docs: centralize device connection guides, add private relay docs

- new Connect a Device page: one-time QR pairing, transport choices, device management - new Private Relay page: E2EE guarantees, demand-driven lifecycle, relay vs tunnel - rewrite mobile page around the native iOS/Android apps (TestFlight + APK) - update remote-instances, security, tunnels, and remote-access troubleshooting to point at the new pairing flow - translate everything across all 8 locales and update the sidebar
2026-07-10 15:30:50 +03:00
parent b3fa19fe3e
commit 7ea974d89b
64 changed files with 1452 additions and 190 deletions
@@ -0,0 +1,56 @@
+---
+title: Connect a Device
+description: Pair your phone, desktop, or another browser with your OpenChamber server using a one-time QR code.
+---
+
+# Connect a Device
+
+Pair another device — the mobile app, the desktop app, or a browser on another machine — with your OpenChamber server by scanning a one-time QR code. This is the recommended way to connect devices; there are no ports to open and no addresses to type.
+
+## Pair a device
+
+1. On the machine running OpenChamber, open **Settings → Remote Instances → Connect to this server** and press **Add a device**.
+2. Give the device a name (e.g. *My iPhone*) so you can recognize it later.
+3. Pick where you'll use the device:
+   - **This computer only** — for apps running on this same machine
+   - **Home network only** — connects directly over your Wi-Fi; does not work away from this network
+   - **Anywhere** — works at home and away; away traffic goes through the [Private Relay](/private-relay/), an end-to-end encrypted tunnel with no setup needed
+4. Press **Create QR code**.
+5. On the other device, scan the code:
+   - **mobile app** — tap **Scan QR code** on the connect screen (or in the instances list)
+   - **desktop app** — copy the connection link instead and paste it in **Settings → Remote Instances → Other OpenChamber servers → Import Link**
+
+The dialog closes on its own as soon as the device connects, and the device appears in the list with a live status. That's it — you're paired.
+
+## How pairing stays safe
+
+- **The QR code is single-use.** It stops working the moment a device redeems it, and it expires on its own if never used.
+- **Each device gets its own token.** Scanning a code never exposes your UI password, and one device's token can't be used to impersonate another.
+- **You stay in control.** Every paired device is listed with its name, platform, and connection status — revoke any of them at any time.
+- **Away-from-home traffic is end-to-end encrypted.** With **Anywhere**, traffic outside your network rides the [Private Relay](/private-relay/), which cannot read what passes through it.
+
+## Manage paired devices
+
+**Settings → Remote Instances → Connect to this server** lists every device that can reach this server, with a green dot when it's online and whether it's connected over the local network or the relay.
+
+- **Revoke** cuts a device off immediately. Pair it again with a new QR code if you change your mind.
+- **Clear revoked** tidies up the list.
+
+The same physical device keeps one entry even if it signs in again later — you won't collect duplicates.
+
+## Connect from the command line
+
+If the server runs headless (no UI open), create a connection link from a terminal on that machine:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+The printed link and QR code work exactly like the ones from the settings dialog.
+
+## Related
+
+- [Private Relay](/private-relay/) — how "Anywhere" connections work and what the relay can and cannot see
+- [Mobile Apps](/mobile/) — install the iOS or Android app
+- [Remote Instances](/remote-instances/) — connect the desktop app to servers over SSH or links
+- [Remote access](/troubleshooting/remote-access/) — when a device won't connect
@@ -0,0 +1,56 @@
+---
+title: Conectar un dispositivo
+description: Vincula tu teléfono, escritorio u otro navegador con tu servidor de OpenChamber usando un código QR de un solo uso.
+---
+
+# Conectar un dispositivo
+
+Vincula otro dispositivo —la app móvil, la app de escritorio o un navegador en otra máquina— con tu servidor de OpenChamber escaneando un código QR de un solo uso. Es la forma recomendada de conectar dispositivos: no hay puertos que abrir ni direcciones que escribir.
+
+## Vincula un dispositivo
+
+1. En la máquina donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
+2. Dale un nombre al dispositivo (p. ej. *Mi iPhone*) para reconocerlo más adelante.
+3. Elige dónde usarás el dispositivo:
+   - **Solo este equipo** — para aplicaciones en esta misma máquina
+   - **Solo red doméstica** — se conecta directamente por tu Wi-Fi; no funciona fuera de esta red
+   - **En cualquier lugar** — funciona en casa y fuera; fuera de casa el tráfico pasa por el [Private Relay](/es/private-relay/), un túnel cifrado de extremo a extremo sin configuración
+4. Pulsa **Crear código QR**.
+5. En el otro dispositivo, escanea el código:
+   - **app móvil** — toca **Escanear código QR** en la pantalla de conexión (o en la lista de instancias)
+   - **app de escritorio** — copia el enlace de conexión y pégalo en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**
+
+El diálogo se cierra solo en cuanto el dispositivo se conecta, y el dispositivo aparece en la lista con su estado en vivo. Eso es todo: ya están vinculados.
+
+## Por qué la vinculación es segura
+
+- **El código QR es de un solo uso.** Deja de funcionar en el momento en que un dispositivo lo canjea, y caduca por sí solo si nunca se usa.
+- **Cada dispositivo recibe su propio token.** Escanear un código nunca expone tu contraseña de UI, y el token de un dispositivo no puede usarse para suplantar a otro.
+- **Tú mantienes el control.** Cada dispositivo vinculado aparece en la lista con su nombre, plataforma y estado de conexión; puedes revocar cualquiera en cualquier momento.
+- **El tráfico fuera de casa está cifrado de extremo a extremo.** Con **En cualquier lugar**, el tráfico fuera de tu red viaja por el [Private Relay](/es/private-relay/), que no puede leer lo que pasa por él.
+
+## Gestiona los dispositivos vinculados
+
+**Settings → Remote Instances → Conectarse a este servidor** lista todos los dispositivos que pueden alcanzar este servidor, con un punto verde cuando están en línea y si están conectados por la red local o por el relay.
+
+- **Revocar** corta el acceso de un dispositivo de inmediato. Vuelve a vincularlo con un nuevo código QR si cambias de opinión.
+- **Borrar revocados** limpia la lista.
+
+El mismo dispositivo físico mantiene una sola entrada aunque vuelva a iniciar sesión más tarde: no acumularás duplicados.
+
+## Conecta desde la línea de comandos
+
+Si el servidor funciona en modo headless (sin UI abierta), crea un enlace de conexión desde una terminal en esa máquina:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+El enlace y el código QR impresos funcionan exactamente igual que los del diálogo de ajustes.
+
+## Relacionado
+
+- [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar» y qué puede ver el relay y qué no
+- [Apps móviles](/es/mobile/) — instala la app de iOS o Android
+- [Instancias remotas](/es/remote-instances/) — conecta la app de escritorio a servidores por SSH o con enlaces
+- [Acceso remoto](/es/troubleshooting/remote-access/) — cuando un dispositivo no se conecta
@@ -1,31 +1,43 @@
 ---
-title: PWA y acceso móvil
-description: Instala OpenChamber como una app y úsalo desde tu teléfono.
+title: Apps móviles y PWA
+description: Instala la app de OpenChamber en iOS o Android y conéctala a tu servidor.
 ---

-# PWA y acceso móvil
+# Apps móviles y PWA

-La app web de OpenChamber se instala como una app de teléfono (una PWA), así que puedes tenerla en tu pantalla de inicio y usarla a pantalla completa. Combínala con un [túnel](/es/tunnels/) y podrás echar un vistazo a una sesión desde cualquier lugar.
+OpenChamber tiene apps nativas para iPhone y Android, para que puedas seguir sesiones, responder a los agentes y gestionar el trabajo desde tu teléfono, en casa por Wi-Fi o desde cualquier lugar a través del [Private Relay](/es/private-relay/).

-## Instálala
+## Instala la app

-OpenChamber usa la instalación integrada de tu navegador, así que no hay una descarga aparte:
+- **iPhone/iPad** — únete a la [beta de TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — descarga el APK de la [última release](https://github.com/openchamber/openchamber/releases/latest)

- **navegador de escritorio** — usa la opción **Install** en la barra de direcciones
+## Conéctala a tu servidor
+
+1. En la computadora donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
+2. Elige **En cualquier lugar** (o **Solo red doméstica** si solo usarás el teléfono en casa) y pulsa **Crear código QR**.
+3. En la app móvil, toca **Escanear código QR** y apunta la cámara al código.
+
+La app se conecta y recuerda el servidor. El código QR es de un solo uso y cada dispositivo recibe su propio token revocable; consulta [Conectar un dispositivo](/es/connect-devices/) para saber por qué la vinculación es segura.
+
+Puedes vincular la app con varios servidores y cambiar entre ellos desde la lista de instancias; la app muestra para cada uno si está accesible y si estás conectado por la red local o por el relay.
+
+## PWA (instalación desde el navegador)
+
+¿Prefieres prescindir de las tiendas de apps? La app web se instala directamente desde el navegador:
+
+- **navegador de escritorio** — usa la opción **Instalar** de la barra de direcciones
 - **iPhone/iPad (Safari)** — Compartir → **Añadir a pantalla de inicio**
 - **Android (Chrome)** — menú → **Instalar app** / **Añadir a pantalla de inicio**

-Una vez instalada, se abre en su propia ventana sin los elementos del navegador.
-
-## Accede desde tu teléfono
-
-Para abrir OpenChamber en tu teléfono cuando el servidor se ejecuta en tu computadora, inicia un [túnel](/es/tunnels/) y abre el enlace (o escanea el código QR) en el teléfono. Usa una [contraseña de UI](/es/security/) fuerte siempre que lo hagas.
+Para alcanzar la PWA desde fuera de tu red necesitarás un [túnel](/es/tunnels/) y una [contraseña de UI](/es/security/) fuerte; las apps nativas se encargan de esto por ti mediante el relay.

 ## Ajustes móviles

-En **Settings → OpenChamber**, unas pocas opciones ajustan la experiencia móvil e instalada: el nombre con el que se instala la app, la orientación de la pantalla y cómo se comporta el teclado en pantalla.
+En **Settings → OpenChamber**, unas cuantas opciones ajustan la experiencia móvil e instalada: el nombre de la app instalada, la orientación de la pantalla y el comportamiento del teclado en pantalla.

 ## Relacionado

- [Túneles](/es/tunnels/) — accede a tu instancia desde otra red
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación, códigos QR de un solo uso y gestión de dispositivos
+- [Private Relay](/es/private-relay/) — cómo funciona el acceso «En cualquier lugar»
 - [Seguridad](/es/security/) — protege la UI antes de exponerla
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Alcanza tu servidor de OpenChamber desde cualquier lugar a través de un relay cifrado de extremo a extremo, sin puertos, sin túneles y sin configuración.
+---
+
+# Private Relay
+
+El Private Relay de OpenChamber permite que tus dispositivos vinculados alcancen tu servidor desde cualquier lugar —datos móviles, la red de una cafetería, otra ciudad— sin abrir puertos, montar un túnel ni exponer tu máquina a internet. Se gestiona solo: basta con vincular un dispositivo con **En cualquier lugar** en [Conectar un dispositivo](/es/connect-devices/).
+
+## Cómo funciona
+
+Tu servidor abre una conexión saliente hacia la infraestructura de relay de OpenChamber y la mantiene activa. Cuando uno de tus dispositivos está fuera de tu red, también se conecta al relay, y el relay pasa el tráfico cifrado entre ambos. Nada en tu máquina escucha conexiones entrantes desde internet.
+
+Cuando hay una conexión directa disponible —vuelves a casa y estás en la misma Wi-Fi—, tus dispositivos la prefieren y se saltan el relay por completo.
+
+## Qué puede ver el relay y qué no
+
+El relay es un mensajero ciego, no un intermediario:
+
+- **Cifrado de extremo a extremo.** Tu dispositivo y tu servidor acuerdan las claves de cifrado directamente entre ellos. El relay reenvía tráfico sellado para el que no tiene claves: no puede leer tu código, tus prompts ni tus contraseñas.
+- **Solo tus dispositivos pueden conectarse.** Un dispositivo debe tener un token emitido por *tu* servidor mediante la [vinculación de un solo uso](/es/connect-devices/). Nadie puede descubrir tu servidor a través del relay ni conectarse a él sin un token que tú hayas creado, y puedes revocar cualquier token en cualquier momento.
+- **Los enlaces de vinculación son de un solo uso.** Un código QR de vinculación funciona exactamente una vez y caduca si no se usa, así que un enlace antiguo filtrado no vale nada.
+- **No se comparte nada hasta que tú lo decides.** El relay permanece apagado hasta que lo actives o vincules un dispositivo a través de él, y puedes desactivarlo en cualquier momento; los dispositivos conectados a través de él se desconectan de inmediato.
+
+## Cuándo funciona
+
+El relay gestiona su propio ciclo de vida: no hay ningún interruptor que recordar.
+
+- **Se inicia bajo demanda.** Crear una vinculación **En cualquier lugar** enciende el relay, y este vuelve tras un reinicio mientras algún dispositivo vinculado siga dependiendo de él.
+- **Se detiene solo.** Cuando ningún dispositivo ni vinculación pendiente usa el relay —por ejemplo, después de revocar el último dispositivo vinculado por relay—, se apaga automáticamente.
+
+**Settings → Remote Instances → OpenChamber Relay** muestra el estado en vivo (Conectado, Reconectando, …) y cuántos dispositivos están conectados a través de él en ese momento. Allí también puedes pulsar **Desactivar** para cortar el acceso por relay de inmediato; los dispositivos de tu red local no se ven afectados.
+
+## ¿Relay o túnel?
+
+- Usa el **relay** para alcanzar tu propio servidor desde tus propios dispositivos vinculados. No requiere configuración y nada se expone públicamente.
+- Usa un [túnel](/es/tunnels/) cuando necesites una **URL pública** normal, por ejemplo para abrir OpenChamber en un navegador corriente en una máquina que no puedes vincular, o para compartir acceso detrás de una [contraseña de UI](/es/security/).
+
+## Relacionado
+
+- [Conectar un dispositivo](/es/connect-devices/) — vincula un dispositivo con un código QR de un solo uso
+- [Apps móviles](/es/mobile/) — instala la app de iOS o Android
+- [Seguridad](/es/security/) — contraseñas, passkeys y nociones básicas de exposición
+- [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa
@@ -24,9 +24,13 @@ OpenChamber recorre los pasos —comprobar la conexión, configurar el remoto, i

 Tú decides si guardar las contraseñas de SSH y de UI o introducirlas cada vez. Si la conexión se cae, OpenChamber informa qué paso falló para que puedas arreglarlo; consulta [Acceso remoto](/es/troubleshooting/remote-access/).

-## Enlaces de conexión directa
+## Enlaces de conexión

-Si una máquina remota ya ejecuta OpenChamber, crea allí un enlace de conexión e impórtalo en **Settings → Remote Instances → Server links**:
+Si una máquina remota ya ejecuta OpenChamber, la forma más fácil de conectar la app de escritorio es un enlace de vinculación. En la UI del servidor remoto, abre **Settings → Remote Instances → Conectarse a este servidor → Añadir un dispositivo**, crea un enlace e impórtalo en tu escritorio en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**. Consulta [Conectar un dispositivo](/es/connect-devices/) para el flujo completo.
+
+Un enlace creado con **En cualquier lugar** lleva tanto una dirección directa como una ruta por el [Private Relay](/es/private-relay/): el escritorio se conecta directamente cuando puede alcanzar el servidor (misma red) y recurre al relay cifrado de extremo a extremo cuando estás fuera. El estado junto a cada servidor guardado muestra qué ruta se está usando.
+
+También puedes crear un enlace desde una terminal en la máquina remota:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` inicia el servidor primero si no hay nada ejecutándose en ese puerto. Añade `--api-only` para un servidor headless, `--lan` para escuchar en la LAN al iniciar, `--ui-password` para proteger el acceso del navegador y `--name` para etiquetar la conexión guardada.

-El enlace generado contiene un token de cliente para apps de OpenChamber. Ese token es independiente de la contraseña de la UI del navegador y sobrevive a reinicios hasta que lo revoques o elimines.
+El enlace generado contiene un secreto de vinculación de un solo uso. Una vez importado, el dispositivo conserva su propio token de cliente —independiente de la contraseña de la UI del navegador— que sobrevive a los reinicios del servidor hasta que lo revoques en el servidor emisor.

 ## Relacionado

+- [Conectar un dispositivo](/es/connect-devices/) — enlaces de vinculación, códigos QR y gestión de dispositivos
+- [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar»
 - [OpenCode Server](/es/opencode-server/) — conéctate a un servidor remoto en la web o en VS Code
 - [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa
@@ -25,13 +25,20 @@ Una vez definida una contraseña, puedes añadir passkeys (Face ID, Touch ID, un

 Las passkeys están vinculadas a la contraseña actual. Si cambias o eliminas la contraseña, las passkeys guardadas se borran y tendrás que añadirlas de nuevo.

+## Tokens de dispositivo
+
+Los dispositivos vinculados mediante [Conectar un dispositivo](/es/connect-devices/) se autentican con sus propios tokens por dispositivo, no con la contraseña de UI. Los enlaces de vinculación son de un solo uso y caducan si no se usan; cada dispositivo vinculado aparece en **Settings → Remote Instances → Conectarse a este servidor**, donde puedes revocar cualquiera en cualquier momento. Las conexiones fuera de casa pasan por el [Private Relay](/es/private-relay/), que está cifrado de extremo a extremo y no puede leer tu tráfico.
+
 ## Antes de exponerlo

 - De forma predeterminada, OpenChamber solo escucha en tu propia máquina (`127.0.0.1`). Hace falta un cambio deliberado para escuchar más ampliamente, y deberías definir una contraseña primero.
- Prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
+- Para tus propios dispositivos, prefiere la [vinculación](/es/connect-devices/) con el [Private Relay](/es/private-relay/): no se expone nada públicamente.
+- Si necesitas una URL pública, prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
 - Si pones OpenChamber detrás de tu propio servidor HTTPS, consulta [Proxy inverso](/es/reverse-proxy/).

 ## Relacionado

- [Túneles](/es/tunnels/) — la forma recomendada de acceder a una instancia de forma remota
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación de un solo uso y tokens por dispositivo
+- [Private Relay](/es/private-relay/) — acceso cifrado de extremo a extremo desde cualquier lugar
+- [Túneles](/es/tunnels/) — expón una URL pública cuando la necesites
 - [Proxy inverso](/es/reverse-proxy/) — ejecuta OpenChamber detrás de tu propio servidor
@@ -12,6 +12,15 @@ Cuando no puedes alcanzar OpenChamber desde tu teléfono u otra máquina, la sol
 - abre `http://localhost:3000` en la misma computadora primero; si eso falla, no es un problema remoto; consulta [Conexión de OpenCode](/es/troubleshooting/opencode-connection/)
 - confirma que el servidor está en funcionamiento con `openchamber status`

+## Un dispositivo vinculado no se conecta
+
+- el código QR / enlace de vinculación es **de un solo uso**; si ya se escaneó (o caducó), crea uno nuevo desde **Añadir un dispositivo**
+- si el dispositivo se vinculó con **Solo red doméstica**, no puede conectarse desde fuera de esa red; vuelve a vincularlo con **En cualquier lugar**
+- para la vinculación **En cualquier lugar**, comprueba **Settings → Remote Instances → OpenChamber Relay** en el servidor: debería decir **Conectado**; si no, desactívalo y vuelve a activarlo
+- si un dispositivo fue **revocado**, su token desaparece para siempre; vincúlalo de nuevo con un código QR nuevo
+
+Consulta [Conectar un dispositivo](/es/connect-devices/) y [Private Relay](/es/private-relay/) para saber cómo funcionan estas conexiones.
+
 ## El enlace del túnel no funciona

 - ejecuta `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Si pones OpenChamber detrás de un proxy inverso y carga de forma extraña o no

 ## Relacionado

- [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
+- [Conectar un dispositivo](/es/connect-devices/) · [Private Relay](/es/private-relay/) · [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
 - [Seguridad](/es/security/) — protege la UI antes de exponerla
@@ -5,7 +5,9 @@ description: Expón OpenChamber de forma segura para acceso remoto y móvil.

 # Túneles

-Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde tu teléfono u otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
+Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde un navegador corriente en otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
+
+> Conectar tus **propios dispositivos** (la app móvil, otro escritorio) normalmente no necesita un túnel: [vincúlalos](/es/connect-devices/) y deja que el [Private Relay](/es/private-relay/), cifrado de extremo a extremo, se encargue del acceso fuera de casa sin configuración.

 ## Requisitos previos

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## Relacionado

+- [Conectar un dispositivo](/es/connect-devices/) — vincula tus propios dispositivos sin una URL pública
 - [Seguridad](/es/security/) — protege la interfaz antes de exponerla
 - [Túneles de escritorio](/es/desktop-tunnels/) — configuración de túneles en la app de escritorio sin iniciar desde CLI
 - [PWA y acceso móvil](/es/mobile/) — accede a OpenChamber desde tu teléfono
@@ -0,0 +1,56 @@
+---
+title: Connecter un appareil
+description: Associez votre téléphone, votre desktop ou un autre navigateur à votre serveur OpenChamber avec un QR code à usage unique.
+---
+
+# Connecter un appareil
+
+Associez un autre appareil — l’application mobile, l’application desktop ou un navigateur sur une autre machine — à votre serveur OpenChamber en scannant un QR code à usage unique. C’est la méthode recommandée pour connecter des appareils : aucun port à ouvrir, aucune adresse à taper.
+
+## Associer un appareil
+
+1. Sur la machine qui exécute OpenChamber, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur** et pressez **Ajouter un appareil**.
+2. Donnez un nom à l’appareil (par ex. *Mon iPhone*) pour le reconnaître plus tard.
+3. Choisissez où vous utiliserez l’appareil :
+   - **Cet ordinateur uniquement** — pour les applications sur cette même machine
+   - **Réseau domestique uniquement** — connexion directe via votre Wi-Fi ; ne fonctionne pas hors de ce réseau
+   - **Partout** — fonctionne à la maison et en déplacement ; en déplacement, le trafic passe par le [Relais privé](/private-relay/), un tunnel chiffré de bout en bout sans aucune configuration
+4. Pressez **Créer le code QR**.
+5. Sur l’autre appareil, scannez le code :
+   - **application mobile** — touchez **Scanner le code QR** sur l’écran de connexion (ou dans la liste des instances)
+   - **application desktop** — copiez plutôt le lien de connexion et collez-le dans **Paramètres → Instances distantes → Autres serveurs OpenChamber → Importer le lien**
+
+Le dialogue se ferme tout seul dès que l’appareil se connecte, et l’appareil apparaît dans la liste avec un statut en direct. C’est tout — vous êtes associé.
+
+## Pourquoi l’association reste sûre
+
+- **Le QR code est à usage unique.** Il cesse de fonctionner dès qu’un appareil l’utilise, et il expire de lui-même s’il n’est jamais utilisé.
+- **Chaque appareil reçoit son propre token.** Scanner un code n’expose jamais votre mot de passe UI, et le token d’un appareil ne peut pas servir à en usurper un autre.
+- **Vous gardez le contrôle.** Chaque appareil associé est listé avec son nom, sa plateforme et son état de connexion — révoquez n’importe lequel à tout moment.
+- **Le trafic hors du domicile est chiffré de bout en bout.** Avec **Partout**, le trafic en dehors de votre réseau passe par le [Relais privé](/private-relay/), qui ne peut pas lire ce qui le traverse.
+
+## Gérer les appareils associés
+
+**Paramètres → Instances distantes → Se connecter à ce serveur** liste chaque appareil pouvant joindre ce serveur, avec un point vert quand il est en ligne et l’indication d’une connexion via le réseau local ou le relais.
+
+- **Révoquer** coupe un appareil immédiatement. Associez-le à nouveau avec un nouveau QR code si vous changez d’avis.
+- **Effacer les révocations** nettoie la liste.
+
+Le même appareil physique garde une seule entrée même s’il se reconnecte plus tard — vous n’accumulerez pas de doublons.
+
+## Se connecter depuis la ligne de commande
+
+Si le serveur tourne en headless (aucune UI ouverte), créez un lien de connexion depuis un terminal sur cette machine :
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+Le lien et le QR code affichés fonctionnent exactement comme ceux du dialogue des paramètres.
+
+## Pages liées
+
+- [Relais privé](/private-relay/) — comment fonctionnent les connexions « Partout » et ce que le relais peut ou ne peut pas voir
+- [Applications mobiles](/mobile/) — installer l’application iOS ou Android
+- [Instances distantes](/remote-instances/) — connecter l’application desktop à des serveurs via SSH ou des liens
+- [Accès distant](/troubleshooting/remote-access/) — quand un appareil ne se connecte pas
@@ -1,31 +1,43 @@
 ---
-title: PWA et accès mobile
-description: Installez OpenChamber comme application et utilisez-le depuis votre téléphone.
+title: Applications mobiles et PWA
+description: Installez l’application OpenChamber sur iOS ou Android et connectez-la à votre serveur.
 ---

-# PWA et accès mobile
+# Applications mobiles et PWA

-L’application web OpenChamber s’installe comme une application de téléphone (une PWA), pour rester sur votre écran d’accueil et s’utiliser en plein écran. Associez-la à un [tunnel](/tunnels/) et vous pouvez vérifier une session depuis n’importe où.
+OpenChamber a des applications natives pour iPhone et Android : suivez les sessions, répondez aux agents et gérez votre travail depuis votre téléphone — à la maison en Wi-Fi ou depuis n’importe où via le [Relais privé](/private-relay/).

-## L’installer
+## Installer l’application

-OpenChamber utilise l’installation intégrée de votre navigateur, donc il n’y a pas de téléchargement séparé :
+- **iPhone/iPad** — rejoignez la [bêta TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — téléchargez l’APK depuis la [dernière release](https://github.com/openchamber/openchamber/releases/latest)
+
+## La connecter à votre serveur
+
+1. Sur l’ordinateur qui exécute OpenChamber, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur** et pressez **Ajouter un appareil**.
+2. Choisissez **Partout** (ou **Réseau domestique uniquement** si vous n’utiliserez le téléphone qu’à la maison) et pressez **Créer le code QR**.
+3. Dans l’application mobile, touchez **Scanner le code QR** et pointez la caméra dessus.
+
+L’application se connecte et mémorise le serveur. Le QR code est à usage unique et chaque appareil reçoit son propre token révocable — voir [Connecter un appareil](/connect-devices/) pour comprendre pourquoi l’association reste sûre.
+
+Vous pouvez associer l’application à plusieurs serveurs et basculer entre eux depuis la liste des instances ; l’application indique pour chacun s’il est joignable et si vous êtes connecté via le réseau local ou le relais.
+
+## PWA (installation depuis le navigateur)
+
+Vous préférez éviter les app stores ? L’application web s’installe directement depuis le navigateur :

 - **navigateur desktop** — utilisez l’option **Installer** dans la barre d’adresse
- **iPhone/iPad (Safari)** — Partager → **Ajouter à l’écran d’accueil**
+- **iPhone/iPad (Safari)** — Partager → **Sur l’écran d’accueil**
 - **Android (Chrome)** — menu → **Installer l’application** / **Ajouter à l’écran d’accueil**

-Une fois installée, elle s’ouvre dans sa propre fenêtre sans chrome de navigateur.
+Pour joindre la PWA depuis l’extérieur de votre réseau, il vous faudra un [tunnel](/tunnels/) et un [mot de passe UI](/security/) solide — les applications natives s’en occupent pour vous via le relais.

-## Y accéder depuis votre téléphone
+## Paramètres mobiles

-Pour ouvrir OpenChamber sur votre téléphone quand le serveur tourne sur votre ordinateur, démarrez un [tunnel](/tunnels/) et ouvrez le lien (ou scannez le QR code) sur le téléphone. Utilisez toujours un [mot de passe UI](/security/) robuste lorsque vous faites cela.
-
-## Paramètres mobile
-
-Sous **Paramètres → OpenChamber**, quelques options ajustent l’expérience mobile et installée — le nom installé de l’application, l’orientation de l’écran et le comportement du clavier à l’écran.
+Dans **Paramètres → OpenChamber**, quelques options ajustent l’expérience mobile et installée — le nom de l’application installée, l’orientation de l’écran et le comportement du clavier à l’écran.

 ## Pages liées

- [Tunnels](/tunnels/) — joindre votre instance depuis un autre réseau
+- [Connecter un appareil](/connect-devices/) — association, QR codes à usage unique et gestion des appareils
+- [Relais privé](/private-relay/) — comment fonctionne l’accès « Partout »
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
@@ -0,0 +1,44 @@
+---
+title: Relais privé
+description: Joignez votre serveur OpenChamber depuis n’importe où via un relais chiffré de bout en bout — sans ports, sans tunnels, sans configuration.
+---
+
+# Relais privé
+
+Le relais privé OpenChamber (Private Relay) permet à vos appareils associés de joindre votre serveur depuis n’importe où — réseau cellulaire, Wi-Fi de café, autre ville — sans ouvrir de ports, sans configurer de tunnel et sans exposer votre machine à internet. Il se gère tout seul : associer un appareil avec **Partout** dans [Connecter un appareil](/connect-devices/) suffit.
+
+## Comment ça marche
+
+Votre serveur ouvre une connexion sortante vers l’infrastructure de relais d’OpenChamber et la maintient active. Quand l’un de vos appareils est hors de votre réseau, il se connecte lui aussi au relais, et le relais fait transiter le trafic chiffré entre les deux. Rien sur votre machine n’écoute de connexions entrantes depuis internet.
+
+Quand une connexion directe est disponible — vous êtes de retour à la maison sur le même Wi-Fi — vos appareils la préfèrent et contournent complètement le relais.
+
+## Ce que le relais peut et ne peut pas voir
+
+Le relais est un coursier aveugle, pas un intermédiaire :
+
+- **Chiffré de bout en bout.** Votre appareil et votre serveur négocient les clés de chiffrement directement entre eux. Le relais transmet un trafic scellé dont il n’a pas les clés — il ne peut lire ni votre code, ni vos prompts, ni vos mots de passe.
+- **Seuls vos appareils peuvent se connecter.** Un appareil doit détenir un token émis par *votre* serveur via l’[association à usage unique](/connect-devices/). Personne ne peut découvrir votre serveur via le relais ni s’y connecter sans un token que vous avez créé — et vous pouvez révoquer n’importe quel token à tout moment.
+- **Les liens d’association sont à usage unique.** Un QR code d’association fonctionne exactement une fois et expire s’il n’est pas utilisé ; un vieux lien qui fuite ne vaut donc rien.
+- **Rien n’est partagé sans votre accord.** Le relais reste éteint tant que vous ne l’activez pas ou que vous n’associez pas d’appareil via celui-ci, et vous pouvez le désactiver à tout moment — les appareils connectés à travers lui sont coupés immédiatement.
+
+## Quand il s’exécute
+
+Le relais gère son propre cycle de vie — aucun interrupteur à retenir :
+
+- **Il démarre à la demande.** Créer une association **Partout** active le relais, et il revient après un redémarrage tant qu’un appareil associé en dépend encore.
+- **Il s’arrête tout seul.** Dès qu’aucun appareil ni aucune association en attente n’utilise le relais — par exemple après avoir révoqué le dernier appareil associé via le relais — il s’éteint automatiquement.
+
+**Paramètres → Instances distantes → OpenChamber Relay** affiche l’état en direct (Connecté, Reconnexion, …) et le nombre d’appareils connectés à travers lui en ce moment. Vous pouvez aussi y presser **Désactiver** pour couper immédiatement l’accès via le relais ; les appareils sur votre réseau local ne sont pas affectés.
+
+## Relais ou tunnel ?
+
+- Utilisez le **relais** pour joindre votre propre serveur depuis vos propres appareils associés. Zéro configuration, et rien n’est exposé publiquement.
+- Utilisez un [tunnel](/tunnels/) quand il vous faut une simple **URL publique** — par exemple pour ouvrir OpenChamber dans un navigateur ordinaire sur une machine que vous ne pouvez pas associer, ou pour partager l’accès derrière un [mot de passe UI](/security/).
+
+## Pages liées
+
+- [Connecter un appareil](/connect-devices/) — associer un appareil avec un QR code à usage unique
+- [Applications mobiles](/mobile/) — installer l’application iOS ou Android
+- [Sécurité](/security/) — mots de passe, passkeys et bases de l’exposition
+- [Accès distant](/troubleshooting/remote-access/) — quand une connexion ne se termine pas
@@ -24,9 +24,13 @@ OpenChamber déroule les étapes — vérification de la connexion, configuratio

 Vous décidez d’enregistrer les mots de passe SSH et UI ou de les saisir à chaque fois. Si la connexion tombe, OpenChamber indique l’étape qui a échoué pour vous aider à corriger — voir [Accès distant](/troubleshooting/remote-access/).

-## Liens de connexion directe
+## Liens de connexion

-Si une machine distante exécute déjà OpenChamber, créez un lien de connexion là-bas et importez-le dans **Paramètres → Instances distantes → Liens de serveur** :
+Si une machine distante exécute déjà OpenChamber, le moyen le plus simple de connecter l’application desktop est un lien d’association. Sur l’UI du serveur distant, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur → Ajouter un appareil**, créez un lien, puis importez-le sur votre desktop dans **Paramètres → Instances distantes → Autres serveurs OpenChamber → Importer le lien**. Voir [Connecter un appareil](/connect-devices/) pour le flux complet.
+
+Un lien créé avec **Partout** contient à la fois une adresse directe et une route via le [Relais privé](/private-relay/) : le desktop se connecte directement quand il peut joindre le serveur (même réseau), et bascule sur le relais chiffré de bout en bout quand vous êtes en déplacement. Le statut à côté de chaque serveur enregistré indique la route utilisée.
+
+Vous pouvez aussi créer un lien depuis un terminal sur la machine distante :

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` démarre d’abord le serveur si rien ne tourne sur ce port. Ajoutez `--api-only` pour un serveur headless, `--lan` pour écouter sur le LAN au démarrage, `--ui-password` pour protéger l’accès navigateur et `--name` pour nommer la connexion enregistrée.

-Le lien généré contient un token client pour les applications OpenChamber. Ce token est séparé du mot de passe de l’UI navigateur et survit aux redémarrages du serveur jusqu’à révocation ou suppression.
+Le lien généré contient un secret d’association à usage unique. Une fois importé, l’appareil détient son propre token client — séparé du mot de passe de l’UI navigateur — qui survit aux redémarrages du serveur jusqu’à révocation sur le serveur émetteur.

 ## Pages liées

+- [Connecter un appareil](/connect-devices/) — liens d’association, QR codes et gestion des appareils
+- [Relais privé](/private-relay/) — comment fonctionnent les connexions « Partout »
 - [Serveur OpenCode](/opencode-server/) — se connecter à un serveur distant sur web ou VS Code
 - [Accès distant](/troubleshooting/remote-access/) — quand une connexion ne se termine pas
@@ -25,13 +25,20 @@ Une fois un mot de passe défini, vous pouvez ajouter des passkeys (Face ID, Tou

 Les passkeys sont liées au mot de passe actuel. Si vous changez ou supprimez le mot de passe, les passkeys enregistrées sont effacées et vous devrez les ajouter à nouveau.

+## Tokens d’appareil
+
+Les appareils associés via [Connecter un appareil](/connect-devices/) s’authentifient avec leurs propres tokens par appareil, pas avec le mot de passe UI. Les liens d’association sont à usage unique et expirent s’ils ne sont pas utilisés ; chaque appareil associé est listé dans **Paramètres → Instances distantes → Se connecter à ce serveur**, où vous pouvez révoquer n’importe lequel à tout moment. Les connexions hors du domicile passent par le [Relais privé](/private-relay/), qui est chiffré de bout en bout et ne peut pas lire votre trafic.
+
 ## Avant de l’exposer

 - Par défaut, OpenChamber n’écoute que sur votre propre machine (`127.0.0.1`). Écouter plus largement demande un changement volontaire, et vous devriez définir un mot de passe d’abord.
- Préférez un [tunnel](/tunnels/) ou un réseau privé (comme un VPN) plutôt que d’ouvrir un port sur internet.
+- Pour vos propres appareils, préférez l’[association](/connect-devices/) avec le [Relais privé](/private-relay/) — rien n’est exposé publiquement du tout.
+- S’il vous faut une URL publique, préférez un [tunnel](/tunnels/) ou un réseau privé (comme un VPN) plutôt que d’ouvrir un port sur internet.
 - Si vous placez OpenChamber derrière votre propre serveur HTTPS, consultez [Reverse proxy](/reverse-proxy/).

 ## Pages liées

- [Tunnels](/tunnels/) — la façon recommandée de joindre une instance à distance
+- [Connecter un appareil](/connect-devices/) — association à usage unique et tokens par appareil
+- [Relais privé](/private-relay/) — accès chiffré de bout en bout depuis n’importe où
+- [Tunnels](/tunnels/) — exposer une URL publique quand il en faut une
 - [Reverse proxy](/reverse-proxy/) — exécuter OpenChamber derrière votre propre serveur
@@ -12,6 +12,15 @@ Quand vous ne pouvez pas joindre OpenChamber depuis votre téléphone ou une aut
 - ouvrez d’abord `http://localhost:3000` sur le même ordinateur — si cela échoue, ce n’est pas un problème distant ; voir [Connexion à OpenCode](/troubleshooting/opencode-connection/)
 - confirmez que le serveur tourne avec `openchamber status`

+## L’appareil associé ne se connecte pas
+
+- le QR code / lien d’association est **à usage unique** — s’il a déjà été scanné (ou a expiré), créez-en un nouveau depuis **Ajouter un appareil**
+- si l’appareil a été associé avec **Réseau domestique uniquement**, il ne peut pas se connecter depuis l’extérieur de ce réseau — associez-le à nouveau avec **Partout**
+- pour une association **Partout**, vérifiez **Paramètres → Instances distantes → OpenChamber Relay** sur le serveur : le statut doit être **Connecté** ; sinon, désactivez puis réactivez le relais
+- si un appareil a été **révoqué**, son token est perdu définitivement — associez-le à nouveau avec un nouveau QR code
+
+Voir [Connecter un appareil](/connect-devices/) et [Relais privé](/private-relay/) pour comprendre comment ces connexions fonctionnent.
+
 ## Le lien de tunnel ne fonctionne pas

 - lancez `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Si vous placez OpenChamber derrière un reverse proxy et qu’il se charge bizar

 ## Pages liées

- [Tunnels](/tunnels/) · [Instances distantes](/remote-instances/) · [Reverse proxy](/reverse-proxy/)
+- [Connecter un appareil](/connect-devices/) · [Relais privé](/private-relay/) · [Tunnels](/tunnels/) · [Instances distantes](/remote-instances/) · [Reverse proxy](/reverse-proxy/)
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
@@ -5,7 +5,9 @@ description: Exposez OpenChamber en sécurité pour l’accès distant et mobile

 # Tunnels

-Un tunnel est un lien public vers votre OpenChamber, pour y accéder depuis votre téléphone ou un autre réseau. Utilisez `openchamber tunnel` pour en créer un pour une instance en cours d’exécution.
+Un tunnel est un lien public vers votre OpenChamber, pour y accéder depuis un navigateur ordinaire sur un autre réseau. Utilisez `openchamber tunnel` pour en créer un pour une instance en cours d’exécution.
+
+> Connecter vos **propres appareils** (l’application mobile, un autre desktop) ne nécessite généralement pas de tunnel — [associez-les](/connect-devices/) plutôt et laissez le [Relais privé](/private-relay/), chiffré de bout en bout, gérer l’accès hors du domicile sans aucune configuration.

 ## Prérequis

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## Pages liées

+- [Connecter un appareil](/connect-devices/) — associer vos propres appareils sans URL publique
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
 - [Tunnels desktop](/desktop-tunnels/) — configuration des tunnels de l’application desktop sans démarrage CLI
 - [PWA et mobile](/mobile/) — joindre OpenChamber depuis votre téléphone
@@ -0,0 +1,56 @@
+---
+title: デバイスを接続する
+description: 1 回限りの QR コードで、スマートフォン、デスクトップ、別のブラウザを OpenChamber サーバーとペアリングします。
+---
+
+# デバイスを接続する
+
+モバイルアプリ、デスクトップアプリ、別マシンのブラウザなど、別のデバイスを 1 回限りの QR コードのスキャンで OpenChamber サーバーとペアリングできます。これがデバイス接続の推奨方法です。ポートを開ける必要も、アドレスを入力する必要もありません。
+
+## デバイスをペアリングする
+
+1. OpenChamber が動いているマシンで **Settings → Remote Instances → このサーバーに接続** を開き、**デバイスを追加** を押します。
+2. 後で見分けられるように、デバイスに名前を付けます（例: *My iPhone*）。
+3. デバイスをどこで使うか選びます。
+   - **このコンピュータのみ** — 同じマシン上で動くアプリ用
+   - **自宅ネットワークのみ** — Wi-Fi 経由で直接接続します。このネットワークの外では使えません
+   - **どこでも** — 自宅でも外出先でも使えます。外出先の通信は、設定不要のエンドツーエンド暗号化トンネルである [Private Relay](/private-relay/) を経由します
+4. **QRコードを作成** を押します。
+5. もう一方のデバイスでコードをスキャンします。
+   - **モバイルアプリ** — 接続画面（またはインスタンス一覧）で **QR コードをスキャン** をタップします
+   - **デスクトップアプリ** — 代わりに接続リンクをコピーし、**Settings → Remote Instances → その他の OpenChamber サーバー → リンクをインポート** に貼り付けます
+
+デバイスが接続されるとダイアログは自動で閉じ、デバイスがライブステータス付きで一覧に表示されます。これでペアリング完了です。
+
+## ペアリングが安全な理由
+
+- **QR コードは 1 回限りです。** デバイスが使用した瞬間に無効になり、未使用のままでも自動的に期限切れになります。
+- **各デバイスに専用のトークンが発行されます。** コードをスキャンしても UI パスワードが漏れることはなく、あるデバイスのトークンで別のデバイスになりすますこともできません。
+- **主導権は常にあなたにあります。** ペアリング済みのデバイスはすべて名前、プラットフォーム、接続状態とともに一覧表示され、いつでも無効化できます。
+- **外出先の通信はエンドツーエンドで暗号化されます。** **どこでも** を選ぶと、ネットワーク外の通信は [Private Relay](/private-relay/) を経由します。リレーは通過する内容を読むことができません。
+
+## ペアリング済みデバイスを管理する
+
+**Settings → Remote Instances → このサーバーに接続** には、このサーバーに到達できるすべてのデバイスが表示されます。オンラインなら緑のドットが付き、ローカルネットワーク経由かリレー経由かも分かります。
+
+- **無効化** はデバイスを即座に切断します。気が変わったら、新しい QR コードで再ペアリングしてください。
+- **無効化済みをクリア** で一覧を整理できます。
+
+同じ物理デバイスは後で再サインインしてもエントリは 1 つのまま維持されるため、重複がたまることはありません。
+
+## コマンドラインから接続する
+
+サーバーがヘッドレス（UI を開いていない状態）で動いている場合は、そのマシンのターミナルから接続リンクを作成できます。
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+出力されるリンクと QR コードは、設定ダイアログから作成したものとまったく同じように機能します。
+
+## 関連
+
+- [Private Relay](/private-relay/) — 「どこでも」接続の仕組みと、リレーに見えるもの・見えないもの
+- [モバイルアプリ](/mobile/) — iOS または Android アプリをインストールする
+- [リモートインスタンス](/remote-instances/) — デスクトップアプリを SSH やリンクでサーバーに接続する
+- [リモートアクセス](/troubleshooting/remote-access/) — デバイスが接続できない場合
@@ -1,31 +1,43 @@
 ---
-title: PWA とモバイルアクセス
-description: OpenChamber をアプリとしてインストールし、スマートフォンから使います。
+title: モバイルアプリと PWA
+description: iOS または Android に OpenChamber アプリをインストールし、サーバーに接続します。
 ---

-# PWA とモバイルアクセス
+# モバイルアプリと PWA

-OpenChamber の Web アプリはスマートフォンアプリのようにインストールできます（PWA）。ホーム画面に置いて全画面で使えます。[トンネル](/tunnels/) と組み合わせると、どこからでもセッションを確認できます。
+OpenChamber には iPhone と Android のネイティブアプリがあり、セッションの確認、エージェントへの返信、作業の管理をスマートフォンから行えます。自宅では Wi-Fi 経由、外出先では [Private Relay](/private-relay/) 経由でどこからでも使えます。

-## インストールする
+## アプリをインストールする

-OpenChamber はブラウザ組み込みのインストール機能を使うため、別途ダウンロードは不要です。
+- **iPhone/iPad** — [TestFlight ベータ](https://testflight.apple.com/join/5ek6GU1E) に参加します
+- **Android** — [最新リリース](https://github.com/openchamber/openchamber/releases/latest) から APK をダウンロードします
+
+## サーバーに接続する
+
+1. OpenChamber が動いているコンピューターで **Settings → Remote Instances → このサーバーに接続** を開き、**デバイスを追加** を押します。
+2. **どこでも** を選び（自宅でしか使わないなら **自宅ネットワークのみ** でも可）、**QRコードを作成** を押します。
+3. モバイルアプリで **QR コードをスキャン** をタップし、カメラをコードに向けます。
+
+アプリが接続し、サーバーを記憶します。QR コードは 1 回限りで、各デバイスには無効化可能な専用トークンが発行されます。ペアリングが安全な理由は [デバイスを接続する](/connect-devices/) を参照してください。
+
+アプリは複数のサーバーとペアリングでき、インスタンス一覧から切り替えられます。各サーバーについて、到達可能かどうか、ローカルネットワーク経由かリレー経由かが表示されます。
+
+## PWA（ブラウザからのインストール）
+
+アプリストアを一切使いたくない場合は、Web アプリをブラウザから直接インストールできます。

 - **デスクトップブラウザ** — アドレスバーの **Install** オプションを使います
 - **iPhone/iPad (Safari)** — 共有 → **ホーム画面に追加**
 - **Android (Chrome)** — メニュー → **アプリをインストール** / **ホーム画面に追加**

-インストール後は、ブラウザの枠がない専用ウィンドウで開きます。
-
-## スマートフォンからアクセスする
-
-サーバーがコンピューター上で動いている OpenChamber をスマートフォンで開くには、[トンネル](/tunnels/) を開始し、スマートフォンでリンクを開く（または QR コードをスキャンする）だけです。この操作をするときは必ず強力な [UI パスワード](/security/) を使ってください。
+ネットワークの外から PWA に到達するには、[トンネル](/tunnels/) と強力な [UI パスワード](/security/) が必要です。ネイティブアプリならリレー経由でこれらを自動的に処理します。

 ## モバイル設定

-**Settings → OpenChamber** には、モバイルやインストール済みアプリの体験を調整するいくつかのオプションがあります。インストール名、画面の向き、オンスクリーンキーボードの動作などです。
+**Settings → OpenChamber** には、モバイルやインストール済みアプリの体験を調整するいくつかのオプションがあります。アプリのインストール名、画面の向き、オンスクリーンキーボードの動作などです。

 ## 関連

- [トンネル](/tunnels/) — 別ネットワークからインスタンスにアクセスする
+- [デバイスを接続する](/connect-devices/) — ペアリング、1 回限りの QR コード、デバイス管理
+- [Private Relay](/private-relay/) — 「どこでも」アクセスの仕組み
 - [セキュリティ](/security/) — 公開する前に UI を保護する
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: エンドツーエンド暗号化リレー経由で、どこからでも OpenChamber サーバーに到達できます。ポート開放もトンネルもセットアップも不要です。
+---
+
+# Private Relay
+
+OpenChamber Private Relay を使うと、ペアリング済みのデバイスから、モバイル回線、カフェの Wi-Fi、別の都市など、どこからでもサーバーに到達できます。ポートを開けたり、トンネルを設定したり、マシンをインターネットに公開したりする必要はありません。リレーは自己管理型です。[デバイスを接続する](/connect-devices/) で **どこでも** を選んでデバイスをペアリングするだけで使えます。
+
+## 仕組み
+
+サーバーは OpenChamber のリレーインフラへアウトバウンド接続を張り、維持し続けます。デバイスが自宅ネットワークの外にあるときは、デバイスもリレーに接続し、リレーが両者の間で暗号化された通信を中継します。あなたのマシン上でインターネットからの着信接続を待ち受けるものは何もありません。
+
+直接接続が可能なとき — 自宅に戻って同じ Wi-Fi にいるとき — は、デバイスは直接接続を優先し、リレーを完全にスキップします。
+
+## リレーに見えるもの・見えないもの
+
+リレーは中間者ではなく、中身の見えない配達人です。
+
+- **エンドツーエンドで暗号化されます。** 暗号化キーはデバイスとサーバーが直接合意します。リレーはキーを持たない封印済みの通信を転送するだけで、コード、プロンプト、パスワードを読むことはできません。
+- **接続できるのはあなたのデバイスだけです。** デバイスは、[1 回限りのペアリング](/connect-devices/) を通じて*あなたの*サーバーが発行したトークンを持っている必要があります。リレー経由であなたのサーバーを発見したり、あなたが作成したトークンなしで接続したりすることは誰にもできません。トークンはいつでも無効化できます。
+- **ペアリングリンクは 1 回限りです。** ペアリング用 QR コードは 1 回だけ機能し、未使用なら期限切れになるため、古いリンクが漏れても無価値です。
+- **オプトインするまで何も共有されません。** リレーは、あなたが有効にするかリレー経由でデバイスをペアリングするまでオフのままです。いつでも無効にでき、その場合リレー経由で接続中のデバイスは即座に切断されます。
+
+## いつ動くのか
+
+リレーは自分でライフサイクルを管理します。オン / オフのスイッチを覚えておく必要はありません。
+
+- **必要になると起動します。** **どこでも** のペアリングを作成するとリレーがオンになり、ペアリング済みのデバイスがリレーを必要としている限り、再起動後も自動的に復帰します。
+- **自動で停止します。** リレーを使うデバイスや保留中のペアリングがなくなると — たとえば最後のリレー経由デバイスを無効化した後 — 自動的にシャットダウンします。
+
+**Settings → Remote Instances → OpenChamber Relay** には、ライブステータス（接続済み、再接続中など）と、現在リレー経由で接続中のデバイス数が表示されます。そこで **無効にする** を押せば、リレー経由のアクセスを即座に遮断することもできます。ローカルネットワーク上のデバイスには影響しません。
+
+## リレーとトンネル、どちらを使う?
+
+- 自分のペアリング済みデバイスから自分のサーバーに到達するには **リレー** を使います。セットアップ不要で、何も公開されません。
+- 通常の **公開 URL** が必要なときは [トンネル](/tunnels/) を使います。たとえば、ペアリングできないマシンの普通のブラウザで OpenChamber を開きたい場合や、[UI パスワード](/security/) の背後でアクセスを共有したい場合です。
+
+## 関連
+
+- [デバイスを接続する](/connect-devices/) — 1 回限りの QR コードでデバイスをペアリングする
+- [モバイルアプリ](/mobile/) — iOS または Android アプリをインストールする
+- [セキュリティ](/security/) — パスワード、パスキー、公開時の基本
+- [リモートアクセス](/troubleshooting/remote-access/) — 接続が完了しない場合
@@ -24,9 +24,13 @@ OpenChamber は接続確認、リモートのセットアップ、サーバー

 SSH と UI のパスワードを保存するか、毎回入力するかを選べます。接続が落ちた場合、OpenChamber はどのステップで失敗したかを表示するため、修正できます。[リモートアクセス](/troubleshooting/remote-access/) を参照してください。

-## 直接接続リンク
+## 接続リンク

-リモートマシンですでに OpenChamber が実行されている場合は、そこで接続リンクを作成し、**Settings → Remote Instances → Server links** でインポートします。
+リモートマシンですでに OpenChamber が実行されている場合、デスクトップアプリを接続する最も簡単な方法はペアリングリンクです。リモートサーバーの UI で **Settings → Remote Instances → このサーバーに接続 → デバイスを追加** を開いてリンクを作成し、デスクトップ側の **Settings → Remote Instances → その他の OpenChamber サーバー → リンクをインポート** で取り込みます。フローの詳細は [デバイスを接続する](/connect-devices/) を参照してください。
+
+**どこでも** で作成したリンクには、直接アドレスと [Private Relay](/private-relay/) 経路の両方が含まれます。デスクトップはサーバーに到達できるとき（同じネットワーク）は直接接続し、外出先ではエンドツーエンド暗号化リレーにフォールバックします。保存済みの各サーバーの横のステータスに、どちらの経路が使われているかが表示されます。
+
+リモートマシンのターミナルからリンクを作成することもできます。

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` は、そのポートで何も実行されていなければ先にサーバーを起動します。ヘッドレスサーバーには `--api-only`、起動時に LAN にバインドするには `--lan`、ブラウザアクセスを保護するには `--ui-password`、保存接続にラベルを付けるには `--name` を追加します。

-生成されたリンクには OpenChamber アプリ用のクライアントトークンが含まれます。このトークンはブラウザ UI パスワードとは別で、取り消すか削除するまでサーバー再起動後も残ります。
+生成されたリンクには 1 回限りのペアリングシークレットが含まれます。インポートすると、デバイスは専用のクライアントトークンを保持します。これはブラウザ UI パスワードとは別で、発行元サーバーで無効化するまでサーバー再起動後も残ります。

 ## 関連

+- [デバイスを接続する](/connect-devices/) — ペアリングリンク、QR コード、デバイス管理
+- [Private Relay](/private-relay/) — 「どこでも」接続の仕組み
 - [OpenCode サーバー](/opencode-server/) — Web または VS Code でリモートサーバーに接続する
 - [リモートアクセス](/troubleshooting/remote-access/) — 接続が完了しない場合
@@ -25,13 +25,20 @@ openchamber --ui-password be-creative-here

 パスキーは現在のパスワードに紐づきます。パスワードを変更または削除すると、保存済みパスキーは消去され、再追加が必要になります。

+## デバイストークン
+
+[デバイスを接続する](/connect-devices/) でペアリングしたデバイスは、UI パスワードではなく、デバイスごとの専用トークンで認証します。ペアリングリンクは 1 回限りで、未使用なら期限切れになります。ペアリング済みのデバイスはすべて **Settings → Remote Instances → このサーバーに接続** に一覧表示され、いつでも無効化できます。外出先からの接続は [Private Relay](/private-relay/) を経由します。リレーはエンドツーエンドで暗号化されており、通信内容を読むことはできません。
+
 ## 公開する前に

 - デフォルトでは、OpenChamber はあなたのマシン上（`127.0.0.1`）でのみ待ち受けます。より広く待ち受けるには明示的な変更が必要で、その前にパスワードを設定するべきです。
- インターネットにポートを開けるより、[トンネル](/tunnels/) または VPN のようなプライベートネットワークを推奨します。
+- 自分のデバイスなら、[Private Relay](/private-relay/) を使った [ペアリング](/connect-devices/) を推奨します。何も公開されません。
+- 公開 URL が必要な場合は、インターネットにポートを開けるより、[トンネル](/tunnels/) または VPN のようなプライベートネットワークを推奨します。
 - OpenChamber を自分の HTTPS サーバーの背後に置く場合は、[リバースプロキシ](/reverse-proxy/) を参照してください。

 ## 関連

- [トンネル](/tunnels/) — インスタンスへリモートアクセスする推奨方法
+- [デバイスを接続する](/connect-devices/) — 1 回限りのペアリングとデバイスごとのトークン
+- [Private Relay](/private-relay/) — どこからでも使えるエンドツーエンド暗号化アクセス
+- [トンネル](/tunnels/) — 必要なときに公開 URL を用意する
 - [リバースプロキシ](/reverse-proxy/) — OpenChamber を自分のサーバー背後で実行する
@@ -12,6 +12,15 @@ description: トンネル、リモートインスタンス、別デバイスか
 - 同じコンピューターで先に `http://localhost:3000` を開きます。失敗する場合はリモートの問題ではありません。[OpenCode 接続](/troubleshooting/opencode-connection/) を参照してください
 - `openchamber status` でサーバーが実行中であることを確認します

+## ペアリング済みデバイスが接続しない
+
+- QR コード / ペアリングリンクは **1 回限り** です。すでにスキャン済み（または期限切れ）の場合は、**デバイスを追加** から新しいものを作成してください
+- デバイスを **自宅ネットワークのみ** でペアリングした場合、そのネットワークの外からは接続できません。**どこでも** で再ペアリングしてください
+- **どこでも** のペアリングでは、サーバー側の **Settings → Remote Instances → OpenChamber Relay** を確認してください。**接続済み** と表示されているはずです。そうでなければ、いったん無効にしてから再度有効にします
+- デバイスを **無効化** した場合、そのトークンは完全に失効しています。新しい QR コードで再ペアリングしてください
+
+これらの接続の仕組みは [デバイスを接続する](/connect-devices/) と [Private Relay](/private-relay/) を参照してください。
+
 ## トンネルリンクが動かない

 - `openchamber tunnel status --all` を実行します
@@ -34,5 +43,5 @@ OpenChamber をリバースプロキシの背後に置いていて、表示が

 ## 関連

- [トンネル](/tunnels/) · [リモートインスタンス](/remote-instances/) · [リバースプロキシ](/reverse-proxy/)
+- [デバイスを接続する](/connect-devices/) · [Private Relay](/private-relay/) · [トンネル](/tunnels/) · [リモートインスタンス](/remote-instances/) · [リバースプロキシ](/reverse-proxy/)
 - [セキュリティ](/security/) — 公開する前に UI を保護する
@@ -5,7 +5,9 @@ description: リモートおよびモバイルアクセス向けに OpenChamber

 # トンネル

-トンネルは OpenChamber への公開リンクです。スマートフォンや別ネットワークからアクセスできます。実行中のインスタンスに対して作成するには `openchamber tunnel` を使います。
+トンネルは OpenChamber への公開リンクです。別ネットワークの普通のブラウザからアクセスできます。実行中のインスタンスに対して作成するには `openchamber tunnel` を使います。
+
+> **自分のデバイス**（モバイルアプリ、別のデスクトップ）の接続には、通常トンネルは不要です。代わりに [ペアリング](/connect-devices/) して、エンドツーエンド暗号化の [Private Relay](/private-relay/) にセットアップ不要で外出先アクセスを任せましょう。

 ## 前提条件

@@ -111,7 +113,8 @@ openchamber tunnel stop --port 3000

 ## 関連

+- [デバイスを接続する](/connect-devices/) — 公開 URL なしで自分のデバイスをペアリングする
 - [セキュリティ](/security/) — 公開する前に UI を保護する
 - [デスクトップトンネル](/desktop-tunnels/) — CLI 起動なしでデスクトップアプリからトンネルを設定する
- [PWA とモバイル](/mobile/) — スマートフォンから OpenChamber にアクセスする
+- [モバイルアプリと PWA](/mobile/) — スマートフォンから OpenChamber にアクセスする
 - [トラブルシューティング](/troubleshooting/) — トンネルリンクが動かない場合
@@ -0,0 +1,56 @@
+---
+title: 기기 연결
+description: 일회용 QR 코드로 휴대폰, 데스크톱, 다른 브라우저를 OpenChamber 서버와 페어링하세요.
+---
+
+# 기기 연결
+
+일회용 QR 코드를 스캔해 다른 기기(모바일 앱, 데스크톱 앱, 다른 컴퓨터의 브라우저)를 OpenChamber 서버와 페어링하세요. 기기를 연결하는 권장 방법이며, 열어야 할 포트도 입력할 주소도 없습니다.
+
+## 기기 페어링하기
+
+1. OpenChamber가 실행 중인 컴퓨터에서 **Settings → Remote Instances → 이 서버에 연결**을 열고 **기기 추가**를 누릅니다.
+2. 나중에 알아볼 수 있도록 기기 이름(예: *My iPhone*)을 지정합니다.
+3. 기기를 어디에서 사용할지 선택합니다.
+   - **이 컴퓨터 전용** — 같은 컴퓨터에서 실행되는 앱용
+   - **집 네트워크 전용** — Wi-Fi로 직접 연결하며, 이 네트워크 밖에서는 작동하지 않습니다
+   - **어디서나** — 집에서도 밖에서도 작동합니다. 밖에서는 설정이 필요 없는 종단 간 암호화 터널인 [Private Relay](/ko/private-relay/)를 통해 연결됩니다
+4. **QR 코드 만들기**를 누릅니다.
+5. 다른 기기에서 코드를 스캔합니다.
+   - **모바일 앱** — 연결 화면(또는 인스턴스 목록)에서 **QR 코드 스캔**을 탭합니다
+   - **데스크톱 앱** — 대신 연결 링크를 복사해 **Settings → Remote Instances → 다른 OpenChamber 서버 → 링크 가져오기**에 붙여넣습니다
+
+기기가 연결되는 즉시 대화 상자가 자동으로 닫히고, 기기가 실시간 상태와 함께 목록에 나타납니다. 이것으로 페어링 완료입니다.
+
+## 페어링이 안전한 이유
+
+- **QR 코드는 일회용입니다.** 기기가 코드를 사용하는 순간 더 이상 작동하지 않으며, 사용되지 않으면 저절로 만료됩니다.
+- **기기마다 고유한 토큰을 받습니다.** 코드를 스캔해도 UI 비밀번호는 절대 노출되지 않으며, 한 기기의 토큰으로 다른 기기를 사칭할 수 없습니다.
+- **제어권은 항상 사용자에게 있습니다.** 페어링된 모든 기기는 이름, 플랫폼, 연결 상태와 함께 목록에 표시되며, 언제든 어떤 기기든 해지할 수 있습니다.
+- **집 밖 트래픽은 종단 간 암호화됩니다.** **어디서나**를 선택하면 네트워크 밖의 트래픽은 [Private Relay](/ko/private-relay/)를 통해 전달되며, 릴레이는 지나가는 내용을 읽을 수 없습니다.
+
+## 페어링된 기기 관리하기
+
+**Settings → Remote Instances → 이 서버에 연결**에는 이 서버에 접근할 수 있는 모든 기기가 표시됩니다. 온라인이면 초록색 점이, 로컬 네트워크와 릴레이 중 어느 경로로 연결되어 있는지도 함께 표시됩니다.
+
+- **해지**는 기기 접근을 즉시 차단합니다. 마음이 바뀌면 새 QR 코드로 다시 페어링하세요.
+- **해지된 항목 지우기**로 목록을 정리할 수 있습니다.
+
+같은 기기가 나중에 다시 로그인해도 항목은 하나로 유지되므로 중복이 쌓이지 않습니다.
+
+## 명령줄에서 연결하기
+
+서버가 headless(UI가 열려 있지 않음)로 실행 중이면 그 컴퓨터의 터미널에서 연결 링크를 만드세요:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+출력된 링크와 QR 코드는 설정 대화 상자에서 만든 것과 똑같이 작동합니다.
+
+## 관련 항목
+
+- [Private Relay](/ko/private-relay/) — "어디서나" 연결의 작동 방식과 릴레이가 볼 수 있는 것과 없는 것
+- [모바일 앱](/ko/mobile/) — iOS 또는 Android 앱 설치
+- [원격 인스턴스](/ko/remote-instances/) — SSH나 링크로 데스크톱 앱을 서버에 연결
+- [원격 접속](/ko/troubleshooting/remote-access/) — 기기가 연결되지 않을 때
@@ -1,31 +1,43 @@
 ---
-title: PWA 및 모바일 접속
-description: OpenChamber를 앱으로 설치하고 휴대폰에서 사용하세요.
+title: 모바일 앱 & PWA
+description: iOS 또는 Android에 OpenChamber 앱을 설치하고 서버에 연결하세요.
 ---

-# PWA 및 모바일 접속
+# 모바일 앱 & PWA

-OpenChamber 웹 앱은 휴대폰 앱(PWA)처럼 설치되므로 홈 화면에 두고 전체 화면으로 사용할 수 있습니다. [터널](/ko/tunnels/)과 함께 사용하면 어디서든 세션을 확인할 수 있습니다.
+OpenChamber에는 iPhone과 Android용 네이티브 앱이 있어 휴대폰에서 세션을 지켜보고, 에이전트에 답하고, 작업을 관리할 수 있습니다. 집에서는 Wi-Fi로, 밖에서는 [Private Relay](/ko/private-relay/)를 통해 어디서든 가능합니다.

-## 설치하기
+## 앱 설치하기

-OpenChamber는 브라우저의 내장 설치 기능을 사용하므로 별도의 다운로드가 없습니다.
+- **iPhone/iPad** — [TestFlight 베타](https://testflight.apple.com/join/5ek6GU1E)에 참여하세요
+- **Android** — [최신 릴리스](https://github.com/openchamber/openchamber/releases/latest)에서 APK를 다운로드하세요

- **데스크톱 브라우저** — 주소 표시줄의 **Install** 옵션을 사용합니다
+## 서버에 연결하기
+
+1. OpenChamber가 실행 중인 컴퓨터에서 **Settings → Remote Instances → 이 서버에 연결**을 열고 **기기 추가**를 누릅니다.
+2. **어디서나**를 선택하고(휴대폰을 집에서만 쓸 거라면 **집 네트워크 전용**) **QR 코드 만들기**를 누릅니다.
+3. 모바일 앱에서 **QR 코드 스캔**을 탭하고 카메라를 코드에 향하게 합니다.
+
+앱이 연결되고 서버를 기억합니다. QR 코드는 일회용이며 기기마다 해지 가능한 고유 토큰을 받습니다. 페어링이 안전한 이유는 [기기 연결](/ko/connect-devices/)을 참고하세요.
+
+앱을 여러 서버와 페어링하고 인스턴스 목록에서 전환할 수 있습니다. 앱은 각 서버가 접근 가능한지, 로컬 네트워크와 릴레이 중 어느 경로로 연결되어 있는지 표시합니다.
+
+## PWA (브라우저 설치)
+
+앱 스토어를 전혀 거치고 싶지 않다면? 웹 앱을 브라우저에서 바로 설치할 수 있습니다:
+
+- **데스크톱 브라우저** — 주소창의 **설치** 옵션을 사용하세요
 - **iPhone/iPad (Safari)** — 공유 → **홈 화면에 추가**
 - **Android (Chrome)** — 메뉴 → **앱 설치** / **홈 화면에 추가**

-설치되면 브라우저 크롬 없이 자체 창에서 열립니다.
-
-## 휴대폰에서 접근하기
-
-서버가 사용자의 컴퓨터에서 실행될 때 휴대폰에서 OpenChamber를 열려면 [터널](/ko/tunnels/)을 시작하고 휴대폰에서 링크를 열거나 QR 코드를 스캔합니다. 이렇게 할 때는 항상 강력한 [UI 비밀번호](/ko/security/)를 사용하세요.
+네트워크 밖에서 PWA에 접근하려면 [터널](/ko/tunnels/)과 강력한 [UI 비밀번호](/ko/security/)가 필요합니다. 네이티브 앱은 릴레이를 통해 이를 알아서 처리합니다.

 ## 모바일 설정

-**Settings → OpenChamber** 아래의 몇 가지 옵션은 모바일 및 설치된 경험을 조정합니다. 앱의 설치 이름, 화면 방향, 화면 키보드의 동작 방식이 해당됩니다.
+**Settings → OpenChamber**에서 몇 가지 옵션으로 모바일 및 설치된 앱 경험을 조정할 수 있습니다. 앱의 설치된 이름, 화면 방향, 화면 키보드 동작 등입니다.

 ## 관련 항목

- [Tunnels](/ko/tunnels/) — 다른 네트워크에서 인스턴스에 접근하세요
- [Security](/ko/security/) — 노출하기 전에 UI를 보호하세요
+- [기기 연결](/ko/connect-devices/) — 페어링, 일회용 QR 코드, 기기 관리
+- [Private Relay](/ko/private-relay/) — "어디서나" 접속의 작동 방식
+- [보안](/ko/security/) — 노출하기 전에 UI를 보호하세요
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: 포트도, 터널도, 설정도 없이 종단 간 암호화 릴레이로 어디서든 OpenChamber 서버에 접속하세요.
+---
+
+# Private Relay
+
+OpenChamber Private Relay를 사용하면 페어링된 기기가 셀룰러, 카페 네트워크, 다른 도시 등 어디서든 서버에 접속할 수 있습니다. 포트를 열거나 터널을 설정하거나 컴퓨터를 인터넷에 노출할 필요가 없습니다. 릴레이는 스스로 관리됩니다. [기기 연결](/ko/connect-devices/)에서 **어디서나**로 기기를 페어링하기만 하면 됩니다.
+
+## 작동 방식
+
+서버가 OpenChamber 릴레이 인프라로 아웃바운드 연결을 열고 유지합니다. 기기가 네트워크 밖에 있으면 기기도 릴레이에 연결되고, 릴레이가 둘 사이의 암호화된 트래픽을 전달합니다. 컴퓨터에서 인터넷의 인바운드 연결을 수신 대기하는 것은 아무것도 없습니다.
+
+직접 연결이 가능하면(같은 Wi-Fi로 집에 돌아왔을 때) 기기가 직접 연결을 우선하고 릴레이는 완전히 건너뜁니다.
+
+## 릴레이가 볼 수 있는 것과 없는 것
+
+릴레이는 중개자가 아니라 내용을 볼 수 없는 배달부입니다:
+
+- **종단 간 암호화.** 기기와 서버가 서로 직접 암호화 키를 합의합니다. 릴레이는 키가 없는 봉인된 트래픽을 전달할 뿐이며, 코드도 프롬프트도 비밀번호도 읽을 수 없습니다.
+- **사용자의 기기만 연결할 수 있습니다.** 기기는 [일회용 페어링](/ko/connect-devices/)을 통해 *사용자의* 서버가 발급한 토큰을 가지고 있어야 합니다. 누구도 릴레이를 통해 서버를 발견하거나 사용자가 만든 토큰 없이 연결할 수 없으며, 어떤 토큰이든 언제든 해지할 수 있습니다.
+- **페어링 링크는 일회용입니다.** 페어링 QR 코드는 정확히 한 번만 작동하고 사용되지 않으면 만료되므로, 유출된 오래된 링크는 쓸모가 없습니다.
+- **직접 켜기 전까지는 아무것도 공유되지 않습니다.** 릴레이는 사용자가 켜거나 릴레이로 기기를 페어링하기 전까지 꺼져 있으며, 언제든 끌 수 있습니다. 끄면 릴레이를 통해 연결된 기기가 즉시 차단됩니다.
+
+## 언제 실행되나요
+
+릴레이는 자체적으로 수명 주기를 관리하므로 신경 써야 할 스위치가 없습니다:
+
+- **필요할 때 시작됩니다.** **어디서나** 페어링을 만들면 릴레이가 켜지고, 페어링된 기기가 하나라도 릴레이에 의존하는 한 재시작 후에도 다시 올라옵니다.
+- **스스로 멈춥니다.** 릴레이를 사용하는 기기나 대기 중인 페어링이 없어지면(예: 릴레이로 페어링된 마지막 기기를 해지한 뒤) 자동으로 종료됩니다.
+
+**Settings → Remote Instances → OpenChamber Relay**에는 실시간 상태(연결됨, 재연결 중, …)와 현재 릴레이를 통해 연결된 기기 수가 표시됩니다. 같은 곳에서 **끄기**를 눌러 릴레이 접근을 즉시 차단할 수도 있으며, 로컬 네트워크의 기기는 영향을 받지 않습니다.
+
+## 릴레이와 터널, 무엇을 쓸까?
+
+- 페어링된 자신의 기기에서 자신의 서버에 접속하려면 **릴레이**를 사용하세요. 설정이 전혀 필요 없고 아무것도 공개적으로 노출되지 않습니다.
+- 일반 **공개 URL**이 필요할 때는 [터널](/ko/tunnels/)을 사용하세요. 예를 들어 페어링할 수 없는 컴퓨터의 일반 브라우저에서 OpenChamber를 열거나, [UI 비밀번호](/ko/security/) 뒤에서 접근을 공유할 때입니다.
+
+## 관련 항목
+
+- [기기 연결](/ko/connect-devices/) — 일회용 QR 코드로 기기 페어링
+- [모바일 앱](/ko/mobile/) — iOS 또는 Android 앱 설치
+- [보안](/ko/security/) — 비밀번호, 패스키, 노출 기본 사항
+- [원격 접속](/ko/troubleshooting/remote-access/) — 연결이 완료되지 않을 때
@@ -24,9 +24,13 @@ OpenChamber가 연결 확인, 원격 설정, 서버 시작, 포트 포워딩 단

 SSH 및 UI 비밀번호를 저장할지, 매번 입력할지 결정합니다. 연결이 끊기면 OpenChamber가 어느 단계가 실패했는지 알려주므로 고칠 수 있습니다. [Remote access](/ko/troubleshooting/remote-access/)를 참고하세요.

-## 직접 연결 링크
+## 연결 링크

-원격 머신에서 OpenChamber가 이미 실행 중이면 그 머신에서 연결 링크를 만들고 **Settings → Remote Instances → Server links**에서 가져오세요:
+원격 머신에서 OpenChamber가 이미 실행 중이라면 데스크톱 앱을 연결하는 가장 쉬운 방법은 페어링 링크입니다. 원격 서버의 UI에서 **Settings → Remote Instances → 이 서버에 연결 → 기기 추가**를 열어 링크를 만들고, 데스크톱의 **Settings → Remote Instances → 다른 OpenChamber 서버 → 링크 가져오기**에서 가져오세요. 전체 흐름은 [기기 연결](/ko/connect-devices/)을 참고하세요.
+
+**어디서나**로 만든 링크에는 직접 주소와 [Private Relay](/ko/private-relay/) 경로가 모두 들어 있습니다. 데스크톱이 서버에 도달할 수 있으면(같은 네트워크) 직접 연결하고, 밖에 있으면 종단 간 암호화 릴레이로 대체합니다. 저장된 각 서버 옆의 상태에 어느 경로가 사용 중인지 표시됩니다.
+
+원격 머신의 터미널에서도 링크를 만들 수 있습니다:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 해당 포트에 서버가 없으면 `connect-url`이 먼저 서버를 시작합니다. Headless 서버에는 `--api-only`, 시작 시 LAN에 바인딩하려면 `--lan`, 브라우저 접근 보호에는 `--ui-password`, 저장된 연결 이름에는 `--name`을 사용하세요.

-생성된 링크에는 OpenChamber 앱용 client token이 들어 있습니다. 이 token은 브라우저 UI 비밀번호와 별개이며, 취소하거나 삭제하기 전까지 서버 재시작 후에도 유지됩니다.
+생성된 링크에는 일회용 페어링 시크릿이 들어 있습니다. 한 번 가져오면 기기는 브라우저 UI 비밀번호와 별개인 고유 client token을 갖게 되며, 발급한 서버에서 해지하기 전까지 서버 재시작 후에도 유지됩니다.

 ## 관련 항목

+- [기기 연결](/ko/connect-devices/) — 페어링 링크, QR 코드, 기기 관리
+- [Private Relay](/ko/private-relay/) — "어디서나" 연결의 작동 방식
 - [OpenCode Server](/ko/opencode-server/) — 웹이나 VS Code에서 원격 서버에 연결하세요
 - [Remote access](/ko/troubleshooting/remote-access/) — 연결이 완료되지 않을 때
@@ -25,13 +25,20 @@ openchamber --ui-password be-creative-here

 패스키는 현재 비밀번호에 연결됩니다. 비밀번호를 변경하거나 제거하면 저장된 패스키가 삭제되며, 다시 추가해야 합니다.

+## 기기 토큰
+
+[기기 연결](/ko/connect-devices/)로 페어링된 기기는 UI 비밀번호가 아닌 기기별 고유 토큰으로 인증합니다. 페어링 링크는 일회용이며 사용되지 않으면 만료됩니다. 페어링된 모든 기기는 **Settings → Remote Instances → 이 서버에 연결**에 표시되며, 언제든 어떤 기기든 해지할 수 있습니다. 집 밖에서의 연결은 종단 간 암호화되어 트래픽을 읽을 수 없는 [Private Relay](/ko/private-relay/)를 통해 이루어집니다.
+
 ## 노출하기 전에

 - 기본적으로 OpenChamber는 사용자 자신의 컴퓨터(`127.0.0.1`)에서만 수신 대기합니다. 더 넓게 수신 대기하려면 의도적인 변경이 필요하며, 먼저 비밀번호를 설정해야 합니다.
- 인터넷에 포트를 여는 것보다 [터널](/ko/tunnels/)이나 사설 네트워크(예: VPN)를 선호하세요.
+- 자신의 기기라면 [Private Relay](/ko/private-relay/)를 통한 [페어링](/ko/connect-devices/)을 선호하세요. 아무것도 공개적으로 노출되지 않습니다.
+- 공개 URL이 필요하다면 인터넷에 포트를 여는 것보다 [터널](/ko/tunnels/)이나 사설 네트워크(예: VPN)를 선호하세요.
 - OpenChamber를 자체 HTTPS 서버 뒤에 둔다면 [Reverse Proxy](/ko/reverse-proxy/)를 참고하세요.

 ## 관련 항목

- [Tunnels](/ko/tunnels/) — 원격으로 인스턴스에 접근하는 권장 방법
+- [기기 연결](/ko/connect-devices/) — 일회용 페어링과 기기별 토큰
+- [Private Relay](/ko/private-relay/) — 어디서든 가능한 종단 간 암호화 접속
+- [Tunnels](/ko/tunnels/) — 필요할 때 공개 URL 노출
 - [Reverse Proxy](/ko/reverse-proxy/) — 자체 서버 뒤에서 OpenChamber 실행
@@ -12,6 +12,15 @@ description: 터널, 원격 인스턴스, 다른 기기에서 OpenChamber에 접
 - 같은 컴퓨터에서 `http://localhost:3000`을 먼저 엽니다. 이것이 실패하면 원격 문제가 아닙니다. [OpenCode 연결](/ko/troubleshooting/opencode-connection/)을 참고하세요
 - `openchamber status`로 서버가 실행 중인지 확인합니다

+## 페어링된 기기가 연결되지 않음
+
+- QR 코드/페어링 링크는 **일회용**입니다. 이미 스캔되었거나 만료되었다면 **기기 추가**에서 새로 만드세요
+- 기기를 **집 네트워크 전용**으로 페어링했다면 그 네트워크 밖에서는 연결할 수 없습니다. **어디서나**로 다시 페어링하세요
+- **어디서나** 페어링이라면 서버의 **Settings → Remote Instances → OpenChamber Relay**를 확인하세요. **연결됨**으로 표시되어야 하며, 아니라면 껐다가 다시 켜세요
+- 기기가 **해지**되었다면 토큰은 영구히 사라진 것입니다. 새 QR 코드로 다시 페어링하세요
+
+이 연결의 작동 방식은 [기기 연결](/ko/connect-devices/)과 [Private Relay](/ko/private-relay/)를 참고하세요.
+
 ## 터널 링크가 작동하지 않음

 - `openchamber tunnel status --all`을 실행합니다
@@ -34,5 +43,5 @@ OpenChamber를 리버스 프록시 뒤에 두었는데 이상하게 로드되거

 ## 관련 항목

- [Tunnels](/ko/tunnels/) · [Remote Instances](/ko/remote-instances/) · [Reverse Proxy](/ko/reverse-proxy/)
+- [기기 연결](/ko/connect-devices/) · [Private Relay](/ko/private-relay/) · [Tunnels](/ko/tunnels/) · [Remote Instances](/ko/remote-instances/) · [Reverse Proxy](/ko/reverse-proxy/)
 - [Security](/ko/security/) — 노출하기 전에 UI를 보호하세요
@@ -5,7 +5,9 @@ description: 원격 및 모바일 접근을 위해 OpenChamber를 안전하게

 # 터널

-터널은 OpenChamber로 연결되는 공개 링크로, 휴대폰이나 다른 네트워크에서 접근할 수 있게 해줍니다. 실행 중인 인스턴스에 터널을 만들려면 `openchamber tunnel`을 사용하세요.
+터널은 OpenChamber로 연결되는 공개 링크로, 다른 네트워크의 일반 브라우저에서 접근할 수 있게 해줍니다. 실행 중인 인스턴스에 터널을 만들려면 `openchamber tunnel`을 사용하세요.
+
+> **자신의 기기**(모바일 앱, 다른 데스크톱)를 연결할 때는 보통 터널이 필요 없습니다. 대신 [기기를 페어링](/ko/connect-devices/)하고, 설정이 전혀 필요 없는 종단 간 암호화 [Private Relay](/ko/private-relay/)에 집 밖 접속을 맡기세요.

 ## 사전 요구 사항

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## 관련 문서

+- [기기 연결](/ko/connect-devices/) — 자신의 기기는 터널 대신 페어링하세요
 - [보안](/ko/security/) — 외부에 공개하기 전에 UI를 보호하세요
 - [데스크톱 터널](/ko/desktop-tunnels/) — CLI 시작 없이 데스크톱 앱에서 터널 설정
 - [PWA 및 모바일 접속](/ko/mobile/) — 휴대폰에서 OpenChamber에 접속하세요
@@ -1,25 +1,36 @@
 ---
-title: PWA & Mobile Access
-description: Install OpenChamber as an app and use it from your phone.
+title: Mobile Apps & PWA
+description: Install the OpenChamber app on iOS or Android and connect it to your server.
 ---

-# PWA & Mobile Access
+# Mobile Apps & PWA

-The OpenChamber web app installs like a phone app (a PWA), so you can keep it on your home screen and use it full-screen. Pair it with a [tunnel](/tunnels/) and you can check in on a session from anywhere.
+OpenChamber has native apps for iPhone and Android, so you can watch sessions, reply to agents, and manage work from your phone — at home over Wi-Fi or from anywhere over the [Private Relay](/private-relay/).

-## Install it
+## Install the app

-OpenChamber uses your browser's built-in install, so there's no separate download:
+- **iPhone/iPad** — join the [TestFlight beta](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — download the APK from the [latest release](https://github.com/openchamber/openchamber/releases/latest)
+
+## Connect it to your server
+
+1. On the computer running OpenChamber, open **Settings → Remote Instances → Connect to this server** and press **Add a device**.
+2. Pick **Anywhere** (or **Home network only** if you'll only use the phone at home) and press **Create QR code**.
+3. In the mobile app, tap **Scan QR code** and point the camera at it.
+
+The app connects and remembers the server. The QR code is single-use and each device gets its own revocable token — see [Connect a Device](/connect-devices/) for how pairing stays safe.
+
+You can pair the app with several servers and switch between them from the instances list; the app shows for each one whether it's reachable and whether you're connected over the local network or the relay.
+
+## PWA (browser install)
+
+Prefer no app store at all? The web app installs straight from the browser:

 - **desktop browser** — use the **Install** option in the address bar
 - **iPhone/iPad (Safari)** — Share → **Add to Home Screen**
 - **Android (Chrome)** — menu → **Install app** / **Add to Home Screen**

-Once installed, it opens in its own window without browser chrome.
-
-## Reach it from your phone
-
-To open OpenChamber on your phone when the server runs on your computer, start a [tunnel](/tunnels/) and open the link (or scan the QR code) on the phone. Use a strong [UI password](/security/) whenever you do this.
+To reach the PWA from outside your network you'll need a [tunnel](/tunnels/) and a strong [UI password](/security/) — the native apps handle this for you via the relay.

 ## Mobile settings

@@ -27,5 +38,6 @@ Under **Settings → OpenChamber**, a few options tune the mobile and installed

 ## Related

- [Tunnels](/tunnels/) — reach your instance from another network
+- [Connect a Device](/connect-devices/) — pairing, one-time QR codes, and managing devices
+- [Private Relay](/private-relay/) — how "Anywhere" access works
 - [Security](/security/) — protect the UI before exposing it
@@ -0,0 +1,56 @@
+---
+title: Połącz urządzenie
+description: Sparuj telefon, komputer lub inną przeglądarkę ze swoim serwerem OpenChamber za pomocą jednorazowego kodu QR.
+---
+
+# Połącz urządzenie
+
+Sparuj inne urządzenie — aplikację mobilną, aplikację desktopową lub przeglądarkę na innej maszynie — ze swoim serwerem OpenChamber, skanując jednorazowy kod QR. To zalecany sposób łączenia urządzeń: nie ma portów do otwierania ani adresów do wpisywania.
+
+## Sparuj urządzenie
+
+1. Na maszynie z uruchomionym OpenChamber otwórz **Settings → Remote Instances → Połącz z tym serwerem** i naciśnij **Dodaj urządzenie**.
+2. Nadaj urządzeniu nazwę (np. *Mój iPhone*), by później je rozpoznać.
+3. Wybierz, gdzie będziesz go używać:
+   - **Tylko ten komputer** — dla aplikacji działających na tej samej maszynie
+   - **Tylko sieć domowa** — łączy się bezpośrednio przez Wi-Fi; nie działa poza tą siecią
+   - **Wszędzie** — działa w domu i poza nim; poza domem ruch przechodzi przez [Private Relay](/pl/private-relay/), szyfrowany end-to-end tunel bez żadnej konfiguracji
+4. Naciśnij **Utwórz kod QR**.
+5. Na drugim urządzeniu zeskanuj kod:
+   - **aplikacja mobilna** — stuknij **Skanuj kod QR** na ekranie łączenia (lub na liście instancji)
+   - **aplikacja desktopowa** — zamiast tego skopiuj link połączenia i wklej go w **Settings → Remote Instances → Inne serwery OpenChamber → Importuj link**
+
+Okno dialogowe zamknie się samo, gdy tylko urządzenie się połączy, a urządzenie pojawi się na liście z bieżącym statusem. To wszystko — jesteście sparowani.
+
+## Dlaczego parowanie jest bezpieczne
+
+- **Kod QR jest jednorazowy.** Przestaje działać w momencie, gdy urządzenie go wykorzysta, a jeśli nikt go nie użyje — sam wygasa.
+- **Każde urządzenie dostaje własny token.** Zeskanowanie kodu nigdy nie ujawnia Twojego hasła UI, a token jednego urządzenia nie pozwala podszyć się pod inne.
+- **Kontrola zostaje u Ciebie.** Każde sparowane urządzenie jest widoczne na liście z nazwą, platformą i statusem połączenia — możesz unieważnić dowolne z nich w każdej chwili.
+- **Ruch poza domem jest szyfrowany end-to-end.** Przy opcji **Wszędzie** ruch spoza Twojej sieci przechodzi przez [Private Relay](/pl/private-relay/), który nie może odczytać tego, co przez niego przepływa.
+
+## Zarządzaj sparowanymi urządzeniami
+
+**Settings → Remote Instances → Połącz z tym serwerem** pokazuje każde urządzenie, które może dotrzeć do tego serwera — z zieloną kropką, gdy jest online, oraz informacją, czy łączy się przez sieć lokalną, czy przez relay.
+
+- **Unieważnij** natychmiast odcina urządzenie. Jeśli zmienisz zdanie, sparuj je ponownie nowym kodem QR.
+- **Wyczyść unieważnione** porządkuje listę.
+
+To samo fizyczne urządzenie zachowuje jeden wpis, nawet jeśli zaloguje się ponownie później — duplikaty się nie mnożą.
+
+## Połącz z wiersza poleceń
+
+Jeśli serwer działa headless (bez otwartego UI), utwórz link połączenia z terminala na tej maszynie:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+Wypisany link i kod QR działają dokładnie tak samo jak te z okna ustawień.
+
+## Powiązane
+
+- [Private Relay](/pl/private-relay/) — jak działają połączenia „Wszędzie" i co relay może, a czego nie może zobaczyć
+- [Aplikacje mobilne](/pl/mobile/) — zainstaluj aplikację na iOS lub Androida
+- [Zdalne instancje](/pl/remote-instances/) — połącz aplikację desktopową z serwerami przez SSH lub linki
+- [Dostęp zdalny](/pl/troubleshooting/remote-access/) — gdy urządzenie nie chce się połączyć
@@ -1,25 +1,36 @@
 ---
-title: PWA i dostęp z telefonu
-description: Zainstaluj OpenChamber jako aplikację i używaj go z telefonu.
+title: Aplikacje mobilne i PWA
+description: Zainstaluj aplikację OpenChamber na iOS lub Androidzie i połącz ją ze swoim serwerem.
 ---

-# PWA i dostęp z telefonu
+# Aplikacje mobilne i PWA

-Aplikacja webowa OpenChamber instaluje się jak aplikacja na telefonie (PWA), więc możesz trzymać ją na ekranie głównym i używać jej na pełnym ekranie. Połącz to z [tunelem](/pl/tunnels/), a będziesz mógł zajrzeć do sesji z dowolnego miejsca.
+OpenChamber ma natywne aplikacje na iPhone'a i Androida, więc możesz obserwować sesje, odpowiadać agentom i zarządzać pracą z telefonu — w domu przez Wi-Fi lub z dowolnego miejsca przez [Private Relay](/pl/private-relay/).

-## Zainstaluj ją
+## Zainstaluj aplikację

-OpenChamber korzysta z wbudowanej instalacji Twojej przeglądarki, więc nie ma osobnego pobierania:
+- **iPhone/iPad** — dołącz do [bety TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — pobierz APK z [najnowszego wydania](https://github.com/openchamber/openchamber/releases/latest)
+
+## Połącz ją ze swoim serwerem
+
+1. Na komputerze z uruchomionym OpenChamber otwórz **Settings → Remote Instances → Połącz z tym serwerem** i naciśnij **Dodaj urządzenie**.
+2. Wybierz **Wszędzie** (lub **Tylko sieć domowa**, jeśli będziesz używać telefonu tylko w domu) i naciśnij **Utwórz kod QR**.
+3. W aplikacji mobilnej stuknij **Skanuj kod QR** i skieruj aparat na kod.
+
+Aplikacja łączy się i zapamiętuje serwer. Kod QR jest jednorazowy, a każde urządzenie dostaje własny, możliwy do unieważnienia token — zobacz [Połącz urządzenie](/pl/connect-devices/), aby dowiedzieć się, dlaczego parowanie jest bezpieczne.
+
+Możesz sparować aplikację z kilkoma serwerami i przełączać się między nimi z listy instancji; aplikacja pokazuje dla każdego z nich, czy jest osiągalny i czy łączysz się przez sieć lokalną, czy przez relay.
+
+## PWA (instalacja z przeglądarki)
+
+Wolisz obejść się bez sklepu z aplikacjami? Aplikacja webowa instaluje się prosto z przeglądarki:

 - **przeglądarka na komputerze** — użyj opcji **Install** w pasku adresu
 - **iPhone/iPad (Safari)** — Udostępnij → **Dodaj do ekranu początkowego**
 - **Android (Chrome)** — menu → **Zainstaluj aplikację** / **Dodaj do ekranu głównego**

-Po zainstalowaniu otwiera się we własnym oknie, bez elementów przeglądarki.
-
-## Dotrzyj do niej z telefonu
-
-Aby otworzyć OpenChamber na telefonie, gdy serwer działa na Twoim komputerze, uruchom [tunel](/pl/tunnels/) i otwórz link (lub zeskanuj kod QR) na telefonie. Używaj silnego [hasła UI](/pl/security/), gdy tylko to robisz.
+Aby dotrzeć do PWA spoza swojej sieci, potrzebujesz [tunelu](/pl/tunnels/) i silnego [hasła UI](/pl/security/) — natywne aplikacje załatwiają to za Ciebie przez relay.

 ## Ustawienia mobilne

@@ -27,5 +38,6 @@ W **Settings → OpenChamber** kilka opcji dostraja działanie na telefonie i za

 ## Powiązane

- [Tunele](/pl/tunnels/) — dotrzyj do swojej instancji z innej sieci
+- [Połącz urządzenie](/pl/connect-devices/) — parowanie, jednorazowe kody QR i zarządzanie urządzeniami
+- [Private Relay](/pl/private-relay/) — jak działa dostęp „Wszędzie"
 - [Bezpieczeństwo](/pl/security/) — zabezpiecz UI przed udostępnieniem
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Dotrzyj do swojego serwera OpenChamber z dowolnego miejsca przez szyfrowany end-to-end relay — bez portów, tuneli i konfiguracji.
+---
+
+# Private Relay
+
+OpenChamber Private Relay pozwala Twoim sparowanym urządzeniom dotrzeć do serwera z dowolnego miejsca — z sieci komórkowej, kawiarnianego Wi-Fi, innego miasta — bez otwierania portów, konfigurowania tunelu czy wystawiania maszyny do internetu. Zarządza sobą sam: wystarczy sparować urządzenie z opcją **Wszędzie** w [Połącz urządzenie](/pl/connect-devices/).
+
+## Jak to działa
+
+Twój serwer otwiera wychodzące połączenie do infrastruktury relay OpenChamber i utrzymuje je aktywne. Gdy jedno z Twoich urządzeń jest poza Twoją siecią, również łączy się z relayem, a relay przekazuje zaszyfrowany ruch między nimi. Nic na Twojej maszynie nie nasłuchuje na połączenia przychodzące z internetu.
+
+Gdy dostępne jest połączenie bezpośrednie — jesteś z powrotem w domu, w tej samej sieci Wi-Fi — Twoje urządzenia wybierają je i całkowicie pomijają relay.
+
+## Co relay może, a czego nie może zobaczyć
+
+Relay to ślepy kurier, a nie pośrednik:
+
+- **Szyfrowanie end-to-end.** Twoje urządzenie i Twój serwer uzgadniają klucze szyfrujące bezpośrednio między sobą. Relay przekazuje zapieczętowany ruch, do którego nie ma kluczy — nie może odczytać Twojego kodu, promptów ani haseł.
+- **Połączyć się mogą tylko Twoje urządzenia.** Urządzenie musi mieć token wydany przez *Twój* serwer w ramach [jednorazowego parowania](/pl/connect-devices/). Nikt nie odkryje Twojego serwera przez relay ani nie połączy się bez tokenu, który sam utworzyłeś — a każdy token możesz unieważnić w dowolnej chwili.
+- **Linki parowania są jednorazowe.** Kod QR do parowania działa dokładnie raz i wygasa, jeśli nie zostanie użyty, więc stary link, który wyciekł, jest bezwartościowy.
+- **Nic nie jest udostępniane, dopóki się nie zdecydujesz.** Relay pozostaje wyłączony, dopóki go nie włączysz lub nie sparujesz przez niego urządzenia, i możesz wyłączyć go w każdej chwili — urządzenia połączone przez relay są odcinane natychmiast.
+
+## Kiedy działa
+
+Relay sam zarządza swoim cyklem życia — nie ma przełącznika, o którym trzeba pamiętać:
+
+- **Uruchamia się na żądanie.** Utworzenie parowania **Wszędzie** włącza relay, a po restarcie wraca on tak długo, jak długo korzysta z niego jakiekolwiek sparowane urządzenie.
+- **Zatrzymuje się sam.** Gdy żadne urządzenie ani oczekujące parowanie nie używa relaya — na przykład po unieważnieniu ostatniego sparowanego przez relay urządzenia — wyłącza się automatycznie.
+
+**Settings → Remote Instances → OpenChamber Relay** pokazuje bieżący stan (Połączono, Ponowne łączenie, …) oraz liczbę aktualnie połączonych przez relay urządzeń. Możesz tam też nacisnąć **Wyłącz**, aby natychmiast odciąć dostęp przez relay; urządzenia w Twojej sieci lokalnej pozostają bez zmian.
+
+## Relay czy tunel?
+
+- Użyj **relaya**, aby docierać do własnego serwera z własnych sparowanych urządzeń. Zero konfiguracji i nic nie jest wystawione publicznie.
+- Użyj [tunelu](/pl/tunnels/), gdy potrzebujesz zwykłego **publicznego adresu URL** — na przykład by otworzyć OpenChamber w zwykłej przeglądarce na maszynie, której nie możesz sparować, albo udostępnić dostęp za [hasłem UI](/pl/security/).
+
+## Powiązane
+
+- [Połącz urządzenie](/pl/connect-devices/) — sparuj urządzenie jednorazowym kodem QR
+- [Aplikacje mobilne](/pl/mobile/) — zainstaluj aplikację na iOS lub Androida
+- [Bezpieczeństwo](/pl/security/) — hasła, klucze dostępu i podstawy udostępniania
+- [Dostęp zdalny](/pl/troubleshooting/remote-access/) — gdy połączenie nie chce się nawiązać
@@ -24,9 +24,13 @@ OpenChamber przeprowadza przez kolejne kroki — sprawdzenie połączenia, skonf

 Sam decydujesz, czy zapisać hasła SSH i UI, czy wpisywać je za każdym razem. Jeśli połączenie zostanie zerwane, OpenChamber zgłasza, który krok zawiódł, byś mógł to naprawić — zobacz [Dostęp zdalny](/pl/troubleshooting/remote-access/).

-## Bezpośrednie linki połączenia
+## Linki połączenia

-Jeśli zdalna maszyna już uruchamia OpenChamber, utwórz tam link połączenia i zaimportuj go w **Settings → Remote Instances → Server links**:
+Jeśli zdalna maszyna już uruchamia OpenChamber, najprostszym sposobem połączenia aplikacji desktopowej jest link parowania. W UI zdalnego serwera otwórz **Settings → Remote Instances → Połącz z tym serwerem → Dodaj urządzenie**, utwórz link i zaimportuj go na swoim komputerze w **Settings → Remote Instances → Inne serwery OpenChamber → Importuj link**. Pełny opis znajdziesz w [Połącz urządzenie](/pl/connect-devices/).
+
+Link utworzony z opcją **Wszędzie** zawiera zarówno adres bezpośredni, jak i trasę przez [Private Relay](/pl/private-relay/): aplikacja desktopowa łączy się bezpośrednio, gdy może dotrzeć do serwera (ta sama sieć), a poza domem przełącza się na szyfrowany end-to-end relay. Status obok każdego zapisanego serwera pokazuje, która trasa jest używana.
+
+Link możesz też utworzyć z terminala na zdalnej maszynie:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` najpierw uruchamia serwer, jeśli nic nie działa na tym porcie. Dodaj `--api-only` dla serwera headless, `--lan` aby nasłuchiwać w LAN przy starcie, `--ui-password` aby chronić dostęp z przeglądarki oraz `--name` aby nazwać zapisane połączenie.

-Wygenerowany link zawiera token klienta dla aplikacji OpenChamber. Ten token jest osobny od hasła UI w przeglądarce i przetrwa restarty, dopóki go nie unieważnisz lub usuniesz.
+Wygenerowany link zawiera jednorazowy sekret parowania. Po zaimportowaniu urządzenie ma własny token klienta — osobny od hasła UI w przeglądarce — który przetrwa restarty serwera, dopóki nie unieważnisz go na serwerze, który go wydał.

 ## Powiązane

+- [Połącz urządzenie](/pl/connect-devices/) — linki parowania, kody QR i zarządzanie urządzeniami
+- [Private Relay](/pl/private-relay/) — jak działają połączenia „Wszędzie"
 - [OpenCode Server](/pl/opencode-server/) — połącz się ze zdalnym serwerem w wersji webowej lub VS Code
 - [Dostęp zdalny](/pl/troubleshooting/remote-access/) — gdy połączenie nie chce się nawiązać
@@ -25,13 +25,20 @@ Po ustawieniu hasła możesz dodać klucze dostępu (Face ID, Touch ID, klucz be

 Klucze dostępu są powiązane z bieżącym hasłem. Jeśli zmienisz lub usuniesz hasło, zapisane klucze dostępu zostaną wyczyszczone i będziesz je dodawać ponownie.

+## Tokeny urządzeń
+
+Urządzenia sparowane przez [Połącz urządzenie](/pl/connect-devices/) uwierzytelniają się własnymi tokenami per urządzenie, a nie hasłem UI. Linki parowania są jednorazowe i wygasają, jeśli nie zostaną użyte; każde sparowane urządzenie jest widoczne w **Settings → Remote Instances → Połącz z tym serwerem**, gdzie w każdej chwili możesz unieważnić dowolne z nich. Połączenia spoza domu przechodzą przez [Private Relay](/pl/private-relay/), który jest szyfrowany end-to-end i nie może odczytać Twojego ruchu.
+
 ## Zanim ją udostępnisz

 - Domyślnie OpenChamber nasłuchuje tylko na Twojej własnej maszynie (`127.0.0.1`). Nasłuchiwanie szerzej wymaga celowej zmiany i najpierw powinieneś ustawić hasło.
- Preferuj [tunel](/pl/tunnels/) lub sieć prywatną (jak VPN) zamiast otwierania portu do internetu.
+- Dla własnych urządzeń preferuj [parowanie](/pl/connect-devices/) z [Private Relay](/pl/private-relay/) — nic nie jest wtedy wystawione publicznie.
+- Jeśli potrzebujesz publicznego adresu URL, preferuj [tunel](/pl/tunnels/) lub sieć prywatną (jak VPN) zamiast otwierania portu do internetu.
 - Jeśli umieszczasz OpenChamber za własnym serwerem HTTPS, zobacz [Reverse Proxy](/pl/reverse-proxy/).

 ## Powiązane

- [Tunele](/pl/tunnels/) — zalecany sposób na zdalne dotarcie do instancji
+- [Połącz urządzenie](/pl/connect-devices/) — jednorazowe parowanie i tokeny per urządzenie
+- [Private Relay](/pl/private-relay/) — szyfrowany end-to-end dostęp z dowolnego miejsca
+- [Tunele](/pl/tunnels/) — udostępnij publiczny URL, gdy go potrzebujesz
 - [Reverse Proxy](/pl/reverse-proxy/) — uruchom OpenChamber za własnym serwerem
@@ -12,6 +12,15 @@ Gdy nie możesz dotrzeć do OpenChamber z telefonu lub innej maszyny, rozwiązan
 - najpierw otwórz `http://localhost:3000` na tym samym komputerze — jeśli to zawiedzie, to nie jest problem zdalny; zobacz [Połączenie z OpenCode](/pl/troubleshooting/opencode-connection/)
 - potwierdź, że serwer działa, za pomocą `openchamber status`

+## Sparowane urządzenie nie chce się połączyć
+
+- kod QR / link parowania jest **jednorazowy** — jeśli został już zeskanowany (lub wygasł), utwórz nowy przez **Dodaj urządzenie**
+- jeśli urządzenie sparowano z opcją **Tylko sieć domowa**, nie połączy się spoza tej sieci — sparuj je ponownie z opcją **Wszędzie**
+- przy parowaniu **Wszędzie** sprawdź **Settings → Remote Instances → OpenChamber Relay** na serwerze: status powinien brzmieć **Połączono**; jeśli nie, wyłącz i włącz relay ponownie
+- jeśli urządzenie zostało **unieważnione**, jego token przepadł bezpowrotnie — sparuj je ponownie nowym kodem QR
+
+Zobacz [Połącz urządzenie](/pl/connect-devices/) i [Private Relay](/pl/private-relay/), aby dowiedzieć się, jak działają te połączenia.
+
 ## Link tunelu nie działa

 - uruchom `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Jeśli umieściłeś OpenChamber za reverse proxy i ładuje się dziwnie lub nie

 ## Powiązane

- [Tunele](/pl/tunnels/) · [Zdalne instancje](/pl/remote-instances/) · [Reverse Proxy](/pl/reverse-proxy/)
+- [Połącz urządzenie](/pl/connect-devices/) · [Private Relay](/pl/private-relay/) · [Tunele](/pl/tunnels/) · [Zdalne instancje](/pl/remote-instances/) · [Reverse Proxy](/pl/reverse-proxy/)
 - [Bezpieczeństwo](/pl/security/) — zabezpiecz UI przed udostępnieniem
@@ -5,7 +5,9 @@ description: Bezpiecznie udostępnij OpenChamber do dostępu zdalnego i mobilneg

 # Tunele

-Tunel to publiczny link do Twojego OpenChamber, dzięki któremu możesz dotrzeć do niego z telefonu lub z innej sieci. Użyj `openchamber tunnel`, aby utworzyć go dla działającej instancji.
+Tunel to publiczny link do Twojego OpenChamber, dzięki któremu możesz dotrzeć do niego ze zwykłej przeglądarki w innej sieci. Użyj `openchamber tunnel`, aby utworzyć go dla działającej instancji.
+
+> Łączenie **własnych urządzeń** (aplikacja mobilna, drugi komputer) zwykle nie wymaga tunelu — zamiast tego [sparuj je](/pl/connect-devices/) i pozwól, by szyfrowany end-to-end [Private Relay](/pl/private-relay/) zajął się dostępem spoza domu bez żadnej konfiguracji.

 ## Wymagania wstępne

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## Powiązane

+- [Połącz urządzenie](/pl/connect-devices/) — sparuj własne urządzenia bez publicznego adresu URL
 - [Bezpieczeństwo](/pl/security/) — zabezpiecz interfejs przed udostępnieniem
 - [Tunele w aplikacji desktopowej](/pl/desktop-tunnels/) — konfiguracja tunelu w aplikacji desktopowej bez startu z CLI
 - [PWA i dostęp z telefonu](/pl/mobile/) — korzystaj z OpenChamber z telefonu
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Reach your OpenChamber server from anywhere over an end-to-end encrypted relay — no ports, no tunnels, no setup.
+---
+
+# Private Relay
+
+The OpenChamber Private Relay lets your paired devices reach your server from anywhere — cellular, a café network, another city — without opening ports, setting up a tunnel, or exposing your machine to the internet. It manages itself: pairing a device with **Anywhere** in [Connect a Device](/connect-devices/) is all it takes.
+
+## How it works
+
+Your server opens an outbound connection to OpenChamber's relay infrastructure and keeps it alive. When one of your devices is away from your network, it connects to the relay too, and the relay passes encrypted traffic between the two. Nothing on your machine listens for incoming connections from the internet.
+
+When a direct connection is available — you're back home on the same Wi-Fi — your devices prefer it and skip the relay entirely.
+
+## What the relay can and cannot see
+
+The relay is a blind courier, not a middleman:
+
+- **End-to-end encrypted.** Your device and your server agree on encryption keys directly with each other. The relay forwards sealed traffic it has no keys for — it cannot read your code, your prompts, or your passwords.
+- **Only your devices can connect.** A device must hold a token issued by *your* server through [one-time pairing](/connect-devices/). Nobody can discover your server through the relay or connect to it without a token you created — and you can revoke any token at any time.
+- **Pairing links are single-use.** A pairing QR code works exactly once and expires if unused, so a leaked old link is worthless.
+- **Nothing is shared until you opt in.** The relay stays off until you enable it or pair a device over it, and you can disable it at any time — devices connected through it are cut off immediately.
+
+## When it runs
+
+The relay manages its own lifecycle — there is no switch to remember:
+
+- **It starts on demand.** Creating an **Anywhere** pairing turns the relay on, and it comes back after a restart for as long as any paired device still relies on it.
+- **It stops on its own.** Once no device or pending pairing uses the relay — for example after you revoke the last relay-paired device — it shuts down automatically.
+
+**Settings → Remote Instances → OpenChamber Relay** shows the live state (Connected, Reconnecting, …) and how many devices are connected through it right now. You can also press **Disable** there to cut relay access off immediately; devices on your local network are unaffected.
+
+## Relay or a tunnel?
+
+- Use the **relay** to reach your own server from your own paired devices. It's zero-setup and nothing is exposed publicly.
+- Use a [tunnel](/tunnels/) when you need a plain **public URL** — for example to open OpenChamber in an ordinary browser on a machine you can't pair, or to share access behind a [UI password](/security/).
+
+## Related
+
+- [Connect a Device](/connect-devices/) — pair a device with a one-time QR code
+- [Mobile Apps](/mobile/) — install the iOS or Android app
+- [Security](/security/) — passwords, passkeys, and exposure basics
+- [Remote access](/troubleshooting/remote-access/) — when a connection won't complete
@@ -0,0 +1,56 @@
+---
+title: Conectar um Dispositivo
+description: Pareie seu celular, desktop ou outro navegador com o seu servidor OpenChamber usando um código QR de uso único.
+---
+
+# Conectar um Dispositivo
+
+Pareie outro dispositivo — o app móvel, o app de desktop ou um navegador em outra máquina — com o seu servidor OpenChamber escaneando um código QR de uso único. Esta é a forma recomendada de conectar dispositivos; não há portas para abrir nem endereços para digitar.
+
+## Parear um dispositivo
+
+1. Na máquina que executa o OpenChamber, abra **Settings → Remote Instances → Conectar a este servidor** e pressione **Adicionar um dispositivo**.
+2. Dê um nome ao dispositivo (por exemplo, *Meu iPhone*) para reconhecê-lo depois.
+3. Escolha onde você vai usar o dispositivo:
+   - **Somente este computador** — para aplicativos nesta mesma máquina
+   - **Somente rede doméstica** — conecta diretamente pela sua rede Wi-Fi; não funciona fora dessa rede
+   - **Em qualquer lugar** — funciona em casa e fora; fora de casa o tráfego passa pelo [Private Relay](/pt-br/private-relay/), um túnel criptografado de ponta a ponta sem configuração
+4. Pressione **Criar código QR**.
+5. No outro dispositivo, escaneie o código:
+   - **app móvel** — toque em **Ler código QR** na tela de conexão (ou na lista de instâncias)
+   - **app de desktop** — copie o link de conexão e cole em **Settings → Remote Instances → Outros servidores OpenChamber → Importar link**
+
+O diálogo fecha sozinho assim que o dispositivo se conecta, e o dispositivo aparece na lista com status ao vivo. Pronto — vocês estão pareados.
+
+## Como o pareamento se mantém seguro
+
+- **O código QR é de uso único.** Ele deixa de funcionar no momento em que um dispositivo o resgata, e expira sozinho se nunca for usado.
+- **Cada dispositivo recebe o próprio token.** Escanear um código nunca expõe sua senha de UI, e o token de um dispositivo não pode ser usado para se passar por outro.
+- **Você mantém o controle.** Cada dispositivo pareado é listado com nome, plataforma e status de conexão — revogue qualquer um deles a qualquer momento.
+- **O tráfego fora de casa é criptografado de ponta a ponta.** Com **Em qualquer lugar**, o tráfego fora da sua rede passa pelo [Private Relay](/pt-br/private-relay/), que não consegue ler o que passa por ele.
+
+## Gerenciar dispositivos pareados
+
+**Settings → Remote Instances → Conectar a este servidor** lista todos os dispositivos que podem alcançar este servidor, com um ponto verde quando está online e se está conectado pela rede local ou pelo relay.
+
+- **Revogar** corta o dispositivo imediatamente. Pareie-o de novo com um novo código QR se mudar de ideia.
+- **Limpar revogados** organiza a lista.
+
+O mesmo dispositivo físico mantém uma única entrada mesmo que entre de novo mais tarde — você não vai acumular duplicatas.
+
+## Conectar pela linha de comando
+
+Se o servidor roda headless (sem UI aberta), crie um link de conexão a partir de um terminal nessa máquina:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+O link e o código QR impressos funcionam exatamente como os do diálogo de configurações.
+
+## Relacionado
+
+- [Private Relay](/pt-br/private-relay/) — como funcionam as conexões "Em qualquer lugar" e o que o relay pode e não pode ver
+- [Apps Móveis](/pt-br/mobile/) — instale o app para iOS ou Android
+- [Instâncias Remotas](/pt-br/remote-instances/) — conecte o app de desktop a servidores via SSH ou links
+- [Acesso remoto](/pt-br/troubleshooting/remote-access/) — quando um dispositivo não conecta
@@ -1,25 +1,36 @@
 ---
-title: PWA e Acesso Móvel
-description: Instale o OpenChamber como um app e use-o pelo seu celular.
+title: Apps Móveis e PWA
+description: Instale o app do OpenChamber no iOS ou Android e conecte-o ao seu servidor.
 ---

-# PWA e Acesso Móvel
+# Apps Móveis e PWA

-O app web do OpenChamber instala como um app de celular (um PWA), então você pode mantê-lo na tela inicial e usá-lo em tela cheia. Combine-o com um [túnel](/pt-br/tunnels/) e você poderá acompanhar uma sessão de qualquer lugar.
+O OpenChamber tem apps nativos para iPhone e Android, então você pode acompanhar sessões, responder aos agentes e gerenciar o trabalho pelo celular — em casa pelo Wi-Fi ou de qualquer lugar pelo [Private Relay](/pt-br/private-relay/).

-## Instalar
+## Instalar o app

-O OpenChamber usa a instalação integrada do seu navegador, então não há download separado:
+- **iPhone/iPad** — participe do [beta no TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — baixe o APK da [versão mais recente](https://github.com/openchamber/openchamber/releases/latest)
+
+## Conectar ao seu servidor
+
+1. No computador que executa o OpenChamber, abra **Settings → Remote Instances → Conectar a este servidor** e pressione **Adicionar um dispositivo**.
+2. Escolha **Em qualquer lugar** (ou **Somente rede doméstica** se você só vai usar o celular em casa) e pressione **Criar código QR**.
+3. No app móvel, toque em **Ler código QR** e aponte a câmera para ele.
+
+O app conecta e memoriza o servidor. O código QR é de uso único e cada dispositivo recebe o próprio token revogável — veja [Conectar um Dispositivo](/pt-br/connect-devices/) para saber como o pareamento se mantém seguro.
+
+Você pode parear o app com vários servidores e alternar entre eles pela lista de instâncias; para cada um, o app mostra se ele está alcançável e se você está conectado pela rede local ou pelo relay.
+
+## PWA (instalação pelo navegador)
+
+Prefere dispensar loja de apps? O app web instala direto do navegador:

 - **navegador no desktop** — use a opção **Install** na barra de endereço
 - **iPhone/iPad (Safari)** — Compartilhar → **Adicionar à Tela de Início**
 - **Android (Chrome)** — menu → **Instalar app** / **Adicionar à tela inicial**

-Uma vez instalado, ele abre em sua própria janela sem os controles do navegador.
-
-## Acessar pelo seu celular
-
-Para abrir o OpenChamber no seu celular quando o servidor roda no seu computador, inicie um [túnel](/pt-br/tunnels/) e abra o link (ou escaneie o QR code) no celular. Use uma [senha de UI](/pt-br/security/) forte sempre que fizer isso.
+Para alcançar o PWA de fora da sua rede você vai precisar de um [túnel](/pt-br/tunnels/) e de uma [senha de UI](/pt-br/security/) forte — os apps nativos cuidam disso por você via relay.

 ## Configurações de celular

@@ -27,5 +38,6 @@ Em **Settings → OpenChamber**, algumas opções ajustam a experiência móvel

 ## Relacionado

- [Túneis](/pt-br/tunnels/) — acesse sua instância de outra rede
+- [Conectar um Dispositivo](/pt-br/connect-devices/) — pareamento, códigos QR de uso único e gerenciamento de dispositivos
+- [Private Relay](/pt-br/private-relay/) — como funciona o acesso "Em qualquer lugar"
 - [Segurança](/pt-br/security/) — proteja a UI antes de expô-la
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Alcance seu servidor OpenChamber de qualquer lugar por um relay criptografado de ponta a ponta — sem portas, sem túneis, sem configuração.
+---
+
+# Private Relay
+
+O OpenChamber Private Relay permite que seus dispositivos pareados alcancem seu servidor de qualquer lugar — rede celular, o Wi-Fi de um café, outra cidade — sem abrir portas, configurar um túnel ou expor sua máquina à internet. Ele se gerencia sozinho: parear um dispositivo com **Em qualquer lugar** em [Conectar um Dispositivo](/pt-br/connect-devices/) é tudo o que você precisa.
+
+## Como funciona
+
+Seu servidor abre uma conexão de saída com a infraestrutura de relay do OpenChamber e a mantém ativa. Quando um dos seus dispositivos está fora da sua rede, ele também se conecta ao relay, e o relay repassa o tráfego criptografado entre os dois. Nada na sua máquina fica escutando conexões vindas da internet.
+
+Quando uma conexão direta está disponível — você voltou para casa, na mesma rede Wi-Fi — seus dispositivos a preferem e ignoram o relay por completo.
+
+## O que o relay pode e não pode ver
+
+O relay é um mensageiro cego, não um intermediário:
+
+- **Criptografado de ponta a ponta.** Seu dispositivo e seu servidor combinam as chaves de criptografia diretamente entre si. O relay encaminha tráfego lacrado para o qual não tem chaves — ele não consegue ler seu código, seus prompts nem suas senhas.
+- **Só os seus dispositivos podem conectar.** Um dispositivo precisa ter um token emitido pelo *seu* servidor por meio do [pareamento de uso único](/pt-br/connect-devices/). Ninguém consegue descobrir seu servidor pelo relay nem se conectar a ele sem um token criado por você — e você pode revogar qualquer token a qualquer momento.
+- **Os links de pareamento são de uso único.** Um código QR de pareamento funciona exatamente uma vez e expira se não for usado, então um link antigo vazado não vale nada.
+- **Nada é compartilhado até você optar por isso.** O relay fica desligado até você ativá-lo ou parear um dispositivo por ele, e você pode desativá-lo a qualquer momento — os dispositivos conectados por ele são cortados imediatamente.
+
+## Quando ele funciona
+
+O relay gerencia o próprio ciclo de vida — não há interruptor para lembrar:
+
+- **Ele inicia sob demanda.** Criar um pareamento **Em qualquer lugar** liga o relay, e ele volta após um reinício enquanto algum dispositivo pareado ainda depender dele.
+- **Ele para sozinho.** Quando nenhum dispositivo ou pareamento pendente usa o relay — por exemplo, depois de você revogar o último dispositivo pareado pelo relay — ele desliga automaticamente.
+
+**Settings → Remote Instances → OpenChamber Relay** mostra o estado ao vivo (Conectado, Reconectando, …) e quantos dispositivos estão conectados por ele neste momento. Você também pode pressionar **Desativar** ali para cortar o acesso pelo relay imediatamente; os dispositivos na sua rede local não são afetados.
+
+## Relay ou túnel?
+
+- Use o **relay** para alcançar o seu próprio servidor a partir dos seus próprios dispositivos pareados. Não exige configuração e nada fica exposto publicamente.
+- Use um [túnel](/pt-br/tunnels/) quando você precisar de uma **URL pública** comum — por exemplo, para abrir o OpenChamber em um navegador qualquer numa máquina que você não pode parear, ou para compartilhar o acesso protegido por uma [senha de UI](/pt-br/security/).
+
+## Relacionado
+
+- [Conectar um Dispositivo](/pt-br/connect-devices/) — pareie um dispositivo com um código QR de uso único
+- [Apps Móveis](/pt-br/mobile/) — instale o app para iOS ou Android
+- [Segurança](/pt-br/security/) — senhas, passkeys e noções básicas de exposição
+- [Acesso remoto](/pt-br/troubleshooting/remote-access/) — quando uma conexão não se completa
@@ -24,9 +24,13 @@ O OpenChamber percorre as etapas — verificando a conexão, configurando o remo

 Você decide se quer salvar as senhas SSH e de UI ou inseri-las a cada vez. Se a conexão cair, o OpenChamber informa qual etapa falhou para você corrigi-la — veja [Acesso remoto](/pt-br/troubleshooting/remote-access/).

-## Links de conexão direta
+## Links de conexão

-Se uma máquina remota já executa OpenChamber, crie um link de conexão nela e importe em **Settings → Remote Instances → Server links**:
+Se uma máquina remota já executa OpenChamber, a forma mais fácil de conectar o app de desktop é um link de pareamento. Na UI do servidor remoto, abra **Settings → Remote Instances → Conectar a este servidor → Adicionar um dispositivo**, crie um link e importe-o no seu desktop em **Settings → Remote Instances → Outros servidores OpenChamber → Importar link**. Veja [Conectar um Dispositivo](/pt-br/connect-devices/) para o fluxo completo.
+
+Um link criado com **Em qualquer lugar** carrega tanto um endereço direto quanto uma rota pelo [Private Relay](/pt-br/private-relay/): o desktop conecta diretamente quando consegue alcançar o servidor (mesma rede) e recorre ao relay criptografado de ponta a ponta quando você está fora. O status ao lado de cada servidor salvo mostra qual rota está em uso.
+
+Você também pode criar um link a partir de um terminal na máquina remota:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` inicia o servidor primeiro se nada estiver rodando nessa porta. Adicione `--api-only` para um servidor headless, `--lan` para escutar na LAN ao iniciar, `--ui-password` para proteger o acesso pelo navegador e `--name` para nomear a conexão salva.

-O link gerado contém um token de cliente para apps OpenChamber. Esse token é separado da senha da UI do navegador e sobrevive a reinícios até ser revogado ou removido.
+O link gerado contém um segredo de pareamento de uso único. Depois de importado, o dispositivo passa a ter o próprio token de cliente — separado da senha de UI do navegador — que sobrevive a reinícios do servidor até você revogá-lo no servidor emissor.

 ## Relacionado

+- [Conectar um Dispositivo](/pt-br/connect-devices/) — links de pareamento, códigos QR e gerenciamento de dispositivos
+- [Private Relay](/pt-br/private-relay/) — como funcionam as conexões "Em qualquer lugar"
 - [OpenCode Server](/pt-br/opencode-server/) — conecte a um servidor remoto na web ou no VS Code
 - [Acesso remoto](/pt-br/troubleshooting/remote-access/) — quando uma conexão não se completa
@@ -25,13 +25,20 @@ Uma vez definida uma senha, você pode adicionar passkeys (Face ID, Touch ID, um

 As passkeys estão vinculadas à senha atual. Se você alterar ou remover a senha, as passkeys salvas são apagadas e você precisará adicioná-las novamente.

+## Tokens de dispositivo
+
+Os dispositivos pareados por [Conectar um Dispositivo](/pt-br/connect-devices/) se autenticam com os próprios tokens por dispositivo, não com a senha de UI. Os links de pareamento são de uso único e expiram se não forem usados; cada dispositivo pareado é listado em **Settings → Remote Instances → Conectar a este servidor**, onde você pode revogar qualquer um deles a qualquer momento. As conexões fora de casa passam pelo [Private Relay](/pt-br/private-relay/), que é criptografado de ponta a ponta e não consegue ler o seu tráfego.
+
 ## Antes de expô-lo

 - Por padrão, o OpenChamber só escuta na sua própria máquina (`127.0.0.1`). É preciso uma mudança deliberada para escutar mais amplamente, e você deve definir uma senha primeiro.
- Prefira um [túnel](/pt-br/tunnels/) ou uma rede privada (como uma VPN) a abrir uma porta para a internet.
+- Para os seus próprios dispositivos, prefira o [pareamento](/pt-br/connect-devices/) com o [Private Relay](/pt-br/private-relay/) — nada fica exposto publicamente.
+- Se você precisa de uma URL pública, prefira um [túnel](/pt-br/tunnels/) ou uma rede privada (como uma VPN) a abrir uma porta para a internet.
 - Se você colocar o OpenChamber atrás do seu próprio servidor HTTPS, veja [Reverse Proxy](/pt-br/reverse-proxy/).

 ## Relacionado

- [Túneis](/pt-br/tunnels/) — a forma recomendada de alcançar uma instância remotamente
+- [Conectar um Dispositivo](/pt-br/connect-devices/) — pareamento de uso único e tokens por dispositivo
+- [Private Relay](/pt-br/private-relay/) — acesso criptografado de ponta a ponta de qualquer lugar
+- [Túneis](/pt-br/tunnels/) — exponha uma URL pública quando precisar de uma
 - [Reverse Proxy](/pt-br/reverse-proxy/) — execute o OpenChamber atrás do seu próprio servidor
@@ -12,6 +12,15 @@ Quando você não consegue alcançar o OpenChamber pelo seu celular ou outra má
 - abra `http://localhost:3000` no mesmo computador primeiro — se isso falhar, não é um problema remoto; veja [Conexão com o OpenCode](/pt-br/troubleshooting/opencode-connection/)
 - confirme que o servidor está em execução com `openchamber status`

+## O dispositivo pareado não conecta
+
+- o código QR / link de pareamento é de **uso único** — se já foi escaneado (ou expirou), crie um novo em **Adicionar um dispositivo**
+- se o dispositivo foi pareado com **Somente rede doméstica**, ele não consegue conectar de fora dessa rede — pareie-o de novo com **Em qualquer lugar**
+- para pareamentos **Em qualquer lugar**, verifique **Settings → Remote Instances → OpenChamber Relay** no servidor: deve dizer **Conectado**; se não, desative e reative o relay
+- se um dispositivo foi **revogado**, o token dele se perdeu de vez — pareie-o de novo com um novo código QR
+
+Veja [Conectar um Dispositivo](/pt-br/connect-devices/) e [Private Relay](/pt-br/private-relay/) para entender como essas conexões funcionam.
+
 ## O link do túnel não funciona

 - execute `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Se você colocou o OpenChamber atrás de um reverse proxy e ele carrega de forma

 ## Relacionado

- [Túneis](/pt-br/tunnels/) · [Instâncias Remotas](/pt-br/remote-instances/) · [Reverse Proxy](/pt-br/reverse-proxy/)
+- [Conectar um Dispositivo](/pt-br/connect-devices/) · [Private Relay](/pt-br/private-relay/) · [Túneis](/pt-br/tunnels/) · [Instâncias Remotas](/pt-br/remote-instances/) · [Reverse Proxy](/pt-br/reverse-proxy/)
 - [Segurança](/pt-br/security/) — proteja a UI antes de expô-la
@@ -5,7 +5,9 @@ description: Exponha o OpenChamber com segurança para acesso remoto e móvel.

 # Túneis

-Um túnel é um link público para o seu OpenChamber, para que você possa acessá-lo pelo celular ou de outra rede. Use `openchamber tunnel` para criar um para uma instância em execução.
+Um túnel é um link público para o seu OpenChamber, para que você possa acessá-lo de um navegador comum em outra rede. Use `openchamber tunnel` para criar um para uma instância em execução.
+
+> Conectar os **seus próprios dispositivos** (o app móvel, outro desktop) geralmente não precisa de túnel — [pareie-os](/pt-br/connect-devices/) e deixe o [Private Relay](/pt-br/private-relay/) criptografado de ponta a ponta cuidar do acesso fora de casa, sem nenhuma configuração.

 ## Pré-requisitos

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## Relacionado

+- [Conectar um Dispositivo](/pt-br/connect-devices/) — pareie seus próprios dispositivos sem uma URL pública
 - [Segurança](/pt-br/security/) — proteja a interface antes de expô-la
 - [Túneis no desktop](/pt-br/desktop-tunnels/) — configuração de túnel no app desktop sem iniciar pelo CLI
 - [PWA e Acesso Móvel](/pt-br/mobile/) — acesse o OpenChamber pelo celular
@@ -24,9 +24,13 @@ OpenChamber walks through the steps — checking the connection, setting up the

 You decide whether to save the SSH and UI passwords or enter them each time. If the connection drops, OpenChamber reports which step failed so you can fix it — see [Remote access](/troubleshooting/remote-access/).

-## Direct connection links
+## Connection links

-If a remote machine already runs OpenChamber, create a connection link there and import it in **Settings → Remote Instances → Server links**:
+If a remote machine already runs OpenChamber, the easiest way to connect the desktop app is a pairing link. On the remote server's UI, open **Settings → Remote Instances → Connect to this server → Add a device**, create a link, and import it on your desktop at **Settings → Remote Instances → Other OpenChamber servers → Import Link**. See [Connect a Device](/connect-devices/) for the full flow.
+
+A link created with **Anywhere** carries both a direct address and a [Private Relay](/private-relay/) route: the desktop connects directly when it can reach the server (same network), and falls back to the end-to-end encrypted relay when you're away. The status next to each saved server shows which route is in use.
+
+You can also create a link from a terminal on the remote machine:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` starts the server first if nothing is running on that port. Add `--api-only` for a headless server, `--lan` to bind to the LAN when starting, `--ui-password` to protect browser access, and `--name` to label the saved connection.

-The generated link contains a client token for OpenChamber apps. That token is separate from the browser UI password and survives server restarts until you revoke or delete it.
+The generated link contains a single-use pairing secret. Once imported, the device holds its own client token — separate from the browser UI password — which survives server restarts until you revoke it on the issuing server.

 ## Related

+- [Connect a Device](/connect-devices/) — pairing links, QR codes, and managing devices
+- [Private Relay](/private-relay/) — how "Anywhere" connections work
 - [OpenCode Server](/opencode-server/) — connect to a remote server on web or VS Code
 - [Remote access](/troubleshooting/remote-access/) — when a connection won't complete
@@ -25,13 +25,20 @@ Once a password is set, you can add passkeys (Face ID, Touch ID, a security key)

 Passkeys are tied to the current password. If you change or remove the password, saved passkeys are cleared and you'll add them again.

+## Device tokens
+
+Devices paired through [Connect a Device](/connect-devices/) authenticate with their own per-device tokens, not the UI password. Pairing links are single-use and expire if unused; every paired device is listed at **Settings → Remote Instances → Connect to this server**, where you can revoke any of them at any time. Away-from-home connections go through the [Private Relay](/private-relay/), which is end-to-end encrypted and cannot read your traffic.
+
 ## Before you expose it

 - By default OpenChamber only listens on your own machine (`127.0.0.1`). It takes a deliberate change to listen more widely, and you should set a password first.
- Prefer a [tunnel](/tunnels/) or a private network (like a VPN) over opening a port to the internet.
+- For your own devices, prefer [pairing](/connect-devices/) with the [Private Relay](/private-relay/) — nothing is exposed publicly at all.
+- If you need a public URL, prefer a [tunnel](/tunnels/) or a private network (like a VPN) over opening a port to the internet.
 - If you put OpenChamber behind your own HTTPS server, see [Reverse Proxy](/reverse-proxy/).

 ## Related

- [Tunnels](/tunnels/) — the recommended way to reach an instance remotely
+- [Connect a Device](/connect-devices/) — one-time pairing and per-device tokens
+- [Private Relay](/private-relay/) — end-to-end encrypted access from anywhere
+- [Tunnels](/tunnels/) — expose a public URL when you need one
 - [Reverse Proxy](/reverse-proxy/) — run OpenChamber behind your own server
@@ -12,6 +12,15 @@ When you can't reach OpenChamber from your phone or another machine, the fix dep
 - open `http://localhost:3000` on the same computer first — if that fails, it's not a remote problem; see [OpenCode connection](/troubleshooting/opencode-connection/)
 - confirm the server is running with `openchamber status`

+## Paired device won't connect
+
+- the QR code / pairing link is **single-use** — if it was already scanned (or expired), create a new one from **Add a device**
+- if the device was paired with **Home network only**, it can't connect from outside that network — pair it again with **Anywhere**
+- for **Anywhere** pairing, check **Settings → Remote Instances → OpenChamber Relay** on the server: it should say **Connected**; if not, disable and re-enable it
+- if a device was **revoked**, its token is gone for good — pair it again with a new QR code
+
+See [Connect a Device](/connect-devices/) and [Private Relay](/private-relay/) for how these connections work.
+
 ## Tunnel link doesn't work

 - run `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ If you put OpenChamber behind a reverse proxy and it loads oddly or won't connec

 ## Related

- [Tunnels](/tunnels/) · [Remote Instances](/remote-instances/) · [Reverse Proxy](/reverse-proxy/)
+- [Connect a Device](/connect-devices/) · [Private Relay](/private-relay/) · [Tunnels](/tunnels/) · [Remote Instances](/remote-instances/) · [Reverse Proxy](/reverse-proxy/)
 - [Security](/security/) — protect the UI before exposing it
@@ -5,7 +5,9 @@ description: Expose OpenChamber safely for remote and mobile access.

 # Tunnels

-A tunnel is a public link to your OpenChamber, so you can reach it from your phone or another network. Use `openchamber tunnel` to create one for a running instance.
+A tunnel is a public link to your OpenChamber, so you can reach it from an ordinary browser on another network. Use `openchamber tunnel` to create one for a running instance.
+
+> Connecting your **own devices** (the mobile app, another desktop) usually doesn't need a tunnel — [pair them](/connect-devices/) instead and let the end-to-end encrypted [Private Relay](/private-relay/) handle away-from-home access with zero setup.

 ## Prerequisites

@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000

 ## Related

+- [Connect a Device](/connect-devices/) — pair your own devices without a public URL
 - [Security](/security/) — protect the UI before exposing it
 - [Desktop Tunnels](/desktop-tunnels/) — desktop app tunnel setup without CLI startup
 - [PWA & Mobile](/mobile/) — reach OpenChamber from your phone
@@ -0,0 +1,56 @@
+---
+title: Підключення пристрою
+description: Зв'яжіть телефон, десктоп чи інший браузер зі своїм сервером OpenChamber за допомогою одноразового QR-коду.
+---
+
+# Підключення пристрою
+
+Зв'яжіть інший пристрій — мобільний застосунок, десктопний застосунок чи браузер на іншій машині — зі своїм сервером OpenChamber, відсканувавши одноразовий QR-код. Це рекомендований спосіб підключати пристрої: не треба відкривати порти й вводити адреси.
+
+## Як зв'язати пристрій
+
+1. На машині, де запущено OpenChamber, відкрийте **Settings → Remote Instances → Підключення до цього сервера** й натисніть **Додати пристрій**.
+2. Дайте пристрою назву (напр. *Мій iPhone*), щоб потім його впізнати.
+3. Виберіть, де ви будете користуватись пристроєм:
+   - **Лише цей компʼютер** — для застосунків на цій самій машині
+   - **Лише домашня мережа** — підключається напряму через ваш Wi-Fi; поза цією мережею не працює
+   - **Будь-де** — працює вдома і поза домом; поза домом трафік іде через [Private Relay](/uk/private-relay/), наскрізно зашифрований тунель, який не потребує жодного налаштування
+4. Натисніть **Створити QR-код**.
+5. На іншому пристрої відскануйте код:
+   - **мобільний застосунок** — торкніться **Сканувати QR-код** на екрані підключення (або в списку інстансів)
+   - **десктопний застосунок** — натомість скопіюйте посилання для підключення та вставте його в **Settings → Remote Instances → Інші сервери OpenChamber → Імпортувати посилання**
+
+Щойно пристрій підключається, діалог закривається сам, а пристрій з'являється в списку з живим статусом. Ось і все — пристрої зв'язано.
+
+## Чому це безпечно
+
+- **QR-код одноразовий.** Він перестає працювати, щойно якийсь пристрій його використав, і сам спливає, якщо не був використаний.
+- **Кожен пристрій отримує власний токен.** Сканування коду ніколи не розкриває ваш пароль UI, а токен одного пристрою не можна використати, щоб видати себе за інший.
+- **Контроль лишається у вас.** Кожен зв'язаний пристрій показано в списку з назвою, платформою і статусом підключення — будь-який можна відкликати в будь-який момент.
+- **Трафік поза домом наскрізно зашифрований.** З опцією **Будь-де** трафік поза вашою мережею йде через [Private Relay](/uk/private-relay/), який не може прочитати те, що через нього проходить.
+
+## Керування зв'язаними пристроями
+
+**Settings → Remote Instances → Підключення до цього сервера** показує кожен пристрій, який може дістатися цього сервера, із зеленою крапкою, коли він онлайн, і позначкою, чи підключений він через локальну мережу, чи через relay.
+
+- **Відкликати** миттєво відрізає пристрій. Якщо передумаєте — зв'яжіть його знову новим QR-кодом.
+- **Очистити відкликані** прибирає зайве зі списку.
+
+Той самий фізичний пристрій зберігає один запис, навіть якщо пізніше підключиться знову — дублікати не накопичуються.
+
+## Підключення з командного рядка
+
+Якщо сервер працює headless (без відкритого UI), створіть посилання для підключення з термінала на тій машині:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+Надруковані посилання та QR-код працюють точнісінько як ті, що з діалогу налаштувань.
+
+## Пов'язане
+
+- [Private Relay](/uk/private-relay/) — як працюють підключення «Будь-де» і що relay може та не може бачити
+- [Мобільні застосунки](/uk/mobile/) — установіть застосунок для iOS чи Android
+- [Віддалені інстанси](/uk/remote-instances/) — підключайте десктопний застосунок до серверів через SSH або посилання
+- [Віддалений доступ](/uk/troubleshooting/remote-access/) — коли пристрій не підключається
@@ -1,25 +1,36 @@
 ---
-title: PWA та мобільний доступ
-description: Установіть OpenChamber як застосунок і користуйтеся ним із телефона.
+title: Мобільні застосунки та PWA
+description: Установіть застосунок OpenChamber на iOS чи Android і підключіть його до свого сервера.
 ---

-# PWA та мобільний доступ
+# Мобільні застосунки та PWA

-Вебзастосунок OpenChamber встановлюється як застосунок для телефона (PWA), тож ви можете тримати його на головному екрані й користуватися ним на весь екран. Поєднайте його з [тунелем](/uk/tunnels/), і ви зможете перевіряти сесію звідусіль.
+OpenChamber має нативні застосунки для iPhone та Android, тож ви можете стежити за сесіями, відповідати агентам і керувати роботою з телефона — вдома через Wi-Fi або звідусіль через [Private Relay](/uk/private-relay/).

-## Установлення
+## Установлення застосунку

-OpenChamber використовує вбудоване встановлення вашого браузера, тож окремого завантаження немає:
+- **iPhone/iPad** — приєднайтеся до [бети в TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — завантажте APK з [останнього релізу](https://github.com/openchamber/openchamber/releases/latest)
+
+## Підключення до сервера
+
+1. На комп'ютері, де запущено OpenChamber, відкрийте **Settings → Remote Instances → Підключення до цього сервера** й натисніть **Додати пристрій**.
+2. Виберіть **Будь-де** (або **Лише домашня мережа**, якщо користуватиметеся телефоном тільки вдома) і натисніть **Створити QR-код**.
+3. У мобільному застосунку торкніться **Сканувати QR-код** і наведіть камеру на код.
+
+Застосунок підключається й запам'ятовує сервер. QR-код одноразовий, і кожен пристрій отримує власний токен, який можна відкликати — див. [Підключення пристрою](/uk/connect-devices/), щоб дізнатися, чому зв'язування безпечне.
+
+Застосунок можна зв'язати з кількома серверами й перемикатися між ними у списку інстансів; для кожного застосунок показує, чи він доступний і чи підключені ви через локальну мережу, чи через relay.
+
+## PWA (установлення з браузера)
+
+Не хочете жодного магазину застосунків? Вебзастосунок встановлюється просто з браузера:

 - **десктопний браузер** — скористайтеся опцією **Install** в адресному рядку
 - **iPhone/iPad (Safari)** — Поділитися → **Додати на початковий екран**
 - **Android (Chrome)** — меню → **Встановити застосунок** / **Додати на головний екран**

-Після встановлення він відкривається у власному вікні без елементів браузера.
-
-## Доступ із телефона
-
-Щоб відкрити OpenChamber на телефоні, коли сервер працює на вашому комп'ютері, запустіть [тунель](/uk/tunnels/) і відкрийте посилання (або відскануйте QR-код) на телефоні. Використовуйте надійний [пароль UI](/uk/security/) щоразу, коли це робите.
+Щоб дістатися PWA з-поза вашої мережі, знадобиться [тунель](/uk/tunnels/) і надійний [пароль UI](/uk/security/) — нативні застосунки вирішують це за вас через relay.

 ## Мобільні налаштування

@@ -27,5 +38,6 @@ OpenChamber використовує вбудоване встановлення

 ## Пов'язане

- [Тунелі](/uk/tunnels/) — дістаньтеся до свого інстансу з іншої мережі
+- [Підключення пристрою](/uk/connect-devices/) — зв'язування, одноразові QR-коди й керування пристроями
+- [Private Relay](/uk/private-relay/) — як працює доступ «Будь-де»
 - [Безпека](/uk/security/) — захистіть UI перед тим, як відкривати доступ
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Діставайтеся свого сервера OpenChamber звідусіль через наскрізно зашифрований relay — без портів, тунелів і налаштувань.
+---
+
+# Private Relay
+
+OpenChamber Private Relay дає вашим зв'язаним пристроям доступ до сервера звідусіль — з мобільного інтернету, мережі кав'ярні, іншого міста — без відкриття портів, налаштування тунелю чи виставлення вашої машини в інтернет. Він керує собою сам: достатньо зв'язати пристрій з опцією **Будь-де** у [Підключенні пристрою](/uk/connect-devices/).
+
+## Як це працює
+
+Ваш сервер відкриває вихідне з'єднання з relay-інфраструктурою OpenChamber і підтримує його. Коли якийсь із ваших пристроїв опиняється поза вашою мережею, він теж підключається до relay, і relay передає зашифрований трафік між ними. Ніщо на вашій машині не слухає вхідні з'єднання з інтернету.
+
+Коли доступне пряме з'єднання — ви знову вдома в тому самому Wi-Fi — ваші пристрої віддають перевагу йому й повністю оминають relay.
+
+## Що relay може та не може бачити
+
+Relay — це сліпий кур'єр, а не посередник:
+
+- **Наскрізне шифрування.** Ваш пристрій і ваш сервер узгоджують ключі шифрування безпосередньо між собою. Relay пересилає запечатаний трафік, до якого не має ключів, — він не може прочитати ваш код, ваші запити чи ваші паролі.
+- **Підключатися можуть лише ваші пристрої.** Пристрій мусить мати токен, виданий *вашим* сервером через [одноразове зв'язування](/uk/connect-devices/). Ніхто не може знайти ваш сервер через relay чи підключитися до нього без створеного вами токена — і будь-який токен можна відкликати в будь-який момент.
+- **Посилання для зв'язування одноразові.** QR-код для зв'язування спрацьовує рівно один раз і спливає, якщо не використаний, тож старе злите посилання нічого не варте.
+- **Нічого не передається, доки ви самі не увімкнете.** Relay лишається вимкненим, доки ви не увімкнете його чи не зв'яжете через нього пристрій, і його можна вимкнути будь-коли — пристрої, підключені через нього, відрізаються миттєво.
+
+## Коли він працює
+
+Relay сам керує своїм життєвим циклом — немає перемикача, про який треба пам'ятати:
+
+- **Він запускається за потреби.** Створення зв'язування **Будь-де** вмикає relay, і після рестарту він піднімається знову, доки хоч один зв'язаний пристрій на нього покладається.
+- **Він зупиняється сам.** Щойно relay не використовує жоден пристрій чи незавершене зв'язування — наприклад, після того як ви відкликали останній зв'язаний через relay пристрій — він вимикається автоматично.
+
+**Settings → Remote Instances → OpenChamber Relay** показує живий стан (Підключено, Повторне підключення, …) і кількість пристроїв, підключених через relay зараз. Там само можна натиснути **Вимкнути**, щоб миттєво відрізати доступ через relay; пристроїв у вашій локальній мережі це не стосується.
+
+## Relay чи тунель?
+
+- Використовуйте **relay**, щоб діставатися власного сервера з власних зв'язаних пристроїв. Жодних налаштувань, і назовні нічого не відкривається.
+- Використовуйте [тунель](/uk/tunnels/), коли потрібен звичайний **публічний URL** — наприклад, щоб відкрити OpenChamber у звичайному браузері на машині, яку не можна зв'язати, або поділитися доступом за [паролем UI](/uk/security/).
+
+## Пов'язане
+
+- [Підключення пристрою](/uk/connect-devices/) — зв'яжіть пристрій одноразовим QR-кодом
+- [Мобільні застосунки](/uk/mobile/) — установіть застосунок для iOS чи Android
+- [Безпека](/uk/security/) — паролі, ключі доступу й основи відкриття доступу
+- [Віддалений доступ](/uk/troubleshooting/remote-access/) — коли з'єднання не завершується
@@ -24,9 +24,13 @@ OpenChamber проходить через кроки — перевірку з'

 Ви вирішуєте, чи зберігати SSH- та UI-паролі, чи вводити їх щоразу. Якщо з'єднання обривається, OpenChamber повідомляє, який крок збоїв, щоб ви могли виправити — див. [Віддалений доступ](/uk/troubleshooting/remote-access/).

-## Прямі link підключення
+## Посилання для підключення

-Якщо на віддаленій машині вже запущено OpenChamber, створіть там link підключення й імпортуйте його в **Settings → Remote Instances → Server links**:
+Якщо на віддаленій машині вже запущено OpenChamber, найпростіший спосіб підключити десктопний застосунок — посилання для зв'язування. В UI віддаленого сервера відкрийте **Settings → Remote Instances → Підключення до цього сервера → Додати пристрій**, створіть посилання й імпортуйте його на своєму десктопі в **Settings → Remote Instances → Інші сервери OpenChamber → Імпортувати посилання**. Повний процес див. у [Підключенні пристрою](/uk/connect-devices/).
+
+Посилання, створене з опцією **Будь-де**, містить і пряму адресу, і маршрут через [Private Relay](/uk/private-relay/): десктоп підключається напряму, коли може дістатися сервера (та сама мережа), і переходить на наскрізно зашифрований relay, коли ви не вдома. Статус поруч із кожним збереженим сервером показує, який маршрут використовується.
+
+Посилання також можна створити з термінала на віддаленій машині:

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 `connect-url` спочатку запускає сервер, якщо на цьому порту нічого не працює. Додайте `--api-only` для headless-сервера, `--lan` для LAN bind під час старту, `--ui-password` для захисту browser access і `--name` для назви збереженого підключення.

-Згенерований link містить client token для застосунків OpenChamber. Цей token окремий від пароля browser UI і зберігається після рестартів, доки ви його не відкличете або не видалите.
+Згенероване посилання містить одноразовий секрет зв'язування. Після імпорту пристрій отримує власний client token — окремий від пароля browser UI, — який зберігається після рестартів сервера, доки ви не відкличете його на сервері, що його видав.

 ## Пов'язане

+- [Підключення пристрою](/uk/connect-devices/) — посилання для зв'язування, QR-коди й керування пристроями
+- [Private Relay](/uk/private-relay/) — як працюють підключення «Будь-де»
 - [OpenCode Server](/uk/opencode-server/) — підключайтеся до віддаленого сервера у вебі чи VS Code
 - [Віддалений доступ](/uk/troubleshooting/remote-access/) — коли з'єднання не завершується
@@ -25,13 +25,20 @@ openchamber --ui-password be-creative-here

 Ключі доступу прив'язані до поточного пароля. Якщо ви зміните чи приберете пароль, збережені ключі доступу очищаються, і вам доведеться додати їх знову.

+## Токени пристроїв
+
+Пристрої, зв'язані через [Підключення пристрою](/uk/connect-devices/), автентифікуються власними токенами для кожного пристрою, а не паролем UI. Посилання для зв'язування одноразові й спливають, якщо не використані; кожен зв'язаний пристрій показано в **Settings → Remote Instances → Підключення до цього сервера**, де будь-який можна відкликати в будь-який момент. Підключення поза домом ідуть через [Private Relay](/uk/private-relay/), який наскрізно зашифрований і не може прочитати ваш трафік.
+
 ## Перш ніж відкривати доступ

 - За замовчуванням OpenChamber слухає лише вашу власну машину (`127.0.0.1`). Щоб слухати ширше, потрібна свідома зміна, і спершу вам слід задати пароль.
- Надавайте перевагу [тунелю](/uk/tunnels/) чи приватній мережі (як-от VPN) перед відкриттям порту в інтернет.
+- Для власних пристроїв надавайте перевагу [зв'язуванню](/uk/connect-devices/) з [Private Relay](/uk/private-relay/) — назовні взагалі нічого не відкривається.
+- Якщо потрібен публічний URL, надавайте перевагу [тунелю](/uk/tunnels/) чи приватній мережі (як-от VPN) перед відкриттям порту в інтернет.
 - Якщо ви ставите OpenChamber за власним HTTPS-сервером, див. [Зворотний проксі](/uk/reverse-proxy/).

 ## Пов'язане

- [Тунелі](/uk/tunnels/) — рекомендований спосіб дістатися до інстансу віддалено
+- [Підключення пристрою](/uk/connect-devices/) — одноразове зв'язування й токени для кожного пристрою
+- [Private Relay](/uk/private-relay/) — наскрізно зашифрований доступ звідусіль
+- [Тунелі](/uk/tunnels/) — відкрийте публічний URL, коли він потрібен
 - [Зворотний проксі](/uk/reverse-proxy/) — запускайте OpenChamber за власним сервером
@@ -12,6 +12,15 @@ description: Виправляйте тунелі, віддалені інста
 - відкрийте `http://localhost:3000` спочатку на тому самому комп'ютері — якщо це не вдається, то проблема не у віддаленому доступі; див. [Підключення до OpenCode](/uk/troubleshooting/opencode-connection/)
 - переконайтеся, що сервер запущений, командою `openchamber status`

+## Зв'язаний пристрій не підключається
+
+- QR-код / посилання для зв'язування **одноразові** — якщо код уже відсканували (або він сплив), створіть новий через **Додати пристрій**
+- якщо пристрій зв'язано з опцією **Лише домашня мережа**, він не може підключитися з-поза цієї мережі — зв'яжіть його знову з опцією **Будь-де**
+- для зв'язування **Будь-де** перевірте **Settings → Remote Instances → OpenChamber Relay** на сервері: там має бути **Підключено**; якщо ні — вимкніть і знову увімкніть relay
+- якщо пристрій було **відкликано**, його токен зник назавжди — зв'яжіть пристрій знову новим QR-кодом
+
+Як працюють ці підключення, див. у [Підключенні пристрою](/uk/connect-devices/) та [Private Relay](/uk/private-relay/).
+
 ## Посилання тунелю не працює

 - виконайте `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ description: Виправляйте тунелі, віддалені інста

 ## Пов'язане

- [Тунелі](/uk/tunnels/) · [Віддалені інстанси](/uk/remote-instances/) · [Зворотний проксі](/uk/reverse-proxy/)
+- [Підключення пристрою](/uk/connect-devices/) · [Private Relay](/uk/private-relay/) · [Тунелі](/uk/tunnels/) · [Віддалені інстанси](/uk/remote-instances/) · [Зворотний проксі](/uk/reverse-proxy/)
 - [Безпека](/uk/security/) — захистіть UI перед тим, як відкривати доступ
@@ -5,7 +5,9 @@ description: Безпечно відкрийте OpenChamber для віддал

 # Тунелі

-Тунель — це публічне посилання на ваш OpenChamber, щоб дістатися до нього з телефона чи з іншої мережі. Скористайтеся `openchamber tunnel`, щоб створити його для запущеного інстансу.
+Тунель — це публічне посилання на ваш OpenChamber, щоб дістатися до нього зі звичайного браузера в іншій мережі. Скористайтеся `openchamber tunnel`, щоб створити його для запущеного інстансу.
+
+> Для підключення **власних пристроїв** (мобільного застосунку, іншого десктопа) тунель зазвичай не потрібен — краще [зв'яжіть їх](/uk/connect-devices/) і дозвольте наскрізно зашифрованому [Private Relay](/uk/private-relay/) забезпечити доступ поза домом без жодних налаштувань.

 ## Передумови

@@ -107,9 +109,11 @@ openchamber tunnel stop --port 3000
 - один активний тунель на інстанс OpenChamber (порт)
 - запуск нового режиму/провайдера на тому самому інстансі замінює попередній тунель
 - генерація нового посилання для підключення відкликає попереднє невикористане
+- авто-старт тунелю зберігає серверні прапорці на кшталт `--ui-password` та `--api-only` у налаштуваннях інстансу, які використовуються під час рестарту/оновлення

 ## Пов'язане

+- [Підключення пристрою](/uk/connect-devices/) — зв'яжіть власні пристрої без публічного URL
 - [Безпека](/uk/security/) — захистіть інтерфейс перед відкриттям доступу
 - [Десктопні тунелі](/uk/desktop-tunnels/) — налаштування тунелю в десктопному застосунку без CLI-старту
 - [PWA та мобільний доступ](/uk/mobile/) — відкривайте OpenChamber з телефона
@@ -0,0 +1,56 @@
+---
+title: 连接设备
+description: 通过一次性二维码，把你的手机、桌面应用或另一个浏览器与 OpenChamber 服务器配对。
+---
+
+# 连接设备
+
+通过扫描一次性二维码，把另一台设备 — 移动应用、桌面应用，或另一台机器上的浏览器 — 与你的 OpenChamber 服务器配对。这是连接设备的推荐方式；无需开放端口，也无需输入地址。
+
+## 配对设备
+
+1. 在运行 OpenChamber 的机器上，打开 **Settings → Remote Instances → 连接到此服务器**，然后按 **添加设备**。
+2. 给设备起一个名字（例如 *My iPhone*），方便你以后辨认。
+3. 选择你会在哪里使用这台设备：
+   - **仅本机** — 供同一台电脑上的应用使用
+   - **仅家庭网络** — 通过 Wi-Fi 直接连接；离开此网络后无法使用
+   - **任何地方** — 在家和外出都可用；外出时流量经由 [Private Relay](/zh-cn/private-relay/) 传输，这是一条端到端加密的隧道，无需任何配置
+4. 按 **创建二维码**。
+5. 在另一台设备上扫描该二维码：
+   - **移动应用** — 在连接页面（或实例列表中）点击 **扫描二维码**
+   - **桌面应用** — 改为复制连接链接，并在 **Settings → Remote Instances → 其他 OpenChamber 服务器 → 导入链接** 中粘贴
+
+设备一连上，对话框就会自动关闭，设备也会出现在列表中并显示实时状态。就这么简单 — 配对完成。
+
+## 配对为何安全
+
+- **二维码只能使用一次。** 一旦被某台设备兑换就立即失效；从未使用也会自行过期。
+- **每台设备都有自己的令牌。** 扫码不会暴露你的 UI 密码，一台设备的令牌也无法用来冒充另一台设备。
+- **控制权始终在你手上。** 每台已配对的设备都会显示名称、平台和连接状态 — 你可以随时撤销任何一台。
+- **外出流量端到端加密。** 使用 **任何地方** 时，网络之外的流量经由 [Private Relay](/zh-cn/private-relay/) 传输，中继无法读取任何经过它的内容。
+
+## 管理已配对的设备
+
+**Settings → Remote Instances → 连接到此服务器** 会列出所有可以访问此服务器的设备，在线时显示绿点，并标明它是通过本地网络还是中继连接的。
+
+- **撤销** 会立即切断该设备的访问。如果你改变主意，用新的二维码重新配对即可。
+- **清除已撤销** 用来整理列表。
+
+同一台物理设备即使日后重新登录也只保留一个条目 — 不会积累重复项。
+
+## 从命令行连接
+
+如果服务器以 headless 方式运行（没有打开 UI），可以在那台机器的终端里创建连接链接：
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+打印出的链接和二维码与设置对话框里生成的完全一样。
+
+## 相关内容
+
+- [Private Relay](/zh-cn/private-relay/) — “任何地方”连接的工作原理，以及中继能看到和看不到什么
+- [移动应用](/zh-cn/mobile/) — 安装 iOS 或 Android 应用
+- [远程实例](/zh-cn/remote-instances/) — 让桌面应用通过 SSH 或链接连接到服务器
+- [远程访问](/zh-cn/troubleshooting/remote-access/) — 当设备无法连接时
@@ -1,25 +1,36 @@
 ---
-title: PWA 与移动访问
-description: 将 OpenChamber 安装为应用，并在手机上使用它。
+title: 移动应用与 PWA
+description: 在 iOS 或 Android 上安装 OpenChamber 应用，并把它连接到你的服务器。
 ---

-# PWA 与移动访问
+# 移动应用与 PWA

-OpenChamber 网页应用可以像手机应用一样安装（即 PWA），因此你可以把它放在主屏幕上并全屏使用。配合 [隧道](/zh-cn/tunnels/)，你就可以从任何地方查看某个会话。
+OpenChamber 提供 iPhone 和 Android 原生应用，让你可以在手机上查看会话、回复代理并管理工作 — 在家通过 Wi-Fi，外出时通过 [Private Relay](/zh-cn/private-relay/)。

-## 安装它
+## 安装应用

-OpenChamber 使用你浏览器的内置安装功能，因此没有单独的下载：
+- **iPhone/iPad** — 加入 [TestFlight 测试版](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — 从 [最新发布版本](https://github.com/openchamber/openchamber/releases/latest) 下载 APK
+
+## 连接到你的服务器
+
+1. 在运行 OpenChamber 的电脑上，打开 **Settings → Remote Instances → 连接到此服务器**，然后按 **添加设备**。
+2. 选择 **任何地方**（如果只在家里用手机，可选 **仅家庭网络**），然后按 **创建二维码**。
+3. 在移动应用中点击 **扫描二维码**，用相机对准它。
+
+应用会连接并记住这台服务器。二维码只能使用一次，每台设备都会获得自己的可撤销令牌 — 关于配对为何安全，参阅 [连接设备](/zh-cn/connect-devices/)。
+
+你可以把应用与多台服务器配对，并在实例列表中随意切换；应用会为每台服务器显示它是否可达，以及你是通过本地网络还是中继连接的。
+
+## PWA（浏览器安装）
+
+完全不想经过应用商店？网页应用可以直接从浏览器安装：

 - **桌面浏览器** — 使用地址栏中的 **Install** 选项
 - **iPhone/iPad（Safari）** — 分享 → **Add to Home Screen**
 - **Android（Chrome）** — 菜单 → **Install app** / **Add to Home Screen**

-安装后，它会在自己的窗口中打开，没有浏览器外框。
-
-## 从手机访问它
-
-要在服务器运行于你电脑上时在手机上打开 OpenChamber，请启动一个 [隧道](/zh-cn/tunnels/)，并在手机上打开链接（或扫描二维码）。每当你这样做时，请使用一个强 [UI 密码](/zh-cn/security/)。
+要在你的网络之外访问 PWA，需要一个 [隧道](/zh-cn/tunnels/) 和一个强 [UI 密码](/zh-cn/security/) — 原生应用则通过中继替你处理好这一切。

 ## 移动端设置

@@ -27,5 +38,6 @@ OpenChamber 使用你浏览器的内置安装功能，因此没有单独的下

 ## 相关内容

- [隧道](/zh-cn/tunnels/) — 从另一个网络访问你的实例
+- [连接设备](/zh-cn/connect-devices/) — 配对、一次性二维码与设备管理
+- [Private Relay](/zh-cn/private-relay/) — “任何地方”访问的工作原理
 - [安全](/zh-cn/security/) — 在公开 UI 之前保护它
@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: 通过端到端加密的中继，从任何地方访问你的 OpenChamber 服务器 — 无需端口、隧道或任何配置。
+---
+
+# Private Relay
+
+OpenChamber Private Relay 让你已配对的设备可以从任何地方访问你的服务器 — 蜂窝网络、咖啡馆的 Wi-Fi、另一座城市 — 无需开放端口、搭建隧道，也不会把你的机器暴露到互联网上。它会自行管理：只需在 [连接设备](/zh-cn/connect-devices/) 中用 **任何地方** 配对设备即可。
+
+## 工作原理
+
+你的服务器向 OpenChamber 的中继基础设施发起一条出站连接并保持存活。当你的某台设备不在你的网络中时，它也连接到中继，中继在两者之间转发加密流量。你的机器上没有任何东西在监听来自互联网的入站连接。
+
+当直接连接可用时 — 比如你回到家、处于同一个 Wi-Fi — 你的设备会优先直连，完全跳过中继。
+
+## 中继能看到什么、看不到什么
+
+中继是一个“盲信使”，而不是中间人：
+
+- **端到端加密。** 你的设备和服务器直接协商加密密钥。中继只转发它没有密钥的密封流量 — 它无法读取你的代码、提示词或密码。
+- **只有你的设备能连接。** 设备必须持有*你的*服务器通过 [一次性配对](/zh-cn/connect-devices/) 签发的令牌。没有人能通过中继发现你的服务器，也无法在没有你创建的令牌的情况下连接它 — 而且你可以随时撤销任何令牌。
+- **配对链接只能使用一次。** 配对二维码只能生效一次，未使用也会过期，所以泄露的旧链接毫无价值。
+- **在你选择开启之前，什么都不会共享。** 在你启用中继或通过它配对设备之前，中继保持关闭；你可以随时停用它 — 通过它连接的设备会立即断开。
+
+## 何时运行
+
+中继自行管理生命周期 — 没有需要你记住的开关：
+
+- **按需启动。** 创建一个 **任何地方** 配对就会开启中继；只要还有已配对设备依赖它，服务器重启后它也会自动恢复。
+- **自动停止。** 一旦没有任何设备或待完成的配对在使用中继 — 比如你撤销了最后一台通过中继配对的设备 — 它会自动关闭。
+
+**Settings → Remote Instances → OpenChamber Relay** 会显示实时状态（已连接、重新连接中……），以及当前通过它连接的设备数量。你也可以在那里按 **停用** 立即切断中继访问；本地网络上的设备不受影响。
+
+## 用中继还是隧道？
+
+- 用**中继**来让你自己已配对的设备访问你自己的服务器。零配置，且不对外暴露任何内容。
+- 当你需要一个普通的**公开 URL**时使用 [隧道](/zh-cn/tunnels/) — 比如在一台无法配对的机器上用普通浏览器打开 OpenChamber，或者在 [UI 密码](/zh-cn/security/) 保护下共享访问。
+
+## 相关内容
+
+- [连接设备](/zh-cn/connect-devices/) — 用一次性二维码配对设备
+- [移动应用](/zh-cn/mobile/) — 安装 iOS 或 Android 应用
+- [安全](/zh-cn/security/) — 密码、passkey 与暴露基础知识
+- [远程访问](/zh-cn/troubleshooting/remote-access/) — 当连接无法完成时
@@ -24,9 +24,13 @@ OpenChamber 会引导你完成各个步骤 — 检查连接、设置远程、启

 你来决定是保存 SSH 和 UI 密码，还是每次都输入它们。如果连接断开，OpenChamber 会报告哪一步失败了，以便你修复它 — 参阅 [远程访问](/zh-cn/troubleshooting/remote-access/)。

-## 直接连接链接
+## 连接链接

-如果远程机器已经在运行 OpenChamber，请在那台机器上创建连接链接，然后在 **Settings → Remote Instances → Server links** 中导入：
+如果远程机器已经在运行 OpenChamber，把桌面应用连上去的最简单方式是配对链接。在远程服务器的 UI 中，打开 **Settings → Remote Instances → 连接到此服务器 → 添加设备**，创建一个链接，然后在你的桌面应用的 **Settings → Remote Instances → 其他 OpenChamber 服务器 → 导入链接** 中导入它。完整流程参阅 [连接设备](/zh-cn/connect-devices/)。
+
+用 **任何地方** 创建的链接同时携带直接地址和一条 [Private Relay](/zh-cn/private-relay/) 路由：当桌面应用能直接访问服务器时（同一网络）走直连，外出时回退到端到端加密的中继。每个已保存服务器旁边的状态会显示当前使用的是哪条路由。
+
+你也可以在远程机器的终端里创建链接：

 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr

 如果该端口上没有服务器，`connect-url` 会先启动服务器。使用 `--api-only` 可启动 headless 服务器，`--lan` 可在启动时绑定到 LAN，`--ui-password` 可保护浏览器访问，`--name` 可为保存的连接命名。

-生成的链接包含 OpenChamber 应用使用的 client token。这个 token 独立于浏览器 UI 密码，并会在服务器重启后继续有效，直到你撤销或删除它。
+生成的链接包含一个一次性配对密钥。导入后，设备会持有自己的 client token — 独立于浏览器 UI 密码 — 它会在服务器重启后继续有效，直到你在签发它的服务器上撤销它。

 ## 相关内容

+- [连接设备](/zh-cn/connect-devices/) — 配对链接、二维码与设备管理
+- [Private Relay](/zh-cn/private-relay/) — “任何地方”连接的工作原理
 - [OpenCode Server](/zh-cn/opencode-server/) — 在网页端或 VS Code 中连接到远程服务器
 - [远程访问](/zh-cn/troubleshooting/remote-access/) — 当连接无法完成时
@@ -25,13 +25,20 @@ openchamber --ui-password be-creative-here

 passkey 与当前密码绑定。如果你更改或移除密码，已保存的 passkey 会被清除，你需要重新添加它们。

+## 设备令牌
+
+通过 [连接设备](/zh-cn/connect-devices/) 配对的设备使用各自独立的设备令牌进行认证，而不是 UI 密码。配对链接只能使用一次，未使用也会过期；每台已配对的设备都会列在 **Settings → Remote Instances → 连接到此服务器** 中，你可以随时撤销任何一台。外出时的连接经由 [Private Relay](/zh-cn/private-relay/) 传输，它是端到端加密的，无法读取你的流量。
+
 ## 在暴露它之前

 - 默认情况下 OpenChamber 只监听你自己的机器（`127.0.0.1`）。需要一次刻意的更改才能更广泛地监听，并且你应该先设置密码。
- 相比向互联网开放一个端口，更推荐使用 [隧道](/zh-cn/tunnels/) 或专用网络（比如 VPN）。
+- 对于你自己的设备，优先使用 [配对](/zh-cn/connect-devices/) 加 [Private Relay](/zh-cn/private-relay/) — 完全不对外暴露任何内容。
+- 如果你需要一个公开 URL，相比向互联网开放一个端口，更推荐使用 [隧道](/zh-cn/tunnels/) 或专用网络（比如 VPN）。
 - 如果你把 OpenChamber 放在你自己的 HTTPS 服务器后面，请参阅 [反向代理](/zh-cn/reverse-proxy/)。

 ## 相关内容

- [隧道](/zh-cn/tunnels/) — 远程访问实例的推荐方式
+- [连接设备](/zh-cn/connect-devices/) — 一次性配对与设备级令牌
+- [Private Relay](/zh-cn/private-relay/) — 从任何地方进行端到端加密访问
+- [隧道](/zh-cn/tunnels/) — 需要时开放一个公开 URL
 - [反向代理](/zh-cn/reverse-proxy/) — 在你自己的服务器后面运行 OpenChamber
@@ -12,6 +12,15 @@ description: 修复隧道、远程实例，以及从另一台设备访问 OpenCh
 - 先在同一台电脑上打开 `http://localhost:3000` — 如果这都失败，那就不是远程问题；参阅 [OpenCode 连接](/zh-cn/troubleshooting/opencode-connection/)
 - 用 `openchamber status` 确认服务器正在运行

+## 已配对设备无法连接
+
+- 二维码 / 配对链接**只能使用一次** — 如果它已被扫描过（或已过期），从 **添加设备** 创建一个新的
+- 如果设备是用 **仅家庭网络** 配对的，它无法从该网络之外连接 — 用 **任何地方** 重新配对
+- 对于 **任何地方** 配对，检查服务器上的 **Settings → Remote Instances → OpenChamber Relay**：它应显示 **已连接**；如果不是，停用后再重新启用
+- 如果设备已被**撤销**，它的令牌就永久失效了 — 用新的二维码重新配对
+
+关于这些连接的工作原理，参阅 [连接设备](/zh-cn/connect-devices/) 和 [Private Relay](/zh-cn/private-relay/)。
+
 ## 隧道链接无法使用

 - 运行 `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ description: 修复隧道、远程实例，以及从另一台设备访问 OpenCh

 ## 相关内容

- [隧道](/zh-cn/tunnels/) · [远程实例](/zh-cn/remote-instances/) · [反向代理](/zh-cn/reverse-proxy/)
+- [连接设备](/zh-cn/connect-devices/) · [Private Relay](/zh-cn/private-relay/) · [隧道](/zh-cn/tunnels/) · [远程实例](/zh-cn/remote-instances/) · [反向代理](/zh-cn/reverse-proxy/)
 - [安全](/zh-cn/security/) — 在公开 UI 之前保护它
@@ -5,7 +5,9 @@ description: 安全地将 OpenChamber 开放给远程和移动访问。

 # 隧道

-隧道是指向你的 OpenChamber 的一个公开链接，让你可以从手机或另一个网络访问它。使用 `openchamber tunnel` 为正在运行的实例创建一个隧道。
+隧道是指向你的 OpenChamber 的一个公开链接，让你可以在另一个网络上用普通浏览器访问它。使用 `openchamber tunnel` 为正在运行的实例创建一个隧道。
+
+> 连接你**自己的设备**（移动应用、另一台桌面设备）通常不需要隧道 — 改为 [配对它们](/zh-cn/connect-devices/)，让端到端加密的 [Private Relay](/zh-cn/private-relay/) 零配置地处理外出访问。

 ## 前置要求

@@ -110,6 +112,7 @@ openchamber tunnel stop --port 3000

 ## 相关内容

+- [连接设备](/zh-cn/connect-devices/) — 无需公开 URL 即可配对你自己的设备
 - [安全](/zh-cn/security/) — 在开放访问前保护 UI
 - [桌面端隧道](/zh-cn/desktop-tunnels/) — 无需从 CLI 启动即可在桌面应用中设置隧道
 - [PWA 与移动访问](/zh-cn/mobile/) — 从手机访问 OpenChamber
@@ -368,6 +368,34 @@
        "ja": "リモートアクセス"
      },
      "items": [
+        {
+          "label": "Connect a Device",
+          "link": "/connect-devices/",
+          "translations": {
+            "uk": "Підключення пристрою",
+            "zh-CN": "连接设备",
+            "es": "Conectar un dispositivo",
+            "pt-BR": "Conectar um dispositivo",
+            "ko": "기기 연결",
+            "pl": "Podłączanie urządzenia",
+            "fr": "Connecter un appareil",
+            "ja": "デバイスを接続"
+          }
+        },
+        {
+          "label": "Private Relay",
+          "link": "/private-relay/",
+          "translations": {
+            "uk": "Приватний Relay",
+            "zh-CN": "私密中继",
+            "es": "Relay privado",
+            "pt-BR": "Relay privado",
+            "ko": "프라이빗 릴레이",
+            "pl": "Prywatny relay",
+            "fr": "Relay privé",
+            "ja": "プライベートリレー"
+          }
+        },
        {
          "label": "Tunnels",
          "link": "/tunnels/",
@@ -397,17 +425,17 @@
          }
        },
        {
-          "label": "PWA & Mobile",
+          "label": "Mobile Apps & PWA",
          "link": "/mobile/",
          "translations": {
-            "uk": "PWA та мобільний доступ",
-            "zh-CN": "PWA 与移动端",
-            "es": "PWA y móvil",
-            "pt-BR": "PWA e celular",
-            "ko": "PWA 및 모바일",
-            "pl": "PWA i urządzenia mobilne",
-            "fr": "PWA et mobile",
-            "ja": "PWA とモバイル"
+            "uk": "Мобільні застосунки та PWA",
+            "zh-CN": "移动应用与 PWA",
+            "es": "Apps móviles y PWA",
+            "pt-BR": "Apps móveis e PWA",
+            "ko": "모바일 앱 및 PWA",
+            "pl": "Aplikacje mobilne i PWA",
+            "fr": "Apps mobiles et PWA",
+            "ja": "モバイルアプリと PWA"
          }
        },
        {