docs: centralize device connection guides, add private relay docs

- new Connect a Device page: one-time QR pairing, transport choices, device management
- new Private Relay page: E2EE guarantees, demand-driven lifecycle, relay vs tunnel
- rewrite mobile page around the native iOS/Android apps (TestFlight + APK)
- update remote-instances, security, tunnels, and remote-access troubleshooting to point at the new pairing flow
- translate everything across all 8 locales and update the sidebar

packages/docs/content/docs/es/connect-devices.mdx

@@ -0,0 +1,56 @@
+---
+title: Conectar un dispositivo
+description: Vincula tu teléfono, escritorio u otro navegador con tu servidor de OpenChamber usando un código QR de un solo uso.
+---
+
+# Conectar un dispositivo
+
+Vincula otro dispositivo —la app móvil, la app de escritorio o un navegador en otra máquina— con tu servidor de OpenChamber escaneando un código QR de un solo uso. Es la forma recomendada de conectar dispositivos: no hay puertos que abrir ni direcciones que escribir.
+
+## Vincula un dispositivo
+
+1. En la máquina donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
+2. Dale un nombre al dispositivo (p. ej. *Mi iPhone*) para reconocerlo más adelante.
+3. Elige dónde usarás el dispositivo:
+   - **Solo este equipo** — para aplicaciones en esta misma máquina
+   - **Solo red doméstica** — se conecta directamente por tu Wi-Fi; no funciona fuera de esta red
+   - **En cualquier lugar** — funciona en casa y fuera; fuera de casa el tráfico pasa por el [Private Relay](/es/private-relay/), un túnel cifrado de extremo a extremo sin configuración
+4. Pulsa **Crear código QR**.
+5. En el otro dispositivo, escanea el código:
+   - **app móvil** — toca **Escanear código QR** en la pantalla de conexión (o en la lista de instancias)
+   - **app de escritorio** — copia el enlace de conexión y pégalo en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**
+
+El diálogo se cierra solo en cuanto el dispositivo se conecta, y el dispositivo aparece en la lista con su estado en vivo. Eso es todo: ya están vinculados.
+
+## Por qué la vinculación es segura
+
+- **El código QR es de un solo uso.** Deja de funcionar en el momento en que un dispositivo lo canjea, y caduca por sí solo si nunca se usa.
+- **Cada dispositivo recibe su propio token.** Escanear un código nunca expone tu contraseña de UI, y el token de un dispositivo no puede usarse para suplantar a otro.
+- **Tú mantienes el control.** Cada dispositivo vinculado aparece en la lista con su nombre, plataforma y estado de conexión; puedes revocar cualquiera en cualquier momento.
+- **El tráfico fuera de casa está cifrado de extremo a extremo.** Con **En cualquier lugar**, el tráfico fuera de tu red viaja por el [Private Relay](/es/private-relay/), que no puede leer lo que pasa por él.
+
+## Gestiona los dispositivos vinculados
+
+**Settings → Remote Instances → Conectarse a este servidor** lista todos los dispositivos que pueden alcanzar este servidor, con un punto verde cuando están en línea y si están conectados por la red local o por el relay.
+
+- **Revocar** corta el acceso de un dispositivo de inmediato. Vuelve a vincularlo con un nuevo código QR si cambias de opinión.
+- **Borrar revocados** limpia la lista.
+
+El mismo dispositivo físico mantiene una sola entrada aunque vuelva a iniciar sesión más tarde: no acumularás duplicados.
+
+## Conecta desde la línea de comandos
+
+Si el servidor funciona en modo headless (sin UI abierta), crea un enlace de conexión desde una terminal en esa máquina:
+
+```bash
+openchamber connect-url --port 3000 --qr
+```
+
+El enlace y el código QR impresos funcionan exactamente igual que los del diálogo de ajustes.
+
+## Relacionado
+
+- [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar» y qué puede ver el relay y qué no
+- [Apps móviles](/es/mobile/) — instala la app de iOS o Android
+- [Instancias remotas](/es/remote-instances/) — conecta la app de escritorio a servidores por SSH o con enlaces
+- [Acceso remoto](/es/troubleshooting/remote-access/) — cuando un dispositivo no se conecta

packages/docs/content/docs/es/mobile.mdx

@@ -1,31 +1,43 @@
 ---
-title: PWA y acceso móvil
-description: Instala OpenChamber como una app y úsalo desde tu teléfono.
+title: Apps móviles y PWA
+description: Instala la app de OpenChamber en iOS o Android y conéctala a tu servidor.
 ---
 
-# PWA y acceso móvil
+# Apps móviles y PWA
 
-La app web de OpenChamber se instala como una app de teléfono (una PWA), así que puedes tenerla en tu pantalla de inicio y usarla a pantalla completa. Combínala con un [túnel](/es/tunnels/) y podrás echar un vistazo a una sesión desde cualquier lugar.
+OpenChamber tiene apps nativas para iPhone y Android, para que puedas seguir sesiones, responder a los agentes y gestionar el trabajo desde tu teléfono, en casa por Wi-Fi o desde cualquier lugar a través del [Private Relay](/es/private-relay/).
 
-## Instálala
+## Instala la app
 
-OpenChamber usa la instalación integrada de tu navegador, así que no hay una descarga aparte:
+- **iPhone/iPad** — únete a la [beta de TestFlight](https://testflight.apple.com/join/5ek6GU1E)
+- **Android** — descarga el APK de la [última release](https://github.com/openchamber/openchamber/releases/latest)
 
-- **navegador de escritorio** — usa la opción **Install** en la barra de direcciones
+## Conéctala a tu servidor
+
+1. En la computadora donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
+2. Elige **En cualquier lugar** (o **Solo red doméstica** si solo usarás el teléfono en casa) y pulsa **Crear código QR**.
+3. En la app móvil, toca **Escanear código QR** y apunta la cámara al código.
+
+La app se conecta y recuerda el servidor. El código QR es de un solo uso y cada dispositivo recibe su propio token revocable; consulta [Conectar un dispositivo](/es/connect-devices/) para saber por qué la vinculación es segura.
+
+Puedes vincular la app con varios servidores y cambiar entre ellos desde la lista de instancias; la app muestra para cada uno si está accesible y si estás conectado por la red local o por el relay.
+
+## PWA (instalación desde el navegador)
+
+¿Prefieres prescindir de las tiendas de apps? La app web se instala directamente desde el navegador:
+
+- **navegador de escritorio** — usa la opción **Instalar** de la barra de direcciones
 - **iPhone/iPad (Safari)** — Compartir → **Añadir a pantalla de inicio**
 - **Android (Chrome)** — menú → **Instalar app** / **Añadir a pantalla de inicio**
 
-Una vez instalada, se abre en su propia ventana sin los elementos del navegador.
-
-## Accede desde tu teléfono
-
-Para abrir OpenChamber en tu teléfono cuando el servidor se ejecuta en tu computadora, inicia un [túnel](/es/tunnels/) y abre el enlace (o escanea el código QR) en el teléfono. Usa una [contraseña de UI](/es/security/) fuerte siempre que lo hagas.
+Para alcanzar la PWA desde fuera de tu red necesitarás un [túnel](/es/tunnels/) y una [contraseña de UI](/es/security/) fuerte; las apps nativas se encargan de esto por ti mediante el relay.
 
 ## Ajustes móviles
 
-En **Settings → OpenChamber**, unas pocas opciones ajustan la experiencia móvil e instalada: el nombre con el que se instala la app, la orientación de la pantalla y cómo se comporta el teclado en pantalla.
+En **Settings → OpenChamber**, unas cuantas opciones ajustan la experiencia móvil e instalada: el nombre de la app instalada, la orientación de la pantalla y el comportamiento del teclado en pantalla.
 
 ## Relacionado
 
-- [Túneles](/es/tunnels/) — accede a tu instancia desde otra red
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación, códigos QR de un solo uso y gestión de dispositivos
+- [Private Relay](/es/private-relay/) — cómo funciona el acceso «En cualquier lugar»
 - [Seguridad](/es/security/) — protege la UI antes de exponerla

packages/docs/content/docs/es/private-relay.mdx

@@ -0,0 +1,44 @@
+---
+title: Private Relay
+description: Alcanza tu servidor de OpenChamber desde cualquier lugar a través de un relay cifrado de extremo a extremo, sin puertos, sin túneles y sin configuración.
+---
+
+# Private Relay
+
+El Private Relay de OpenChamber permite que tus dispositivos vinculados alcancen tu servidor desde cualquier lugar —datos móviles, la red de una cafetería, otra ciudad— sin abrir puertos, montar un túnel ni exponer tu máquina a internet. Se gestiona solo: basta con vincular un dispositivo con **En cualquier lugar** en [Conectar un dispositivo](/es/connect-devices/).
+
+## Cómo funciona
+
+Tu servidor abre una conexión saliente hacia la infraestructura de relay de OpenChamber y la mantiene activa. Cuando uno de tus dispositivos está fuera de tu red, también se conecta al relay, y el relay pasa el tráfico cifrado entre ambos. Nada en tu máquina escucha conexiones entrantes desde internet.
+
+Cuando hay una conexión directa disponible —vuelves a casa y estás en la misma Wi-Fi—, tus dispositivos la prefieren y se saltan el relay por completo.
+
+## Qué puede ver el relay y qué no
+
+El relay es un mensajero ciego, no un intermediario:
+
+- **Cifrado de extremo a extremo.** Tu dispositivo y tu servidor acuerdan las claves de cifrado directamente entre ellos. El relay reenvía tráfico sellado para el que no tiene claves: no puede leer tu código, tus prompts ni tus contraseñas.
+- **Solo tus dispositivos pueden conectarse.** Un dispositivo debe tener un token emitido por *tu* servidor mediante la [vinculación de un solo uso](/es/connect-devices/). Nadie puede descubrir tu servidor a través del relay ni conectarse a él sin un token que tú hayas creado, y puedes revocar cualquier token en cualquier momento.
+- **Los enlaces de vinculación son de un solo uso.** Un código QR de vinculación funciona exactamente una vez y caduca si no se usa, así que un enlace antiguo filtrado no vale nada.
+- **No se comparte nada hasta que tú lo decides.** El relay permanece apagado hasta que lo actives o vincules un dispositivo a través de él, y puedes desactivarlo en cualquier momento; los dispositivos conectados a través de él se desconectan de inmediato.
+
+## Cuándo funciona
+
+El relay gestiona su propio ciclo de vida: no hay ningún interruptor que recordar.
+
+- **Se inicia bajo demanda.** Crear una vinculación **En cualquier lugar** enciende el relay, y este vuelve tras un reinicio mientras algún dispositivo vinculado siga dependiendo de él.
+- **Se detiene solo.** Cuando ningún dispositivo ni vinculación pendiente usa el relay —por ejemplo, después de revocar el último dispositivo vinculado por relay—, se apaga automáticamente.
+
+**Settings → Remote Instances → OpenChamber Relay** muestra el estado en vivo (Conectado, Reconectando, …) y cuántos dispositivos están conectados a través de él en ese momento. Allí también puedes pulsar **Desactivar** para cortar el acceso por relay de inmediato; los dispositivos de tu red local no se ven afectados.
+
+## ¿Relay o túnel?
+
+- Usa el **relay** para alcanzar tu propio servidor desde tus propios dispositivos vinculados. No requiere configuración y nada se expone públicamente.
+- Usa un [túnel](/es/tunnels/) cuando necesites una **URL pública** normal, por ejemplo para abrir OpenChamber en un navegador corriente en una máquina que no puedes vincular, o para compartir acceso detrás de una [contraseña de UI](/es/security/).
+
+## Relacionado
+
+- [Conectar un dispositivo](/es/connect-devices/) — vincula un dispositivo con un código QR de un solo uso
+- [Apps móviles](/es/mobile/) — instala la app de iOS o Android
+- [Seguridad](/es/security/) — contraseñas, passkeys y nociones básicas de exposición
+- [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa

packages/docs/content/docs/es/remote-instances.mdx

@@ -24,9 +24,13 @@ OpenChamber recorre los pasos —comprobar la conexión, configurar el remoto, i
 
 Tú decides si guardar las contraseñas de SSH y de UI o introducirlas cada vez. Si la conexión se cae, OpenChamber informa qué paso falló para que puedas arreglarlo; consulta [Acceso remoto](/es/troubleshooting/remote-access/).
 
-## Enlaces de conexión directa
+## Enlaces de conexión
 
-Si una máquina remota ya ejecuta OpenChamber, crea allí un enlace de conexión e impórtalo en **Settings → Remote Instances → Server links**:
+Si una máquina remota ya ejecuta OpenChamber, la forma más fácil de conectar la app de escritorio es un enlace de vinculación. En la UI del servidor remoto, abre **Settings → Remote Instances → Conectarse a este servidor → Añadir un dispositivo**, crea un enlace e impórtalo en tu escritorio en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**. Consulta [Conectar un dispositivo](/es/connect-devices/) para el flujo completo.
+
+Un enlace creado con **En cualquier lugar** lleva tanto una dirección directa como una ruta por el [Private Relay](/es/private-relay/): el escritorio se conecta directamente cuando puede alcanzar el servidor (misma red) y recurre al relay cifrado de extremo a extremo cuando estás fuera. El estado junto a cada servidor guardado muestra qué ruta se está usando.
+
+También puedes crear un enlace desde una terminal en la máquina remota:
 
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
@@ -34,9 +38,11 @@ openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 
 `connect-url` inicia el servidor primero si no hay nada ejecutándose en ese puerto. Añade `--api-only` para un servidor headless, `--lan` para escuchar en la LAN al iniciar, `--ui-password` para proteger el acceso del navegador y `--name` para etiquetar la conexión guardada.
 
-El enlace generado contiene un token de cliente para apps de OpenChamber. Ese token es independiente de la contraseña de la UI del navegador y sobrevive a reinicios hasta que lo revoques o elimines.
+El enlace generado contiene un secreto de vinculación de un solo uso. Una vez importado, el dispositivo conserva su propio token de cliente —independiente de la contraseña de la UI del navegador— que sobrevive a los reinicios del servidor hasta que lo revoques en el servidor emisor.
 
 ## Relacionado
 
+- [Conectar un dispositivo](/es/connect-devices/) — enlaces de vinculación, códigos QR y gestión de dispositivos
+- [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar»
 - [OpenCode Server](/es/opencode-server/) — conéctate a un servidor remoto en la web o en VS Code
 - [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa

packages/docs/content/docs/es/security.mdx

@@ -25,13 +25,20 @@ Una vez definida una contraseña, puedes añadir passkeys (Face ID, Touch ID, un
 
 Las passkeys están vinculadas a la contraseña actual. Si cambias o eliminas la contraseña, las passkeys guardadas se borran y tendrás que añadirlas de nuevo.
 
+## Tokens de dispositivo
+
+Los dispositivos vinculados mediante [Conectar un dispositivo](/es/connect-devices/) se autentican con sus propios tokens por dispositivo, no con la contraseña de UI. Los enlaces de vinculación son de un solo uso y caducan si no se usan; cada dispositivo vinculado aparece en **Settings → Remote Instances → Conectarse a este servidor**, donde puedes revocar cualquiera en cualquier momento. Las conexiones fuera de casa pasan por el [Private Relay](/es/private-relay/), que está cifrado de extremo a extremo y no puede leer tu tráfico.
+
 ## Antes de exponerlo
 
 - De forma predeterminada, OpenChamber solo escucha en tu propia máquina (`127.0.0.1`). Hace falta un cambio deliberado para escuchar más ampliamente, y deberías definir una contraseña primero.
-- Prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
+- Para tus propios dispositivos, prefiere la [vinculación](/es/connect-devices/) con el [Private Relay](/es/private-relay/): no se expone nada públicamente.
+- Si necesitas una URL pública, prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
 - Si pones OpenChamber detrás de tu propio servidor HTTPS, consulta [Proxy inverso](/es/reverse-proxy/).
 
 ## Relacionado
 
-- [Túneles](/es/tunnels/) — la forma recomendada de acceder a una instancia de forma remota
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación de un solo uso y tokens por dispositivo
+- [Private Relay](/es/private-relay/) — acceso cifrado de extremo a extremo desde cualquier lugar
+- [Túneles](/es/tunnels/) — expón una URL pública cuando la necesites
 - [Proxy inverso](/es/reverse-proxy/) — ejecuta OpenChamber detrás de tu propio servidor

packages/docs/content/docs/es/troubleshooting/remote-access.mdx

@@ -12,6 +12,15 @@ Cuando no puedes alcanzar OpenChamber desde tu teléfono u otra máquina, la sol
 - abre `http://localhost:3000` en la misma computadora primero; si eso falla, no es un problema remoto; consulta [Conexión de OpenCode](/es/troubleshooting/opencode-connection/)
 - confirma que el servidor está en funcionamiento con `openchamber status`
 
+## Un dispositivo vinculado no se conecta
+
+- el código QR / enlace de vinculación es **de un solo uso**; si ya se escaneó (o caducó), crea uno nuevo desde **Añadir un dispositivo**
+- si el dispositivo se vinculó con **Solo red doméstica**, no puede conectarse desde fuera de esa red; vuelve a vincularlo con **En cualquier lugar**
+- para la vinculación **En cualquier lugar**, comprueba **Settings → Remote Instances → OpenChamber Relay** en el servidor: debería decir **Conectado**; si no, desactívalo y vuelve a activarlo
+- si un dispositivo fue **revocado**, su token desaparece para siempre; vincúlalo de nuevo con un código QR nuevo
+
+Consulta [Conectar un dispositivo](/es/connect-devices/) y [Private Relay](/es/private-relay/) para saber cómo funcionan estas conexiones.
+
 ## El enlace del túnel no funciona
 
 - ejecuta `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Si pones OpenChamber detrás de un proxy inverso y carga de forma extraña o no
 
 ## Relacionado
 
-- [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
+- [Conectar un dispositivo](/es/connect-devices/) · [Private Relay](/es/private-relay/) · [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
 - [Seguridad](/es/security/) — protege la UI antes de exponerla

packages/docs/content/docs/es/tunnels.mdx

@@ -5,7 +5,9 @@ description: Expón OpenChamber de forma segura para acceso remoto y móvil.
 
 # Túneles
 
-Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde tu teléfono u otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
+Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde un navegador corriente en otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
+
+> Conectar tus **propios dispositivos** (la app móvil, otro escritorio) normalmente no necesita un túnel: [vincúlalos](/es/connect-devices/) y deja que el [Private Relay](/es/private-relay/), cifrado de extremo a extremo, se encargue del acceso fuera de casa sin configuración.
 
 ## Requisitos previos
 
@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000
 
 ## Relacionado
 
+- [Conectar un dispositivo](/es/connect-devices/) — vincula tus propios dispositivos sin una URL pública
 - [Seguridad](/es/security/) — protege la interfaz antes de exponerla
 - [Túneles de escritorio](/es/desktop-tunnels/) — configuración de túneles en la app de escritorio sin iniciar desde CLI
 - [PWA y acceso móvil](/es/mobile/) — accede a OpenChamber desde tu teléfono