session ({{count}} tabs) · {{url}} · {{when}}"
   },
   "listToolbar": {
     "searchPlaceholder": "Procurar…",
@@ -4227,24 +4953,30 @@
     "activeFilters": "{{count}} filtros ativos",
     "noResults": "Nenhuma correspondência",
     "noResultsHint": "Experimente outra palavra-chave ou limpe os filtros.",
-    "searching": "Procurando…"
+    "searching": "Procurando…",
+    "emptyChip": "No items in this filter"
   },
   "logViewer": {
     "banIpTitle": "Banimento {{ip}} em Proteção"
   },
   "login": {
-    "title": "Faça login no servidor YSK",
+    "title": "Iniciar sessão no YSK Server",
     "subtitle": "Consola do servidor",
-    "username": "Nome de usuário",
-    "password": "Senha",
-    "submit": "Entrar",
-    "failed": "Falha no login. Verifique o nome de usuário ou a senha.",
+    "username": "Nome de utilizador",
+    "password": "Palavra-passe",
+    "submit": "Iniciar sessão",
+    "failed": "Falha ao iniciar sessão. Verifique o nome de utilizador ou a palavra-passe.",
     "footer": "Um produto da YSK Limited",
-    "totpRequired": "2FA está habilitado para esta conta. Digite o código de 6 dígitos.",
+    "totpRequired": "A 2FA está ativa nesta conta. Introduza o código de 6 dígitos.",
     "totpLabel": "Código de autenticação",
-    "totpHint": "Código de 6 dígitos do seu aplicativo autenticador",
-    "submitting": "Fazendo login…",
-    "sessionExpired": "Sessão expirada; faça login novamente"
+    "totpHint": "Código de 6 dígitos da aplicação de autenticação",
+    "submitting": "A iniciar sessão…",
+    "sessionExpired": "Sessão expirada; inicie sessão novamente",
+    "newPassword": "Nova senha",
+    "newPasswordAgain": "Confirmar nova senha",
+    "changePassword": "Alterar senha",
+    "passwordMismatch": "As senhas não coincidem",
+    "passwordChanged": "Senha atualizada"
   },
   "logs": {
     "catSystem": "Arquivos do sistema",
@@ -4371,7 +5103,7 @@
     "logrotateLabel": "logrotate",
     "srcNginx": "nginx",
     "srcSsh": "ssh",
-    "srcFail2ban": "fail2ban",
+    "srcfail2ban": "fail2ban",
     "srcAuthLog": "auth.log",
     "srcNginxError": "erro nginx",
     "srcLetsEncrypt": "letsencrypt",
@@ -4379,7 +5111,36 @@
     "groupVarLog": "/var/log",
     "prioErr": "errar+",
     "prioWarn": "avisar+",
-    "prioInfo": "informações+"
+    "prioInfo": "informações+",
+    "srcFail2ban": "fail2ban",
+    "vacuumSize": "Limite a 500 MB",
+    "logrotateNoStatus": "Ainda não há arquivo de status do logrotate (normal se nunca tiver sido executado).",
+    "autoVacuumOff": "A limpeza automática está desativada. O tempo não é utilizado até que você o habilite.",
+    "aboutAllowlist": "O Explore só pode ler unidades de diário permitidas e caminhos /var/log. Caminhos de host arbitrários não são oferecidos.",
+    "aboutCustomPath": "Adicione um caminho personalizado em Configurações (somente /var/log ou /run/log). Em seguida, abra-o em Explorar.",
+    "noRowsInWindow": "Não há registros nesta janela de tempo",
+    "showInactiveUnits": "Mostrar unidades inativas",
+    "sseNeedFollow": "Ative Seguir primeiro – SSE é apenas para acompanhamento ao vivo",
+    "vacuumNeedRetention": "Introduza primeiro uma janela de retenção (p.ex. 14d)",
+    "vacuumNeedConfirm": "Precisa de confirmação — apaga journal antigos",
+    "vacuumSizeNeedConfirm": "Precisa de confirmação — limita o disco do journal",
+    "vacuumSizeAlreadyBelow": "O uso atual já está abaixo do limite; normalmente não apaga nada.",
+    "vacuumSizeNoopDesc": "O journal já está abaixo de 500 MB. Ainda corre vacuum --size=500M e normalmente não apaga nada.",
+    "journalDiskHint": "Uso atual do systemd-journald (journal ativo). Não inclui rodados em /var/log.",
+    "varLogDiskHint": "Estimativa de /var/log, incluindo rodados.",
+    "queryFirst": "Consulte primeiro",
+    "projectSourcesTitle": "{{n}} origem(ns) (ficheiros + journal)",
+    "logrotatePath": "Caminho",
+    "logrotateLast": "Última rotação",
+    "logrotateExpand": "Mostrar {{n}} mais",
+    "logrotateCollapse": "Mostrar menos",
+    "logrotateVersion": "Versão de status {{v}}",
+    "errorsWindowHint": "Recent errors from the last overview probe (not live-updating when you switch tabs)",
+    "sourceCount": "{{shown}} shown",
+    "sourceUnavailable": "This source has not produced a log yet",
+    "sourceNoLog": "No log yet",
+    "exportJsonl": "JSONL export",
+    "sseLive": " (live stream)"
   },
   "metrics": {
     "alert": {
@@ -4511,7 +5272,42 @@
     "usageNoteFull": "Uso do du local (não estimado). Cota é um limite flexível do plano de controle; hard setquota precisa aplicar ao host.",
     "sseNeedLogin": "Não logado; não consigo abrir o SSE",
     "sseSessionExpired": "Não logado ou sessão expirada; não consigo abrir o SSE",
-    "sseHttpError": "transmitir HTTP {{status}}"
+    "sseHttpError": "transmitir HTTP {{status}}",
+    "colFilesystem": "Sistema de arquivos",
+    "colMount": "Montar",
+    "colSize": "Tamanho",
+    "colUsed": "Usado",
+    "colAvail": "Disponível",
+    "colUsePct": "Usado %",
+    "colHome": "Lar",
+    "usageNoteLink": "Cota flexível do plano de controle. Aplique limites rígidos na guia Isolamento do projeto.",
+    "alertsBuiltinOnly": "Somente limites integrados de CPU/memória/disco. Nenhum e-mail, webhook ou canal do Slack.",
+    "lastEvaluated": "Última verificação",
+    "shareNoQuotaHint": "Sem quota, a parte não é uma percentagem. Defina-a no separador Isolamento do projeto.",
+    "setQuotaLink": "Definir quota",
+    "unusualHome": "Caminho invulgar",
+    "unusualHomeHint": "Não é uma casa de projeto /home/…. O isolamento canônico é /home/ysk-server-{id}.",
+    "protectedPid": "PID 1/init/systemd não pode ser sinalizado pelo painel",
+    "sigTermTitle": "Enviar SIGTERM (pedir ao processo para sair)",
+    "sigKillTitle": "Enviar SIGKILL (forçar matar – não pode ser capturado)",
+    "batchTerm": "TERM",
+    "batchKill": "KILL",
+    "rawTopLabel": "Topo bruto (não traduzido)",
+    "followSseLabel": "Siga (transmissão ao vivo)",
+    "alertsReadOnly": "Somente limites integrados de CPU/memória/disco. Nenhum e-mail, webhook ou canal do Slack.",
+    "alertsGoNotifications": "Abrir centro de notificações",
+    "lastCheck": "Última verificação",
+    "rawTopHint": "Saída superior (1) não traduzida",
+    "load1m": "Load 1m",
+    "uptime": "Uptime",
+    "filterCpu5": "≥5% CPU",
+    "filterMem5": "≥5% memory",
+    "signalHint": "Select a process, then send TERM or KILL.",
+    "signalFromRow": "Select this process for TERM / KILL",
+    "selectForSignal": "Select",
+    "forceKillTitleNamed": "KILL PID {{pid}} ({{cmd}})?",
+    "sendSigTitleNamed": "Send TERM to PID {{pid}} ({{cmd}})?",
+    "controlPlaneNoSignal": "The control-plane process cannot be signalled"
   },
   "migrate": {
     "tabInventory": "Inventário",
@@ -4593,7 +5389,20 @@
     "dryRunOnlyDesc": "· Estoque + pré-verificação somente; sem rsync ou gravações de destino",
     "executeNote": "O host precisa de YSK_EXECUTE=1 e API raiz. Após a migração, atualize o DNS A/AAAA e verifique o firewall da nuvem + PTR de correio.",
     "dnsCutover": "Substituição de DNS (manual)",
-    "dnsCutoverDesc": "Aponte A/AAAA para esses nomes para o novo IP público;"
+    "dnsCutoverDesc": "Aponte A/AAAA para esses nomes para o novo IP público;",
+    "orphanHomesHint": "Sobras de casas do projeto (não na loja). Remova somente depois de confirmar que não foram utilizados.",
+    "orphanRemove": "Remova os restos de casa",
+    "orphanRemoveTitle": "Excluir as sobras da página inicial do projeto?",
+    "orphanRemoveDesc": "Exclua permanentemente {{path}} do disco. Este não é um projeto de loja. Precisa de YSK_EXECUTE=1.",
+    "orphanRemovePhrase": "Escreva DELETE para confirmar.",
+    "orphanRemoveNeedConfirm": "Requer confirmação",
+    "passwordNotStored": "Password is used for this SSH session only and is not saved on disk.",
+    "overwriteDanger": "Overwrite will replace existing YSK data on the target. This cannot be undone from the panel.",
+    "orphanBackupFirst": "Back up first (open Backups)",
+    "expandAllWarnings": "Show all {{n}} warnings",
+    "collapseWarnings": "Show fewer",
+    "inventoriedWarn": "Inventoried · {{n}} warnings",
+    "orphanMtime": "Last modified {{at}}"
   },
   "multiCheck": {
     "customPlaceholder": "Código personalizado",
@@ -4670,7 +5479,9 @@
       "runtimes": "Tempos de execução",
       "security": "Segurança",
       "system": "Sistema",
-      "ai": "AI"
+      "ai": "AI",
+      "validators": "Validadores",
+      "containers": "Contentores"
     },
     "java": "Java",
     "kotlin": "Kotlin",
@@ -4689,8 +5500,13 @@
     "bookmarkPinned": "Fixado",
     "bookmarkAdded": "Fixado na barra lateral",
     "bookmarkRemoved": "Removido da barra lateral",
-    "btTracker": "Rastreador BT",
-    "support": "Support"
+    "btTracker": "BT Tracker",
+    "support": "Apoiar",
+    "noAccessTitle": "Sem acesso",
+    "noAccessDesc": "A sua função não inclui esta página. Peça a um administrador se precisar dela.",
+    "backToDashboard": "Voltar ao painel",
+    "validators": "Validadores (Beta)",
+    "docker": "Docker"
   },
   "network": {
     "title": "Interfaces de rede",
@@ -4829,10 +5645,33 @@
         "azure_frontdoor": "Porta frontal Azure",
         "gcore": "CDN Gcore",
         "custom": "Proxies personalizados"
-      }
+      },
+      "needProvider": "Escolha um provedor de CDN antes de buscar sua lista de IPs.",
+      "spoofWarn": "Confiar no CIDR errado permite que os clientes falsifiquem os cabeçalhos X-Forwarded-For/CDN como seu IP."
     },
     "linkUp": "Acima",
-    "linkDown": "Abaixo"
+    "linkDown": "Abaixo",
+    "linkDownTitle": "Coloque {{name}} off-line",
+    "linkDownNeedConfirm": "Digite o nome da interface para confirmar",
+    "persistNmHint": "Persistente significa que as alterações podem sobreviver à reinicialização via NetworkManager.",
+    "hideRaw": "Ocultar saída bruta",
+    "rawLoadedAt": "Carregado {{time}}",
+    "deleteDefaultPanelWarn": "Excluir a rota padrão pode encerrar esta sessão do painel. Digite DEFAULT para confirmar.",
+    "typeDefaultToConfirm": "Digite DEFAULT para confirmar",
+    "deleteDefaultNeedConfirm": "Requer confirmação — escreva DEFAULT (pode interromper este painel)",
+    "deleteRouteNeedConfirm": "Requer confirmação",
+    "nmUnavailable": "O NetworkManager não está em execução — apenas uma rota ativa pode ser adicionada",
+    "defaultRouteDownNeedName": "Esta é a saída da rota padrão. Digite o nome da interface para confirmar — o painel pode se desconectar.",
+    "linkDownDefault": "Down default route",
+    "loopbackImmutable": "Loopback cannot be changed",
+    "operUnknownHint": "Kernel did not report UP/DOWN (common for lo). The interface is still usable.",
+    "statUp": "Up",
+    "oper": {
+      "up": "Up",
+      "down": "Down",
+      "unknown": "Unknown",
+      "other": "Other"
+    }
   },
   "nginx": {
     "pillSites": "{{count}} sites",
@@ -4918,6 +5757,12 @@
     "setIndexes": "Listagem de diretório",
     "bodyInherit": "Global"
   },
+  "notFound": {
+    "title": "Página não encontrada",
+    "body": "Nenhuma página do painel em {{path}}.",
+    "hint": "URLs desconhecidos não direcionam mais você para o painel.",
+    "home": "Painel"
+  },
   "notes": {
     "notFound": "Não encontrado",
     "needPath": "Especifique um caminho",
@@ -4950,16 +5795,42 @@
     },
     "ssh": {
       "identityNotFound": "Identidade não encontrada",
-      "registrationNotFound": "Cadastro não encontrado"
+      "registrationNotFound": "Cadastro não encontrado",
+      "keyOkNologin": "Key accepted. Account has no login shell (nologin) — use SFTP. Treated as PASS.",
+      "keyOkSftp": "SFTP pwd foi bem-sucedido depois que o shell SSH foi recusado."
     },
     "cdn": {
       "siteNotFound": "Site CDN não encontrado",
-      "nodeMissing": "O nó não existe"
+      "nodeMissing": "O nó não existe",
+      "probe": {
+        "timeout": "Tempo limite de conexão após {{ms}}ms ({{detail}}). O peer pode estar protegido por firewall.",
+        "dns": "Falha na pesquisa de DNS ({{detail}}).",
+        "refused": "Conexão recusada após {{ms}}ms ({{detail}}). Porto fechado ou bloqueio de mão única.",
+        "tls": "Falha na verificação de TLS ({{detail}}).",
+        "unreach": "Host inacessível após {{ms}}ms ({{detail}}).",
+        "http": "A sonda HTTP falhou após {{ms}}ms ({{detail}})."
+      },
+      "loopbackOriginRemote": "A origem é 127.0.0.1 — este é o host, não uma borda remota. Defina um IP de origem acessível ou bind_ip.",
+      "needSshOrFleet": "A borda remota precisa de uma identidade SSH de saída (ou nome de usuário) ou uma sessão de frota /agentes. O URL de saúde por si só não é aplicável ao transporte.",
+      "originRemoteRewrite": "As bordas remotas usarão origem acessível {{url}} em vez de loopback.",
+      "originRemoteUnknown": "A origem é loopback e nenhum IP público/LAN ou bind_ip é conhecido — apply recusará bordas remotas até que uma seja definida."
     },
     "backup": {
       "fileNotFound": "Arquivo de backup não encontrado",
       "resticNoPassword": "restic está ativado, mas a senha não está definida",
-      "resticNotInPath": "restic não está em PATH"
+      "resticNotInPath": "restic não está em PATH",
+      "dbEnvUnreadable": "Não foi possível ler .db.env; despejo SQL ignorado.",
+      "dbEnvNoName": ".db.env não possui nome de banco de dados; despejo SQL ignorado.",
+      "targetOutside": "O destino de restauração deve estar dentro da página inicial do projeto ou na raiz dos arquivos públicos.",
+      "testUnsaved": "Testando valores de formulário não salvos (não gravados nas configurações).",
+      "testIdentity": "ssh (identity) to {{spec}} ok",
+      "sshAuthFailed": "Chave SSH ou senha rejeitada (publickey). Escolha uma identidade de saída ou instale o sshpass.",
+      "remotePathIsFile": "O caminho remoto {{path}} é um arquivo. Use um diretório.",
+      "remoteMkdirFailed": "Não foi possível criar o diretório remoto: {{detail}}",
+      "sidecarPushed": "Também enviou sidecar SQL {{name}}",
+      "controlPlaneDryRun": "Apenas visualização – nada escrito. No painel, use Restaurar e confirme a frase a ser escrita.",
+      "controlPlaneNeedConfirm": "A restauração completa do plano de controle precisa da frase de confirmação RESTORE-CONTROL-PLANE.",
+      "controlPlaneRestartAfter": "Reinicie a API após uma restauração bem-sucedida."
     },
     "redis": {
       "cliMissing": "redis-cli não está instalado"
@@ -5003,7 +5874,8 @@
       "pathOutsideSandbox": "Caminho fora da sandbox: {{target}}",
       "notFoundRel": "Não encontrado: {{relPath}}",
       "fileNotFoundRel": "Arquivo não encontrado: {{relPath}}",
-      "notFoundFrom": "Não encontrado: {{fromPath}}"
+      "notFoundFrom": "Não encontrado: {{fromPath}}",
+      "alreadyExists": "Já existe: {{name}}"
     },
     "dns": {
       "needZoneServerIp": "Insira a zona e o IP do servidor",
@@ -5043,7 +5915,10 @@
     },
     "db": {
       "needExecuteCreate": "A execução do host está desativada; não é possível criar banco de dados a partir do painel",
-      "dryRunMysql": "simulação: banco de dados não criado. Use --execute com YSK_EXECUTE=1 para provisionar"
+      "dryRunMysql": "simulação: banco de dados não criado. Use --execute com YSK_EXECUTE=1 para provisionar",
+      "remoteNoCreds": "Nenhum nome de usuário/senha armazenado — apenas TCP (o registro não é um login).",
+      "remoteReachable": "TCP {{host}}:{{port}} aberto ({{ms}}ms).",
+      "remoteUnreachable": "TCP {{host}}:{{port}} fechado ou filtrado ({{ms}}ms)."
     },
     "net": {
       "invalidIface": "Nome de interface inválido",
@@ -5124,7 +5999,17 @@
       "dns": "DNS",
       "email": "E-mail",
       "isolation": "Isolamento do projeto",
-      "ops": "Operações"
+      "ops": "Operações",
+      "runtimesNode": "Node.js",
+      "runtimesPhp": "PHP",
+      "runtimesPython": "Pitão",
+      "runtimesGo": "Go",
+      "pm2": "PM2",
+      "runtimesNodeFix": "Instale o nó de /runtimes/node",
+      "runtimesPhpFix": "Instale o PHP em /runtimes/php",
+      "runtimesPythonFix": "Instale o Python em /runtimes/python",
+      "runtimesGoFix": "Instale o Go em /runtimes/go",
+      "pm2Fix": "Instale o PM2 na página de tempo de execução do Node"
     },
     "needAdmin": "É necessária permissão de administrador",
     "notInstalled": "Não instalado",
@@ -5397,7 +6282,7 @@
       "n0259": "domínio",
       "n0260": "domínio não encontrado:",
       "n0261": "falha no recarregamento do dovecot ou servicenot (peneira escrita; recarregamento com sucesso)",
-      "n0262": "despacho de frota a seco (não )",
+      "n0262": "ensaio de envio da frota (não colocado em fila)",
       "n0263": "push de pares de simulação (não scp)",
       "n0264": "instalação remota de simulação (não ssh)",
       "n0265": "transferência de simulação concluída (bootstrap completo)",
@@ -5406,10 +6291,10 @@
       "n0268": "simulação - não escreva /etc",
       "n0269": "simulação: adicione --execute firstapply ufw",
       "n0270": "simulação: inventário + comprovação aprovada, não pacote/transferência",
-      "n0271": "teste: sonda/. adicione --execute YSK_EXECUTE=1 primeiro realmente provisione",
-      "n0272": "simulação: gravou o arquivo gerenciado (dataDir). adicione executar + YSK_EXECUTE=1 + root firstsystem drop-in",
-      "n0273": "ensaio: não. add --execute YSK_EXECUTE=1 primeiro realmente banir",
-      "n0274": "ensaio: não. add --execute YSK_EXECUTE=1 primeiro realmente desbane",
+      "n0271": "Teste: apenas sonda/plano. Passe --execute com YSK_EXECUTE=1 para realmente provisionar.",
+      "n0272": "Teste: gravou o arquivo gerenciado (dataDir). Passe --execute com YSK_EXECUTE=1 como root para instalar o sistema drop-in.",
+      "n0273": "Funcionamento a seco: não proibido. Passe --execute com YSK_EXECUTE=1 para realmente banir.",
+      "n0274": "Teste: não desbanido. Passe --execute com YSK_EXECUTE=1 para realmente cancelar o banimento.",
       "n0275": "dryRun=true — alterar API",
       "n0276": "dryRun: não escreve",
       "n0277": "dump Escreveu dataDir, não transferiu",
@@ -5758,7 +6643,7 @@
       "n0620": "iniciarprocesso não processo",
       "n0621": "OPcache",
       "n0622": "SSL",
-      "n0623": "",
+      "n0623": "Ativo",
       "n0624": "arquivo",
       "n0625": "arquivo",
       "n0626": "nó wsrep, HA ≥2 nó",
@@ -5860,9 +6745,9 @@
       "n0722": "e biscoito",
       "n0723": "ativar --agora fail2ban",
       "n0724": "galera_new_cluster (inicialização)",
-      "n0725": "Fail2ban recarregado",
+      "n0725": "fail2ban recarregado",
       "n0726": "recarregar nginx",
-      "n0727": "Fail2ban reiniciado",
+      "n0727": "fail2ban reiniciado",
       "n0728": "zona scp (escrita em peer ≠ nomeada recarregada)",
       "n0729": "scp para peer /tmp (escrito em peer ≠ serviço reiniciado)",
       "n0730": "systemctl recarrega nginx",
@@ -5889,7 +6774,7 @@
       "n0751": "diretório de cache nginx e recarregar (hostnot proxy_cache pode)",
       "n0752": "serverdonecertificatepor favor",
       "n0753": "UFW somente CF aplicado (CF de origem + porta mantida)",
-      "n0754": "Fail2ban aplicado",
+      "n0754": "fail2ban aplicado",
       "n0755": "Configurações aplicadas ao sistema Postfix",
       "n0756": "Aplicado ao sistema Nginx",
       "n0757": "Regra de firewall aplicada",
@@ -5974,7 +6859,7 @@
       "n0836": "certificado por favor falhou",
       "n0837": "≥ arquivo",
       "n0838": "configuraçõeskeptbackup",
-      "n0839": "Sucessoeste alvo pode BatchMode, ≠",
+      "n0839": "Sucesso significa que este destino aceita SSH BatchMode (não interativo). Não é uma concessão de acesso global.",
       "n0840": "ou 32767",
       "n0841": "software instalado",
       "n0842": "permissão/",
@@ -6134,7 +7019,7 @@
       "n0996": "local nginx -t OK (gerenciado conf, ≠ borda aplicada)",
       "n0997": "wsrep local pode, tamanho não nó",
       "n0998": "ysk.json local não pode ler / impressão digital",
-      "n0999": "locais OK; investigação de pares íntegra completa (não)",
+      "n0999": "O nó local está OK; um status íntegro completo precisa de uma investigação de pares (não concluída).",
       "n1000": "local nginx — conf Escreveu, não recarregou",
       "n1001": "Conexão NM local disponível; seráSucesso. pode \"\" ou NetworkManager.",
       "n1002": "localAvailable ps — não é possível ()",
@@ -6730,7 +7615,7 @@
       "n1590": "",
       "n1591": "Não root – os caminhos do sistema useradd / systemd / nginx são restritos",
       "n1592": "não seccomp requer runAsUser",
-      "n1593": "painelpor favor /",
+      "n1593": "Pedidos públicos / min",
       "n1594": "conexão do painel; Disponível\"\" ( )",
       "n1595": "O painel não está sendo executado como root",
       "n1596": "Disponível aplicar:falso",
@@ -7001,7 +7886,7 @@
       "t0251": "{{v0}} Instalação incompleta",
       "t0252": "{{v0}} início do serviço",
       "t0253": "Falha na inicialização: {{v0}}",
-      "t0254": "Suporta versão Node.js {{v0}}; Versão disponível: {{v1}}",
+      "t0254": "Suporta Node.js {{v0}}; versões disponíveis: {{v1}}",
       "t0255": "Suporta versão PHP {{v0}}; Disponível: {{v1}}",
       "t0256": "Suporta versão Python {{v0}}; Disponível: {{v1}}",
       "t0257": "Suporta versão Go {{v0}}; Disponível: {{v1}}",
@@ -7123,12 +8008,12 @@
       "t0373": "Isolamento do projeto \"{{v0}}\"",
       "t0374": "para caminho local {{v0}}",
       "t0375": "identidade {{v0}}: {{v1}}",
-      "t0376": "scp (identidade) para {{v0}}",
-      "t0377": "scp(identidade) falhou: {{v0}}",
-      "t0378": "scp para {{v0}}",
-      "t0379": "scp falhou: {{v0}}",
-      "t0380": "scp para {{v0}}",
-      "t0381": "scp falhou: {{v0}} (backup de identidade remota)",
+      "t0376": "sftp (identidade) para {{v0}} com êxito",
+      "t0377": "sftp (identidade) falhou: {{v0}}",
+      "t0378": "sftp para {{v0}} com êxito",
+      "t0379": "sftp falhou: {{v0}}",
+      "t0380": "sftp para {{v0}} com êxito",
+      "t0381": "sftp falhou: {{v0}} (pode definir backup remote identityId)",
       "t0382": "S3 {{v0}}",
       "t0383": "S3 falhou: {{v0}}",
       "t0384": ": {{v0}}/{{v1}} admin Habilitado 2FA",
@@ -7136,7 +8021,7 @@
       "t0386": "{{v0}} CAMINHO",
       "t0387": "{{v0}} não encontrado",
       "t0388": "Instale {{v0}} ou adicione-o ao PATH",
-      "t0389": "Versão disponível: {{v0}}",
+      "t0389": "Versões disponíveis: {{v0}}",
       "t0390": "{{v0}}% ({{v1}}MB)",
       "t0391": "{{v0}}% ({{v1}})",
       "t0392": "início do serviço {{v0}}",
@@ -7379,15 +8264,15 @@
       "t0629": "projeto {{v0}} casa: {{v1}}",
       "t0630": "projeto {{v0}} bind_ip={{v1}} — pode ( IP )",
       "t0631": "projeto {{v0}} casa, não caminho: {{v1}}",
-      "t0632": "casa (loja): {{v0}}",
+      "t0632": "Casa órfã no disco (sem projeto de loja correspondente): {{v0}}",
       "t0633": "Maildir: {{v0}}",
       "t0634": "{{v0}} — não é possível segmentar",
       "t0635": "não é possível sondar {{v0}}",
       "t0636": "{{v0}} · {{v1}}",
       "t0637": "projeto {{v0}} · {{v1}} · Banco de dados {{v2}} · Redis {{v3}}",
-      "t0638": "instalar software {{v0}} · casas {{v1}}",
+      "t0638": "Instalar software {{v0}} · homes {{v1}}",
       "t0639": "host de transição {{v0}}",
-      "t0640": "Aviso {{v0}} (por favor)",
+      "t0640": "{{v0}} aviso(s) — revisão antes da transição.",
       "t0641": "chave {{v0}}",
       "t0642": "não pode chave: {{v0}}",
       "t0643": "targetnot escrever chaves_autorizadas: {{v0}}",
@@ -7451,7 +8336,7 @@
       "t0701": "CDN {{v0}}",
       "t0702": "O nó do escudo de origem não existe: {{v0}}",
       "t0703": "bordas: {{v0}}",
-      "t0704": "URL de origem (): {{v0}}",
+      "t0704": "URL de origem (do vínculo do projeto): {{v0}}",
       "t0705": "atualizar CDN {{v0}}",
       "t0706": "criar CDN {{v0}}",
       "t0707": "escudo de origem: escudo de borda {{v0}} → {{v1}}",
@@ -7547,7 +8432,16 @@
       "t0797": "fuso horário falhou: {{v0}}",
       "tScoreFrom": "pontuação={{score}} de={{from}}",
       "appliedTag": "(aplicado)",
-      "writtenTag": "(apenas escrito)"
+      "writtenTag": "(apenas escrito)",
+      "selfDestMissing": "Diretório de instalação em execução não encontrado (systemd ExecStart ou cli.js)",
+      "selfDestUnwritable": "Não é possível escrever no diretório de instalação em execução {{v0}}",
+      "selfApplied": "{{v0}} aplicado em {{v1}}",
+      "selfVerifyFail": "O ficheiro de versão não contém {{v0}} após aplicar",
+      "selfDownloadFail": "Não foi possível descarregar ou extrair o pacote oficial {{v0}}: {{v1}}",
+      "selfOverlayFail": "Não foi possível aplicar o pacote oficial ao diretório em execução: {{v0}}",
+      "selfUpgradeHint": "Falha ao aplicar o painel. Como root: curl -fsSL https://raw.githubusercontent.com/yanshekki/ysk-server/main/install.sh | bash -s -- --upgrade",
+      "n1611": "UFW está inativo: {{n}} regra(s) de negação permanente são armazenadas em user.rules mas o kernel não as está aplicando.",
+      "n1612": "UFW está inativo. Uma regra de negação seria escrita apenas em user.rules — o kernel não descartaria pacotes. Habilite o UFW primeiro. Não habilitando automaticamente."
     },
     "tpl": {
       "deleted": "Excluído {{name}}",
@@ -7610,7 +8504,7 @@
       "noParen": "(nenhum)",
       "keepOldDb": "(mantive o banco de dados antigo)",
       "ufwNotDetected": "UFW não detectado neste host",
-      "fail2banStartHint": "Inicie na página Fail2ban",
+      "fail2banStartHint": "Inicie na página fail2ban",
       "hasExecuteNotRoot": "EXECUTE está ativado, mas o processo não é root",
       "notRootTarget": "Não é root (o destino useradd/apt será bloqueado)",
       "reapplyDone": "reaplicar as principais etapas concluídas",
@@ -7777,7 +8671,10 @@
       "accessReconnectHint": "Clientes já conectados devem se reconectar para escolher novas rotas",
       "ovpnNatDurable": "OpenVPN NAT/forward instalado para reinicialização (systemd ExecStartPost).",
       "clientFullTunnelProtect": "Cliente de túnel completo detectado (AllowedIPs 0.0.0.0/0). Proteção de host aplicada para que as respostas do painel/SSH permaneçam na NIC da LAN.",
-      "clientFullTunnelHint": "Dica: apenas para acesso dividido, defina AllowedIPs como CIDRs VPN/LAN (não 0.0.0.0/0) no conf e reconecte."
+      "clientFullTunnelHint": "Dica: apenas para acesso dividido, defina AllowedIPs como CIDRs VPN/LAN (não 0.0.0.0/0) no conf e reconecte.",
+      "serverStopped": "{{engine}} servidor parado.",
+      "serverStopFailed": "Não foi possível parar o servidor {{engine}}: {{detail}}",
+      "peersSynced": "Peer list reloaded on the running WireGuard interface."
     },
     "vnc": {
       "needInstall": "Instalar {{stack}}",
@@ -7871,7 +8768,12 @@
       "clientDeleted": "Perfil do cliente excluído",
       "sessionStartCwd": "Falha na inicialização do VNC: diretório de trabalho não acessível ao usuário da sessão (exibição: {{display}}). Corrigido começando em HOME.",
       "desktopRestarted": "Perfil de desktop aplicado e sessão reiniciada ({{desktop}}). Reconecte o VNC/noVNC.",
-      "desktopNeedsStart": "Perfil da área de trabalho {{desktop}} gravado em xstartup. Inicie a sessão para se inscrever."
+      "desktopNeedsStart": "Perfil da área de trabalho {{desktop}} gravado em xstartup. Inicie a sessão para se inscrever.",
+      "passwordNeedTiger": "vncpasswd não encontrado. Instale TigerVNC (tigervnc-standalone-server) antes de definir uma senha.",
+      "linuxUserRolledBack": "Removido o usuário restante do Linux {{user}} após falha na senha do VNC.",
+      "linuxUserOrphan": "Não foi possível remover o usuário restante do Linux {{user}} após falha na senha do VNC.",
+      "sessionStartHostname": "Failed to start display :{{display}}: this host cannot resolve its own hostname. Add the hostname to /etc/hosts (or fix DNS) then start the session again.",
+      "userdelLeftover": "Panel account removed, but Linux user {{user}} is still on the host. Remove it from Users or the host."
     },
     "apache": {
       "needServerName": "Nome do servidor obrigatório",
@@ -7921,7 +8823,102 @@
       "startedDetached": "Trabalhador desanexado do rastreador BT iniciado (pid {{pid}}, porta {{port}})",
       "runningDetached": "Rastreador rodando como trabalhador desanexado (pid {{pid}})",
       "jobQueued": "Criação de torrent BT na fila (grande parcela)",
-      "jobRunning": "Criação de torrent BT em execução"
+      "jobRunning": "Criação de torrent BT em execução",
+      "libraryAdded": "Adicionado {{name}} à biblioteca WebTorrent",
+      "libraryInspectFailed": "Não foi possível ler aquele .torrent ou magnet",
+      "libraryDup": "Esse torrent já está na biblioteca",
+      "libraryDestBad": "A pasta Salvar não é um caminho de arquivos válido",
+      "libraryTorrentTooBig": "O arquivo .torrent é maior que 8 MiB",
+      "libraryNotFound": "Item da biblioteca não encontrado",
+      "libraryPaused": "Pausado",
+      "libraryResumed": "Retomada",
+      "libraryRemoved": "Removido da biblioteca",
+      "libraryFilesRemoved": "Arquivos baixados excluídos",
+      "libraryRestoreDone": "Restauração da biblioteca: iniciada {{started}}/{{attempted}} (falhou {{failed}})",
+      "applyTrackersDone": "Aplicados rastreadores extras para slots de anúncio ao vivo {{n}}",
+      "libraryNeedServe": "Salvo. Abra o painel (ysk-server serve) para que o WebTorrent possa fazer o download ou propagar.",
+      "libraryDestIsFile": "Não é possível criar uma pasta chamada {{name}} — já existe um arquivo com esse nome.",
+      "librarySeedMissing": "Não há arquivos correspondentes nessa pasta para propagar.",
+      "libraryWaitingPeers": "Esperando por colegas. Se os arquivos já estiverem neste host, adicione novamente e escolha seed-existente."
+    },
+    "leftover": {
+      "staleCliTitle": "CLI restante obsoleta",
+      "staleCli": "CLI restante ainda presente: {{path}} (produto em execução {{version}}). PATH pode preferir. Remova com: rm -f {{path}}",
+      "apacheDefaultTitle": "Site padrão restante do Apache",
+      "apacheDefault": "O padrão Apache 000 ainda está ativado. Esse é o arquivo do site de estoque - isso não significa que o Apache esteja escutando em public :80 (o YSK Apache é esperado em 127.0.0.1:8080). A sobreposição não o desativa. Aplique o Apache no painel ou hospedando o apache apply --execute.",
+      "nginxCatchAllTitle": "Nginx pega tudo faltando",
+      "nginxCatchAll": "ysk-000-default.conf não está em /etc/nginx/conf.d. SNI desconhecido pode falhar. Execute projetos nginx-sync --execute.",
+      "vsftpdTitle": "unidade vsftpd falhou",
+      "vsftpd": "vsftpd falhou. A sobreposição não reescreve listen/listen_ipv6. Aplique FTP no painel.",
+      "dovecotTitle": "Dovecot TLS aponta na falta de certificado",
+      "dovecot": "Dovecot ssl_cert aponta faltando {{path}}. A sobreposição não reescreve SSL=no. Aplique TLS de e-mail após emitir o certificado ou aplique pilha de e-mail.",
+      "overlayDoesNotHeal": "A sobreposição do produto não reescreve nginx, Apache, vsftpd ou Dovecot. Use os comandos de aplicação listados (root + YSK_EXECUTE=1).",
+      "readinessTitle": "Sobras de host após a sobreposição",
+      "readinessClean": "Nenhum padrão restante do Apache, nginx catch-all ausente, vsftpd com falha ou CLI obsoleto detectado.",
+      "staleCliRemoved": "CLI residual {{path}} removido.",
+      "staleCliRemoveFailed": "Não foi possível remover o CLI residual {{path}}: {{detail}}",
+      "vsftpdSslOff": "Sem certificado FTPS: vsftpd com ssl_enable=NO e reinício.",
+      "dovecotSslOff": "Falta {{path}}: Dovecot com ssl=no e reinício."
+    },
+    "git": {
+      "missingBin": "git não está no PATH",
+      "auth": "Falha na autenticação. Adicione uma chave de implantação ou um token HTTPS.",
+      "hostkey": "A verificação da chave do host SSH falhou. Confirme e fixe a chave do host.",
+      "dirty": "A árvore de trabalho possui {{count}} alterações locais. A tração está bloqueada.",
+      "diverged": "Não é possível avançar rapidamente. Redefina para a referência remota se você pretende descartar o histórico local do Git.",
+      "missingRef": "Esse branch, tag ou commit não está no controle remoto.",
+      "shallow": "Este clone é superficial. Busque o histórico completo antes de fixar um commit antigo.",
+      "notRepo": "app/ ainda não é um repositório Git.",
+      "unrelated": "Histórias não relacionadas. Reclone somente após confirmação – os arquivos personalizados serão perdidos.",
+      "lock": "Git index.lock está presente. Remova-o somente se nenhum processo git estiver em execução.",
+      "disk": "Disco cheio ou cota excedida.",
+      "timeout": "O tempo limite do Git expirou.",
+      "network": "Erro de rede ao falar com o controle remoto.",
+      "lfs": "Este repositório usa Git LFS e git-lfs não está disponível.",
+      "submodule": "Falha na atualização do submódulo.",
+      "unknown": "Git falhou. Veja a saída do comando.",
+      "fetchOk": "Obtido da origem.",
+      "checkoutOk": "Verificado {{ref}}.",
+      "resetOk": "Redefinir com força para {{ref}}.",
+      "envRestored": "App/.env restaurado do plano de controle.",
+      "needPinHost": "A chave do host SSH não está fixada. Digitalize e fixe-o antes de clonar ou buscar.",
+      "tokenSaved": "Token HTTPS armazenado (nunca mostrado novamente).",
+      "tokenCleared": "Token HTTPS removido.",
+      "tokenInvalid": "O token deve ter pelo menos 8 caracteres.",
+      "deployKeyCreated": "Chave de implantação criada. Adicione a chave pública no host Git.",
+      "deployKeyCleared": "Implante a chave desanexada deste projeto.",
+      "hostPinned": "Chaves de host SSH fixadas para {{host}}.",
+      "hostUnpinned": "Chaves de host SSH fixadas limpas.",
+      "hostScanFailed": "ssh-keyscan não retornou nenhuma chave para esse host.",
+      "hookEnabled": "O gancho Git de entrada está ativado. Cole você mesmo o URL no GitHub, Gitea ou GitLab.",
+      "hookDisabled": "O gancho de entrada do Git está desativado. O URL não será sincronizado.",
+      "hookSecretOnce": "Copie este segredo do gancho agora. Não é mostrado novamente.",
+      "refsNeedUrl": "Insira um URL do Git primeiro.",
+      "refsOk": "Carregadas {{branches}} ramificações e {{tags}} tags.",
+      "refsEmpty": "Remoto não anunciado sem filiais ou tags.",
+      "diffEmpty": "Nenhuma diferença não preparada (o .env protegido é excluído)."
+    },
+    "migrate": {
+      "orphanConfirm": "Digite o caminho inicial exato que sobrou para confirmar a exclusão.",
+      "orphanStillInStore": "Essa casa ainda pertence a um projeto da loja.",
+      "orphanMissing": "Caminho não no disco: {{path}}",
+      "orphanNeedExecute": "Removeria as sobras {{path}}. Precisa de YSK_EXECUTE=1.",
+      "orphanRmFailed": "Não foi possível remover as sobras da casa: {{detail}}",
+      "orphanRemoved": "Removidas as sobras da casa do projeto {{path}}."
+    },
+    "defense": {
+      "panelReqLabel": "Solicitações de painel/min",
+      "panelReqExcluded": "Tráfego de painel autenticado — mostrado aqui, não contado na pontuação de ameaças",
+      "tcpOk": "TCP {{target}} acessível",
+      "tcpFail": "TCP {{target}} falhou",
+      "dnsDegraded": "Caminho DNS degradado",
+      "reqRateHigh": "Taxa de solicitação pública {{reqs}}/min ≥ {{threshold}}",
+      "ddosHeuristic": "Alta taxa de solicitação pública mais falha na sonda de borda"
+    },
+    "publicFiles": {
+      "liveConf": "Conf Nginx em vigor: {{path}}",
+      "publicRoot": "Raiz pública: {{path}}",
+      "confNameStale": "O ficheiro {{file}} não coincide com o server_name atual {{serverName}}. Volte a aplicar os ficheiros públicos para o renomear."
     }
   },
   "ops": {
@@ -8123,7 +9120,12 @@
       "httpStatus": "HTTP",
       "latency": "Latência",
       "error": "Erro",
-      "at": "Verificado em"
+      "at": "Verificado em",
+      "deployMode": "Deploy mode",
+      "edgeKind": "Edge",
+      "goLiveOk": "Go-live",
+      "goLiveAt": "Go-live at",
+      "degraded": "Degraded"
     },
     "railPhp": "PHP/site",
     "railStatic": "Site estático",
@@ -8556,12 +9558,12 @@
       "php": "PHP",
       "node": "Node.js",
       "static": "Estático",
-      "python": "Python",
-      "go": "Go",
-      "rust": "Rust",
+      "python": "Pitão",
+      "go": "Ir",
+      "rust": "Ferrugem",
       "java": "Java",
       "kotlin": "Kotlin",
-      "bun": "Bun"
+      "bun": "Pão"
     },
     "netCacheTitle": "Cache",
     "logsDeepAccess": "Centro de registro · acesso",
@@ -8598,16 +9600,132 @@
     "netPublishMaint": "Manutenção",
     "sslNeedDomain": "Defina um domínio antes de publicar Nginx/SSL.",
     "createTemplateMissing": "{{v0}} ；「— —」。",
-    "deleteDialogDesc": "「{{v0}}」。。",
+    "deleteDialogDesc": "「{{name}}」。。",
     "deleteWillStop": "sistemad/PM2/",
     "deleteWillWeb": "Nginx conf, pool PHP-FPM, Apache vhost（）",
     "deleteWillOs": "Página inicial do Linux (）",
     "deleteKeepOs": "Linux doméstico (（）",
     "deleteWillDb": "…",
     "deleteRemoveFilesDesc": "Cancelar,",
-    "deleteTypeNameHint": "「{{v0}}」",
+    "deleteTypeNameHint": "「{{name}}」",
     "deleteDnsWarn": "Zona / domínio DNS.",
-    "manageInNginx": "Gerenciar no Nginx"
+    "manageInNginx": "Gerenciar no Nginx",
+    "advFtpHomeApp": "Diretório app do site",
+    "advFtpHomeRoot": "Home do projeto (completo)",
+    "advFtpManage": "Abrir página FTP",
+    "listDesc": "Gerencie sites neste host.",
+    "resShell": "Concha de login",
+    "resSaveHint": "Salve e aplique as alterações no sistema operacional ativo. O plano de controle armazena apenas o formulário. A reaplicação usa os últimos valores salvos.",
+    "resBashConfirmTitle": "Permitir festa interativa?",
+    "resBashConfirmDesc": "Isso concede um shell de login interativo ao usuário do projeto. Confirme apenas se precisar de SSH ou PTY como usuário.",
+    "noPathSepHint": "O nome não pode conter / ou \\.",
+    "createGitHint": "Opcional. Armazenado no projeto; clone na guia Implantar (não clona na criação).",
+    "gitBranch": "Filial",
+    "gitBranchHint": "Branch or tag. Empty uses the remote default. First clone is shallow (depth 1).",
+    "gitLastRef": "Última sincronização: {{branch}} @ {{commit}}",
+    "gitConfirmTitle": "Clonar neste projeto?",
+    "gitConfirmBody": "Se app/ ainda for o espaço reservado do Hello World, ele será limpo e clonado. Arquivos personalizados que não são uma estrutura YSK são recusados.",
+    "runtimeActual": "Binário real {{path}}",
+    "gitConfirmRemoteBody": "Isso aponta a origem para o novo URL e puxa. Histórias não relacionadas falham; arquivos personalizados não são apagados.",
+    "runtimeFallback": "O escolhido {{version}} não está neste host. O processo usa {{path}}.",
+    "gitSync": "Sincronizar",
+    "gitFetch": "Buscar",
+    "gitCheckout": "Confira",
+    "gitReset": "Redefinir para remoto",
+    "gitDeepen": "Buscar histórico completo",
+    "gitLogTitle": "Confirmações recentes",
+    "gitDirtyTitle": "Mudanças locais bloqueiam pull",
+    "gitDirtyBody": "{{count}} arquivo(s) diferente(s) do Git (edições de arquivos ou aplicativo). Descarte-os ou aborte.",
+    "gitDiscard": "Descartar arquivos locais",
+    "gitOpenFiles": "Abrir em arquivos",
+    "gitNotCloned": "Não clonado",
+    "gitClean": "Limpar",
+    "gitDirty": "Sujo",
+    "gitBehind": "Atrás {{count}}",
+    "gitAhead": "À frente {{count}}",
+    "gitDetached": "Fixado",
+    "gitShallow": "Raso",
+    "gitMissing": "está faltando",
+    "gitResetConfirmTitle": "Redefinir difícil para remoto?",
+    "gitResetConfirmBody": "Isso descarta o histórico local do Git e os arquivos não rastreados, exceto .env, e depois restaura .env do plano de controle.",
+    "gitHeads": "Filiais remotas",
+    "gitToken": "Token HTTPS",
+    "gitTokenHint": "Personal access token. Stored encrypted; never written into the remote URL.",
+    "gitTokenPlaceholder": "ghp_… ou glpat-…",
+    "gitTokenSet": "Conjunto de tokens",
+    "gitSaveToken": "Salvar token",
+    "gitClearToken": "Token claro",
+    "gitDeployKey": "Implantar chave pública",
+    "gitDeployKeyHint": "Adicione isso como uma chave de implantação somente leitura no host Git.",
+    "gitDeployKeyOn": "Implantar chave",
+    "gitMakeKey": "Criar chave de implantação",
+    "gitCopyPub": "Copiar chave pública",
+    "gitClearKey": "Limpar chave de implantação",
+    "gitKeyCopied": "Chave pública copiada",
+    "gitPinHost": "Fixar chave do host",
+    "gitPinHostBody": "{{host}} não está fixado. Confirme as impressões digitais e fixe-as antes da clonagem SSH.",
+    "gitHostUnpinned": "Chave de host não fixada",
+    "gitHookTitle": "Inbound hook",
+    "gitHookHint": "Paste POST /api/v1/hooks/git/<id> into GitHub / Gitea / GitLab yourself (push events). Not Slack. Secret is HMAC or X-YSK-Git-Hook.",
+    "gitHookOn": "Hook on",
+    "gitHookOff": "Hook off",
+    "gitHookEnable": "Enable hook",
+    "gitHookRotate": "Girar segredo",
+    "gitHookDisable": "Disable hook",
+    "gitHookSecretOnce": "Copy this secret now — it is not stored in the page after you leave.",
+    "gitHookCopyUrl": "Copy URL",
+    "gitHookCopySecret": "Copiar segredo",
+    "gitHookCopied": "Copiado",
+    "gitHookSetup": "Add the webhook yourself. Payload URL = the URL above. Content type application/json. Events: push only. Secret = the one-time value.",
+    "gitHookGithub": "GitHub: Settings → Webhooks → Add webhook. Content type application/json. Events: Just the push event. GitHub.com requires HTTPS.",
+    "gitHookGitea": "Gitea: Settings → Webhooks → Add Webhook → Gitea. HTTP Method POST. Push events.",
+    "gitHookGitlab": "GitLab: Settings → Webhooks. Trigger: Push events. Secret token = the hook secret (sent as X-Gitlab-Token).",
+    "gitHookHonesty": "The host unit must have YSK_EXECUTE=1. Without it the hook answers but does not clone or deploy.",
+    "gitHookSkipOther": "Pushes to other branches are ignored. Only the project ref syncs.",
+    "gitAuthHttps": "Token HTTPS",
+    "gitAuthSsh": "Chave de implantação SSH",
+    "gitLoadRefs": "Carregar filiais",
+    "gitRefDefault": "Padrão remoto",
+    "gitRefBranches": "Galhos",
+    "gitRefTags": "Etiquetas",
+    "gitRefOther": "Outras referências…",
+    "gitRefCustom": "Confirmar ou ref",
+    "gitRefsNeedUrl": "Insira um URL primeiro.",
+    "gitRefsNeedAuth": "Salve um token ou uma chave de implantação e carregue as ramificações.",
+    "gitRefsHint": "Carregado do controle remoto. Escolha um – não digite.",
+    "gitHookSetupToggle": "Como colar isso",
+    "gitHookOneLiner": "HMAC ou X-YSK-Git-Hook. Apenas a ref. deste projeto.",
+    "gitHookExecuteHint": "Precisa de YSK_EXECUTE=1 para clonar ou implantar.",
+    "gitShowKey": "Mostrar chave",
+    "gitHideKey": "Esconder",
+    "gitBehindShort": "↓{{count}}",
+    "gitAheadShort": "↑{{count}}",
+    "gitDirtyShort": "Sujo · {{count}}",
+    "gitFilesLink": "Arquivos",
+    "gitTokenLaterHint": "O token HTTPS e a profundidade do clone são definidos na guia Implantar do projeto após a criação.",
+    "netForceHttpsOn": "O HTTP redirecionará para HTTPS depois que você publicar a borda.",
+    "netForceHttpsOff": "Nenhum redirecionamento forçado é armazenado.",
+    "netHttpsLiveNotForced": "Existe um arquivo de borda; HTTPS já pode funcionar. Esta caixa força apenas HTTP→HTTPS.",
+    "gitSyncBlockedDirty": "A sincronização é desativada até que as alterações locais sejam descartadas (redefinir) ou os arquivos correspondam ao Git.",
+    "gitViewDiff": "Ver diferença",
+    "gitBranchAfterUrl": "Introduza primeiro o URL Git. Vazio usa o ramo predefinido remoto.",
+    "gitResetNeedConfirm": "Requer confirmação — descarta commits locais",
+    "openUrlNeedDomain": "Defina um domínio primeiro – não abra 127.0.0.1 em seu navegador",
+    "needOsUser": "Crie primeiro o usuário do sistema na guia Isolamento",
+    "stopTitle": "Pare este projeto (unidade systemd e site público)",
+    "deployTitle": "Implantar este projeto",
+    "httpStatsHint": "Do log de acesso deste projeto (última amostra)",
+    "httpStatsNone": "Ainda não há registro de acesso ao projeto",
+    "statStoppedOnly": "Parou",
+    "statReadyOnly": "Preparar",
+    "netBoundCert": "Certificado associado",
+    "netBoundCertExpiry": "expira {{at}}",
+    "netNoBoundCert": "Não há certificado em disco para este nome",
+    "netForceHttpsNeedCert": "Emita um certificado em /ssl para este domínio antes de forçar HTTPS.",
+    "goIsolation": "Open Isolation tab",
+    "netHstsNeedHttps": "Turn on force HTTPS first",
+    "homeMissing": "Home directory does not exist",
+    "homeMissingHint": "Same live probe as migrate inventory — create the system user on Isolation"
   },
   "protection": {
     "levels": {
@@ -8641,7 +9759,9 @@
     "note": {
       "notApplied": "Não aplicado no host (precisa de root + YSK_EXECUTE=1) — salvo nas configurações do painel",
       "nginxWritten": "Escreveu o arquivo do painel de limite de taxa Nginx",
-      "f2bWritten": "Escreveu as configurações do painel fail2ban"
+      "f2bWritten": "Escreveu as configurações do painel fail2ban",
+      "hintDropped": "Internal protection hint omitted",
+      "nginxLimits": "Will write Nginx rate-limit snippet"
     },
     "rel": {
       "justNow": "Agora mesmo",
@@ -8955,7 +10075,67 @@
     "plusRegion": "+ região {{v}}",
     "plusCity": "+ cidade {{v}}",
     "lastTickPrefix": "· último {{t}}",
-    "nextTickPrefix": "· próximo {{t}}"
+    "nextTickPrefix": "· próximo {{t}}",
+    "stackApply": "Aplicar pilha de proteção (UFW, fail2ban, predefinição)",
+    "stackApplyDone": "Aplicação de pilha de proteção solicitada",
+    "stackApplyHint": "Isso habilita o UFW e aplica o fail2ban mais a predefinição sugerida. Confirme que você não ficará bloqueado em um painel remoto.",
+    "cannotBanSelf": "Não é possível bloquear {{ip}} — é o anfitrião, o IP de início ou ignoreip",
+    "selfIp": "Este anfitrião",
+    "selfHostIp": "IP do host",
+    "selfLoginIp": "Seu IP de login",
+    "showZeroScore": "Mostrar pontuação 0",
+    "hideZeroScore": "Ocultar pontuação 0",
+    "freshnessNa": "n / D",
+    "geoDraftOnly": "Política desligada — Guardar só grava rascunho. O Nginx não aplica até a ativar.",
+    "selectAllCountriesWarn": "Selecionar todos os países em lista de bloqueio? Pode bloquear este anfitrião e o país de início.",
+    "badgeRecommendPreset": "Recomenda-se um predefinição mais forte para a ameaça atual",
+    "badgeAutomationOn": "A automatização está ligada",
+    "badgeBanCount": "Bloqueios ativos",
+    "badgeGeoOn": "A política de acesso Geo está ligada",
+    "badgeGeoNotReady": "A base GeoIP não está pronta",
+    "badgeIntelSignals": "Sinais que somam pontuação agora",
+    "signalActive": "Ativo",
+    "signalInactive": "Inativo",
+    "signalJails": "{{n}} cadeia(s)",
+    "dbReadyHint": "Ficheiros MMDB presentes",
+    "dbNotReadyHint": "Descarregue primeiro uma base GeoIP",
+    "staleHint": "Se a última atualização bem-sucedida tem mais de 7 dias",
+    "statSuspects": "IPs suspeitos",
+    "scoreBasisHint": "A pontuação de ameaças usa firewall, volume de banimento fail2ban e sinais de taxa de solicitação – não a mesma contagem da lista de suspeitos da Intel.",
+    "geoNeedDb": "Os bancos de dados GeoIP estão faltando — atualize os arquivos MMDB primeiro",
+    "colHits": "Acessos",
+    "col429": "429",
+    "topIpsTitle": "IPs de topo",
+    "hitsCount": "{{n}} acessos",
+    "sampleWindowHint": "As contagens vêm da janela de amostras access + auth atual, não do ficheiro de registo completo.",
+    "statSuspectsSplit": "{{actionable}} actionable / {{total}} listed",
+    "suspectActionableCount": "Actionable IPs {{count}}",
+    "uaNeedZones": "Set a Cloudflare zone first",
+    "banConfirmTitle": "Ban {{ip}}?",
+    "banConfirmDesc": "This IP will be blocked on the host. Confirm it is not a current panel or session address.",
+    "ufwOff": "UFW (off)",
+    "ufwOffHint": "UFW is not active — fail2ban is the usable target.",
+    "whitelistSyncHint": "{{n}} panel entries · fail2ban ignoreip sync: {{sync}}",
+    "whitelistSyncOn": "on",
+    "whitelistSyncOff": "off (lists may differ)",
+    "draftBadge": "Draft",
+    "banIsSelf": "This IP matches the current panel source or this host.",
+    "banNotSelf": "This IP is not the current panel source.",
+    "geoSourceLocal": "Local GeoIP library (sapics + DB-IP)",
+    "nginxPreviewHint": "Nginx snippet this preset would write (preview only):",
+    "modeValue": {
+      "normal": "Normal",
+      "degraded": "Degraded",
+      "ddos-protection": "DDoS protection",
+      "offline": "Offline"
+    },
+    "wlRemovedUndo": "Removed {{ip}} from the allow list. Undo within 5 seconds.",
+    "undo": "Undo",
+    "banSelectedConfirmTitle": "Ban {{count}} selected IPs?",
+    "banSelectedConfirmDesc": "These addresses will be blocked on the host: {{ips}}",
+    "freshnessMissing": "No database",
+    "freshnessStale": "Stale",
+    "freshnessFresh": "Current"
   },
   "publicFiles": {
     "notSet": "Não definido",
@@ -8987,7 +10167,20 @@
     "diskRoot": "Raiz do disco",
     "filesInRoot": "Entradas",
     "managedConf": "Configuração gerenciada",
-    "systemConf": "Configuração do sistema.d"
+    "systemConf": "Configuração do sistema.d",
+    "notes": {
+      "noManagedConf": "Nenhuma configuração Nginx gerenciada ainda – clique em Aplicar",
+      "notSynced": "O conf gerenciado existe, mas não está em /etc/nginx/conf.d — aplique novamente como root com YSK_EXECUTE"
+    },
+    "autoindex": "Listagem de diretório (autoindex)",
+    "liveSystemConf": "Conf. de sistema em direto: {{path}}",
+    "publicRootNote": "Raiz pública: {{path}}",
+    "applyConfirmTitle": "Aplicar o sítio de ficheiros públicos?",
+    "applyConfirmDesc": "Escrever Nginx server_name {{name}} e recarregar o Nginx.",
+    "serverNameMismatch": "A conf. em direto usa {{live}}; o formulário tem {{draft}}. Aplique para substituir.",
+    "executeFlag": "Execute",
+    "asRoot": "Root",
+    "statusDraft": "Draft / not applied"
   },
   "rbac": {
     "permissions": "Permissões",
@@ -9071,7 +10264,13 @@
       "auditExport": "Exportação de auditoria",
       "securityApiKeysAdmin": "Administrador de chaves de API",
       "networkBrowse": "Navegação na web mediada por host",
-      "networkVnc": "Área de trabalho remota VNC"
+      "networkVnc": "Área de trabalho remota VNC",
+      "validatorsRead": "Validadores (leitura)",
+      "validatorsManage": "Validadores gerir",
+      "validatorsWipe": "Validadores limpar dados",
+      "dockerRead": "Docker (leitura)",
+      "dockerManage": "Docker gerir",
+      "dockerWipe": "Docker remover / limpar"
     },
     "aboutRoles": "Funções (padrões de fábrica)",
     "aboutRolesBody": "As funções definem recursos padrão; os usuários podem substituir os individuais.",
@@ -9087,7 +10286,14 @@
     "capabilitiesHint": "Alternar o que esta função pode fazer",
     "enabledCount": "{{enabled}} de {{total}} ativado",
     "bandAboveMax": "Acima do nível máximo",
-    "dirtyHint": "Personalizado (diferente da fábrica)"
+    "dirtyHint": "Personalizado (diferente da fábrica)",
+    "unsaved": "Não salvo",
+    "unsavedHint": "Edições não salvas nesta função",
+    "nothingToSave": "Nada para salvar",
+    "saveRole": "Salvar política {{role}}",
+    "discardTitle": "Descartar política não salva?",
+    "discardDesc": "A troca de funções descarta edições de recursos não salvas.",
+    "roleUnavailable": "Not available for this role"
   },
   "readiness": {
     "cat": {
@@ -9198,7 +10404,38 @@
     "fixNow": "Corrigir agora",
     "fixFailed": "Falha na correção",
     "fixDone": "Permissões dataDir reforçadas (chmod 750)",
-    "fixDoneWebUi": "UI da Web construída/instalada"
+    "fixDoneWebUi": "UI da Web construída/instalada",
+    "rootLabel": "Superusuário",
+    "exportStarted": "Baixando {{name}}",
+    "blockersHint": "Os bloqueios são o subconjunto crítico de Em falta — não são verificações extra.",
+    "techDetails": "Detalhes técnicos",
+    "missingOwner": "Nenhum proprietário de painel atribuído (atribuição de cota de pacote)",
+    "notOsProvisioned": "Usuário/home do SO ainda não provisionado",
+    "ondrejNone": "Nenhuma fonte ondrej Launchpad PHP detectada",
+    "ondrejFound": "Fontes herdadas ondrej/php encontradas que entram em conflito com packages.sury.org: {{paths}}",
+    "ondrejTitle": "Fonte apt PHP (ondrej residual)",
+    "systemctlActive": "O serviço está em execução",
+    "systemctlStatus": "Status do serviço: {{status}}",
+    "binInPath": "{{bin}} em PATH",
+    "leftoverApache": "Site padrão restante do Apache",
+    "leftoverVsftpd": "unidade vsftpd falhou",
+    "leftoverCli": "CLI restante obsoleta",
+    "leftoverNginx": "Nginx pega tudo faltando",
+    "leftoverDovecot": "Dovecot TLS aponta na falta de certificado",
+    "leftoverOther": "Sobras de host",
+    "leftoverApply": "Sobras aplicam-se",
+    "isolationOwnerDegrades": "Owner_user_id ausente afeta a atribuição de cota do pacote – o status é degradado, não está pronto.",
+    "totalChecks": "All checks",
+    "totalChecksHint": "Ready + degraded + missing = this total. Blockers are the critical missing subset.",
+    "requireAdminTotp": "require admin 2FA policy",
+    "listenBind": "listen address",
+    "item": {
+      "admin2fa": "Admin two-factor"
+    },
+    "dataDirPerms": "panel data-directory permissions",
+    "mode750": "mode 750",
+    "gateBlocked": "Not passed · {{n}} missing",
+    "isolationPendingOs": "Same as project status: OS user pending. Open Isolation to provision the system user and home."
   },
   "redis": {
     "neverExpire": "Nunca expira",
@@ -9266,7 +10503,25 @@
     "pickKey": "Selecione uma tecla à esquerda para visualizar o conteúdo.",
     "ttlPrefix": "TTL: {{ttl}}",
     "writeLiveHint": "Grava Redis ao vivo; não é possível desfazer no painel com um clique.",
-    "refPath": "Referência: {{path}}"
+    "refPath": "Referência: {{path}}",
+    "dbEmptyMark": " · vazio",
+    "noRequirepass": "O modo protegido está ligado, mas requirepass está vazio ou não foi lido — sem palavra-passe.",
+    "setRequirepass": "Definir palavra-passe",
+    "rdbOnlyLossHint": "AOF desligado e RDB ligado. Um reinício ou falha pode perder escritas recentes.",
+    "dirDataContainer": "/dados (contêiner)",
+    "dirHostDefault": "/var/lib/redis",
+    "dirDefaultInstance": "/var/lib/redis/default",
+    "dirDataWarn": "/data geralmente é um caminho de contêiner; este painel não pode confirmar que existe.",
+    "saveOff": "Desativar instantâneos (não recomendado)",
+    "saveOffWarn": "A string de salvamento vazia desativa os instantâneos RDB. Uma falha pode perder todos os dados se o AOF também estiver desativado.",
+    "dirMoveWarn": "Alterar o diretório não move dump.rdb/AOF. A próxima inicialização usa o novo caminho como está.",
+    "passwordUnset": "Não definido no serviço",
+    "passwordSetHidden": "Conjunto (não mostrado)",
+    "scanHint": "Uses SCAN, not KEYS. Returns at most {{n}} keys — avoid * on huge databases.",
+    "scanCapped": "Showing the first {{n}} matches.",
+    "dbOptionKeys": "DB {{i}} · {{n}} keys",
+    "dbOptionEmpty": "DB {{i}} · empty",
+    "insecureShort": "No password"
   },
   "resources": {
     "created": "Criado",
@@ -9734,7 +10989,29 @@
       "projectsCount": "Projetos YSK",
       "noProjects": "Nenhum projeto",
       "noProjectsDesc": "Nenhum projeto de nó/bun no painel ou usuário do sistema operacional não provisionado.",
-      "pm2OnlyDesc": "Somente aplicativos iniciados com PM2 no usuário do painel. As implantações do systemd aparecem acima."
+      "pm2OnlyDesc": "Somente aplicativos iniciados com PM2 no usuário do painel. As implantações do systemd aparecem acima.",
+      "startupTitle": "Comece na inicialização",
+      "startupDesc": "Registre o PM2 para que os processos voltem após a reinicialização.",
+      "systemdActionsHint": "As ações do systemd precisam de root e YSK_EXECUTE.",
+      "startupOk": "Startup registered. {{notes}}",
+      "startupFail": "Could not register startup. {{notes}}",
+      "actionOk": "{{action}} {{name}} — {{notes}}",
+      "actionFail": "Could not {{action}} {{name}}. {{notes}}",
+      "startupReady": "Ready",
+      "startupReadyYes": "Yes",
+      "startupReadyNo": "No",
+      "startupUnit": "Unit",
+      "startupDump": "Dump",
+      "startupInstall": "Install startup",
+      "startupSave": "Save process list",
+      "actRestart": "Restart",
+      "actStop": "Stop",
+      "actReload": "Reload",
+      "pm2ActionsHint": "PM2 actions apply to the panel user’s process list only.",
+      "noteUnparsed": "PM2 list could not be parsed (empty or unexpected output).",
+      "notePanelUserOnly": "PM2 list is for the panel process user only.",
+      "noteProjectUnits": "{{n}} YSK project unit(s) listed",
+      "glossary": "PM2 = process manager; SSE = live stream."
     },
     "recordedInstalled": "Gravado {{v}}",
     "remoteSourceSuffix": "({{source}})",
@@ -9788,7 +11065,32 @@
     "path": "Caminho",
     "fullVersion": "Versão completa",
     "useListForDefaults": "Para alterar o host ou o padrão do painel, ou remover esta versão, use a lista acima.",
-    "alreadyHostDefaultShort": "Padrão de host"
+    "alreadyHostDefaultShort": "Padrão de host",
+    "managedPathMissingTitle": "Caminho {{name}} gerenciado não está pronto",
+    "managedPathMissing": "{{name}} gerenciado por YSK para a versão {{version}} não está pronto. Teste novamente ou reinstale.",
+    "installRecordedCta": "Instalação gravada {{v}}",
+    "targetMissing": "Versão de destino não instalada",
+    "targetMissingHint": "O destino {{version}} não está neste anfitrião. Ligue uma versão instalada ou instale este pin.",
+    "needsInstall": "é preciso instalar",
+    "needsInstallHint": "Não está neste anfitrião. Instale-o ou escolha uma versão instalada.",
+    "unitBytes": "bytes",
+    "headerSizeKb": "{{n}}KB",
+    "phpIniChipEmpty": "Não carregado — abra o separador php.ini",
+    "phpFpmService": "PHP-FPM",
+    "phpFpmServiceDesc": "Iniciar, parar, recarregar ou reiniciar a unidade PHP-FPM",
+    "rustupDefaultMissingTitle": "Sem toolchain predefinida do rustup",
+    "rustupDefaultMissing": "O rustup não tem predefinição. Defina stable no separador Software.",
+    "rustupDefaultMissingShort": "Nenhum conjunto de ferramentas padrão",
+    "rustupSetDefaultHint": "Definir conjunto de ferramentas padrão",
+    "uninstalledCountHint": "{{n}} versão(ões) não estão neste anfitrião",
+    "applyPhpVhostTitle": "Precisa de confirmação – grava arquivos pool/vhost",
+    "applyPhpVhostDesc": "Escreverá o pool {{pool}} e o {{domain}} vhost. Serviços de recarga: {{reload}}.",
+    "binaryPath": "Caminho do binário",
+    "installedLabel": "Installed",
+    "installedHint": "Host probe result — not the control-plane record",
+    "targetHint": "Version this page will install or pin",
+    "rebuildFromHost": "Rebuild record from host",
+    "rebuiltFromHost": "Record refreshed from host probe"
   },
   "search": {
     "placeholder": "Pesquisar páginas e recursos…",
@@ -9797,21 +11099,25 @@
     "loading": "Procurando…",
     "noResults": "Nenhuma correspondência",
     "kinds": {
-      "page": "Pages",
-      "project": "Projects",
-      "email": "Email",
-      "mailbox": "Mailboxes",
+      "page": "Páginas",
+      "project": "Projetos",
+      "email": "E-mail",
+      "mailbox": "Caixas de correio",
       "ssl": "SSL",
       "dns": "DNS",
       "nginx": "Nginx",
-      "share": "Shares",
+      "share": "Ações",
       "ftp": "FTP",
       "mysql": "MySQL",
       "postgres": "PostgreSQL",
       "redis": "Redis",
       "cron": "Cron",
-      "user": "Users",
-      "other": "Other"
+      "user": "Usuários",
+      "other": "Outro"
+    },
+    "alias": {
+      "ssl": "certificado certificado certificados",
+      "projects": "locais do projeto"
     }
   },
   "security": {
@@ -9835,7 +11141,7 @@
     "tabApiKeys": "Chaves de API",
     "tabSsh": "SSH",
     "tabApprovals": "Aprovações",
-    "tabAllowlist": "Lista de permissões",
+    "tabAllowlist": "Ferramentas do agente",
     "apiTokenOnce": "Token de API (mostrado uma vez):",
     "copiedToken": "Token copiado",
     "totpTitle": "Dois fatores (TOTP)",
@@ -9919,8 +11225,8 @@
     "revokeAllDevices": "Revogar todos os dispositivos",
     "revokedAllDevices": "Todos os dispositivos confiáveis ​​revogados",
     "export2faBackup": "Exportar backup criptografado 2FA",
-    "fail2banSnippetMsg": "Trechos de Fail2ban: {{written}} — {{notes}}",
-    "generateFail2ban": "Gerar trechos Fail2ban",
+    "fail2banSnippetMsg": "Trechos de fail2ban: {{written}} — {{notes}}",
+    "generatefail2ban": "Gerar trechos fail2ban",
     "adminPolicyTitle": "Política 2FA do administrador",
     "adminPolicyDesc": "",
     "requireAdmin2fa": "Exigir 2FA de administrador",
@@ -9940,8 +11246,8 @@
     "apiKeysEmpty": "Ainda não há chaves de API",
     "apiKeysEmptyHint": "Crie na barra de ferramentas; em seguida, chame a API com o token do portador",
     "approve": "Aprovar",
-    "allowlistTitle": "Lista de permissões ({{count}})",
-    "allowlistEmpty": "Nenhuma ferramenta de lista de permissões",
+    "allowlistTitle": "Ferramentas do agente ({{count}})",
+    "allowlistEmpty": "Não há ferramentas no catálogo",
     "createApiKeyTitle": "Criar chave de API",
     "createApiKeyDesc": "O token completo é mostrado apenas uma vez após a criação",
     "createKeyBtn": "Criar chave",
@@ -10183,7 +11489,23 @@
       "sharePanelTitle": "Compartilhar segredo TOTP do painel?",
       "sharePanelDesc": "Alto risco. Digite COMPARTILHADO para confirmar.",
       "confirmString": "Sequência de confirmação",
-      "enableShare": "Ativar compartilhamento"
+      "enableShare": "Ativar compartilhamento",
+      "invalidPub": "Cole uma linha completa de chave pública OpenSSH (ssh-ed25519 / ssh-rsa / ecdsa…).",
+      "dryRunOk": "Pré-visualização concluída. Reveja o conteúdo abaixo.",
+      "strictBlocked": "O pacote ou o PAM não está pronto; a aplicação Strict está desativada.",
+      "strictDryRun": "Pré-visualização do modo estrito",
+      "errorNoDetail": "Teste falhou (sem detalhes)",
+      "privCloseWithoutAck": "Fechado. A chave privada não será mostrada novamente; gere um novo se você não o salvou.",
+      "loginNoProjects": "Sem projetos. Autorize um usuário Linux existente (root/testador) abaixo. Escrever /root/.ssh precisa de YSK_EXECUTE=1.",
+      "loginLinuxHint": "Usado quando não há projeto. Exemplo: root ou testador.",
+      "pkgStatus": "Package {{status}}",
+      "pamStatus": "PAM {{status}}",
+      "kbdStatus": "sshd keyboard-interactive {{status}}",
+      "light": {
+        "green": "ok",
+        "yellow": "check",
+        "red": "missing"
+      }
     },
     "sessionsActive": "Sessões ativas",
     "sessionsOther": "Outros dispositivos",
@@ -10206,7 +11528,50 @@
     "revokeOthersDesc": "Isso encerrará {{count}} outras sessões. Seu navegador atual permanece conectado.",
     "sessionRevoked": "Sessão desconectada",
     "mySecurityHint": "",
-    "policyTotpHint": "Política do site: cada administrador deve habilitar seu próprio 2FA (QR individual)"
+    "policyTotpHint": "Política do site: cada administrador deve habilitar seu próprio 2FA (QR individual)",
+    "requireUser2fa": "Exigir 2FA para todos os utilizadores do painel",
+    "generateFail2ban": "Gerar fragmentos fail2ban",
+    "changePasswordTitle": "Alterar a palavra-passe de início de sessão",
+    "currentPassword": "Palavra-passe atual",
+    "newPassword": "Nova palavra-passe",
+    "confirmNewPassword": "Confirmar nova palavra-passe",
+    "passwordMismatch": "As novas palavras-passe não coincidem.",
+    "changePassword": "Alterar palavra-passe",
+    "passwordChanged": "Palavra-passe atualizada.",
+    "strictNeedsEnrolled": "Pelo menos um administrador deve ter 2FA antes de ativar o Strict.",
+    "policyTotpNeedSelf": "Ative primeiro o 2FA nesta conta; caso contrário o código de confirmação não pode ser preenchido.",
+    "fail2banSnippetTitle": "Fragmento fail2ban",
+    "fail2banSnippetEmpty": "Nenhum fragmento foi escrito.",
+    "trustedDevicesTitle": "Dispositivos de confiança",
+    "noTrustedDevices": "Não há dispositivos de confiança.",
+    "strictConfirmTitle": "Ativar 2FA Strict?",
+    "strictConfirmDesc": "Utilizadores sem 2FA serão recusados. Confirme que já tem TOTP ou Passkey a funcionar.",
+    "revokeDevicesTitle": "Revogar dispositivos de confiança?",
+    "revokeDevicesDesc": "Os browsers memorizados voltarão a pedir 2FA.",
+    "approvalsHint": "As aprovações aparecem quando uma ferramenta de alto risco precisa de um segundo operador. Configure permissões em Utilizadores → Permissões.",
+    "allowlistReadonly": "Catálogo de ferramentas do agente (só leitura). As capacidades configuram-se em Utilizadores → Permissões.",
+    "colTool": "Ferramenta",
+    "colAllowed": "Permitido",
+    "colRisk": "Risco",
+    "colApproval": "Aprovação",
+    "risk": {
+      "low": "Baixo",
+      "medium": "Médio",
+      "high": "Alto",
+      "critical": "Crítico"
+    },
+    "totpStatusLoadFailed": "Não foi possível carregar o estado 2FA",
+    "confirmDeleteApiKey": "Excluir esta chave de API?",
+    "confirmDeleteApiKeyDesc": "“{{name}}” irá parar de autenticar. Isto não pode ser desfeito.",
+    "policyNoTotpHint": "This account has no 2FA yet — saving policy does not need a TOTP. Set up 2FA above if you want to require it for others.",
+    "sessionCli": "CLI",
+    "sessionApi": "API",
+    "statApiSessions": "Sessões de API",
+    "revokeOtherTitle": "Sair de {{n}} outras sessões",
+    "policyNeedSelf2fa": "Habilite 2FA nesta conta primeiro e depois confirme com um código TOTP",
+    "revokeAllDevicesTitle": "Revogue todos os dispositivos lembrados – você e outros administradores devem verificar o 2FA novamente",
+    "statSshValue": "{{keys}} keys · {{auth}} authorized",
+    "statSshHint": "Outbound identities / authorized login keys"
   },
   "serviceExposure": {
     "title": "Acesso à rede",
@@ -10215,8 +11580,8 @@
     "manageDesc": "Controle como {{service}} pode ser acessado no firewall do host.",
     "mode": "Modo de acesso",
     "modePrivate": "Somente locais",
-    "modePublic": "Public",
-    "modeRestricted": "Restricted",
+    "modePublic": "Público",
+    "modeRestricted": "Restrito",
     "summaryPrivate": "Não aberto no firewall público.",
     "summaryPublic": "Aberto · {{ports}}",
     "summaryRestricted": "Restrito · {{count}} fonte(s)",
@@ -10224,9 +11589,9 @@
     "outOfSync": "Fora de sincronia",
     "firewallOff": "Firewall desativado",
     "ufwMissing": "UFW não instalado",
-    "ufwInactive": "inactive",
+    "ufwInactive": "inativo",
     "firewallLink": "Firewall",
-    "portsLabel": "Ports",
+    "portsLabel": "Portas",
     "allowFrom": "Fontes permitidas (IP/CIDR)",
     "allowCountries": "Países permitidos (ISO)",
     "hintPrivate": "O serviço ainda pode escutar no host local; nenhum UFW público permite regras.",
@@ -10237,7 +11602,19 @@
     "restrictedNeedSource": "Adicione pelo menos um IP/CIDR ou código de país para modo restrito.",
     "privateStartTitle": "Expor {{service}} na rede?",
     "confirmAndStart": "Confirme e comece",
-    "cloudSgNote": "Somente firewall de host — grupos de segurança em nuvem (AWS/GCP/Azure) não são alterados."
+    "cloudSgNote": "Somente firewall de host — grupos de segurança em nuvem (AWS/GCP/Azure) não são alterados.",
+    "modeUndecided": "Não definido",
+    "modeLoading": "Carregando",
+    "summaryUndecided": "Modo de acesso não confirmado (padrão do catálogo: {{suggested}}).",
+    "summaryNotEnforced": "O firewall está desligado — o painel não está abrindo ou bloqueando essas portas.",
+    "roleSmtp": "Envio SMTP",
+    "roleImap": "Caixa de correio IMAP/POP3",
+    "serviceNotInstalled": "Este serviço não está instalado, portanto as regras de firewall não se aplicam.",
+    "openButStopped": "Portas abertas – serviço não está em execução",
+    "openNoTenants": "Portos públicos sem inquilinos",
+    "summaryFirewallOffOnly": "Host firewall is not enabled, so port rules are not enforced.",
+    "modePublicLive": "Public (live bind)",
+    "summaryPublicLive": "Listening on {{bind}} — reachable on all interfaces. Confirm access mode; this is not private."
   },
   "services": {
     "enabledBoot": "Na inicialização",
@@ -10245,8 +11622,27 @@
       "start": "Começar",
       "stop": "Parar",
       "restart": "Reiniciar",
-      "reload": "Recarregar"
-    },
+      "reload": "Recarregar",
+      "enable": "Ativar no arranque",
+      "disable": "Desativar no arranque"
+    },
+    "lifecycleTitle": "Controlo do serviço {{label}}",
+    "startedOk": "{{label}} iniciado",
+    "stoppedOk": "{{label}} parado",
+    "restartedOk": "{{label}} reiniciado",
+    "reloadedOk": "{{label}} recarregado",
+    "stopConfirmTitle": "Parar {{label}}?",
+    "stopConfirmDesc": "{{label}} deixa de escutar. Pode iniciá-lo de novo nesta página.",
+    "stopConfirmEdgeDesc": "Parar {{label}} tira os sítios e o proxy inverso do ar até voltar a iniciar.",
+    "stopConfirmEdgeConsequence": "Enquanto {{label}} estiver parado, este anfitrião não serve HTTP/HTTPS.",
+    "stopConfirmSshdTitle": "Parar sshd?",
+    "stopConfirmSshdDesc": "Parar sshd fecha o SSH remoto. Confirme consola ou outro acesso.",
+    "stopConfirmSshdToken": "parar sshd",
+    "stopConfirmSshdConsequence": "Novas sessões SSH falham até iniciar o sshd na consola do anfitrião.",
+    "stopConfirmPanelTitle": "Parar YSK Server?",
+    "stopConfirmPanelDesc": "O painel e a API ficam offline até iniciar a unidade no anfitrião.",
+    "stopConfirmPanelToken": "pare o servidor ysk",
+    "stopConfirmPanelConsequence": "Esta sessão do browser desliga-se. Inicie a unidade por SSH ou consola.",
     "actionDone": "{{action}} concluído",
     "runningOf": "{{running}}/{{total}} em execução",
     "canMutate": "Mutável",
@@ -10277,7 +11673,46 @@
     "protectionDoneNote": "Sonda de proteção concluída",
     "probeDone": "Sondagem concluída",
     "runProtection": "Executar investigação de proteção",
-    "notProbedYet": "Ainda não foi investigado"
+    "notProbedYet": "Ainda não foi investigado",
+    "stopConfirmFail2banTitle": "Parar o fail2ban?",
+    "stopConfirmFail2banDesc": "Interromper o fail2ban desativa os banimentos automáticos de IP. Sites e SSH continuam funcionando.",
+    "stopConfirmFail2banConsequence": "Novos invasores não são banidos até que o fail2ban seja reiniciado.",
+    "installOrOpen": "Instalar / abrir",
+    "statusFilter": {
+      "all": "Todos os estados",
+      "running": "Correndo",
+      "failed": "Fracassado",
+      "missing": "Não instalado"
+    },
+    "stopNeedConfirm": "Requer confirmação",
+    "stopNeedConfirmPhrase": "É necessário escrever a frase de confirmação",
+    "enabledOk": "{{label}} ativado no arranque",
+    "bootDisabledWarn": "{{label}} está a correr mas não arranca no boot. Ative para persistir após reinício.",
+    "bootDisabledShort": "Não no arranque",
+    "mariadbNotInstalled": "MariaDB não está instalado",
+    "mariadbNotInstalledMysqlOk": "Not installed: MariaDB (MySQL is installed)",
+    "restartConfirmPanelTitle": "Restart YSK Server?",
+    "restartConfirmPanelDesc": "The panel and API will drop briefly while the unit restarts.",
+    "unitNotFound": "Unit not installed",
+    "unitNa": "Not applicable",
+    "unitStatic": "static",
+    "unitIndirect": "indirect",
+    "needRunning": "{{label}} is not running",
+    "bootNa": "Not applicable",
+    "permLabel": "Permission",
+    "permCanChange": "Can change the system (superuser)",
+    "permBlocked": "Cannot change the system",
+    "permHint": "System change {{exec}} · Superuser {{root}}",
+    "clusterLegend": "Planned = saved in the panel, not applied on the host.",
+    "active": {
+      "active": "Running",
+      "inactive": "Stopped",
+      "not-found": "Not installed",
+      "failed": "Failed",
+      "tool": "Tool",
+      "activating": "Starting"
+    },
+    "sshdBootOffWarn": "sshd is not enabled on boot. After reboot this host will have no SSH rescue path."
   },
   "software": {
     "title": "Programas",
@@ -10368,7 +11803,8 @@
       "pick": "Escolha a versão",
       "noTarget": "Sem meta de atualização",
       "needRuntimePage": "Instale esta versão na página de tempo de execução",
-      "noAptCandidate": "Nenhuma versão candidata adequada"
+      "noAptCandidate": "Nenhuma versão candidata adequada",
+      "sourceLabel": "Fonte"
     },
     "install": {
       "progress": "Instalando: {{list}}…",
@@ -10467,14 +11903,24 @@
       "generic": "Serviços relacionados podem parar",
       "purgeData": "Os caminhos de dados serão excluídos",
       "protectedSkipped": "Os componentes protegidos são ignorados",
-      "runtimeStack": "Todas as versões gerenciadas pelo painel deste ambiente de execução serão removidas"
+      "runtimeStack": "Todas as versões gerenciadas pelo painel deste ambiente de execução serão removidas",
+      "containers": "Os contentores em execução vão parar",
+      "validators": "As pilhas de validador que usam Docker Compose vão parar"
     },
     "requestCancel": "Solicitar cancelamento",
     "cancelling": "Cancelando…",
     "dockCancelling": "Cancelando · {{title}}",
     "dockCancelled": "Cancelado · {{title}}",
     "cancelHint": "Cancelar solicitado. O cliente parou de ouvir; o host pode terminar o apt/step atual. Teste novamente o status após um momento.",
-    "cancelledToast": "Operação cancelada (o cliente interrompeu o streaming)"
+    "cancelledToast": "Operação cancelada (o cliente interrompeu o streaming)",
+    "kindApply": "Aplicar",
+    "kindScan": "Digitalizar",
+    "kindDeploy": "Implantar",
+    "kindRuntime": "Tempo de execução",
+    "jobDone": "Concluído · {{title}}",
+    "jobFailed": "Falhou · {{title}}",
+    "uninstallUfwWarn": "Remover o UFW deixa este anfitrião sem a firewall de portas gerida pelo painel.",
+    "uninstallFail2banWarn": "Remover o fail2ban para as jails e liberta os bloqueios. Se o mantiver, adicione o IP de início a ignoreip."
   },
   "sqlEngineHealth": {
     "finding": {
@@ -10690,7 +12136,18 @@
     "requestDone": "Solicitação de certificado concluída",
     "requestFailed": "A solicitação de certificado não foi bem-sucedida",
     "applyFailed": "Falha na solicitação",
-    "deletedCert": "Excluído {{domain}}"
+    "deletedCert": "Excluído {{domain}}",
+    "uninstallCertbotWarn": "A remoção do certbot interrompe a renovação automática dos certificados Let's Encrypt existentes.",
+    "renew": "Renovar",
+    "renewFor": "Renovar Let’s Encrypt para {{domain}}",
+    "domainRequired": "Introduza um domínio.",
+    "domainInvalid": "O formato do domínio não é válido.",
+    "domainKnownHint": "Escolha um domínio de projeto, DNS ou correio, ou escreva um.",
+    "deleteNeedDomain": "Exclua este certificado – digite o nome de domínio para confirmar",
+    "panelCertHint": "Panel HTTPS uses {{path}} (expires {{exp}}). It is not listed as a site certificate.",
+    "openPanelTls": "Open panel HTTPS",
+    "deleteDomain": "Delete {{domain}}",
+    "uninstallCertbot": "Uninstall certbot (loses auto-renew)"
   },
   "stackWizard": {
     "purgeConfirm": "Confirmar a purga? Os caminhos de dados registrados (bancos de dados/correio) serão excluídos permanentemente.",
@@ -10705,39 +12162,62 @@
     "componentsTitle": "Componentes para instalar",
     "dryRun": "Visualização de simulação",
     "installNow": "Instale agora",
-    "uninstallHint": "Selecione pacotes para remover",
+    "uninstallHint": "Selecione os pacotes a remover. Sem seleção não é possível remover. Os dados são conservados por omissão.",
     "dataPolicy": "Política de dados",
     "keepData": "Mantenha os dados",
     "purgeData": "Limpar dados",
-    "uninstallNow": "Desinstalar agora"
+    "uninstallNow": "Desinstalar agora",
+    "uninstallNeedSelect": "Selecione pelo menos um pacote. A seleção vazia não significa mais remover tudo.",
+    "uninstallConfirmTitle": "Remover pacotes selecionados?",
+    "uninstallConfirmDesc": "{{count}} pacote(s) serão removidos. Digite REMOVER para confirmar.",
+    "countHint": "These counts are OS packages in the software plan — not the service-matrix units on the other tab.",
+    "executeRoot": "System changes {{execute}} · administrator {{root}}",
+    "manifestPlan": "Plan {{plan}} ({{bundles}})",
+    "manifestHint": "Last chosen software plan and bundles"
   },
   "support": {
-    "title": "Support",
-    "sub": "Criador, doe e YSK Limited – produto gratuito, ajuda real",
-    "creatorTitle": "Creator",
-    "creatorBody": "O YSK Server foi desenvolvido como um plano de controle de host único gratuito e honesto para operadoras que desejam possuir sua pilha. O projeto é mantido abertamente; feedback e relatórios de bugs o mantêm afiado.",
-    "donateTitle": "Apoie / Doe",
-    "donateBody": "Se o YSK Server economizar seu tempo, considere patrocinar o desenvolvimento. Cada contribuição ajuda a manter o produto gratuito para todos.",
+    "title": "Suporte",
+    "sub": "Creator, donativos e YSK Limited — produto gratuito, ajuda real",
+    "creatorTitle": "Criador",
+    "creatorBody": "YSK Server é um plano de controlo de um só anfitrião, gratuito e honesto, para operadores que querem possuir a sua stack. O projeto é mantido em aberto; comentários e relatórios de erros mantêm-no afiado.",
+    "donateTitle": "Apoio / Donativo",
+    "donateBody": "Se o YSK Server lhe poupa tempo, considere patrocinar o desenvolvimento. Cada contributo ajuda a manter o produto gratuito para todos.",
     "donateGithub": "Patrocinadores do GitHub",
-    "donateOther": "Outras maneiras de dar",
+    "donateOther": "Outras formas de contribuir",
     "yskTitle": "YSK Limited",
-    "yskIntro": "Precisa de ajuda prática além do painel gratuito? A YSK Limited pode ajudar com:",
-    "yskSvc1": "Configuração do servidor, proteção e operações contínuas",
-    "yskSvc2": "Design de pilha de hospedagem (web, e-mail, DNS, bancos de dados)",
-    "yskSvc3": "Migração, automação e integração personalizada",
+    "yskIntro": "Precisa de ajuda prática para além do painel gratuito? A YSK Limited pode ajudar com:",
+    "yskSvc1": "Instalação, endurecimento e operação contínua do servidor",
+    "yskSvc2": "Desenho da stack de alojamento (web, correio, DNS, bases de dados)",
+    "yskSvc3": "Migração, automatização e integração à medida",
     "yskSvc4": "Resposta a incidentes e revisões de prontidão de produção",
-    "yskNoPrice": "Não há preços listados aqui – entre em contato conosco para uma conversa adequada ao seu ambiente.",
+    "yskNoPrice": "Não há preços aqui — contacte-nos para uma conversa adaptada ao seu ambiente.",
     "yskWebsite": "ysk.hk",
-    "helpTitle": "Está com algum problema?",
-    "helpBody": "Envie-nos um email com seu sistema operacional, o caminho do log de instalação e o que você esperava versus o que aconteceu. Lemos todas as mensagens.",
+    "helpTitle": "Tem um problema?",
+    "helpBody": "Envie-nos um e-mail com o SO, o caminho do registo de instalação e o que esperava vs o que aconteceu. Lemos todas as mensagens.",
     "docsHint": "A documentação completa está no repositório em",
     "donateLinktree": "Linktree",
-    "cryptoTitle": "Alças criptográficas / web3",
-    "cryptoHint": "Envie apenas na rede correspondente. Verifique novamente o endereço antes de enviar.",
-    "cryptoNetwork": "Network",
-    "cryptoAddress": "Address",
-    "copy": "Copy",
-    "copied": "Copied"
+    "cryptoTitle": "Cripto / identificadores Web3",
+    "cryptoHint": "Envie apenas na rede correspondente. Confirme o endereço antes de enviar.",
+    "cryptoNetwork": "Rede",
+    "cryptoAddress": "Endereço",
+    "copy": "Copiar",
+    "copied": "Copiado",
+    "docsLink": "Documentação",
+    "diagTitle": "Resumo de diagnóstico",
+    "diagBody": "Copie a versão, execute e hospede dados para colar em um e-mail. Este não é um pacote de log completo.",
+    "diagCopy": "Copiar resumo de diagnóstico",
+    "diagCopied": "Resumo de diagnóstico copiado",
+    "copyTitle": "Copiar {{address}}",
+    "diagCopyTitle": "Copiar versão, EXECUTE e dados do anfitrião",
+    "diagPreview": "Pré-visualizar o que será copiado",
+    "diagLoading": "Carregando diagnóstico…",
+    "diagLoadFailed": "Não foi possível carregar o diagnóstico",
+    "copiedAddr": "Copied {{addr}}",
+    "diagStatus": "Status",
+    "diagMode": "Mode",
+    "diagProtection": "Protection",
+    "diagHostname": "Hostname",
+    "diagOs": "OS"
   },
   "system": {
     "exportLoadFailed": "Falha ao carregar dados de exportação",
@@ -10818,7 +12298,17 @@
       "leOk": "Vamos criptografar o certificado obtido para {{domain}}",
       "leFailed": "Falha na solicitação de certificado: {{detail}}",
       "leHint": "Certifique-se de que o DNS A aponte aqui e que a porta 80 esteja acessível (ou o nginx sirva o domínio)",
-      "openFirewall": "Se público: permitir porta do painel {{port}}/tcp (Firewall → porta aberta → Painel 9287)"
+      "openFirewall": "Se público: permitir porta do painel {{port}}/tcp (Firewall → porta aberta → Painel 9287)",
+      "disableConfirmTitle": "Desativar painel HTTPS?",
+      "disableConfirmDesc": "O painel servirá HTTP. WebAuthn/Passkey irá parar de funcionar até que o HTTPS seja ativado novamente.",
+      "disablePasskeyWarn": "As chaves de acesso registradas precisam de HTTPS – elas falharão no HTTP.",
+      "disableNeedConfirm": "Requer confirmação — escreva DISABLE-HTTPS",
+      "listenPublic": "O painel está escutando em um endereço público (0.0.0.0/::). Restrinja com um firewall ou vincule-se a 127.0.0.1.",
+      "bootstrapCert": "Este é o certificado de inicialização autoassinado – os navegadores avisarão. Emita um certificado confiável para o domínio do painel.",
+      "cliNoSocket": "CLI não possui soquete HTTP ativo; servindoHttps é inferido dos soquetes de configuração e escuta (ss).",
+      "listenHost": "Endereço de escuta",
+      "currentHost": "Esta sessão",
+      "replaceCert": "Substitua por um certificado confiável"
     },
     "timeNtp": "Tempo e NTP",
     "clockStatus": "Status do relógio do sistema",
@@ -10923,7 +12413,21 @@
     "exportPath": "Caminho de exportação",
     "mode": "Modo",
     "managedConf": "Configuração gerenciada",
-    "dryRunFlag": "Teste a seco"
+    "dryRunFlag": "Teste a seco",
+    "timezoneSearch": "Filtrar fusos horários…",
+    "resyncNtp": "Sincronizar novamente o NTP",
+    "storageSub": "Uso de disco",
+    "syncReloadNeedConfirm": "Precisa de confirmação — escreve /etc/nginx/conf.d e recarrega o Nginx",
+    "nginxLeftover": "Residual",
+    "nginxUnused": "Não usado",
+    "nginxLeftoverHint": "Conf residual (p.ex. public-files). Incluída na sincronização até agir.",
+    "nginxUnusedHint": "Conf de origem / catch-all (000-default). Incluída na sincronização até agir.",
+    "powerUnlock": "Desbloquear zona de perigo",
+    "powerLock": "Bloquear zona de perigo",
+    "noScheduledPower": "Nenhuma reinicialização ou desligamento está agendado",
+    "timezoneNow": "Host time now: {{time}} ({{tz}})",
+    "timezoneBrowserDiff": "This host uses {{host}}; your browser uses {{browser}}. Changing timezone here changes the host clock, not the browser.",
+    "notExported": "Not exported yet"
   },
   "systemd": {
     "enabled": "Habilitado",
@@ -11017,7 +12521,9 @@
     "aboutPolicySub": "A gravação do modelo e a instalação do sistema são etapas separadas. A nova execução após a instalação é uma operação normal, não uma etapa perdida.",
     "policyInstallFull": "Instale e habilite: copie para /etc/systemd/system, daemon-reload, habilite --now. Precisa de root + EXECUTE.",
     "policyBlockedTitle": "Bloqueado sem privilégio",
-    "policyNotEqualTitle": "Estados não são equivalentes"
+    "policyNotEqualTitle": "Estados não são equivalentes",
+    "rawStateHint": "Raw unit state in tooltip",
+    "bootHint": "Whether the unit starts at boot"
   },
   "tabs": {
     "scrollLeft": "Rolar as guias para a esquerda",
@@ -11057,7 +12563,15 @@
     "stepUpHint": "O login root requer aumento de 2FA quando sua conta tem TOTP ativado.",
     "stepUpTitle": "Confirme o shell raiz",
     "stepUpDesc": "Digite seu código autenticador ou um código de recuperação.",
-    "totpLabel": "TOTP/código de recuperação"
+    "totpLabel": "TOTP/código de recuperação",
+    "sessionStillOpen": "Um live shell ainda está conectado enquanto você lê esta página.",
+    "rootConfirmTitle": "Abrir um shell de root?",
+    "rootConfirmDesc": "Esta sessão é um PTY raiz irrestrito no host. Os comandos são auditados.",
+    "rootConfirmBody": "Continue apenas se pretender executar comandos de host privilegiados.",
+    "copyAll": "Copiar tudo",
+    "copyAllNeedConn": "Conecte primeiro – o buffer fica vazio enquanto desconectado",
+    "groupSystem": "System",
+    "groupProject": "Project"
   },
   "uiInline": {
     "s27d9daa5": "tempo de execução {{v0}} {{v1}}，",
@@ -11357,9 +12871,9 @@
     "applyPanelUpdate": "Aplicar atualização do painel",
     "recheck": "Verifique novamente",
     "aboutScope": "Escopo",
-    "aboutScopeV": "versão do plano de controle do servidor ysk · não atualização apt do sistema completo",
+    "aboutScopeV": "painel ysk-server + serviços de catálogo + tempos de execução + pacotes apt restantes",
     "aboutChannel": "Canal",
-    "aboutChannelV": "npm → lançamento do GitHub → package.json; aplique via npm install -g ou git (YSK_SOURCE_ROOT)",
+    "aboutChannelV": "pacote npm ysk-server → versão do GitHub → apps/server/package.json; aplique: npm i -g ysk-server@versão ou git (YSK_SOURCE_ROOT)",
     "aboutFail": "Falhas",
     "aboutFailV": "Os canais indisponíveis não são reportados como atualizados; aplicar necessidades EXECUTAR; git apply precisa reiniciar o serviço",
     "jobsTitle": "Trabalhos agendados",
@@ -11436,7 +12950,79 @@
     "scanNow": "Digitalize agora",
     "viewUpgradable": "Ver atualizável",
     "installElsewhere": "Para instalar pacotes (Nginx, PHP, bancos de dados…), abra a página de recursos correspondente – não este hub.",
-    "status": "Status"
+    "status": "Status",
+    "groupService": "Serviços",
+    "groupRuntime": "Tempos de execução",
+    "groupOs": "Pacotes de sistema",
+    "notInstalled": "Não instalado",
+    "goToPage": "Abrir página",
+    "hubHint": "Catalogue software e tempos de execução neste host. Digitalize para atualizar.",
+    "intervalDay": "diariamente",
+    "intervalDays": "a cada {{n}} dias",
+    "intervalHour": "a cada hora",
+    "intervalHours": "a cada {{n}} horas",
+    "intervalMinutes": "a cada {{n}} minutos",
+    "intervalSeconds": "a cada {{n}} segundos",
+    "availableHint": "Pacotes com um candidato mais recente do gerenciador de pacotes.",
+    "servicesHint": "Serviços de catálogo neste host. Abra a página do serviço para instalar.",
+    "runtimeHint": "Tempos de execução neste host. As atualizações de versão são feitas em cada página de tempo de execução.",
+    "needsReboot": "Reinicialização necessária",
+    "kernelRebootWarn": "A instalação de um novo kernel geralmente precisa ser reinicializada antes de ser usado.",
+    "neverRun": "ainda não executou",
+    "scanOsvN": "Digitalizar + OSV (primeiro {{n}})",
+    "rebootNeeded": "reinício",
+    "kernelRebootHint": "Os pacotes do kernel precisam ser reinicializados após a aplicação",
+    "needApprovalHint": "Abra Disponível e filtre os pacotes que precisam de aprovação",
+    "applyNeedConfirm": "Abre uma caixa de diálogo de confirmação antes de aplicar",
+    "probeFailed": "Falha na investigação",
+    "notViaApt": "Não gerenciado pelo apt — nenhum candidato",
+    "noCandidate": "Nenhuma versão candidata",
+    "jobOpenGeo": "Página GeoIP",
+    "job": {
+      "protection_probe": {
+        "name": "Sonda de proteção",
+        "hint": "Sinais de defesa periódicos"
+      },
+      "updates_scan": {
+        "name": "Verificação de atualizações",
+        "hint": "Atualizar inventário de pacotes"
+      },
+      "daily_backup": {
+        "name": "Backup diário",
+        "hint": "Backup agendado de todos"
+      },
+      "db_temp_expire": {
+        "name": "Expirar usuários temporários do banco de dados",
+        "hint": "Eliminar usuários de banco de dados temporário expirados"
+      },
+      "defense_auto_ban": {
+        "name": "Banimento automático de defesa",
+        "hint": "Aplicar tick de banimento automático"
+      },
+      "defense_geoip_update": {
+        "name": "Atualização GeoIP",
+        "hint": "Baixe bancos de dados GeoIP"
+      },
+      "log_auto_vacuum": {
+        "name": "Vácuo de toras",
+        "hint": "retenção de diário"
+      },
+      "email_dnsbl": {
+        "name": "E-mail DNSBL",
+        "hint": "Verificação DNSBL de correio"
+      },
+      "validators_upgrade_scan": {
+        "name": "Validators upgrade scan",
+        "hint": "Check validator image / binary updates"
+      }
+    },
+    "applyPanelAlreadyLatest": "Já é a versão mais recente do painel",
+    "panelRestarting": "O painel está a reiniciar para carregar a nova versão…",
+    "panelRestarted": "Painel de volta · {{version}}",
+    "panelRestartWait": "Atualização aplicada. Se esta página não atualizar, recarregue após alguns segundos.",
+    "cveNotChecked": "Not checked",
+    "cveLabel": "CVE",
+    "riskUnevaluated": "Not evaluated — run Scan + OSV"
   },
   "users": {
     "userCount": "{{count}} usuários",
@@ -11558,7 +13144,291 @@
     "securityClearTotpHint": "Requer intensificação",
     "securityClearConfirm": "Digite o nome de usuário para confirmar a limpeza 2FA",
     "securityClearOk": "Liberado 2FA para {{name}}",
-    "securitySelfNote": "Para configurar seu próprio 2FA, abra Segurança → Minha segurança."
+    "securitySelfNote": "Para configurar seu próprio 2FA, abra Segurança → Minha segurança.",
+    "cannotDeleteSelf": "Não pode eliminar a conta com sessão iniciada",
+    "cannotModifySelf": "Não pode suspender nem despromover a conta com sessão iniciada",
+    "cannotDeleteLastAdmin": "Não é possível eliminar o último administrador",
+    "cannotDemoteLastAdmin": "Não é possível suspender nem despromover o último administrador",
+    "lockSelfHint": "Esta é a conta com sessão iniciada. Eliminar, suspender e alterar a função estão bloqueados para evitar bloqueio.",
+    "lockLastAdminHint": "Este é o último administrador. Eliminar, suspender e despromover estão bloqueados.",
+    "demoteAdminTitle": "Despromover este administrador?",
+    "demoteAdminDesc": "Este utilizador perderá o acesso completo de administrador. Confirme que resta outro administrador.",
+    "searchPkgPh": "Nome do pacote",
+    "quotaNonNeg": "Contagens e cotas não podem ser negativas.",
+    "diskQuotaHint": "As predefinições são GiB; caixa personalizada é MiB.",
+    "bandwidthHint": "0 significa ilimitado.",
+    "impersonateHint": "Abre uma sessão como este usuário. Use o menu da conta para sair da representação.",
+    "operatorHighRiskHint": "O operador de fábrica inclui escritas de alto risco. Estreitá-lo só afeta contas novas; alterar o predefinido afeta operadores existentes.",
+    "cannotImpersonateSelf": "Você já está conectado como esta conta",
+    "singleAdminNo2fa": "Este host tem um único administrador e o 2FA está desativado – habilite o 2FA e adicione um administrador de backup.",
+    "enableAdmin2fa": "Enable admin 2FA",
+    "addBackupAdmin": "Add a backup admin"
+  },
+  "validators": {
+    "title": "Validadores (Beta)",
+    "subtitle": "Instale e gira nós L1 neste anfitrião. Não detentor — as chaves ficam consigo.",
+    "beta": "Beta",
+    "tab": {
+      "nodes": "Nós",
+      "disk": "Disco",
+      "about": "Acerca"
+    },
+    "empty": {
+      "title": "Ainda não há nós validador",
+      "desc": "Crie um nó de testnet em poucos cliques."
+    },
+    "refresh": "Atualizar",
+    "disk": {
+      "title": "Disco dos validadores",
+      "root": "Diretório de dados",
+      "free": "Livre",
+      "used": "Usado",
+      "none": "Ainda sem dados de instância",
+      "warn": "A utilização do disco está alta (70%+)",
+      "danger": "A utilização do disco é crítica (85%+)",
+      "autoClear": "Limpar automaticamente a maior instância parada quando o disco é crítico (desligado por omissão)",
+      "autoClearRisk": "Destructive: the largest stopped instance is deleted without a further prompt. Default is off. Check audit / logs after it fires.",
+      "autoClearConfirmTitle": "Enable auto-clear?",
+      "autoClearC1": "When disk is critical, the largest stopped instance is deleted without asking again."
+    },
+    "chain": {
+      "eth": "Ethereum",
+      "avax": "Avalanche",
+      "near": "NEAR",
+      "ada": "Cardano",
+      "btc": "Bitcoin",
+      "cosmos": "Cosmos Hub",
+      "sui": "Sui",
+      "aptos": "Aptos",
+      "dot": "Polkadot",
+      "sol": "Solana"
+    },
+    "network": {
+      "hoodi": "Hoodi",
+      "sepolia": "Sepolia",
+      "mainnet": "Rede principal",
+      "fuji": "Fuji",
+      "testnet": "Rede de testes",
+      "preview": "Visualização",
+      "preprod": "Pré-produção",
+      "westend": "Westend"
+    },
+    "networkKind": {
+      "testnet": "Rede de testes",
+      "mainnet": "Rede principal",
+      "mixed": "Mainnet + testnet"
+    },
+    "profile": {
+      "minimal": "Mínimo",
+      "pruned": "Pruned",
+      "validator-ready": "Pronto para validador",
+      "rpc": "RPC"
+    },
+    "col": {
+      "id": "ID",
+      "chain": "Cadeia",
+      "network": "Rede",
+      "profile": "Perfil",
+      "status": "Estado",
+      "disk": "Disco"
+    },
+    "cli": {
+      "usage": "Utilização: ysk-server validators list|chains|disk|get|status|logs|create|start|stop|restart|clear|upgrade|policy|mithril|prune|switch-network|snapshot|compose|settings [--chain C] [--network N] [--profile P] [--el EL] [--cl CL] [--data-path P] [--rpc-port N] [--id ID] [--upgrade POLICY] [--confirm TOKEN] [--execute] [--json]"
+    },
+    "clients": {
+      "el": "Cliente de execução",
+      "cl": "Cliente de consenso"
+    },
+    "mithril": {
+      "label": "Restaurar primeiro a partir de um instantâneo Mithril (recomendado em testnet)",
+      "action": "Restaurar com Mithril"
+    },
+    "errors": {
+      "notFound": "Instância de validador não encontrada",
+      "invalidId": "Identificador de instância inválido",
+      "diskLow": "Disco livre insuficiente para esta cadeia, rede e perfil",
+      "diskUnknownMainnet": "Não é possível medir o disco livre; recusada a criação em rede principal",
+      "needDocker": "É necessário Docker Compose e não foi encontrado",
+      "composeFailed": "docker compose falhou",
+      "needConfirm": "Limpar exige confirm=identificador da instância ou CLEAR",
+      "mithrilAdaOnly": "A restauração Mithril só está disponível para Cardano",
+      "needMithrilConfirm": "Mithril exige confirm=identificador da instância ou MITHRIL",
+      "mithrilBlocked": "O docker run do Mithril foi bloqueado pela lista permitida",
+      "mithrilKey": "Não foi possível carregar a chave de verificação genesis do Mithril",
+      "mithrilFailed": "A transferência do instantâneo Mithril falhou",
+      "pruneFailed": "A limpeza falhou",
+      "switchNeedStop": "Pare o nó antes de mudar de rede",
+      "switchNeedClear": "Mudar de rede apaga os dados da cadeia. Confirme com o identificador da instância ou CLEAR",
+      "composeMissing": "Ficheiro Compose não encontrado",
+      "composeNotManaged": "Recusa de escrever um ficheiro Compose que não é gerido pelo YSK",
+      "badDataPath": "O caminho de dados deve ser um diretório absoluto fora dos caminhos do sistema",
+      "portInUse": "Esse porto RPC já é usado por outra instância de validador",
+      "snapshotUnsupported": "Não há origem de instantâneo permitida para esta cadeia",
+      "snapshotLookup": "Não foi possível resolver o ponteiro oficial do instantâneo",
+      "needSnapshotConfirm": "Restaurar instantâneo exige confirm=identificador da instância ou SNAPSHOT",
+      "snapshotBlocked": "O docker run do instantâneo foi bloqueado pela lista permitida",
+      "snapshotFailed": "A transferência ou extração do instantâneo falhou"
+    },
+    "notes": {
+      "beta": "Esta funcionalidade é Beta. Alterações no anfitrião precisam de root e YSK_EXECUTE=1.",
+      "noKeys": "O YSK Server nunca gera nem guarda chaves de staking.",
+      "dockerSoon": "Install and start from this page wizard. Host changes need root and YSK_EXECUTE=1.",
+      "dryCreate": "Especificação da instância e compose escritos (dry-run). Passe --execute e YSK_EXECUTE=1 para iniciar contentores.",
+      "dryStart": "O arranque é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "dryStop": "A paragem é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "dryClear": "A limpeza é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "created": "Nó criado e compose iniciado",
+      "started": "Nó iniciado",
+      "stopped": "Nó parado",
+      "cleared": "Dados da cadeia limpos",
+      "dryMithril": "A restauração Mithril é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "mithril": "Instantâneo Mithril restaurado; nó reiniciado",
+      "dryPrune": "A limpeza é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "pruned": "Imagens não usadas do projeto limpas",
+      "pruneProfile": "A poda nativa do cliente é o perfil pruned／minimal. Recrie para o alterar.",
+      "sameNetwork": "Já está nessa rede",
+      "drySwitch": "A mudança de rede é dry-run.",
+      "switched": "Rede alterada e dados da cadeia limpos",
+      "dryCompose": "Escreveria compose.yml",
+      "composeWrote": "compose.yml escrito",
+      "statsEmpty": "Não há contentores em execução para medir",
+      "autoClearNone": "Não há instância parada para limpar automaticamente",
+      "drySnapshot": "A restauração de instantâneo é dry-run. Passe --execute e YSK_EXECUTE=1.",
+      "snapshotEthEl": "Arquivo EL ethPandaOps restaurado e CL redefinido para checkpoint sync",
+      "snapshotEthCl": "Dados CL redefinidos para o checkpoint sync oficial",
+      "snapshotNear": "Dados NEAR apagados; o compose vai reinicializar com genesis oficial e epoch sync",
+      "nativePrune": "Comando de poda nativa do cliente executado",
+      "dryDelete": "Delete is dry-run. Pass --execute and YSK_EXECUTE=1.",
+      "deleted": "Node deleted"
+    },
+    "create": "Criar nó",
+    "wizard": {
+      "title": "Criar nó",
+      "back": "Voltar",
+      "next": "Seguinte",
+      "install": "Instalar",
+      "mainnetWarn": "A rede principal precisa de muito disco livre (ETH costuma ser 800 GiB+). Recomenda-se testnet.",
+      "mainnetAck": "Compreendo o risco de disco e slashing. Continuar na rede principal.",
+      "heavyWarn": "Esta cadeia é pesada (muito disco e IOPS altos). Solana na rede principal costuma precisar de 2 TiB+.",
+      "memory": "Limite de memória (p. ex. 4g)",
+      "cpus": "Limite de CPU (p. ex. 2.0)",
+      "dataPath": "Caminho de dados (opcional)",
+      "rpcPort": "Porto RPC (opcional)",
+      "stepOf": "Step {{n}} / {{total}}",
+      "stepChain": "Chain",
+      "stepNetwork": "Network",
+      "stepProfile": "Profile",
+      "stepSummary": "Summary",
+      "needDocker": "Docker Engine is not installed. Install it first — this button stays disabled.",
+      "diskNeed": "This profile needs about {{need}} · free {{free}}",
+      "diskShort": "Not enough free disk for this chain / network / profile",
+      "limitNone": "No limit",
+      "rpcDefault": "Default",
+      "customPath": "Use a custom data path",
+      "installConfirmTitle": "Install this node?",
+      "installConfirmDesc": "{{chain}} · {{network}} · {{profile}}. About {{disk}} of disk. The image pull can take a long time.",
+      "installC1": "Several gigabytes of images may be downloaded.",
+      "installC2": "You can cancel the panel task; already-pulled images are not deleted automatically."
+    },
+    "actions": {
+      "detail": "Detalhes",
+      "start": "Iniciar",
+      "stop": "Parar",
+      "restart": "Reiniciar",
+      "clear": "Limpar",
+      "upgrade": "Atualizar",
+      "clearConfirm": "Escreva o identificador da instância ou CLEAR",
+      "prune": "Limpar imagens",
+      "switchNetwork": "Mudar de rede",
+      "removeUnit": "Também remover compose / o registo da instância",
+      "restoreAfter": "Restaurar instantâneo após limpar",
+      "delete": "Delete",
+      "deleteTitle": "Delete {{id}}",
+      "deleteDesc": "This removes the node from the panel.",
+      "deleteC1": "Docker Compose is stopped and removed",
+      "deleteC2": "Chain data on disk is deleted",
+      "deleteC3": "The instance record is removed",
+      "pruneTitle": "Prune unused images",
+      "pruneDesc": "Type the instance id to prune unused Compose images for this node.",
+      "pruneC1": "Unused images labelled for this Compose project are deleted.",
+      "clearTitle": "Clear {{id}}",
+      "clearC1": "Chain data on disk is deleted.",
+      "clearC2": "The instance stays in the panel, stopped and empty.",
+      "switchTitle": "Switch network",
+      "switchC1": "The node is stopped and chain data is wiped before the new network is written."
+    },
+    "policy": {
+      "label": "Política de atualização",
+      "manual": "À mão",
+      "notify": "Notificar",
+      "auto-safe": "Automático (seguro)",
+      "auto-all": "Automático (tudo)"
+    },
+    "logs": {
+      "empty": "Ainda sem registos",
+      "follow": "Seguir registos"
+    },
+    "compose": {
+      "label": "Ficheiro Compose",
+      "save": "Guardar compose"
+    },
+    "snapshot": {
+      "action": "Restaurar instantâneo",
+      "mithril": "O Cardano usa Mithril para restaurar instantâneos certificados.",
+      "eth": "A rede principal Ethereum arranca com o checkpoint sync oficial do cliente de consenso. O EL continua com snap sync.",
+      "ethEl": "Hoodi/Sepolia podem restaurar um arquivo EL ethPandaOps e depois fazer checkpoint-sync do CL.",
+      "avax": "A Avalanche usa state-sync no perfil compose.",
+      "near": "Os instantâneos tar gratuitos oficiais da NEAR foram retirados. Restaurar apaga dados e usa genesis oficial mais epoch sync.",
+      "none": "Não há origem de instantâneo configurada para esta cadeia."
+    },
+    "stake": {
+      "title": "Preparar staking (as chaves ficam consigo)",
+      "offlineKeys": "Gere as chaves offline. O painel nunca as guarda.",
+      "deposit": "Conclua o depósito / registo no launchpad oficial.",
+      "withdrawal": "Defina você mesmo as credenciais de levantamento.",
+      "monitor": "Vigie disco, pares e distintivos de atualização nesta página."
+    },
+    "alerts": {
+      "diskTitle": "Disco do validador crítico",
+      "diskBody": "O espaço livre no volume de dados do validador está criticamente baixo.",
+      "upgradeTitle": "Atualização de validador disponível",
+      "upgradeBody": "Um ou mais clientes de nó têm uma versão fixada mais recente.",
+      "syncTitle": "O nó validador precisa de atenção",
+      "syncBody": "Um nó está a sincronizar há mais de 6 horas ou reportou um erro.",
+      "rollbackTitle": "Atualização de validador revertida",
+      "rollbackBody": "A atualização de {{id}} falhou a verificação de saúde e foi revertida."
+    },
+    "upgrade": {
+      "changelog": "Registo de alterações"
+    },
+    "readiness": {
+      "dockerTitle": "Docker para nós validador",
+      "dockerOk": "{{count}} instância(s) de validador; Docker está instalado",
+      "dockerMissing": "Existem instâncias de validador mas o comando docker não foi encontrado"
+    },
+    "detail": {
+      "status": "Status",
+      "sync": "Sync",
+      "peers": "Peers",
+      "version": "Version",
+      "access": "Access",
+      "upgrade": "Updates",
+      "upgradeHint": "How this node tracks client versions.",
+      "network": "Network",
+      "networkHint": "Switching network stops the node and clears chain data. Confirm under Clear data first.",
+      "maintain": "Maintenance",
+      "danger": "Clear data",
+      "dangerHint": "Type the instance id or CLEAR. This deletes chain data on disk.",
+      "compose": "Compose",
+      "logs": "Logs"
+    },
+    "state": {
+      "unknown": "Unknown",
+      "stopped": "Stopped",
+      "running": "Running",
+      "syncing": "Syncing",
+      "error": "Error"
+    }
   },
   "vnc": {
     "pageDesc": "Servidor e cliente VNC",
@@ -11804,7 +13674,16 @@
     "stackMissingShort": "Não instalado",
     "editClientTitle": "Editar cliente remoto",
     "editClientDesc": "Atualizar caminho, hosts e senha armazenada opcional.",
-    "clientUpdated": "Perfil do cliente atualizado"
+    "clientUpdated": "Perfil do cliente atualizado",
+    "rememberNeedPassword": "Digite uma senha primeiro.",
+    "settingsNeedStack": "Esses padrões se aplicam quando TigerVNC (e XFCE, se selecionado) estão instalados. Instale-os primeiro na guia Instalar.",
+    "clientNeedNovnc": "Abrir no navegador precisa de noVNC. Instale-o na guia Instalar antes de adicionar controles remotos que você espera abrir aqui.",
+    "needXfceFirst": "Install XFCE first",
+    "needSessionRunning": "Session is not running — start it first",
+    "deleteKeepUserWarn": "The Linux user will stay on the host as an orphan. You must clean it up later.",
+    "bindRfbLine": "RFB {{bind}} :{{port}}",
+    "bindNovncLine": "noVNC 127.0.0.1:{{port}}",
+    "bindNovncHint": "noVNC listens on localhost. The desktop is reached through this panel, not the public internet, unless RFB bind is all interfaces."
   },
   "vpn": {
     "pageDesc": "Servidor e cliente VPN",
@@ -11812,7 +13691,7 @@
     "tab": {
       "wireguard": "WireGuard",
       "openvpn": "OpenVPN",
-      "outline": "Meias Sombrias",
+      "outline": "Shadowsocks",
       "client": "Cliente local",
       "software": "Programas",
       "monitor": "Monitor",
@@ -11935,6 +13814,21 @@
       "lanCidrs": "Redes LAN",
       "customCidr": "CIDR",
       "addCidr": "Adicionar"
-    }
+    },
+    "engineNotInstalled": "Este motor VPN não está instalado no anfitrião.",
+    "serverNotListening": "A unidade do servidor não está ativa. UDP/TCP {{port}} pode estar fechado.",
+    "installEngineFirst": "Instale o mecanismo VPN primeiro",
+    "portHint": {
+      "51820": "Porta de escuta padrão do WireGuard",
+      "51821": "Porta de escuta alternativa do WireGuard",
+      "51822": "Segunda porta de escuta alternativa do WireGuard"
+    },
+    "needServerRunning": "{{engine}} is not running — apply the server first",
+    "engineSummarySoftware": "{{installed}} installed · {{running}} running",
+    "privateKeyOnce": "The client private key is shown only here. Download or copy it now — it cannot be recovered later.",
+    "showPrivateKey": "Show private key",
+    "hidePrivateKey": "Hide private key",
+    "deletePeerTitle": "Delete peer {{name}}?",
+    "deletePeerDesc": "Remove {{name}} ({{address}}). The client disconnects immediately and the config cannot be restored."
   }
 }