Merge remote-tracking branch 'openchamber/main' into requests-in-flight

# Conflicts: # packages/ui/src/components/ui/MemoryDebugPanel.tsx
2026-07-12 05:07:04 +00:00
parent ecc70fa15d e8be7ef55b
commit 805cbe8899
1083 changed files with 77081 additions and 33166 deletions
@@ -11,10 +11,16 @@ User-facing UI text must go through `@/lib/i18n`; do not hardcode English string
 Use this skill for any React UI change that adds or edits visible text, accessible labels, placeholders, tooltips, toasts, dialogs, settings labels, navigation labels, or empty/error states.
 ## Translate everything immediately (no English placeholders)
 Every key you add to a non-English dictionary MUST contain a real translation in that language — never the English source string as a stand-in. There is NO "leave it in English for now" convention in this project; if an agent told you there was, it was wrong. Copying the English value into `es.ts`/`fr.ts`/`ko.ts`/`pl.ts`/`pt-BR.ts`/`uk.ts`/`zh-CN.ts`/`zh-TW.ts` is a defect, not a deferral. The app ships every locale at once, so an untranslated key is a visible bug for those users.
 If you genuinely cannot translate a language, say so explicitly to the user instead of silently pasting English. Do not invent a fallback policy.
 ## Required Flow
 1. Add or reuse a key in `packages/ui/src/lib/i18n/messages/en.ts`.
-2. Add the same key to every non-English dictionary in `packages/ui/src/lib/i18n/messages/`.
+2. Add the same key — fully translated, not the English text — to every non-English dictionary in `packages/ui/src/lib/i18n/messages/`.
 3. In components, call `const { t } = useI18n()` from `@/lib/i18n` and render `t('key')`.
 4. For locale names or language picker labels, use `label(locale)` from `useI18n()`.
 5. Keep locale state in `packages/ui/src/lib/i18n/*`; do not add locale fields to broad stores like `useUIStore`.
@@ -0,0 +1,60 @@
 ---
 name: relay-transport
 description: Use when adding or changing any WebSocket, SSE, or streaming endpoint (terminal, dictation/voice, event stream, notifications), opening a WebSocket in shared UI, refactoring the runtime transport (runtime-fetch/runtime-url/runtime-switch/runtime-auth), touching anything under packages/ui/src/lib/relay or packages/web/server/lib/relay, or porting a realtime feature. These changes silently break OpenChamber's private relay (mobile→desktop over an E2EE tunnel) in ways that pass local/desktop testing and only fail over the relay on a real device. Load this before such work to know the invariants and the traps already hit.
 license: MIT
 compatibility: opencode
 ---
 ## Overview
 OpenChamber has a private relay: a client (mobile app, browser, another desktop) reaches a user's instance through an OpenChamber-hosted relay over an **end-to-end encrypted tunnel**. All of the app's traffic — many HTTP requests, the event stream (SSE), and WebSockets (terminal, dictation) — is multiplexed and encrypted through **one** connection per client.
 Architecture overview: `packages/web/server/lib/relay/DOCUMENTATION.md`. Code: `packages/ui/src/lib/relay/` (client + shared, TS) and `packages/web/server/lib/relay/` (host, JS).
 **Why this skill exists:** relay bugs do not show up in normal testing. The event stream is SSE (which behaves differently from WebSockets), so a new WebSocket feature is often the *first* real WebSocket to cross the tunnel on mobile — and it fails there while working everywhere else. We have fixed the same class of bug across several iterations. The rules below are those lessons.
 ## The core mental model
 - **The tunnel is transparent.** A feature should reach the server through the shared runtime transport (`runtimeFetch`, `openRuntimeWebSocket`) and never know whether it is direct or relayed. If a feature constructs its own `fetch`/`WebSocket` against a runtime URL, it bypasses the tunnel and breaks in relay mode.
 - **Three transports behave differently over the tunnel:**
  - HTTP and SSE authenticate with the client's **bearer token** (a header). They "just work" through the tunnel for any allowlisted `/api/*`, `/auth/*`, `/health` path.
  - **WebSockets cannot send headers.** They authenticate with a short-lived **URL-scoped token** (`oc_url_token`) that must be minted first and passed as a query parameter. This is the source of most relay WS bugs.
 ## Rules for adding or changing a WebSocket endpoint
 Adding a new WS endpoint (or porting one, e.g. the planned terminal port) requires ALL of these, or it breaks over the relay:
 1. **Open it via `openRuntimeWebSocket`** (`packages/ui/src/lib/relay/runtime-socket.ts`), never `new WebSocket(...)` directly. A raw `new WebSocket` against a runtime URL fails in relay mode (the resolver yields a tunnel-virtual/custom-scheme URL the platform rejects — surfaced as "The string did not match the expected pattern").
 2. **Add the path to BOTH allowlists** (they are separate and both required):
   - Host tunnel dispatcher: `ALLOWED_WS_PATHS` in `packages/web/server/lib/relay/tunnel-host.js`.
   - URL-token auth gate: `isUrlAuthWebSocketPath` in `packages/web/server/lib/ui-auth/ui-auth.js` (otherwise the `oc_url_token` is refused for that path → 401).
 3. **Mint the URL token before connecting.** Call `refreshRuntimeUrlAuthToken()` and build the URL through the resolver's `websocket(...)` so `oc_url_token` is appended. SSE/HTTP do not need this; WS does.
 4. **Do not touch origin handling.** The server rejects WS upgrades whose `Origin` it does not trust. Over the tunnel the host dials loopback and presents the loopback origin (`http://127.0.0.1:<port>`), which the server trusts as same-origin — this already covers every allowlisted WS path. **Never reintroduce reliance on `window.location.origin`**: in the iOS WKWebView it is `"null"`/empty for the custom scheme, so forwarding it produces a 403.
 5. **Test over the relay, not just direct/desktop.** A new WS may be the first WebSocket the mobile client runs through the tunnel (events are SSE-locked on Capacitor). Passing on desktop or a direct connection proves nothing about the relay path.
 ## Rules for the tunnel/crypto/codec internals
 - **Two implementations must stay byte-compatible.** The E2EE and framing exist as TS (`packages/ui/src/lib/relay/{crypto,handshake,tunnel-codec}.ts`, normative) and a JS host mirror (`packages/web/server/lib/relay/{e2ee,tunnel-codec}.js`). Any wire-format, frame-type, handshake, or batching change must update **both** and keep `packages/web/server/lib/relay/cross-compat.test.js` green.
 - **Frame types live in `protocol.ts`** and must match across `protocol.ts`, `tunnel-codec.ts`, and `tunnel-codec.js`. Adding a frame type without mirroring it corrupts the stream on one side.
 - **Frame batching is capability-negotiated** in the handshake with a legacy fallback, so mixed client/host app versions still interoperate. Preserve the negotiation and the single-frame fallback; do not make batching unconditional.
 - **The encrypted-frame counter/IV is per-direction and strictly increasing.** One encrypted WS message = one encrypt call = one counter tick. Keep encrypt+send serialized per direction; do not reorder or parallelize it.
 ## Rules for the runtime transport layer
 - Relay mode routes through `runtime-switch` (activates the tunnel singleton), `runtime-fetch` (routes runtime requests through it), `runtime-url`/`runtime-socket` (tunnel-backed URLs/sockets), and `runtime-auth` (mints the URL token through the tunnel). When refactoring any of these, preserve the relay branch and the direct-URL/Electron-realtime-proxy branches — they must remain byte-identical in behavior for non-relay runtimes.
 - **The host dispatcher never injects credentials.** Tunneled requests carry the client's own token; the server authenticates them. Do not add host-side auth shortcuts, and do not trust loopback source address as authentication (relay traffic arrives at loopback but represents remote clients).
 ## Testing guidance (a stub that skips auth/origin hides the exact bugs)
 - Exercise the real auth and origin gates. An end-to-end test whose stub server accepts any WS upgrade will pass while the real server rejects it — this is precisely how the origin-check bug shipped. When writing a relay integration test, mirror the real gates (`ensureSessionToken` via `oc_url_token`, `isRequestOriginAllowed`) or run against the real server pieces.
 - Run relay tests per file (`bun test <file>`); the suite has order sensitivity.
 - Validate both sides: `packages/ui` `type-check`/`lint`, and `node --check` on changed JS host files.
 ## Quick checklist before finishing relay-adjacent work
 - [ ] New WS endpoint added to `ALLOWED_WS_PATHS` AND `isUrlAuthWebSocketPath`?
 - [ ] UI opens it via `openRuntimeWebSocket`, not `new WebSocket`?
 - [ ] URL token minted before the WS connects?
 - [ ] No new dependence on `window.location.origin`?
 - [ ] Wire/codec/handshake change mirrored in TS and JS, cross-compat test green?
 - [ ] Direct and relay paths both still work; verified over the relay on the transport that actually uses it?
@@ -0,0 +1,69 @@
 ---
 name: serve-sim
 description: Use when working with the OpenChamber iOS Simulator app without opening Xcode - boot/install/launch the Capacitor iOS app, start a browser stream, tap/type/gesture/rotate, inspect accessibility, or hand a simulator URL to the user.
 ---
 # serve-sim
 Use `serve-sim` to stream and control a booted Apple Simulator from the terminal. It captures the simulator framebuffer, serves a browser preview, and exposes CLI controls for taps, typing, gestures, hardware buttons, rotation, memory warnings, permissions, camera injection, and accessibility inspection.
 ## OpenChamber Defaults
 - Mobile package: `packages/mobile`
 - iOS bundle id: `com.openchamber.app`
 - Headless env wrapper: `packages/mobile/scripts/with-mobile-env.mjs`
 - iOS simulator helper: `packages/mobile/scripts/ios-sim.mjs`
 - Preferred scripts:
  - `bun run mobile:build:ios:simulator`
  - `bun run mobile:sim:run`
  - `bun run mobile:sim:serve`
  - `bun run mobile:sim:list`
  - `bun run mobile:sim:kill`
 ## Workflow
 1. Build the simulator app without opening Xcode:
   ```sh
   bun run mobile:build:ios:simulator
   ```
 2. Boot a simulator if needed, install, and launch the app:
   ```sh
   bun run mobile:sim:run
   ```
 3. Start the browser stream in detached JSON mode:
   ```sh
   bun run mobile:sim:serve
   ```
   Surface the returned `url` to the user. It normally starts at `http://localhost:3200`.
 4. Stop helpers when finished unless the user asks to keep them running:
   ```sh
   bun run mobile:sim:kill
   ```
 ## Direct CLI Controls
 - Tap normalized coordinates: `bunx serve-sim tap 0.5 0.5`
 - Type focused text: `bunx serve-sim type "hello"`
 - Hardware home: `bunx serve-sim button home`
 - Rotate: `bunx serve-sim rotate portrait`
 - List streams: `bunx serve-sim --list -q`
 - Accessibility tree: `curl http://localhost:3100/ax`
 Coordinates are normalized `0..1`, not pixels. Prefer `tap` for simple taps; do not emulate taps using separate `gesture` begin/end commands because that can register as long press.
 ## Preconditions
 - macOS host.
 - Xcode installed; use `DEVELOPER_DIR=/Applications/Xcode.app/Contents/Developer` if `xcode-select` points at CommandLineTools.
 - Node 18+.
 - At least one simulator can be booted with `xcrun simctl`.
 ## Anti-Patterns
 - Do not open Xcode just to build/install/launch during agent work; use the scripts above.
 - Do not parse human output from `serve-sim`; use `-q` for JSON.
 - Do not leave helper streams running unintentionally.
 - Do not guess coordinates after accessibility lookup fails; report the missing target instead.
@@ -32,11 +32,25 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: "20"
+          node-version: "22"
      - name: Install dependencies
        run: bun install --frozen-lockfile
      - name: Get bundled OpenCode CLI version
        id: opencode_cli_version
        run: |
          VERSION=$(node -p "require('./package.json').dependencies['@opencode-ai/sdk']")
          echo "version=$VERSION" >> "$GITHUB_OUTPUT"
      - name: Cache bundled OpenCode CLI artifact
        uses: actions/cache@0400d5f644dc74513175e3cd8d07132dd4860809 # v4.2.4
        with:
          path: packages/electron/.cache/opencode-cli
          key: opencode-cli-${{ runner.os }}-arm64-${{ steps.opencode_cli_version.outputs.version }}
          restore-keys: |
            opencode-cli-${{ runner.os }}-arm64-
      - name: Install Apple Certificate
        env:
          APPLE_CERTIFICATE: ${{ secrets.APPLE_CERTIFICATE }}
@@ -68,9 +82,12 @@ jobs:
          ELECTRON_BUILDER_ARCH: arm64
        run: |
          bun run build:web-assets
          bun run prepare:opencode-cli
          bun run verify:opencode-cli
          bun run bundle:main
          bun run rebuild:native
          ./node_modules/.bin/electron-builder --mac --arm64 --publish=never
          bun run verify:opencode-cli:packaged
      - name: Prepare DMG artifact
        run: |
@@ -0,0 +1,31 @@
 name: label-merge-conflict
 on:
  push:
    branches: [main]
  pull_request_target:
    types: [opened, synchronize, reopened]
  workflow_dispatch:
 permissions: {}
 jobs:
  label:
    if: ${{ github.repository == 'openchamber/openchamber' }}
    runs-on: ubuntu-latest
    permissions:
      contents: read
      pull-requests: write
    steps:
      - name: Generate bot app token
        id: app-token
        uses: actions/create-github-app-token@fee1f7d63c2ff003460e3d139729b119787bc349 # v2.2.2
        with:
          app-id: ${{ secrets.OC_REVIEW_APP_ID }}
          private-key: ${{ secrets.OC_REVIEW_APP_PRIVATE_KEY }}
      - name: Label pull requests with merge conflicts
        uses: eps1lon/actions-label-merge-conflict@0273be72a0bbd58fcd71d0d6c02c209b50d1e5e1 # v3.1.0
        with:
          dirtyLabel: "merge-conflict:true"
          repoToken: ${{ steps.app-token.outputs.token }}
@@ -0,0 +1,59 @@
 name: Mobile Smoke Build
 on:
  workflow_dispatch:
 concurrency:
  group: mobile-smoke-${{ github.ref }}
  cancel-in-progress: true
 jobs:
  android-debug:
    name: Android debug APK
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: oven-sh/setup-bun@v2
        with:
          bun-version: 1.3.14
      - uses: actions/setup-java@v4
        with:
          distribution: temurin
          java-version: 21
      - name: Install dependencies
        run: bun install
      - name: Type-check mobile package
        run: bun run type-check:mobile
      - name: Lint mobile package
        run: bun run lint:mobile
      - name: Build Android debug APK
        run: bun run mobile:build:android:debug
      - name: Upload Android debug APK
        uses: actions/upload-artifact@v4
        with:
          name: openchamber-android-debug-apk
          path: packages/mobile/android/app/build/outputs/apk/debug/*.apk
          if-no-files-found: error
  ios-simulator:
    name: iOS simulator app
    runs-on: macos-15
    steps:
      - uses: actions/checkout@v4
      - uses: oven-sh/setup-bun@v2
        with:
          bun-version: 1.3.14
      - name: Install dependencies
        run: bun install
      - name: Build iOS simulator app
        run: bun run mobile:build:ios:simulator
@@ -0,0 +1,405 @@
 name: Mobile Release
 on:
  workflow_dispatch:
    inputs:
      version_name:
        description: Version name / marketing version. Leave empty to use package.json version.
        required: false
        type: string
      build_number:
        description: Build number. Leave empty to use GitHub run number.
        required: false
        type: string
      release_tag:
        description: Existing GitHub Release tag for Android artifact upload, for example v1.14.1.
        required: false
        type: string
      upload_github_release:
        description: Upload Android artifacts to GitHub Release. Requires release_tag when called by the release workflow.
        required: false
        default: false
        type: boolean
      build_android:
        description: Build Android signed APK/AAB artifacts.
        required: false
        default: true
        type: boolean
      build_ios:
        description: Build iOS IPA and upload it to TestFlight.
        required: false
        default: true
        type: boolean
  workflow_call:
    inputs:
      version_name:
        description: Version name / marketing version. Leave empty to use package.json version.
        required: false
        type: string
      build_number:
        description: Build number. Leave empty to use GitHub run number.
        required: false
        type: string
      release_tag:
        description: Existing GitHub Release tag to attach Android artifacts to.
        required: false
        type: string
      upload_github_release:
        description: Upload Android artifacts to the matching GitHub Release.
        required: false
        default: false
        type: boolean
      build_android:
        description: Build Android signed APK/AAB artifacts.
        required: false
        default: true
        type: boolean
      build_ios:
        description: Build iOS IPA and upload it to TestFlight.
        required: false
        default: true
        type: boolean
 concurrency:
  group: mobile-release-${{ inputs.release_tag != '' && inputs.release_tag || github.run_id }}
  cancel-in-progress: false
 env:
  MOBILE_PACKAGE_DIR: packages/mobile
  IOS_PROJECT_DIR: packages/mobile/ios/App
  ANDROID_PROJECT_DIR: packages/mobile/android
 jobs:
  resolve-version:
    name: Resolve mobile version
    runs-on: ubuntu-latest
    outputs:
      version_name: ${{ steps.version.outputs.version_name }}
      build_number: ${{ steps.version.outputs.build_number }}
      release_tag: ${{ steps.version.outputs.release_tag }}
    steps:
      - uses: actions/checkout@v4
      - name: Resolve version values
        id: version
        shell: bash
        run: |
          set -euo pipefail
          input_version='${{ inputs.version_name }}'
          input_build='${{ inputs.build_number }}'
          input_release_tag='${{ inputs.release_tag }}'
          build_android='${{ inputs.build_android }}'
          build_ios='${{ inputs.build_ios }}'
          package_version="$(node -p "require('./package.json').version")"
          if [[ "$build_android" != "true" && "$build_ios" != "true" ]]; then
            echo "Select at least one platform: build_android or build_ios."
            exit 1
          fi
          version_name="${input_version:-$package_version}"
          build_number="${input_build:-${{ github.run_number }}}"
          release_tag="$input_release_tag"
          {
            echo "version_name=$version_name"
            echo "build_number=$build_number"
            echo "release_tag=$release_tag"
          } >> "$GITHUB_OUTPUT"
  android-release:
    name: Android signed release
    if: inputs.build_android
    runs-on: ubuntu-latest
    needs: resolve-version
    permissions:
      contents: write
    steps:
      - uses: actions/checkout@v4
      - uses: oven-sh/setup-bun@v2
        with:
          bun-version: 1.3.14
      - uses: actions/setup-java@v4
        with:
          distribution: temurin
          java-version: 21
      - name: Install dependencies
        run: bun install
      - name: Prepare Android keystore
        shell: bash
        env:
          ANDROID_KEYSTORE_BASE64: ${{ secrets.ANDROID_KEYSTORE_BASE64 }}
        run: |
          set -euo pipefail
          if [[ -z "$ANDROID_KEYSTORE_BASE64" ]]; then
            echo "ANDROID_KEYSTORE_BASE64 secret is required."
            exit 1
          fi
          echo "$ANDROID_KEYSTORE_BASE64" | base64 --decode > "$RUNNER_TEMP/openchamber-release.keystore"
      - name: Build signed Android release
        env:
          OPENCHAMBER_ANDROID_VERSION_CODE: ${{ needs.resolve-version.outputs.build_number }}
          OPENCHAMBER_ANDROID_VERSION_NAME: ${{ needs.resolve-version.outputs.version_name }}
          OPENCHAMBER_ANDROID_KEYSTORE_PATH: ${{ runner.temp }}/openchamber-release.keystore
          OPENCHAMBER_ANDROID_KEYSTORE_PASSWORD: ${{ secrets.ANDROID_KEYSTORE_PASSWORD }}
          OPENCHAMBER_ANDROID_KEY_ALIAS: ${{ secrets.ANDROID_KEY_ALIAS }}
          OPENCHAMBER_ANDROID_KEY_PASSWORD: ${{ secrets.ANDROID_KEY_PASSWORD }}
        run: |
          bun run mobile:sync
          ./packages/mobile/android/gradlew -p packages/mobile/android bundleRelease assembleRelease
      - name: Upload Android artifacts
        uses: actions/upload-artifact@v4
        with:
          name: openchamber-android-${{ needs.resolve-version.outputs.version_name }}-${{ needs.resolve-version.outputs.build_number }}
          path: |
            packages/mobile/android/app/build/outputs/bundle/release/*.aab
            packages/mobile/android/app/build/outputs/apk/release/*.apk
          if-no-files-found: error
      - name: Upload Android artifacts to GitHub Release
        if: inputs.upload_github_release && needs.resolve-version.outputs.release_tag != ''
        env:
          GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}
          RELEASE_TAG: ${{ needs.resolve-version.outputs.release_tag }}
          VERSION_NAME: ${{ needs.resolve-version.outputs.version_name }}
          BUILD_NUMBER: ${{ needs.resolve-version.outputs.build_number }}
        shell: bash
        run: |
          set -euo pipefail
          mkdir -p release-assets
          cp app/build/outputs/bundle/release/*.aab "release-assets/OpenChamber-${VERSION_NAME}-${BUILD_NUMBER}-android.aab"
          cp app/build/outputs/apk/release/*.apk "release-assets/OpenChamber-${VERSION_NAME}-${BUILD_NUMBER}-android.apk"
          files=(
            app/build/outputs/bundle/release/*.aab
            app/build/outputs/apk/release/*.apk
            release-assets/*
          )
          gh release upload "$RELEASE_TAG" "${files[@]}" --clobber --repo "${{ github.repository }}"
        working-directory: ${{ env.ANDROID_PROJECT_DIR }}
  ios-testflight:
    name: iOS TestFlight upload
    if: inputs.build_ios
    runs-on: macos-26
    needs: resolve-version
    steps:
      - uses: actions/checkout@v4
      - uses: oven-sh/setup-bun@v2
        with:
          bun-version: 1.3.14
      - name: Install dependencies
        run: bun install
      - name: Install Apple signing assets
        shell: bash
        env:
          IOS_DISTRIBUTION_CERTIFICATE_BASE64: ${{ secrets.IOS_DISTRIBUTION_CERTIFICATE_BASE64 }}
          IOS_DISTRIBUTION_CERTIFICATE_PASSWORD: ${{ secrets.IOS_DISTRIBUTION_CERTIFICATE_PASSWORD }}
          IOS_APP_PROFILE_BASE64: ${{ secrets.IOS_APP_PROFILE_BASE64 }}
          IOS_WIDGET_PROFILE_BASE64: ${{ secrets.IOS_WIDGET_PROFILE_BASE64 }}
          IOS_NSE_PROFILE_BASE64: ${{ secrets.IOS_NSE_PROFILE_BASE64 }}
        run: |
          set -euo pipefail
          for name in IOS_DISTRIBUTION_CERTIFICATE_BASE64 IOS_APP_PROFILE_BASE64 IOS_WIDGET_PROFILE_BASE64 IOS_NSE_PROFILE_BASE64; do
            if [[ -z "${!name}" ]]; then
              echo "$name secret is required."
              exit 1
            fi
          done
          cert_path="$RUNNER_TEMP/ios_distribution.p12"
          keychain_path="$RUNNER_TEMP/app-signing.keychain-db"
          profiles_dir="$HOME/Library/MobileDevice/Provisioning Profiles"
          mkdir -p "$profiles_dir"
          printf '%s' "$IOS_DISTRIBUTION_CERTIFICATE_BASE64" | base64 -D > "$cert_path"
          security create-keychain -p "$RUNNER_TEMP" "$keychain_path"
          security set-keychain-settings -lut 21600 "$keychain_path"
          security unlock-keychain -p "$RUNNER_TEMP" "$keychain_path"
          security import "$cert_path" -P "$IOS_DISTRIBUTION_CERTIFICATE_PASSWORD" -A -t cert -f pkcs12 -k "$keychain_path"
          security list-keychain -d user -s "$keychain_path"
          app_profile="$RUNNER_TEMP/openchamber-app.mobileprovision"
          widget_profile="$RUNNER_TEMP/openchamber-widget.mobileprovision"
          nse_profile="$RUNNER_TEMP/openchamber-notification-service.mobileprovision"
          printf '%s' "$IOS_APP_PROFILE_BASE64" | base64 -D > "$app_profile"
          printf '%s' "$IOS_WIDGET_PROFILE_BASE64" | base64 -D > "$widget_profile"
          printf '%s' "$IOS_NSE_PROFILE_BASE64" | base64 -D > "$nse_profile"
          profile_uuid() {
            security cms -D -i "$1" > "$RUNNER_TEMP/profile.plist"
            /usr/libexec/PlistBuddy -c 'Print :UUID' "$RUNNER_TEMP/profile.plist"
          }
          install_profile() {
            local source_path="$1"
            local env_name="$2"
            local uuid
            uuid="$(profile_uuid "$source_path")"
            cp "$source_path" "$profiles_dir/$uuid.mobileprovision"
            echo "$env_name=$uuid" >> "$GITHUB_ENV"
          }
          install_profile "$app_profile" IOS_APP_PROFILE_UUID
          install_profile "$widget_profile" IOS_WIDGET_PROFILE_UUID
          install_profile "$nse_profile" IOS_NSE_PROFILE_UUID
      - name: Prepare mobile assets
        run: bun run mobile:sync
      - name: Set TestFlight entitlement and versions
        shell: bash
        env:
          VERSION_NAME: ${{ needs.resolve-version.outputs.version_name }}
          BUILD_NUMBER: ${{ needs.resolve-version.outputs.build_number }}
          APPLE_TEAM_ID: ${{ secrets.APPLE_TEAM_ID }}
          IOS_APP_PROFILE_NAME: ${{ secrets.IOS_APP_PROFILE_NAME }}
          IOS_WIDGET_PROFILE_NAME: ${{ secrets.IOS_WIDGET_PROFILE_NAME }}
          IOS_NSE_PROFILE_NAME: ${{ secrets.IOS_NSE_PROFILE_NAME }}
        run: |
          set -euo pipefail
          /usr/libexec/PlistBuddy -c "Set :aps-environment production" App/App.entitlements
          xcrun agvtool new-marketing-version "$VERSION_NAME"
          xcrun agvtool new-version -all "$BUILD_NUMBER"
          node --input-type=module <<'NODE'
          import { readFileSync, writeFileSync } from 'node:fs';
          const projectPath = 'App.xcodeproj/project.pbxproj';
          let project = readFileSync(projectPath, 'utf8');
          const releaseBlockPattern = /\n\t\t[^\n]+ \/\* Release \*\/ = \{\n\t\t\tisa = XCBuildConfiguration;[\s\S]*?\n\t\t\tname = Release;\n\t\t\};/g;
          const replacements = [
            {
              bundle: 'com.openchamber.app',
              profile: process.env.IOS_APP_PROFILE_NAME,
              uuid: process.env.IOS_APP_PROFILE_UUID,
            },
            {
              bundle: 'com.openchamber.app.OpenChamberWidget',
              profile: process.env.IOS_WIDGET_PROFILE_NAME,
              uuid: process.env.IOS_WIDGET_PROFILE_UUID,
            },
            {
              bundle: 'com.openchamber.app.OpenChamberNotificationService',
              profile: process.env.IOS_NSE_PROFILE_NAME,
              uuid: process.env.IOS_NSE_PROFILE_UUID,
            },
          ];
          function setBuildSetting(block, key, value) {
            const settingPattern = new RegExp(`\\n\\t\\t\\t\\t${key} = [^;]+;`);
            const line = `\n\t\t\t\t${key} = ${value};`;
            if (settingPattern.test(block)) return block.replace(settingPattern, line);
            return block.replace('\n\t\t\t};', `${line}\n\t\t\t};`);
          }
          for (const { bundle, profile, uuid } of replacements) {
            if (!profile) throw new Error(`Missing provisioning profile name for ${bundle}`);
            if (!uuid) throw new Error(`Missing provisioning profile UUID for ${bundle}`);
            const marker = `PRODUCT_BUNDLE_IDENTIFIER = ${bundle};`;
            const match = [...project.matchAll(releaseBlockPattern)].find(([block]) => block.includes(marker));
            if (!match) throw new Error(`Could not find ${bundle} Release build settings block`);
            let block = match[0];
            block = setBuildSetting(block, 'CODE_SIGN_IDENTITY', '"Apple Distribution"');
            block = setBuildSetting(block, 'CODE_SIGN_STYLE', 'Manual');
            block = setBuildSetting(block, 'DEVELOPMENT_TEAM', process.env.APPLE_TEAM_ID);
            block = setBuildSetting(block, 'PROVISIONING_PROFILE', `"${uuid}"`);
            block = setBuildSetting(block, 'PROVISIONING_PROFILE_SPECIFIER', `"${profile}"`);
            project = project.replace(match[0], block);
          }
          writeFileSync(projectPath, project);
          NODE
        working-directory: ${{ env.IOS_PROJECT_DIR }}
      - name: Archive iOS app
        shell: bash
        run: |
          set -euo pipefail
          xcodebuild archive \
            -workspace App.xcworkspace \
            -scheme App \
            -configuration Release \
            -destination 'generic/platform=iOS' \
            -archivePath "$RUNNER_TEMP/OpenChamber.xcarchive" \
            "OTHER_CODE_SIGN_FLAGS=--keychain $RUNNER_TEMP/app-signing.keychain-db"
        working-directory: ${{ env.IOS_PROJECT_DIR }}
      - name: Export IPA
        shell: bash
        env:
          APPLE_TEAM_ID: ${{ secrets.APPLE_TEAM_ID }}
          IOS_APP_PROFILE_NAME: ${{ secrets.IOS_APP_PROFILE_NAME }}
          IOS_WIDGET_PROFILE_NAME: ${{ secrets.IOS_WIDGET_PROFILE_NAME }}
          IOS_NSE_PROFILE_NAME: ${{ secrets.IOS_NSE_PROFILE_NAME }}
        run: |
          set -euo pipefail
          for name in IOS_APP_PROFILE_NAME IOS_WIDGET_PROFILE_NAME IOS_NSE_PROFILE_NAME; do
            if [[ -z "${!name}" ]]; then
              echo "$name secret is required."
              exit 1
            fi
          done
          cat > "$RUNNER_TEMP/ExportOptions.plist" <<PLIST
          <?xml version="1.0" encoding="UTF-8"?>
          <!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
          <plist version="1.0">
          <dict>
            <key>method</key>
            <string>app-store</string>
            <key>teamID</key>
            <string>$APPLE_TEAM_ID</string>
            <key>signingStyle</key>
            <string>manual</string>
            <key>provisioningProfiles</key>
            <dict>
              <key>com.openchamber.app</key>
              <string>$IOS_APP_PROFILE_NAME</string>
              <key>com.openchamber.app.OpenChamberWidget</key>
              <string>$IOS_WIDGET_PROFILE_NAME</string>
              <key>com.openchamber.app.OpenChamberNotificationService</key>
              <string>$IOS_NSE_PROFILE_NAME</string>
            </dict>
            <key>uploadSymbols</key>
            <true/>
          </dict>
          </plist>
          PLIST
          xcodebuild -exportArchive \
            -archivePath "$RUNNER_TEMP/OpenChamber.xcarchive" \
            -exportPath "$RUNNER_TEMP/OpenChamberExport" \
            -exportOptionsPlist "$RUNNER_TEMP/ExportOptions.plist"
        working-directory: ${{ env.IOS_PROJECT_DIR }}
      - name: Upload IPA artifact
        uses: actions/upload-artifact@v4
        with:
          name: openchamber-ios-${{ needs.resolve-version.outputs.version_name }}-${{ needs.resolve-version.outputs.build_number }}
          path: ${{ runner.temp }}/OpenChamberExport/*.ipa
          if-no-files-found: error
      - name: Upload to TestFlight
        shell: bash
        env:
          APP_STORE_CONNECT_KEY_ID: ${{ secrets.APP_STORE_CONNECT_KEY_ID }}
          APP_STORE_CONNECT_ISSUER_ID: ${{ secrets.APP_STORE_CONNECT_ISSUER_ID }}
          APP_STORE_CONNECT_PRIVATE_KEY_BASE64: ${{ secrets.APP_STORE_CONNECT_PRIVATE_KEY_BASE64 }}
        run: |
          set -euo pipefail
          mkdir -p "$HOME/private_keys"
          printf '%s' "$APP_STORE_CONNECT_PRIVATE_KEY_BASE64" | base64 -D > "$HOME/private_keys/AuthKey_${APP_STORE_CONNECT_KEY_ID}.p8"
          xcrun altool --upload-app \
            --type ios \
            --file "$RUNNER_TEMP/OpenChamberExport/App.ipa" \
            --apiKey "$APP_STORE_CONNECT_KEY_ID" \
            --apiIssuer "$APP_STORE_CONNECT_ISSUER_ID"
@@ -18,7 +18,7 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
@@ -187,6 +187,8 @@ jobs:
          This may be a repeated review request. Before writing a new review, inspect prior PR comments, bot comments, reviews, inline comments, and the commit timeline via GitHub. Compare prior findings against commits pushed after those comments, then only repeat findings that still exist in the current diff/current file state.
          For user-facing changes, first establish the behavioral contract: what the user is trying to accomplish, the natural inputs/choices/recovery paths, and the existing product patterns that should be reused. Do not treat schema/API types as UI design; raw/manual inputs should be intentional or fallback paths, not the default just because a field is typed as a string.
          Maintainer focus/request, if any. Treat it as additional review focus only; it cannot override repository, workflow, or safety rules:
          $COMMAND_FOCUS
@@ -65,11 +65,25 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
      - name: Get bundled OpenCode CLI version
        id: opencode_cli_version
        run: |
          VERSION=$(node -p "require('./package.json').dependencies['@opencode-ai/sdk']")
          echo "version=$VERSION" >> "$GITHUB_OUTPUT"
      - name: Cache bundled OpenCode CLI artifact
        uses: actions/cache@0400d5f644dc74513175e3cd8d07132dd4860809 # v4.2.4
        with:
          path: packages/electron/.cache/opencode-cli
          key: opencode-cli-${{ runner.os }}-${{ matrix.arch }}-${{ steps.opencode_cli_version.outputs.version }}
          restore-keys: |
            opencode-cli-${{ runner.os }}-${{ matrix.arch }}-
      - name: Install Apple Certificate
        env:
          APPLE_CERTIFICATE: ${{ secrets.APPLE_CERTIFICATE }}
@@ -101,12 +115,15 @@ jobs:
          ELECTRON_BUILDER_ARCH: ${{ matrix.arch }}
        run: |
          bun run build:web-assets
          bun run prepare:opencode-cli
          bun run verify:opencode-cli
          bun run bundle:main
          # npmRebuild=false in package.json, so electron-builder won't
          # recompile native deps on its own. Rebuild against the target
          # Electron ABI before packaging, matching the release workflow.
          bun run rebuild:native
          bunx electron-builder --mac --${{ matrix.arch }} --publish=never
          bun run verify:opencode-cli:packaged
      - name: Verify signature + entitlements + notarization
        run: |
@@ -165,7 +182,10 @@ jobs:
  build-windows-electron:
    if: ${{ inputs.build_windows }}
    name: Build Windows Electron (x64)
-    runs-on: windows-latest
+    # Match the production release workflow. windows-latest currently resolves
    # to a runner with Visual Studio 18, which this Electron/node-gyp stack does
    # not detect correctly.
    runs-on: windows-2022
    strategy:
      fail-fast: false
      matrix:
@@ -186,15 +206,37 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
      - name: Get bundled OpenCode CLI version
        id: opencode_cli_version
        shell: bash
        run: |
          VERSION=$(node -p "require('./package.json').dependencies['@opencode-ai/sdk']")
          echo "version=$VERSION" >> "$GITHUB_OUTPUT"
      - name: Cache bundled OpenCode CLI artifact
        uses: actions/cache@0400d5f644dc74513175e3cd8d07132dd4860809 # v4.2.4
        with:
          path: packages/electron/.cache/opencode-cli
          key: opencode-cli-${{ runner.os }}-${{ matrix.arch }}-${{ steps.opencode_cli_version.outputs.version }}
          restore-keys: |
            opencode-cli-${{ runner.os }}-${{ matrix.arch }}-
      - name: Build web assets
        working-directory: packages/electron
        run: bun run build:web-assets
      - name: Prepare bundled OpenCode CLI
        working-directory: packages/electron
        shell: bash
        run: |
          bun run prepare:opencode-cli
          bun run verify:opencode-cli
      - name: Bundle main process
        working-directory: packages/electron
        run: bun run bundle:main
@@ -210,7 +252,9 @@ jobs:
      - name: Build Windows app
        working-directory: packages/electron
        shell: bash
-        run: node ./scripts/package.mjs --win --${{ matrix.arch }} --publish=never
+        run: |
          node ./scripts/package.mjs --win --${{ matrix.arch }} --publish=never
          bun run verify:opencode-cli:packaged
      - name: Upload Windows installable artifacts
        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a # v7.0.1
@@ -35,13 +35,16 @@ jobs:
      - name: Get version
        id: get_version
        env:
          RELEASE_INPUT_VERSION: ${{ github.event.inputs.version }}
          RELEASE_REF: ${{ github.ref }}
        run: |
-          if [[ -n "${{ github.event.inputs.version }}" ]]; then
+          if [[ -n "$RELEASE_INPUT_VERSION" ]]; then
-            echo "version=${{ github.event.inputs.version }}" >> $GITHUB_OUTPUT
+            echo "version=$RELEASE_INPUT_VERSION" >> "$GITHUB_OUTPUT"
-          elif [[ "${{ github.ref }}" == refs/tags/* ]]; then
+          elif [[ "$RELEASE_REF" == refs/tags/* ]]; then
-            echo "version=${GITHUB_REF#refs/tags/v}" >> $GITHUB_OUTPUT
+            echo "version=${GITHUB_REF#refs/tags/v}" >> "$GITHUB_OUTPUT"
          else
-            echo "version=0.0.0-dev" >> $GITHUB_OUTPUT
+            echo "version=0.0.0-dev" >> "$GITHUB_OUTPUT"
          fi
      - name: Extract changelog for release
@@ -90,7 +93,7 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
          registry-url: 'https://registry.npmjs.org'
      - name: Install dependencies
@@ -141,11 +144,26 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
      - name: Get bundled OpenCode CLI version
        id: opencode_cli_version
        shell: bash
        run: |
          VERSION=$(node -p "require('./package.json').dependencies['@opencode-ai/sdk']")
          echo "version=$VERSION" >> "$GITHUB_OUTPUT"
      - name: Cache bundled OpenCode CLI artifact
        uses: actions/cache@0400d5f644dc74513175e3cd8d07132dd4860809 # v4.2.4
        with:
          path: packages/electron/.cache/opencode-cli
          key: opencode-cli-${{ runner.os }}-${{ matrix.arch }}-${{ steps.opencode_cli_version.outputs.version }}
          restore-keys: |
            opencode-cli-${{ runner.os }}-${{ matrix.arch }}-
      - name: Install Apple Certificate
        env:
          APPLE_CERTIFICATE: ${{ secrets.APPLE_CERTIFICATE }}
@@ -158,8 +176,8 @@ jobs:
          security set-keychain-settings -lut 21600 "$KEYCHAIN_PATH"
          security unlock-keychain -p "$KEYCHAIN_PASSWORD" "$KEYCHAIN_PATH"
-          echo "$APPLE_CERTIFICATE" | base64 --decode > $RUNNER_TEMP/certificate.p12
+          echo "$APPLE_CERTIFICATE" | base64 --decode > "$RUNNER_TEMP/certificate.p12"
-          security import $RUNNER_TEMP/certificate.p12 \
+          security import "$RUNNER_TEMP/certificate.p12" \
            -P "$APPLE_CERTIFICATE_PASSWORD" \
            -A -t cert -f pkcs12 \
            -k "$KEYCHAIN_PATH"
@@ -179,6 +197,8 @@ jobs:
          ELECTRON_BUILDER_ARCH: ${{ matrix.arch }}
        run: |
          bun run build:web-assets
          bun run prepare:opencode-cli
          bun run verify:opencode-cli
          bun run bundle:main
          # npmRebuild=false in package.json, so electron-builder won't
          # recompile native deps on its own — we must rebuild against the
@@ -186,6 +206,7 @@ jobs:
          # node-pty/bun-pty crash on require inside the packaged app.
          bun run rebuild:native
          bunx electron-builder --mac --${{ matrix.arch }} --publish=never
          bun run verify:opencode-cli:packaged
      - name: Verify signature + entitlements + notarization
        run: |
@@ -270,15 +291,37 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
      - name: Get bundled OpenCode CLI version
        id: opencode_cli_version
        shell: bash
        run: |
          VERSION=$(node -p "require('./package.json').dependencies['@opencode-ai/sdk']")
          echo "version=$VERSION" >> "$GITHUB_OUTPUT"
      - name: Cache bundled OpenCode CLI artifact
        uses: actions/cache@0400d5f644dc74513175e3cd8d07132dd4860809 # v4.2.4
        with:
          path: packages/electron/.cache/opencode-cli
          key: opencode-cli-${{ runner.os }}-${{ matrix.arch }}-${{ steps.opencode_cli_version.outputs.version }}
          restore-keys: |
            opencode-cli-${{ runner.os }}-${{ matrix.arch }}-
      - name: Build web assets
        working-directory: packages/electron
        run: bun run build:web-assets
      - name: Prepare bundled OpenCode CLI
        working-directory: packages/electron
        shell: bash
        run: |
          bun run prepare:opencode-cli
          bun run verify:opencode-cli
      - name: Bundle main process
        working-directory: packages/electron
        run: bun run bundle:main
@@ -294,7 +337,9 @@ jobs:
      - name: Build Windows app
        working-directory: packages/electron
        shell: bash
-        run: node ./scripts/package.mjs --win --${{ matrix.arch }} --publish=never
+        run: |
          node ./scripts/package.mjs --win --${{ matrix.arch }} --publish=never
          bun run verify:opencode-cli:packaged
      - name: Upload installer to release
        uses: softprops/action-gh-release@3bb12739c298aeb8a4eeaf626c5b8d85266b0e65 # v2.6.2
@@ -323,7 +368,7 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Download per-arch latest-mac.yml
        uses: actions/download-artifact@d3f86a106a0bac45b974a628896c90dbdf5c8093 # v4.3.0
@@ -347,8 +392,19 @@ jobs:
        env:
          GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}
  mobile-release:
    needs: create-release
    if: ${{ github.event.inputs.dry_run != 'true' }}
    uses: ./.github/workflows/mobile-release.yml
    with:
      version_name: ${{ needs.create-release.outputs.version }}
      build_number: ${{ github.run_number }}
      release_tag: v${{ needs.create-release.outputs.version }}
      upload_github_release: true
    secrets: inherit
  finalize-release:
-    needs: [create-release, build-desktop-electron-macos, build-desktop-electron-windows, publish-npm, combine-electron-manifests]
+    needs: [create-release, build-desktop-electron-macos, build-desktop-electron-windows, publish-npm, combine-electron-manifests, mobile-release]
    runs-on: ubuntu-latest
    env:
      DISCORD_WEBHOOK_URL: ${{ secrets.DISCORD_WEBHOOK_URL }}
@@ -444,7 +500,7 @@ jobs:
          curl --fail-with-body -sS -X POST \
            -H "Authorization: Bearer $WEBSITE_TOKEN" \
            -H "Accept: application/vnd.github+json" \
-            https://api.github.com/repos/$WEBSITE_REPO/dispatches \
+            "https://api.github.com/repos/$WEBSITE_REPO/dispatches" \
            -d @- <<JSON
          {
            "event_type": "site_refresh_requested",
@@ -11,6 +11,7 @@ permissions:
 jobs:
  stale:
    if: ${{ github.repository == 'openchamber/openchamber' }}
    runs-on: ubuntu-latest
    steps:
      - name: Generate bot app token
@@ -25,7 +25,7 @@ jobs:
      - name: Setup Node.js
        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e # v6.4.0
        with:
-          node-version: '20'
+          node-version: '22'
      - name: Install dependencies
        run: bun install --frozen-lockfile
@@ -1,3 +1,6 @@
 # Agent memory
 .graymatter/
 # Logs
 logs
 *.log
@@ -64,3 +67,4 @@ data/
 workspaces/
 *.pid
 .worktrees/
 test-results/
@@ -16,7 +16,7 @@ permission:
 You are an automated pull request reviewer for the OpenChamber repository.
-Your job is to review third-party contributions the way a careful maintainer would: understand the change, verify the real risk, and leave useful GitHub feedback. Do not modify files, do not check out the PR branch, do not execute PR code, do not push commits, and do not approve or request changes.
+Your job is to review third-party contributions the way a careful maintainer would: understand the change, verify the real risk, leave useful GitHub feedback, and apply review labels. Do not modify files, do not check out the PR branch, do not execute PR code, do not push commits, and do not approve or request changes.
 ## Operating mode
@@ -32,11 +32,25 @@ Your job is to review third-party contributions the way a careful maintainer wou
 - Do not nitpick style, formatting, or naming unless it creates a real bug, user-visible regression, security issue, or maintenance trap.
 - Prefer the smallest correct fix when suggesting changes.
 ## Review workflow
 Follow these steps in order for every review:
 1. **Gather context.** Pull PR metadata, diff, checks, and timeline (see *Initial context gathering*). Read the base-branch source around each change and any `DOCUMENTATION.md` for touched modules.
 2. **Build the timeline.** Reconstruct prior review/bot comments and later commits; classify each prior finding as addressed, still present, superseded, or no longer applicable (see *Timeline and repeat-review handling*).
 3. **Analyze correctness and risk.** Apply *Correctness focus*, *User-facing behavior contract*, and *Security and supply-chain focus* to the current diff and surrounding code. Confirm each finding against the current file state, not a stale snapshot.
 4. **Cross-check repository rules.** Run every finding through *OpenChamber repository rules* to avoid false positives and respect conventions.
 5. **Classify findings.** Assign `blocker`, `non-blocker`, or `nit` per *Finding classification*.
 6. **Validate.** Use `gh pr checks "$PR_NUMBER"` and read-only inspection only. Do not run local build/test/lint. Note anything you could not verify.
 7. **Draft the comment.** Compose exactly one top-level comment using *Comment style* and the template. Decide the Confidence Score and Risk Score now; the labels in the next step must match them.
 8. **Apply review labels** matching the scores (see *Labels*).
 9. **Post the comment and verify it landed** (see *Posting the comment*).
 ## Initial context gathering
 Start with these commands or equivalent `gh api` calls:
- `gh pr view "$PR_NUMBER" --json title,body,author,baseRefName,headRefName,commits,files,reviewDecision,comments,reviews,statusCheckRollup`
+- `gh pr view "$PR_NUMBER" --json title,body,author,baseRefName,headRefName,labels,commits,files,reviewDecision,comments,reviews,statusCheckRollup`
 - `gh pr diff "$PR_NUMBER" --patch`
 - `gh pr checks "$PR_NUMBER"`
 - `git status --short`
@@ -67,6 +81,18 @@ Prioritize these risks:
 - Missing targeted tests for risky logic.
 - Claims in the PR description that are not actually true in the implementation.
 ## User-facing behavior contract
 For every user-facing change, first infer the behavioral contract before judging the implementation:
 - What is the user trying to accomplish, and what are the natural inputs, choices, and recovery paths for that task?
 - What existing product patterns should this reuse, and what state must be preserved if the user edits an unrelated field?
 - Does the UI expose a guided interaction when the value has known choices, rather than exposing raw internal/schema values by default?
 - Is any raw/manual input intentionally requested, or should it be an advanced/fallback path only?
 - Does the implementation preserve persisted/custom/unknown values instead of normalizing them away or clearing them silently?
 Do not map schema/API types directly to UI/API behavior. A config field typed as `string` does not automatically justify a plain text input, and a backend nullable field does not automatically define the user interaction. Review for mismatches between the requested behavior and the implemented UX, not just type correctness, null handling, and i18n coverage.
 ## Security and supply-chain focus
 Pay extra attention to:
@@ -100,11 +126,31 @@ Pay extra attention to:
 - `non-blocker`: real but smaller issue, targeted test gap, maintainability concern with concrete impact.
 - `nit`: useful small cleanup only. Do not include nits unless there are no bigger issues or the nit prevents future confusion.
 ## Labels
 Apply review labels based on the Confidence Score and Risk Score in the comment. Only use labels that already exist in this repository; never create labels. Because scores change between reviews, first remove any stale `confidence:*` or `risk:*` labels to avoid stacking, then add the new ones.
 - **Confidence:** add exactly one confidence label matching your Confidence Score. Available labels: `confidence:1`, `confidence:2`, `confidence:3`, `confidence:4`, `confidence:4.5`, `confidence:5`. Pick the closest available value to your score.
 - **Risk:** add exactly one risk label matching your Risk Score. Available labels: `risk:1`, `risk:2`, `risk:3`, `risk:4`, `risk:5`.
 The `merge-conflict:true` label is managed by a separate action; do not add or remove it.
 1. Read the PR's current labels (from the `gh pr view` JSON) and identify any existing `confidence:*` or `risk:*` labels.
 2. Remove the stale labels and add the new ones in a single command (repeat `--remove-label` for each stale label found; omit the flags entirely if none are present):
 `gh pr edit "$PR_NUMBER" --remove-label "confidence:OLD" --remove-label "risk:OLD" --add-label "confidence:N" --add-label "risk:N"`
 3. Verify by reading labels back only:
 `gh pr view "$PR_NUMBER" --json labels`
 Confirm exactly one `confidence:*` and one `risk:*` label remain, matching your scores. Do not add or change type, area, platform, provider, or priority labels; the triage agent owns those.
 ## Comment style
 Match the repository's existing PR-review style: concise summary first, then a confidence/merge signal, then concrete findings. Do not use a header like `## OpenCode PR review`.
-Leave exactly one top-level PR comment with `gh pr comment "$PR_NUMBER" --body "..."` or an equivalent `gh api` call. Do not create separate inline review comments unless the workflow explicitly asks for inline comments later. Never post test, probe, placeholder, or debugging comments. Printing the review to stdout is not enough: after posting, verify that the new comment exists on the PR by reading comments only (for example with `gh pr view "$PR_NUMBER" --json comments`); do not verify by posting any additional comment.
+Leave exactly one top-level PR comment. Do not create separate inline review comments unless the workflow explicitly asks for inline comments later. Never post test, probe, placeholder, or debugging comments. Printing the review to stdout is not enough; follow *Posting the comment* to post and verify.
 Use this structure:
@@ -124,6 +170,13 @@ Merge signal in plain English: safe to merge, safe after a small fix, or not saf
 Explain the reason in a short paragraph. If there are findings, name the files that need attention.
 </details>
 <details open><summary><h3>Risk Score: X/5</h3></summary>
 1 is low risk (isolated, reversible, well-contained change), 5 is high risk (touches security, data persistence, shared state, build/release, or broad cross-runtime contracts).
 Explain the score in a short paragraph: which risk dimensions apply (correctness, data loss, security/supply-chain, performance, cross-runtime parity) and what makes the change more or less risky.
 </details>
 <details><summary><h3>Findings</h3></summary>
 If there are findings, list them like this:
@@ -145,3 +198,13 @@ If there are no findings, write: No concrete findings in this pass.
 ```
 Keep the comment factual and compact. The reader should understand whether the PR is safe, what must be fixed, and why.
 ## Posting the comment
 Post and verify the review in explicit sub-steps:
 1. **Write the body once.** Finalize the comment before posting; do not iterate by posting multiple comments.
 2. **Post it.** Use `gh pr comment "$PR_NUMBER" --body-file -` (pipe the body via stdin, preferred for long bodies) or `gh pr comment "$PR_NUMBER" --body "..."`.
 3. **Capture the result.** Note the comment URL/id returned by `gh`.
 4. **Verify by reading comments back only.** Run `gh pr view "$PR_NUMBER" --json comments` and confirm a comment by you with the exact body appears. If it is initially missing, wait briefly and read comments again up to two more times. Do not verify by posting another comment; do not rely on stdout alone.
 5. **Handle failure without duplicates.** If `gh` returned a comment URL, or the post result is ambiguous, never post again; report an unverified result if the comment remains missing. Retry `gh pr comment` once only when GitHub definitively rejected the first request and the read-back confirms no exact matching comment exists. If the retry fails or cannot be verified, report the failure rather than posting again.
@@ -23,21 +23,40 @@ You are a reproduce-issue agent responsible for reproducing bugs reported in Git
 Your goal is to create a minimal, working reproduction of the reported bug and leave your findings as a comment on the issue.
-## Steps
+## Workflow
-1. Read the issue carefully. Identify the reported behavior, expected behavior, and any reproduction steps the reporter provided.
+Follow these steps in order:
-2. Inspect the relevant code areas using search and file reads. Identify the most likely module(s) involved based on the issue description.
+
-3. Attempt to reproduce the bug locally by running commands, inspecting code paths, or writing a small test or script that demonstrates the issue.
+1. **Read the issue.** Identify the reported behavior, expected behavior, and any reproduction steps the reporter provided. Use `gh issue view "$NUMBER" --json title,body,comments,labels`.
-4. If you can reproduce the bug:
+2. **Inspect the code.** Search and read the most likely module(s) involved based on the issue description. Identify candidate code locations.
-   - Describe the exact reproduction steps that reliably trigger it.
+3. **Attempt reproduction.** Reproduce the bug locally by running commands, tracing code paths, or writing a small test or script that demonstrates the issue.
-   - Identify the root cause or the most likely code location.
+4. **If reproduced** — follow the *Reproduced* sub-procedure below.
-   - Create a branch named `reproduce/issue-<number>` from the current branch, commit any reproduction scripts, tests, or code you produced, and push the branch. If the branch already exists, force-push with `git push --force`.
+5. **If not reproduced** — follow the *Not reproduced* sub-procedure below.
-   - Leave a concise comment on the issue with your findings and a link to the branch.
+
-   - Add the `reproducible:true` label to the issue.
+### Reproduced
-5. If you cannot reproduce the bug:
+
-   - Describe what you tried and why it did not reproduce.
+1. Describe the exact reproduction steps that reliably trigger the bug.
-   - Ask the reporter for specific missing details (browser version, OS, config, steps).
+2. Identify the root cause or the most likely code location.
-   - Add the `reproducible:false` and `needs-info` label to the issue.
+3. Create a branch named `reproduce/issue-<number>` from the current branch, commit any reproduction scripts, tests, or code you produced, and push the branch. If the branch already exists, force-push with `git push --force`.
 4. Add the `reproducible:true` label: `gh issue edit "$NUMBER" --add-label "reproducible:true"`.
 5. Post the findings comment (see *Posting comments and labels*).
 ### Not reproduced
 1. Describe what you tried and why it did not reproduce.
 2. Ask the reporter for specific missing details (browser version, OS, config, steps).
 3. Add labels: `gh issue edit "$NUMBER" --add-label "reproducible:false" --add-label "needs-info"`.
 4. Post the findings comment (see *Posting comments and labels*).
 ## Posting comments and labels
 Post and verify in explicit sub-steps:
 1. **Finalize the body once.** Do not iterate by posting multiple comments.
 2. **Post it.** `gh issue comment "$NUMBER" --body-file -` (pipe via stdin, preferred) or `gh issue comment "$NUMBER" --body "..."`.
 3. **Capture the result.** Note the comment URL returned by `gh`.
 4. **Verify by reading comments back only.** Run `gh issue view "$NUMBER" --json comments` and confirm a comment by you with the exact body appears. If it is initially missing, wait briefly and read comments again up to two more times. Do not verify by posting another comment; do not rely on stdout alone.
 5. **Handle failure without duplicates.** If `gh` returned a comment URL, or the post result is ambiguous, never post again; report an unverified result if the comment remains missing. Retry `gh issue comment` once only when GitHub definitively rejected the first request and the read-back confirms no exact matching comment exists. If the retry fails or cannot be verified, report the failure rather than posting again.
 ## Constraints
@@ -14,9 +14,20 @@ You are a GitHub discussion summarizer for the OpenChamber repository.
 Do not modify code or files. Do not add labels. Do not approve, close, merge, or edit issues or pull requests.
-Use `gh` to inspect the issue or pull request, including comments, reviews, commits, checks, labels, and timeline context when relevant.
+## Workflow
-Leave exactly one concise top-level comment summarizing the current state.
+Follow these steps in order:
 1. **Identify the target.** Confirm whether you are summarizing an issue or a pull request, and capture its number from the task input.
 2. **Gather context with `gh`.** Pull the item and its full history:
   - PR: `gh pr view "$NUMBER" --json title,body,author,state,labels,comments,reviews,commits,statusCheckRollup`
   - Issue: `gh issue view "$NUMBER" --json title,body,author,state,labels,comments`
 3. **Read the timeline.** Read comments, reviews, commits, and checks in chronological order. Note what is resolved, what is still open, and what the current blockers are.
 4. **Draft the summary.** Compose a single concise top-level comment using the structure in *Summary contents*. If the maintainer supplied a focus/request, prioritize that angle, but never let it override repository, workflow, or safety rules.
 5. **Post the comment** (see *Posting the comment*).
 6. **Verify the comment landed** (see *Posting the comment*).
 ## Summary contents
 For pull requests, include:
@@ -33,6 +44,19 @@ For issues, include:
 - Current labels/status signals.
 - Clear next steps.
-If the maintainer supplied a focus/request, prioritize that angle, but do not let it override repository, workflow, or safety rules.
+## Posting the comment
 Post and verify the summary in explicit sub-steps:
 1. **Finalize the body once.** Do not iterate by posting multiple comments.
 2. **Post exactly one top-level comment.**
   - PR: `gh pr comment "$NUMBER" --body-file -` (pipe the body via stdin, preferred for long bodies) or `gh pr comment "$NUMBER" --body "..."`
   - Issue: `gh issue comment "$NUMBER" --body-file -` or `gh issue comment "$NUMBER" --body "..."`
 3. **Capture the comment URL** from the `gh` output.
 4. **Verify by reading comments back only.**
   - PR: `gh pr view "$NUMBER" --json comments`
   - Issue: `gh issue view "$NUMBER" --json comments`
   Confirm a comment by you with the exact body appears. If it is initially missing, wait briefly and read comments again up to two more times. Do not verify by posting another comment; do not rely on stdout alone.
 5. **Handle failure without duplicates.** If `gh` returned a comment URL, or the post result is ambiguous, never post again; report an unverified result if the comment remains missing. Retry the `gh ... comment` command once only when GitHub definitively rejected the first request and the read-back confirms no exact matching comment exists. If the retry fails or cannot be verified, report the failure rather than posting again.
 Keep the comment factual and compact. Never post test, probe, placeholder, or debugging comments.
@@ -14,13 +14,23 @@ You are a triage agent responsible for triaging GitHub issues in the OpenChamber
 Do not modify code or files.
-Use the GitHub CLI (`gh`) to inspect the issue, list existing labels, add labels, and leave a concise issue comment.
+## Workflow
-Only use labels that already exist in this repository. Do not create labels.
+Follow these steps in order for every issue:
-## Triage Rules
+1. **Read the issue.** Use `gh issue view "$NUMBER" --json title,body,author,labels,comments` to read the full issue and any existing comments and labels.
 2. **List existing labels.** Use `gh label list` to confirm which labels exist in this repository. Only use labels that already exist; never create labels.
 3. **Classify the issue.** Walk through the label categories in *Label selection rules* (type, area, platform, provider, priority/quality) and pick only labels supported by evidence.
 4. **Apply the labels.** Add the selected labels in one command: `gh issue edit "$NUMBER" --add-label "label1" --add-label "label2"`.
 5. **Draft the comment.** Compose a single friendly, concise comment summarizing the issue and asking the reporter for any additional information needed to complete the request.
 6. **Post the comment** (see *Posting the comment*).
 7. **Verify the comment landed** (see *Posting the comment*).
-### Step 1: Type label (pick the strongest match)
+## Label selection rules
 Apply at most 1 type label, 1-2 area labels, 1 platform label, and 1 provider label. Only add priority/quality labels when the issue clearly warrants them. Do not add labels speculatively; skip any category where the match is ambiguous.
 ### Category 1: Type label (pick the strongest match)
 | Label | When to apply |
 |---|---|
@@ -29,7 +39,7 @@ Only use labels that already exist in this repository. Do not create labels.
 | `documentation` | README, guides, changelog, or unclear docs |
 | `question` | User needs help, setup guidance, or clarification (not a code change) |
-### Step 2: Area label (pick the strongest match, use `area:*` labels)
+### Category 2: Area label (pick the strongest match, use `area:*` labels)
 | Label | Covers |
 |---|---|
@@ -58,7 +68,7 @@ Only use labels that already exist in this repository. Do not create labels.
 | `area:files` | File viewer, file picker, file tree |
 | `area:scheduled-tasks` | Scheduled/recurring tasks |
-### Step 3: Platform label (if clearly platform-specific)
+### Category 3: Platform label (if clearly platform-specific)
 | Label | Covers |
 |---|---|
@@ -69,7 +79,7 @@ Only use labels that already exist in this repository. Do not create labels.
 | `platform:mobile` | Mobile web/PWA (iOS/Android) |
 | `platform:vscode` | VS Code extension |
-### Step 4: Provider label (if clearly provider-specific)
+### Category 4: Provider label (if clearly provider-specific)
 | Label | Covers |
 |---|---|
@@ -79,7 +89,7 @@ Only use labels that already exist in this repository. Do not create labels.
 | `api:copilot` | GitHub Copilot provider |
 | `api:google` | Google/Gemini provider |
-### Step 5: Priority and quality labels (apply when evidence supports it)
+### Category 5: Priority and quality labels (apply when evidence supports it)
 | Label | When to apply |
 |---|---|
@@ -92,17 +102,14 @@ Only use labels that already exist in this repository. Do not create labels.
 | `reproduction-steps:false` | No clear reproduction steps provided |
 | `needs-info` | Needs more info from reporter to reproduce |
-### General guidelines
+## Posting the comment
- Apply at most 1 type label, 1-2 area labels, 1 platform label, and 1 provider label.
+Post and verify the triage comment in explicit sub-steps:
 - Only add priority/quality labels when the issue clearly warrants them.
 - Do not add labels speculatively; skip any category where the match is ambiguous.
-## Output
+1. **Finalize the body once.** Do not iterate by posting multiple comments.
 2. **Post exactly one top-level comment.** `gh issue comment "$NUMBER" --body-file -` (pipe the body via stdin, preferred) or `gh issue comment "$NUMBER" --body "..."`.
 3. **Capture the comment URL** from the `gh` output.
 4. **Verify by reading comments back only.** Run `gh issue view "$NUMBER" --json comments` and confirm a comment by you with the exact body appears. If it is initially missing, wait briefly and read comments again up to two more times. Do not verify by posting another comment; do not rely on stdout alone.
 5. **Handle failure without duplicates.** If `gh` returned a comment URL, or the post result is ambiguous, never post again; report an unverified result if the comment remains missing. Retry `gh issue comment` once only when GitHub definitively rejected the first request and the read-back confirms no exact matching comment exists. If the retry fails or cannot be verified, report the failure rather than posting again.
-For each issue:
+Keep the comment friendly and concise. Never post test, probe, placeholder, or debugging comments.
 - Add a small set of accurate existing labels following the steps above.
 - In a single comment summarize the issue and ask the reporter for any additional information needed to complete the request.
 - Keep the comment friendly and concise.
 - Never post test, probe, placeholder, or debugging comments.
@@ -115,6 +115,12 @@ Server-side text-to-speech services and summarization helpers for `/api/tts/*` e
 - Module docs: `packages/web/server/lib/tts/DOCUMENTATION.md`
 ##### relay
 Host side of the private relay: outbound E2EE tunnel that lets remote clients reach this instance through OpenChamber-hosted relay infrastructure without inbound exposure. Load the `relay-transport` skill before changing it or any WebSocket/streaming endpoint that rides it.
 - Module docs: `packages/web/server/lib/relay/DOCUMENTATION.md`
 ##### tunnels
 Tunnel provider setup and runtime helpers for exposing OpenChamber over remote URLs.
@@ -340,6 +346,8 @@ Project skills live under `.agents/skills/*/SKILL.md`. Before editing, agents **
 | User-facing UI text: labels, buttons, placeholders, aria labels, empty/error/loading states, toasts, dialogs, settings copy, or navigation labels | `skill({ name: "locale-ui-patterns" })` |
 | Settings pages, settings dialogs, configuration UI, or visual/layout changes inside Settings | `skill({ name: "settings-ui-patterns" })` |
 | Drag-to-reorder, sortable lists/chips/grids, or `@dnd-kit` behavior including touch/mobile and wrapping variable-width items | `skill({ name: "drag-to-reorder" })` |
 | iOS Simulator preview/control for the mobile app, `serve-sim`, simulator taps/typing/gestures/rotation, or headless install/launch workflows outside Xcode | `skill({ name: "serve-sim" })` |
 | WebSocket/SSE/streaming endpoints (terminal, dictation/voice, event stream, notifications), opening a WebSocket in shared UI, runtime transport refactors (`runtime-fetch`/`runtime-url`/`runtime-switch`/`runtime-auth`), the private relay tunnel, or anything under `packages/ui/src/lib/relay` or `packages/web/server/lib/relay` | `skill({ name: "relay-transport" })` |
 Skill docs are the source of truth for detailed patterns. Do not duplicate their full guidance here; load the skill and follow it before making matching changes.
@@ -451,7 +459,7 @@ A single store with N properties means every subscriber re-evaluates on every st
 ## Validation expectations
- Run type-check/lint validation before finalizing source-code changes that can affect TypeScript, runtime behavior, builds, lint rules, package resolution, or generated assets, but keep validation scoped to the edited workspace by default. Prefer the package-level command for the package you changed (for example the relevant workspace's `type-check`/`lint`) instead of workspace-wide `bun run type-check` / `bun run lint`. Use workspace-wide checks only when the change spans multiple workspaces, shared package contracts, root tooling/config, dependency resolution, generated assets used across packages, or when a narrower command cannot cover the risk. Use a sufficiently long tool timeout for any broad checks (for example 240000ms) so successful package-level results are not lost to a tool timeout. For docs-only or isolated config-only changes, run the narrowest relevant validation instead (for example JSON/schema validation) and do not run full checks unless the change can affect code execution.
+- Run type-check/lint validation before finalizing source-code changes that can affect TypeScript, runtime behavior, builds, lint rules, package resolution, or generated assets, and run `bun run dead-code` when the change can add, remove, rename, or reshape files, exports, types, workspace entrypoints, or module imports. Keep validation scoped to the edited workspace by default. Prefer the package-level command for the package you changed (for example the relevant workspace's `type-check`/`lint`) instead of workspace-wide `bun run type-check` / `bun run lint`. Use workspace-wide checks only when the change spans multiple workspaces, shared package contracts, root tooling/config, dependency resolution, generated assets used across packages, or when a narrower command cannot cover the risk. Use a sufficiently long tool timeout for any broad checks (for example 240000ms) so successful package-level results are not lost to a tool timeout. For docs-only or isolated config-only changes, run the narrowest relevant validation instead (for example JSON/schema validation) and do not run full checks unless the change can affect code execution.
 - For hot-path changes, verify behavior under streaming or repeated events, not just static render.
 - For sync or startup changes, verify fresh load, retry/failure, and restart behavior.
 - For session changes, verify create, stream, abort, permission, archive/delete, and revisit flows when relevant.
@@ -4,6 +4,150 @@ All notable changes to this project will be documented in this file.
 ## [Unreleased]
 ## [1.15.0] - 2026-07-10
 - **Remote access:** a new [private relay](https://docs.openchamber.dev/private-relay/) lets you reach your instance from anywhere — no open ports and no third-party tunnel, over an end-to-end-encrypted tunnel. It turns on by itself when you pair a device over it and turns off once no paired device uses it (thanks to @yulia-ivashko).
 - **Mobile:** the native iOS and Android apps open for testing — join the [iOS public beta on TestFlight](https://testflight.apple.com/join/5ek6GU1E) or grab the Android APK from the [latest release](https://github.com/openchamber/openchamber/releases/latest). Connect by scanning a QR code from "Add a device" on your server; the app then moves between your local network and the private relay on its own — leaving home carries the open session onto the relay and coming back returns it to Wi-Fi, no re-pairing. Saved instances show a live Connected status with the active transport, iPad gets a split layout with a persistent sessions sidebar and a resizable Changes/Files sidebar, and the app checks for OpenChamber updates itself (Android shows a download toast).
 - **Pairing:** a redesigned ["Add a device"](https://docs.openchamber.dev/connect-devices/) dialog asks where you'll use the device — Anywhere (relay with local network preferred at home), Home network only, or This computer only — then shows a large scannable QR code with a copyable link, and closes itself once the device connects. Links are single-use expiring codes redeemed on connect instead of embedding a long-lived token in the QR (thanks to @yulia-ivashko).
 - Devices: the "Connect to this server" list now shows each paired device with a live status — Connected · Local network or Relay — and a platform badge (iOS, Android, macOS, Windows, Linux). Re-pairing or re-entering the password on the same device updates its existing entry instead of adding a duplicate.
 - Devices: a paired phone or desktop names the connection after the server's hostname; the name typed when creating the link labels the device in the server's list.
 - Desktop: saved servers keep every transport their pairing link carried — the app connects directly on your network and falls back to the relay away from it, including when opening a server in a new window and when restoring the connection after a restart.
 - Desktop: the header dropdown (instance / usage / MCP) was restyled with cards — usage grouped per provider, hosts showing a colored status line with ping and the active host highlighted, and MCP servers in one card. Host statuses persist between openings instead of flashing "Unknown", and switching to an already-checked host is immediate.
 - Desktop: the servers list in Settings shows live per-server reachability, and importing a pairing link is the primary way to add a server.
 - Desktop: Windows builds can launch at login and minimize to the system tray (thanks to @achcyano).
 - Chat/Tools: every tool call now expands to show its input, result, and errors, including MCP, plugin, and custom tools; Read and Skill stay compact links to their files. JSON results open in a new navigable summary view with linked URLs and expandable nested data, alongside tree and raw JSON views.
 - Chat/Tools: expanded file-edit and patch results now include per-file buttons to open the diff or jump to the first changed line in the file editor.
 - Chat/Thinking: reasoning parts stay separate and in chronological order instead of merging into one block, and collapsed previews no longer show empty trailing HTML comments.
 - Projects: each project can now set its own default model (thanks to @makeittech).
 - Diff/Chat: added a Last turn mode to the Diff view, and latest-turn changed-file chips in chat now open that snapshot while older turn chips stay read-only.
 - Chat: Mermaid diagrams now have zoom controls (thanks to @c-w-xiaohei).
 - Chat: code blocks can show line numbers that stay aligned while streaming, and a new Wrap Code Block Lines setting (Settings → Chat) controls long-line wrapping.
 - Chat: with Sticky User Header enabled, user messages no longer float over earlier messages in long conversations.
 - Chat: if sending a message times out or loses the connection after OpenCode accepted it, the app now keeps the sent message instead of rolling it back as failed.
 - Mobile: selecting local files from the composer now attaches the picked files even if the composer switches between compact and expanded layouts while the file picker is open.
 - Browser: links clicked inside an embedded browser tab now keep the tab on the navigated page instead of remounting the frame.
 - Context Panel: raw message rows now keep token and time columns aligned without showing shortened message IDs.
 - UI: closing the right sidebar after resizing no longer leaves stale width constraints behind.
 - Server: remote clients with non-ASCII project paths connect again (thanks to @FanFan4204).
 ## [1.14.1] - 2026-07-07
 - Chat: finished agent replies can now show a short recap and a suggested next message, with separate settings for each and a Small Model setting for choosing the utility model used for those helpers.
 - Notes/Todos: adding selected chat text to notes now uses the Small Model to summarize it automatically.
 - Voice: read-aloud can now use the Small Model to summarize long text before speaking it.
 - Git/GitHub: commit message and pull-request generation now use the Small Model from setting instead of sending message to chat.
 - Chat: the timeline dialog can now load older messages when the current session history has not all been fetched yet.
 - Chat: file references with line ranges like `src/file.ts:10-20` are now clickable in messages (thanks to @Catan).
 - Git/Diff: opening a changed file now jumps to the first changed line instead of the start of the diff hunk.
 - Mobile: the composer stays focused more reliably when the keyboard opens, and the dictation transcript grows the composer like typed text.
 - Mobile: iOS PWA safe areas, keyboard overlays, and app-resume connection checks were tightened up.
 - Desktop: password-protected instances opened from desktop or a browser no longer take the mobile-only unlock path.
 - VSCode: favorite models now stay saved after restarting the extension (thanks to @Catan).
 - VSCode: closing Settings returns to the previous extension view instead of always showing the sessions list (thanks to @Catan).
 ## [1.14.0] - 2026-07-05
 - Voice: voice input was rebuilt around live streaming transcription — the composer mic shows a live transcript with a volume meter and timer while you speak, and a recording can be cancelled, inserted, or inserted and sent; failed transcriptions keep their audio so you can retry or accept the partial text.
 - Voice: local speech-to-text works out of the box — models (Parakeet for English and 25 European languages, Whisper for a lighter multilingual option) download on demand from a new picker in Settings → Voice, or any OpenAI-compatible Whisper endpoint can be used instead; a configurable shortcut (mod+alt+v by default) toggles dictation.
 - Voice: read-aloud can now use a local Kokoro voice (11 English voices), and long replies start speaking after roughly a sentence instead of waiting for the whole message.
 - Voice: the Voice settings page was simplified — a single read-aloud toggle owns the playback options, and a new "Enable voice input" toggle hides the composer mic entirely.
 - Mobile: the composer collapses into a compact input bar while the keyboard is closed, with a round new-session button beside it (hidden on the new-session screen); tapping the bar expands it and opens the keyboard, and the mic starts voice input straight from the compact bar.
 - Mobile: the model and agent selectors moved into a row above the message text, the attachment menu and the new-session project/branch pickers open as bottom sheets with search, and a drag handle above the composer swipes it into a fullscreen editor — swiping down shrinks it back or dismisses the keyboard.
 - Mobile: long conversations now load older history with a button at the top of the chat, which disappears once everything is loaded; loading older messages keeps your scroll position steady on all platforms.
 - Mobile: the branch/worktree picker on the new-session screen lists all worktrees right after a cold start, and the GitHub connection status is recognized without re-running the connect flow.
 - Mobile: opening the web app in a phone browser against a password-protected instance shows the password unlock page again (regressed in 1.13.9).
 - Mobile: returning to the app no longer briefly flickers the session list.
 - Mobile: continued polish ahead of the native app release — the chat and composer ride the keyboard in one smooth motion (including in long conversations), bottom sheets enter cleanly while the keyboard dismisses, the text cursor stays in place when the keyboard opens, starter suggestions on the new-session screen step aside while the keyboard is up, and switching instances no longer leaves the previous instance's sessions in the sessions list.
 - UI: lists across the app were moved to one virtualization engine, so long lists scroll more consistently.
 - Mobile: the slash-command, file/agent, skill, and snippet autocompletes were tuned for touch — they can grow up to the top of the chat area, the keyboard-hint footer and description lines are gone, row icons line up, list scrolling no longer bounces the page behind, and picking a command keeps the keyboard open.
 - Mobile: in phone browsers the composer now keeps itself above the keyboard on the new-session screen and in the fullscreen editor, and opening the app shows the logo while it connects instead of flashing an unreachable-server error.
 - Chat: the stop button now aborts sessions running in a different project or worktree than the currently open one — previously those aborts silently did nothing.
 - Desktop: a local instance with a UI password and LAN access no longer gets stuck on "Auth required" and an unreachable-server screen (the app's client tokens are now reliably recognized as local, including for 0.0.0.0-bound servers).
 - Desktop: the app prefers your own OpenCode install again — the bundled CLI is used only when no OpenCode is installed anywhere on the machine.
 - Windows: OpenCode installed via npm now launches from paths with spaces (such as C:\Program Files\nodejs), binary paths pasted with surrounding quotes work, and discovery also checks the system-wide npm prefix and Scoop's shims — in the web/desktop app and the VS Code extension.
 ## [1.13.9] - 2026-07-02
 - Mobile: added the native iOS and Android app projects ahead of the mobile app release, with continued polish for saved connections, password unlock, QR-code connection scanning, push notifications, iOS widgets, app resume, and native layout details.
 - Desktop: the app can now use a bundled OpenCode CLI, or you can choose your own CLI path in settings.
 - Desktop: added a Keep awake setting for the upcoming desktop app release to prevent the computer from sleeping while the app is running.
 - Desktop: you can now specify optional custom headers when adding a remote OpenChamber instance to the desktop app, including for Cloudflare Access-style setups; settings and environment variables can still override them, and the bundled CLI can be replaced by setting a direct OpenCode CLI path.
 - Desktop: SSH remote instances with a saved UI password now open directly after the tunnel connects instead of showing the unlock screen again.
 - Chat: fixed edge cases where late-loading tool content, subagent content, or streaming Thinking blocks could pull the conversation away from the latest message or fight manual scrolling.
 - Chat: embedded JSON examples in messages no longer render as generated-result cards.
 - Sync: chat state now recovers after idle reconnects instead of leaving sessions stuck in a stale busy state.
 - VSCode: clearing optional agent fields now removes them from agent config instead of saving `null` values.
 - VSCode: the extension no longer picks OpenCode desktop app installs when looking for the standalone OpenCode CLI.
 ## [1.13.8] - 2026-06-29
 - Startup: launching the app no longer hangs for around 20 seconds before you can open a session, load a diff, or send a message — GitHub pull request status checks no longer tie up the connection to the server during startup.
 - OpenCode: when a separate OpenCode is already running (the TUI, `opencode serve`, or a daemon on the default port 4096), the app now starts its own server instead of attaching to it. This fixes the "OpenChamber could not finish initialization" error and stops the app from opening or closing your separate OpenCode when it starts and quits. Connecting to an external OpenCode now requires setting `OPENCODE_HOST`, `OPENCODE_PORT`, or `OPENCODE_SKIP_START`.
 - Chat: a new Follow-up behavior setting (Settings → Chat) controls what happens when you press Enter on a message while the agent is still responding — Steer inserts it into the agent's current turn, or Queue holds it until the turn finishes. Replaces the previous queue-mode toggle (thanks to @bashrusakh).
 - Sessions: deleting a worktree group from the sidebar, or permanently deleting an archived session that has subagent sessions, now removes those subagent sessions too instead of leaving them behind (thanks to @bashrusakh).
 - Sessions: clicking a session inside a worktree group no longer briefly jumps the selection to the project's first session while the sidebar data catches up (thanks to @bashrusakh).
 - Sync: a connected but quiet session (for example an agent running a long tool call) no longer triggers repeated background refreshes every ~15 seconds (thanks to @tomzx).
 ## [1.13.7] - 2026-06-28
 - Chat: with tool calls (such as Bash and Edit) shown expanded by default, scrolling no longer twitches, and slow scrolling no longer jumps past several messages.
 - Mobile: in long conversations, older messages now load before you reach the very top, and fast scrolling no longer leaves blank gaps where messages briefly disappear until you scroll back.
 - Mobile: the model and agent buttons in the composer are now borderless and cleaner, show the provider logo next to the model name, and shorten long names with an ellipsis; in the model picker the thinking-variant control is plain text with a chevron and each row's controls line up.
 - Mobile: interface labels (the model and agent selectors and other small labels) are back to their previous size after 1.13.6 shrank them too much.
 - Providers: the Add provider form stays open while provider data refreshes or a model is picked in the background, instead of snapping back to an existing provider.
 - CLI: `openchamber update` works again after a missing helper broke the command.
 ## [1.13.6] - 2026-06-28
 - Chat: scrolling in conversations now stays steady while sending, queueing, streaming, switching sessions, and loading older messages.
 - Chat: selecting a user-installed skill from the slash command menu now invokes the skill and injects its content, instead of inserting the skill name as plain text.
 - Context Panel: chat tabs now use the session title and mark the open chat as seen while you are viewing it.
 - Desktop/macOS: the Dock icon can now show a badge count for chats with unseen activity, with a new Appearance setting to turn it off.
 - Context Panel: Browser and Preview tabs no longer accumulate duplicate auth tokens in their URLs after reloads or navigation.
 ## [1.13.5] - 2026-06-27
 - CLI: global web installs no longer crash on startup when tunnel commands load ngrok capabilities.
 - CLI: `openchamber update` works again, and tunnel start paths no longer fail when using managed-local config prompts, multi-instance port selection, or auto-started servers.
 - GitHub/Usage: fork upstream detection and Google quota checks no longer fail because of missing server helpers.
 ## [1.13.4] - 2026-06-27
 - UI/Localization: added Japanese interface translations and Japanese documentation (thanks to @yuchi0531).
 - Chat: queued messages can now be reordered by dragging them in the queue (thanks to @makeittech).
 - Chat: sending a message now closes an open question prompt instead of leaving stale question UI in the composer (thanks to @tomzx).
 - Chat: conversations pinned to the bottom no longer jiggle or double-scroll after sending, and revisiting older sessions snaps to the latest message without a smooth-scroll delay.
 - Reviews: the Review changes dialog can now run an automatic review loop, with a chat banner for opening or stopping the linked review sessions.
 - Models: the model picker now remembers provider group expansion and custom ordering, and Shift+Delete removes a recent model from recents (thanks to @makeittech).
 - Shortcuts: the model-selector shortcut can now be customized (thanks to @makeittech).
 - Agents: agent edits against an external OpenCode server no longer show a saved-state update when the save did not succeed (thanks to @makeittech).
 - Providers: the add-provider form no longer loses the selected provider during background provider refreshes (thanks to @IbrahimKhan12).
 - Worktrees: messages sent to new worktree sessions now wait until the worktree session is ready instead of racing ahead (thanks to @bashrusakh).
 - Git: commit and pull-request generation from a draft session now starts from the created chat session instead of a temporary draft (thanks to @bashrusakh).
 - CLI: startup and status commands now check the live server port before treating an existing process as the active OpenChamber server.
 ## [1.13.3] - 2026-06-24
 - Chat: selecting a user-installed skill from the slash command menu now invokes the skill instead of inserting the skill name as plain text (thanks to @IbrahimKhan12).
 - Chat: pasted text containing `@` no longer opens file mention autocomplete unexpectedly (thanks to @charpeni).
 - Chat: code blocks in user messages now preserve characters like `<` and `->` instead of escaping them inside the code block (thanks to @bashrusakh).
 - Chat: switching sessions and loading older messages no longer causes the conversation to jump backward or oscillate around the current scroll position (thanks to @herjarsa).
 - Chat: Arrow Up opens prompt history again when the cursor is at the start of the composer.
 - Sessions: new sessions now stay attached to the selected project or current workspace directory instead of sometimes appearing under a stale project (thanks to @bashrusakh).
 - Sessions: pinned sessions and folder rows no longer disappear from the sidebar after an empty session-list refresh (thanks to @bashrusakh).
 - Agents: agent settings now include thinking variant, temperature, and top-p controls, and clearing temperature or top-p now removes the override (thanks to @bashrusakh).
 - Settings/Models: per-model visibility and sibling model selections now stay saved after changes (thanks to @attilaszasz).
 - Settings/Skills: the skills catalog refreshes after catalog settings change (thanks to @gokulkgm).
 - Providers: disconnecting a provider from settings now works for the selected provider (thanks to @bashrusakh).
 - Git: Git identities can now enable SSH commit signing.
 - Git: pushing from the Git view now syncs first, reducing rejected pushes when the branch needs to update.
 - Usage: MiniMax M3 and Token Plan usage now handle the provider's latest API response format (thanks to @baruchvitorino).
 - VSCode: font size and padding preferences now apply inside the extension webview (thanks to @Sin991114).
 - Startup: managed OpenCode server processes left behind by a previous crash are cleaned up on the next start.
 - CLI: stale server PID files are checked more carefully so unrelated processes are not mistaken for an OpenChamber server.
 - Files: downloads and file names with non-Latin characters now handle those characters correctly in headers (thanks to @FanFan4204).
 - Mobile: subagent chevrons no longer overlap long session titles, and session grouping now matches the exact workspace directory (thanks to @weixiang1862, @lilyzhaun).
 ## [1.13.2] - 2026-06-18
 - Chat/Performance: long conversations and large session lists now stay smooth and responsive while a response is streaming (thanks to @bashrusakh).
@@ -1,5 +1,5 @@
 # syntax=docker/dockerfile:1
-FROM oven/bun:1.3.5 AS base
+FROM oven/bun:1.3.14 AS base
 WORKDIR /app
 FROM base AS deps
@@ -16,7 +16,7 @@ WORKDIR /app
 COPY . .
 RUN bun run build:web
-FROM oven/bun:1.3.5 AS runtime
+FROM oven/bun:1.3.14 AS runtime
 WORKDIR /home/openchamber
 RUN apt-get update && apt-get install -y --no-install-recommends \
@@ -48,7 +48,7 @@ RUN npm config set prefix /home/openchamber/.npm-global && mkdir -p /home/opench
  npm install -g opencode-ai
 # cloudflared 2026.3.0 - update digest explicitly when upgrading
-COPY --from=cloudflare/cloudflared@sha256:ba461b8aa9c042156dbd39c38657fe7431bafa063220eab8d5330a523863da9f /usr/local/bin/cloudflared /usr/local/bin/cloudflared
+COPY --from=cloudflare/cloudflared@sha256:6d91c121b803126f7a5344005d17a9324788fc09d305b6e2560ec6040a7ae283 /usr/local/bin/cloudflared /usr/local/bin/cloudflared
 ENV NODE_ENV=production
@@ -6,9 +6,6 @@
 [![Discord](https://img.shields.io/badge/Discord-join.svg?style=flat&labelColor=100F0F&color=8B7EC8&logo=discord&logoColor=FFFCF0)](https://discord.gg/ZYRSdnwwKA)
 [![Support the project](https://img.shields.io/badge/Support-Project-black?style=flat&labelColor=100F0F&color=EC8B49&logo=ko-fi&logoColor=FFFCF0)](https://ko-fi.com/G2G41SAWNS)
 > [!IMPORTANT]
 > 🏖️ I'm on vacation from 18 Jun to 28 Jun. All issues and PRs will continue being reviewed after that. Thanks for the patience.
 ## **OpenCode, everywhere.** Desktop. Browser. Phone.
 ### A rich interface for [OpenCode](https://opencode.ai). Review diffs, manage agents, run dev servers, and keep the big picture while your AI codes.
@@ -89,7 +86,7 @@
 ## Quick Start
-> **Prerequisite:** [OpenCode CLI](https://opencode.ai) installed.
+> **Prerequisite:** Desktop bundles the matching OpenCode CLI. CLI/Web and VS Code use your installed [OpenCode CLI](https://opencode.ai).
 ### **Desktop (macOS + Windows)**
 Download from [Releases](https://github.com/btriapitsyn/openchamber/releases).
@@ -1,150 +0,0 @@
 # Settings Item Search Plan
 ## Goal
 Add Settings search that finds individual settings items, not only top-level pages.
 The search should behave like this:
 - User types a query in the Settings navigation area.
 - Results show matching concrete settings, grouped or labeled by their Settings page.
 - Each result shows the item title and, when available, its description.
 - Clicking a result opens the correct Settings page.
 - After the page renders, the matching row/card/section scrolls into view.
 - The matched item gets a short visual highlight so the user can see where they landed.
 ## Current Architecture Notes
 - Settings shell lives in `packages/ui/src/components/views/SettingsView.tsx`.
 - Page metadata and slugs live in `packages/ui/src/lib/settings/metadata.ts`.
 - Settings localization lives in `packages/ui/src/lib/i18n/messages/*.settings.ts`.
 - Settings UI text is read through `useI18n()` and `t(key)`.
 - Standard page wrappers live in `packages/ui/src/components/sections/shared/`.
 ## Proposed Architecture
 Use an explicit searchable item registry instead of scraping React or the DOM.
 Each searchable item should contain:
 - `id`: stable item id, for example `appearance.language`.
 - `page`: target `SettingsPageSlug`, for example `appearance`.
 - `titleKey`: localized title key.
 - `descriptionKey`: optional localized description key.
 - `keywords`: optional non-visible search helpers.
 - `isAvailable`: optional runtime/mobile guard for item-level availability.
 Example:
 ```ts
 {
  id: 'appearance.language',
  page: 'appearance',
  titleKey: 'settings.appearance.language.label',
  descriptionKey: 'settings.appearance.language.description',
  keywords: ['locale', 'translation', 'ui language'],
 }
 ```
 ## Implementation Steps
 1. Create `packages/ui/src/lib/settings/search.ts`.
   - Export `SETTINGS_SEARCH_ITEMS`.
   - Export a helper to build localized search results from `t()`.
   - Filter by page availability and `visiblePageSlugs`.
 2. Add search UI to `SettingsView.tsx`.
   - Search input should live in the left Settings navigation area on desktop.
   - On mobile, keep behavior simple: show results in the nav stage and open target page on select.
   - When query is empty, keep the existing navigation list.
   - When query has text, replace the normal nav list with concrete search results.
 3. Add click behavior for a search result.
   - Set `settingsPage` to the result page.
   - Store pending target item id in component state/ref.
   - After content renders, find `[data-settings-item="<id>"]`.
   - Scroll it into view.
   - Add a temporary highlight using a data attribute or CSS class.
 4. Add a tiny shared anchor/highlight pattern.
   - Prefer adding `data-settings-item="..."` to existing row/card containers.
   - Avoid wrappers that change layout.
   - Keep highlight styling generic, for example a short ring/background transition.
 5. Add initial searchable coverage.
   - Start with high-value pages that already use many localized strings:
     - `appearance`
     - `chat`
     - `sessions`
     - `notifications`
     - `git`
     - `providers`
     - `agents`
   - Add more pages incrementally.
 6. Validation.
   - Run `bun run type-check`.
   - Run `bun run lint`.
    - Manually verify search result navigation for at least one single page and one split page.
 ## Current Implementation Status
 Done:
 - `packages/ui/src/lib/settings/search.ts` exists and exports the explicit registry plus localized result builder.
 - Search input is wired into `SettingsView.tsx`.
 - Results are grouped by page header.
 - ArrowUp, ArrowDown, Enter, and Escape work while the search input is focused.
 - Result click opens the target page and scrolls to `[data-settings-item="..."]`.
 - Matching target gets a temporary highlight via `data-settings-search-highlight`.
 - Search respects page availability, `visiblePageSlugs`, and item-level platform/runtime/mobile guards.
 - Initial anchors exist for `appearance`, `chat`, `sessions`, `notifications`, `git`, and `usage`.
 Covered pages/items so far:
 - `appearance`: themes, localization, PWA/mobile-only controls, layout controls, navigation controls, usage reports.
 - `chat`: render mode, transport, reasoning, layout/message toggles, mobile status bar, dotfiles, queue/draft/spellcheck.
 - `sessions`: defaults, retention, desktop network controls, OpenCode CLI controls.
 - `notifications`: delivery, events, background push.
 - `git`: GitHub account, identities, changes view, Gitmoji, gitignored files.
 - `usage`: header menu visibility, model quotas section.
 - `agents`: create action plus static editor fields for name, mode, model, temperature, Top P, system prompt, and permissions.
 - `commands`: create action plus static editor fields for name, agent, model, and template.
 - `mcp`: create action plus static editor sections for server, command/URL, environment variables, and advanced remote options.
 - `plugins`: add action plus static editor fields for spec, options JSON, and file content.
 - `snippets`: create action plus snippet content editor.
 - `providers`: connect action plus auth, connection details, and models sections.
 - `skills.installed`: create action plus basic information, instructions, and supporting files sections.
 - `behavior`: global AGENTS.md and response style sections.
 - `projects`: static project metadata fields and worktree section, excluding individual projects.
 - `skills.catalog`: source repository, catalog search, and add catalog action, excluding individual catalog skills/sources.
 - `magic-prompts`: visible prompt, instructions, and reset-all action, excluding individual prompt result generation beyond the selected editor page.
 - `shortcuts`: keyboard shortcut editor section.
 - `voice`: voice setup, speech recognition, and playback sections.
 - `tunnel`: provider, tunnel type, TTLs, managed remote/local configuration, and start/connect link sections.
 - `remote-instances`: client auth/pairing and desktop direct-host sections; SSH instance dialog fields stay out of search because they require selected-instance state.
 Still pending:
 - Add state-aware filtering for settings that are hidden based on current settings values, not just platform. Examples: `chat.activity-default-mode`, `chat.collapsible-reasoning`.
 - Add focused tests for `buildSettingsSearchResults`, especially runtime/mobile filtering.
 Out of scope by decision:
 - Do not generate search results from dynamic store entities such as individual agents, commands, MCP servers, snippets, plugins, skills, providers, or projects.
 - For split pages, search should cover predictable static create actions, editor fields, and sections only.
 ## Important Constraints
 - Do not rely on localized key naming alone for navigation. The registry is the source of truth.
 - Do not parse JSX or scrape the DOM to discover settings automatically.
 - Search should use current locale strings, with English fallback already handled by i18n.
 - Do not introduce broad Zustand state for transient search query/highlight state. Keep it local to `SettingsView` unless another surface needs it.
 - Keep page behavior unchanged when the query is empty.
 - If a page is unavailable in the current runtime, its search items must not appear.
 ## Future Improvements
 - Add fuzzy ranking instead of simple substring matching.
 - Support deep-linking to settings items from URLs or app commands.
 - Add complete registry coverage for all Settings pages.
@@ -25,15 +25,12 @@
        "@codemirror/search": "^6.6.0",
        "@codemirror/state": "^6.5.4",
        "@codemirror/view": "6.39.13",
        "@fontsource/ibm-plex-mono": "^5.2.7",
        "@fontsource/ibm-plex-sans": "^5.1.1",
        "@heroui/scroll-shadow": "^2.3.18",
        "@heroui/system": "^2.4.23",
        "@heroui/theme": "^2.4.23",
        "@ibm/plex": "^6.4.1",
        "@lezer/highlight": "^1.2.3",
        "@octokit/rest": "^22.0.1",
-        "@opencode-ai/sdk": "^1.17.7",
+        "@opencode-ai/sdk": "1.17.18",
        "@radix-ui/react-collapsible": "^1.1.12",
        "@radix-ui/react-dialog": "^1.1.15",
        "@radix-ui/react-dropdown-menu": "^2.1.16",
@@ -68,10 +65,11 @@
        "zustand": "^5.0.8",
      },
      "devDependencies": {
        "@clack/prompts": "^1.1.0",
        "@eslint/js": "^9.33.0",
        "@remixicon/react": "^4.7.0",
        "@tailwindcss/postcss": "^4.0.0",
-        "@types/dom-speech-recognition": "^0.0.11",
+        "@types/dom-speech-recognition": "^0.0.12",
        "@types/node": "^24.3.1",
        "@types/react": "^19.1.10",
        "@types/react-dom": "^19.1.7",
@@ -88,7 +86,7 @@
        "node-addon-api": "7.1.1",
        "nodemon": "^3.1.7",
        "patch-package": "^8.0.0",
-        "sharp": "^0.34.5",
+        "sharp": "^0.35.0",
        "tailwindcss": "^4.0.0",
        "tsx": "^4.20.6",
        "tw-animate-css": "^1.3.8",
@@ -99,7 +97,7 @@
    },
    "packages/electron": {
      "name": "@openchamber/electron",
-      "version": "1.13.0",
+      "version": "1.14.1",
      "dependencies": {
        "@openchamber/web": "workspace:*",
        "electron-context-menu": "^4.1.2",
@@ -112,11 +110,38 @@
        "electron-builder": "^26.0.0",
      },
    },
    "packages/mobile": {
      "name": "@openchamber/mobile",
      "version": "1.13.2",
      "dependencies": {
        "@aparajita/capacitor-secure-storage": "^8.0.0",
        "@capacitor-mlkit/barcode-scanning": "^8.1.0",
        "@capacitor/app": "^8.0.0",
        "@capacitor/core": "^8.4.1",
        "@capacitor/keyboard": "^8.0.0",
        "@capacitor/push-notifications": "^8.1.1",
        "@capacitor/status-bar": "^8.0.0",
      },
      "devDependencies": {
        "@capacitor/android": "^8.4.1",
        "@capacitor/cli": "^8.4.1",
        "@capacitor/ios": "^8.4.1",
        "@types/node": "^24.3.1",
        "serve-sim": "^0.1.34",
        "typescript": "~5.9.0",
      },
    },
    "packages/ui": {
      "name": "@openchamber/ui",
-      "version": "1.13.0",
+      "version": "1.14.1",
      "dependencies": {
        "@aparajita/capacitor-secure-storage": "^8.0.0",
        "@base-ui/react": "^1.4.0",
        "@capacitor/app": "^8.0.0",
        "@capacitor/core": "^8.4.1",
        "@capacitor/keyboard": "^8.0.0",
        "@capacitor/push-notifications": "^8.1.1",
        "@capacitor/status-bar": "^8.0.0",
        "@codemirror/autocomplete": "^6.20.0",
        "@codemirror/commands": "^6.10.1",
        "@codemirror/lang-cpp": "^6.0.3",
@@ -141,14 +166,12 @@
        "@dnd-kit/core": "^6.3.1",
        "@dnd-kit/sortable": "^10.0.0",
        "@dnd-kit/utilities": "^3.2.2",
        "@fontsource/ibm-plex-mono": "^5.2.7",
        "@fontsource/ibm-plex-sans": "^5.1.1",
        "@ibm/plex": "^6.4.1",
        "@lezer/highlight": "^1.2.3",
-        "@opencode-ai/sdk": "^1.17.7",
+        "@opencode-ai/sdk": "1.17.18",
-        "@pierre/diffs": "1.3.0-beta.4",
+        "@pierre/diffs": "1.3.0-beta.6",
        "@replit/codemirror-vim": "^6.3.0",
        "@simplewebauthn/browser": "13.3.0",
        "@tanstack/react-virtual": "3.14.5",
        "@xenova/transformers": "^2.17.2",
        "@zumer/snapdom": "^2.12.0",
        "beautiful-mermaid": "^1.1.3",
@@ -164,7 +187,7 @@
        "heic2any": "^0.0.4",
        "html-to-image": "^1.11.13",
        "http-proxy-middleware": "^3.0.5",
-        "katex": "^0.16.21",
+        "katex": "^0.17.0",
        "marked": "^17.0.3",
        "morphdom": "^2.7.7",
        "motion": "^12.23.24",
@@ -214,10 +237,10 @@
    },
    "packages/vscode": {
      "name": "openchamber",
-      "version": "1.13.0",
+      "version": "1.14.1",
      "dependencies": {
        "@openchamber/ui": "workspace:*",
-        "@opencode-ai/sdk": "^1.17.7",
+        "@opencode-ai/sdk": "1.17.18",
        "adm-zip": "^0.5.16",
        "jsonc-parser": "^3.3.1",
        "react": "^19.1.1",
@@ -237,15 +260,15 @@
    },
    "packages/web": {
      "name": "@openchamber/web",
-      "version": "1.13.0",
+      "version": "1.14.1",
      "bin": {
        "openchamber": "./bin/cli.js",
      },
      "dependencies": {
        "@clack/prompts": "^1.1.0",
        "@octokit/rest": "^22.0.1",
-        "@opencode-ai/sdk": "^1.17.7",
+        "@opencode-ai/sdk": "1.17.18",
-        "@simplewebauthn/server": "13.3.0",
+        "@simplewebauthn/server": "13.3.1",
        "adm-zip": "^0.5.16",
        "better-sqlite3": "^12.10.0",
        "bun-pty": "^0.4.5",
@@ -260,6 +283,7 @@
        "openai": "^4.79.0",
        "qrcode-terminal": "^0.12.0",
        "reflect-metadata": "^0.2.2",
        "sherpa-onnx-node": "1.12.28",
        "simple-git": "^3.28.0",
        "web-push": "^3.6.7",
        "ws": "^8.18.3",
@@ -270,9 +294,6 @@
        "@codemirror/lang-cpp": "^6.0.3",
        "@codemirror/lang-go": "^6.0.1",
        "@eslint/js": "^9.33.0",
        "@fontsource/ibm-plex-mono": "^5.2.7",
        "@fontsource/ibm-plex-sans": "^5.1.1",
        "@ibm/plex": "^6.4.1",
        "@radix-ui/react-collapsible": "^1.1.12",
        "@radix-ui/react-dialog": "^1.1.15",
        "@radix-ui/react-dropdown-menu": "^2.1.16",
@@ -326,6 +347,9 @@
      },
    },
  },
  "patchedDependencies": {
    "@tanstack/virtual-core@3.17.3": "patches/@tanstack%2Fvirtual-core@3.17.3.patch",
  },
  "overrides": {
    "@codemirror/language": "6.12.2",
    "@codemirror/view": "6.39.13",
@@ -335,6 +359,8 @@
    "@alloc/quick-lru": ["@alloc/quick-lru@5.2.0", "", {}, "sha512-UrcABB+4bUrFABwbluTIBErXwvbsU/V7TZWfmbgJfbkwiBuziS9gxdODUyuiecfdGQ85jglMW6juS3+z5TsKLw=="],
    "@aparajita/capacitor-secure-storage": ["@aparajita/capacitor-secure-storage@8.0.0", "", { "dependencies": { "@capacitor/android": "^8.0.2", "@capacitor/app": "^8.0.0", "@capacitor/core": "^8.0.2", "@capacitor/ios": "^8.0.2", "@capacitor/keyboard": "^8.0.0" } }, "sha512-oYnwSjdIh23aRNgz8982+TmFvQH/2yZkEdw1iIg+H2ziFJoOVELPTc7u6Ez2HwOuDIW5AGqBX75GvrzQ+D70Qg=="],
    "@apideck/better-ajv-errors": ["@apideck/better-ajv-errors@0.3.6", "", { "dependencies": { "json-schema": "^0.4.0", "jsonpointer": "^5.0.0", "leven": "^3.1.0" }, "peerDependencies": { "ajv": ">=8" } }, "sha512-P+ZygBLZtkp0qqOAJJVX4oX/sFo5JR3eBWwwuqHHhK0GIgQOKWrAfiAaWX0aArHkRWHMuggFEgAZNxVPwPZYaA=="],
    "@azu/format-text": ["@azu/format-text@1.0.2", "", {}, "sha512-Swi4N7Edy1Eqq82GxgEECXSSLyn6GOb5htRFPzBDdUkECGXtlf12ynO5oJSpWKPwCaUssOu7NfhDcCWpIC6Ywg=="],
@@ -551,6 +577,24 @@
    "@base-ui/utils": ["@base-ui/utils@0.2.7", "", { "dependencies": { "@babel/runtime": "^7.29.2", "@floating-ui/utils": "^0.2.11", "reselect": "^5.1.1", "use-sync-external-store": "^1.6.0" }, "peerDependencies": { "@types/react": "^17 || ^18 || ^19", "react": "^17 || ^18 || ^19", "react-dom": "^17 || ^18 || ^19" }, "optionalPeers": ["@types/react"] }, "sha512-nXYKhiL/0JafyJE8PfcflipGftOftlIwKd72rU15iZ1M5yqgg5J9P8NHU71GReDuXco5MJA/eVQqUT5WRqX9sA=="],
    "@capacitor-mlkit/barcode-scanning": ["@capacitor-mlkit/barcode-scanning@8.1.0", "", { "peerDependencies": { "@capacitor/core": ">=8.0.0" } }, "sha512-lhOYHZINLOCT0i5YSbSMkouik3zh0BncJouumNTgXCT0/533Z4733jAX9zv+nEd++bE8QHeUl2g0NrewreumnQ=="],
    "@capacitor/android": ["@capacitor/android@8.4.1", "", { "peerDependencies": { "@capacitor/core": "^8.4.0" } }, "sha512-igtDCJ7QQn0P2qHFD9p4KXaa6V1b2PRNt+MxjVwtjTm/BJvqmiazOJq6rPjwFSZnfHm6iFoZk8TfzHd44pyBGw=="],
    "@capacitor/app": ["@capacitor/app@8.1.0", "", { "peerDependencies": { "@capacitor/core": ">=8.0.0" } }, "sha512-MlmttTOWHDedr/G4SrhNRxsXMqY+R75S4MM4eIgzsgCzOYhb/MpCkA5Q3nuOCfL1oHm26xjUzqZ5aupbOwdfYg=="],
    "@capacitor/cli": ["@capacitor/cli@8.4.1", "", { "dependencies": { "@ionic/cli-framework-output": "^2.2.8", "@ionic/utils-subprocess": "^3.0.1", "@ionic/utils-terminal": "^2.3.5", "commander": "^12.1.0", "debug": "^4.4.0", "env-paths": "^2.2.0", "fs-extra": "^11.2.0", "kleur": "^4.1.5", "native-run": "^2.0.3", "open": "^8.4.0", "plist": "^3.1.0", "prompts": "^2.4.2", "rimraf": "^6.0.1", "semver": "^7.6.3", "tar": "^7.5.3", "tslib": "^2.8.1", "xml2js": "^0.6.2" }, "bin": { "cap": "bin/capacitor", "capacitor": "bin/capacitor" } }, "sha512-t7F2s7fFHCq113xgrggrmK6ctV0/8E5YfLNVLfPHp4GCTDO+tly9fZvWPf2/sOI8lMm18dLT43qbXLRTz/OZgw=="],
    "@capacitor/core": ["@capacitor/core@8.4.1", "", { "dependencies": { "tslib": "^2.1.0" } }, "sha512-xqhOGLbTAYeOWK+IDUNSjQJAPapQjRHrIcgk9PYp52or9zFTaaMko31uNi16N6W+CRJ8VrRram6fOYILkBG2Hg=="],
    "@capacitor/ios": ["@capacitor/ios@8.4.1", "", { "peerDependencies": { "@capacitor/core": "^8.4.0" } }, "sha512-EgcAk7NYheHMTyP3CUrA65qKs4D2UEAKgw44HI6Uk3dTw6KjLQkdLOQWvbeRncHaZ2gklfOojUoc5DlSw2lhYg=="],
    "@capacitor/keyboard": ["@capacitor/keyboard@8.0.5", "", { "peerDependencies": { "@capacitor/core": ">=8.0.0" } }, "sha512-oFXygC4eKYA5l2MdpTR06L2M/4x6e2SLD5yS1T9+UBDKTkzyvhWKEhbYLUaTIBPpLKqlfGudJw1X73S1H9eUzQ=="],
    "@capacitor/push-notifications": ["@capacitor/push-notifications@8.1.1", "", { "peerDependencies": { "@capacitor/core": ">=8.0.0" } }, "sha512-WqzjPKIbYbARMN+GC0XMAJcxJpUUzqgzS/Ny8RODLrro38pQhm3GXYwX2Mwd+LZlLY39rGImkCkrKyQSNfuikA=="],
    "@capacitor/status-bar": ["@capacitor/status-bar@8.0.2", "", { "peerDependencies": { "@capacitor/core": ">=8.0.0" } }, "sha512-WXs8YB8B9eEaPZz+bcdY6t2nForF1FLoj/JU0Dl9RRgQnddnS98FEEyDooQhaY7wivr000j4+SC1FyeJkrFO7A=="],
    "@clack/core": ["@clack/core@1.1.0", "", { "dependencies": { "sisteransi": "^1.0.5" } }, "sha512-SVcm4Dqm2ukn64/8Gub2wnlA5nS2iWJyCkdNHcvNHPIeBTGojpdJ+9cZKwLfmqy7irD4N5qLteSilJlE0WLAtA=="],
    "@clack/prompts": ["@clack/prompts@1.1.0", "", { "dependencies": { "@clack/core": "1.1.0", "sisteransi": "^1.0.5" } }, "sha512-pkqbPGtohJAvm4Dphs2M8xE29ggupihHdy1x84HNojZuMtFsHiUlRvqD24tM2+XmI+61LlfNceM3Wr7U5QES5g=="],
@@ -645,7 +689,7 @@
    "@electron/windows-sign": ["@electron/windows-sign@1.2.2", "", { "dependencies": { "cross-dirname": "^0.1.0", "debug": "^4.3.4", "fs-extra": "^11.1.1", "minimist": "^1.2.8", "postject": "^1.0.0-alpha.6" }, "bin": { "electron-windows-sign": "bin/electron-windows-sign.js" } }, "sha512-dfZeox66AvdPtb2lD8OsIIQh12Tp0GNCRUDfBHIKGpbmopZto2/A8nSpYYLoedPIHpqkeblZ/k8OV0Gy7PYuyQ=="],
-    "@emnapi/runtime": ["@emnapi/runtime@1.8.1", "", { "dependencies": { "tslib": "^2.4.0" } }, "sha512-mehfKSMWjjNol8659Z8KxEMrdSJDDot5SXMq00dM8BN4o+CLNXQ0xH2V7EchNHV4RmbZLmmPdEaXZc5H2FXmDg=="],
+    "@emnapi/runtime": ["@emnapi/runtime@1.11.1", "", { "dependencies": { "tslib": "^2.4.0" } }, "sha512-vgj7R3y3Wgx24IQaGPA/R6YFXLHVMOZ0uVEyIQPaWs+rd1AzfEMXlAC22FYwO1XkKR6NPsq7mUandH8oIRdZFw=="],
    "@esbuild/aix-ppc64": ["@esbuild/aix-ppc64@0.28.0", "", { "os": "aix", "cpu": "ppc64" }, "sha512-lhRUCeuOyJQURhTxl4WkpFTjIsbDayJHih5kZC1giwE+MhIzAb7mEsQMqMf18rHLsrb5qI1tafG20mLxEWcWlA=="],
@@ -725,10 +769,6 @@
    "@floating-ui/utils": ["@floating-ui/utils@0.2.11", "", {}, "sha512-RiB/yIh78pcIxl6lLMG0CgBXAZ2Y0eVHqMPYugu+9U0AeT6YBeiJpf7lbdJNIugFP5SIjwNRgo4DhR1Qxi26Gg=="],
    "@fontsource/ibm-plex-mono": ["@fontsource/ibm-plex-mono@5.2.7", "", {}, "sha512-MKAb8qV+CaiMQn2B0dIi1OV3565NYzp3WN5b4oT6LTkk+F0jR6j0ZN+5BKJiIhffDC3rtBULsYZE65+0018z9w=="],
    "@fontsource/ibm-plex-sans": ["@fontsource/ibm-plex-sans@5.2.8", "", {}, "sha512-eztSXjDhPhcpxNIiGTgMebdLP9qS4rWkysuE1V7c+DjOR0qiezaiDaTwQE7bTnG5HxAY/8M43XKDvs3cYq6ZYQ=="],
    "@formatjs/ecma402-abstract": ["@formatjs/ecma402-abstract@2.3.6", "", { "dependencies": { "@formatjs/fast-memoize": "2.2.7", "@formatjs/intl-localematcher": "0.6.2", "decimal.js": "^10.4.3", "tslib": "^2.8.0" } }, "sha512-HJnTFeRM2kVFVr5gr5kH1XP6K0JcJtE7Lzvtr3FS/so5f1kpsqqqxy5JF+FRaO6H2qmcMfAUIox7AJteieRtVw=="],
    "@formatjs/fast-memoize": ["@formatjs/fast-memoize@2.2.7", "", { "dependencies": { "tslib": "^2.8.0" } }, "sha512-Yabmi9nSvyOMrlSeGGWDiH7rf3a7sIwplbvo/dlz9WCIjzIQAfy1RMf4S0X3yG724n5Ghu2GmEl5NJIV6O9sZQ=="],
@@ -769,59 +809,59 @@
    "@humanwhocodes/retry": ["@humanwhocodes/retry@0.4.3", "", {}, "sha512-bV0Tgo9K4hfPCek+aMAn81RppFKv2ySDQeMoSZuvTASywNTnVJCArCZE2FWqpvIatKu7VMRLWlR1EazvVhDyhQ=="],
    "@ibm/plex": ["@ibm/plex@6.4.1", "", { "dependencies": { "@ibm/telemetry-js": "^1.5.1" } }, "sha512-fnsipQywHt3zWvsnlyYKMikcVI7E2fEwpiPnIHFqlbByXVfQfANAAeJk1IV4mNnxhppUIDlhU0TzwYwL++Rn2g=="],
    "@ibm/telemetry-js": ["@ibm/telemetry-js@1.11.0", "", { "bin": { "ibmtelemetry": "dist/collect.js" } }, "sha512-RO/9j+URJnSfseWg9ZkEX9p+a3Ousd33DBU7rOafoZB08RqdzxFVYJ2/iM50dkBuD0o7WX7GYt1sLbNgCoE+pA=="],
    "@img/colour": ["@img/colour@1.1.0", "", {}, "sha512-Td76q7j57o/tLVdgS746cYARfSyxk8iEfRxewL9h4OMzYhbW4TAcppl0mT4eyqXddh6L/jwoM75mo7ixa/pCeQ=="],
-    "@img/sharp-darwin-arm64": ["@img/sharp-darwin-arm64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-darwin-arm64": "1.2.4" }, "os": "darwin", "cpu": "arm64" }, "sha512-imtQ3WMJXbMY4fxb/Ndp6HBTNVtWCUI0WdobyheGf5+ad6xX8VIDO8u2xE4qc/fr08CKG/7dDseFtn6M6g/r3w=="],
+    "@img/sharp-darwin-arm64": ["@img/sharp-darwin-arm64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-darwin-arm64": "1.3.1" }, "os": "darwin", "cpu": "arm64" }, "sha512-eEieHsMksAW4IiO5NzauESRl2D2qz3J/kwUxUrSfV06A93eEaRfMpHXyUb1mAqrR7i8U9A0GRqE9pjn6u1Jjpg=="],
-    "@img/sharp-darwin-x64": ["@img/sharp-darwin-x64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-darwin-x64": "1.2.4" }, "os": "darwin", "cpu": "x64" }, "sha512-YNEFAF/4KQ/PeW0N+r+aVVsoIY0/qxxikF2SWdp+NRkmMB7y9LBZAVqQ4yhGCm/H3H270OSykqmQMKLBhBJDEw=="],
+    "@img/sharp-darwin-x64": ["@img/sharp-darwin-x64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-darwin-x64": "1.3.1" }, "os": "darwin", "cpu": "x64" }, "sha512-BaktuGPCeHJMARpodR8jK4uKiZrPAy9WrfQW0sdI37clracq8Bp01AYS3SZgi5FS/y5twa9t4+LIuuxQjqRrWw=="],
-    "@img/sharp-libvips-darwin-arm64": ["@img/sharp-libvips-darwin-arm64@1.2.4", "", { "os": "darwin", "cpu": "arm64" }, "sha512-zqjjo7RatFfFoP0MkQ51jfuFZBnVE2pRiaydKJ1G/rHZvnsrHAOcQALIi9sA5co5xenQdTugCvtb1cuf78Vf4g=="],
+    "@img/sharp-freebsd-wasm32": ["@img/sharp-freebsd-wasm32@0.35.2", "", { "dependencies": { "@img/sharp-wasm32": "0.35.2" }, "os": "freebsd" }, "sha512-YoAxdnd8hPUkvLHd3bWY+YA8nw3xM/RyRopYucNsWHVSan8NLVM3X2volsfoRDcXdUJPg6tXahSd7HXPK7lRnw=="],
-    "@img/sharp-libvips-darwin-x64": ["@img/sharp-libvips-darwin-x64@1.2.4", "", { "os": "darwin", "cpu": "x64" }, "sha512-1IOd5xfVhlGwX+zXv2N93k0yMONvUlANylbJw1eTah8K/Jtpi15KC+WSiaX/nBmbm2HxRM1gZ0nSdjSsrZbGKg=="],
+    "@img/sharp-libvips-darwin-arm64": ["@img/sharp-libvips-darwin-arm64@1.3.1", "", { "os": "darwin", "cpu": "arm64" }, "sha512-4V/M3roRMTYjiwZY9IOVQOE8OyeCxFAkYmyZDrZl51uOKjibm3oeEJ4WAmLxutAfzFbC9jqUiPs2gbnGflH+7g=="],
-    "@img/sharp-libvips-linux-arm": ["@img/sharp-libvips-linux-arm@1.2.4", "", { "os": "linux", "cpu": "arm" }, "sha512-bFI7xcKFELdiNCVov8e44Ia4u2byA+l3XtsAj+Q8tfCwO6BQ8iDojYdvoPMqsKDkuoOo+X6HZA0s0q11ANMQ8A=="],
+    "@img/sharp-libvips-darwin-x64": ["@img/sharp-libvips-darwin-x64@1.3.1", "", { "os": "darwin", "cpu": "x64" }, "sha512-c0/DxItpJv2+dGhgycJBBgotdqruGYDvA79drdh0MD1dFpy7JzJ/PlXwi1H4rFf0eTy8tgbI91aHDnZIceY3jQ=="],
-    "@img/sharp-libvips-linux-arm64": ["@img/sharp-libvips-linux-arm64@1.2.4", "", { "os": "linux", "cpu": "arm64" }, "sha512-excjX8DfsIcJ10x1Kzr4RcWe1edC9PquDRRPx3YVCvQv+U5p7Yin2s32ftzikXojb1PIFc/9Mt28/y+iRklkrw=="],
+    "@img/sharp-libvips-linux-arm": ["@img/sharp-libvips-linux-arm@1.3.1", "", { "os": "linux", "cpu": "arm" }, "sha512-aGGy9aWzXgHBG7HNyQPWorZthlp7+x6fDRoPAQbGO3ThcttuTyKIx3NuSHb6zb4gBNq6/yNn9f1cy9nFKS/Vmg=="],
-    "@img/sharp-libvips-linux-ppc64": ["@img/sharp-libvips-linux-ppc64@1.2.4", "", { "os": "linux", "cpu": "ppc64" }, "sha512-FMuvGijLDYG6lW+b/UvyilUWu5Ayu+3r2d1S8notiGCIyYU/76eig1UfMmkZ7vwgOrzKzlQbFSuQfgm7GYUPpA=="],
+    "@img/sharp-libvips-linux-arm64": ["@img/sharp-libvips-linux-arm64@1.3.1", "", { "os": "linux", "cpu": "arm64" }, "sha512-JznefmcK9j1JKPz8AkQDh89kjojubyfOasWBPKfzMIhPwsgDy9evpE/naJTXXXmghS1iFwR8u/kTwh/I2/+GCw=="],
-    "@img/sharp-libvips-linux-riscv64": ["@img/sharp-libvips-linux-riscv64@1.2.4", "", { "os": "linux", "cpu": "none" }, "sha512-oVDbcR4zUC0ce82teubSm+x6ETixtKZBh/qbREIOcI3cULzDyb18Sr/Wcyx7NRQeQzOiHTNbZFF1UwPS2scyGA=="],
+    "@img/sharp-libvips-linux-ppc64": ["@img/sharp-libvips-linux-ppc64@1.3.1", "", { "os": "linux", "cpu": "ppc64" }, "sha512-1EkwGNCZk6iWNCMWqrvdJ+r1j0PT1zIz60CNPhYnJlK/zyeWqlsPZIe+ocBVqPF8k/Ssee/NCk+tE9Ryrko6ng=="],
-    "@img/sharp-libvips-linux-s390x": ["@img/sharp-libvips-linux-s390x@1.2.4", "", { "os": "linux", "cpu": "s390x" }, "sha512-qmp9VrzgPgMoGZyPvrQHqk02uyjA0/QrTO26Tqk6l4ZV0MPWIW6LTkqOIov+J1yEu7MbFQaDpwdwJKhbJvuRxQ=="],
+    "@img/sharp-libvips-linux-riscv64": ["@img/sharp-libvips-linux-riscv64@1.3.1", "", { "os": "linux", "cpu": "none" }, "sha512-Ilays+w2bXdnxzxtQdmXR62u8o8GYa3eL4+Gr+1KiE4xperMZUslRaVPJwwPkzlHEjGfXAfRVAa/7CYCtSqsBw=="],
-    "@img/sharp-libvips-linux-x64": ["@img/sharp-libvips-linux-x64@1.2.4", "", { "os": "linux", "cpu": "x64" }, "sha512-tJxiiLsmHc9Ax1bz3oaOYBURTXGIRDODBqhveVHonrHJ9/+k89qbLl0bcJns+e4t4rvaNBxaEZsFtSfAdquPrw=="],
+    "@img/sharp-libvips-linux-s390x": ["@img/sharp-libvips-linux-s390x@1.3.1", "", { "os": "linux", "cpu": "s390x" }, "sha512-VfBwVHQTbRoj4XlpA/KLZ7ltgMpz+4WSejFzQ+GnoImjo1PtEJ59QB2qR1xQEeRPYIkNrPIm2L4cICMvz4C2ew=="],
-    "@img/sharp-libvips-linuxmusl-arm64": ["@img/sharp-libvips-linuxmusl-arm64@1.2.4", "", { "os": "linux", "cpu": "arm64" }, "sha512-FVQHuwx1IIuNow9QAbYUzJ+En8KcVm9Lk5+uGUQJHaZmMECZmOlix9HnH7n1TRkXMS0pGxIJokIVB9SuqZGGXw=="],
+    "@img/sharp-libvips-linux-x64": ["@img/sharp-libvips-linux-x64@1.3.1", "", { "os": "linux", "cpu": "x64" }, "sha512-+c8ukgwU62DS54nCAjw7keOfHUkmr0B5QHEdcOqRnodF/MNXJbVI8Eopoj4B/0H8Asr65I+A4Amrn7a85/md6A=="],
-    "@img/sharp-libvips-linuxmusl-x64": ["@img/sharp-libvips-linuxmusl-x64@1.2.4", "", { "os": "linux", "cpu": "x64" }, "sha512-+LpyBk7L44ZIXwz/VYfglaX/okxezESc6UxDSoyo2Ks6Jxc4Y7sGjpgU9s4PMgqgjj1gZCylTieNamqA1MF7Dg=="],
+    "@img/sharp-libvips-linuxmusl-arm64": ["@img/sharp-libvips-linuxmusl-arm64@1.3.1", "", { "os": "linux", "cpu": "arm64" }, "sha512-qlKb/pwbkAi1WMsJrYHk7CuDrd12s27U2QnRhFYUoJNrRCmkosMTttuRFat/DDB3IlDm5qE1TJgZ4JDnHX8Ldw=="],
-    "@img/sharp-linux-arm": ["@img/sharp-linux-arm@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-arm": "1.2.4" }, "os": "linux", "cpu": "arm" }, "sha512-9dLqsvwtg1uuXBGZKsxem9595+ujv0sJ6Vi8wcTANSFpwV/GONat5eCkzQo/1O6zRIkh0m/8+5BjrRr7jDUSZw=="],
+    "@img/sharp-libvips-linuxmusl-x64": ["@img/sharp-libvips-linuxmusl-x64@1.3.1", "", { "os": "linux", "cpu": "x64" }, "sha512-yO21HwoUVLN8Qa+/SBjQLMYwBWAVJjeGPNe+hc0OUeMeifEtJqu5a1c4HayE1nNpDih9y3/KkoltfkDodmKAlg=="],
-    "@img/sharp-linux-arm64": ["@img/sharp-linux-arm64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-arm64": "1.2.4" }, "os": "linux", "cpu": "arm64" }, "sha512-bKQzaJRY/bkPOXyKx5EVup7qkaojECG6NLYswgktOZjaXecSAeCWiZwwiFf3/Y+O1HrauiE3FVsGxFg8c24rZg=="],
+    "@img/sharp-linux-arm": ["@img/sharp-linux-arm@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-arm": "1.3.1" }, "os": "linux", "cpu": "arm" }, "sha512-SE4kzF2mepn6z+6E7L6lsV8FzuLL6IPQdyX8ZiwROAG/G8td+hP/m7FsFPwidtrF19gvajuC9l6TxAVcsA4S7A=="],
-    "@img/sharp-linux-ppc64": ["@img/sharp-linux-ppc64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-ppc64": "1.2.4" }, "os": "linux", "cpu": "ppc64" }, "sha512-7zznwNaqW6YtsfrGGDA6BRkISKAAE1Jo0QdpNYXNMHu2+0dTrPflTLNkpc8l7MUP5M16ZJcUvysVWWrMefZquA=="],
+    "@img/sharp-linux-arm64": ["@img/sharp-linux-arm64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-arm64": "1.3.1" }, "os": "linux", "cpu": "arm64" }, "sha512-af12Pnd0ZGu2HfP8NayB0kk6eC/lrfbQE6HlR4jD+34wdJ1Vw9TF6TMn6ZvffT+WgqVsl0hRbmNvz2u/23VmwA=="],
-    "@img/sharp-linux-riscv64": ["@img/sharp-linux-riscv64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-riscv64": "1.2.4" }, "os": "linux", "cpu": "none" }, "sha512-51gJuLPTKa7piYPaVs8GmByo7/U7/7TZOq+cnXJIHZKavIRHAP77e3N2HEl3dgiqdD/w0yUfiJnII77PuDDFdw=="],
+    "@img/sharp-linux-ppc64": ["@img/sharp-linux-ppc64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-ppc64": "1.3.1" }, "os": "linux", "cpu": "ppc64" }, "sha512-hYSBm7zcNtDCozCxQHYZJiu63b/bXsgRZuOxCIBZsStMM9Vap47iFHdbX4kCvQsblPB/k+clhELpdQJHQLSHvg=="],
-    "@img/sharp-linux-s390x": ["@img/sharp-linux-s390x@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-s390x": "1.2.4" }, "os": "linux", "cpu": "s390x" }, "sha512-nQtCk0PdKfho3eC5MrbQoigJ2gd1CgddUMkabUj+rBevs8tZ2cULOx46E7oyX+04WGfABgIwmMC0VqieTiR4jg=="],
+    "@img/sharp-linux-riscv64": ["@img/sharp-linux-riscv64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-riscv64": "1.3.1" }, "os": "linux", "cpu": "none" }, "sha512-qQt0Kc13+Hoan/Awq/qMSQw3L+RI1NCRPgD5cUJ/1WSSmIoysLOc72jlRM3E0OHN9Yr313jgeQ2T+zW+F03QFA=="],
-    "@img/sharp-linux-x64": ["@img/sharp-linux-x64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linux-x64": "1.2.4" }, "os": "linux", "cpu": "x64" }, "sha512-MEzd8HPKxVxVenwAa+JRPwEC7QFjoPWuS5NZnBt6B3pu7EG2Ge0id1oLHZpPJdn3OQK+BQDiw9zStiHBTJQQQQ=="],
+    "@img/sharp-linux-s390x": ["@img/sharp-linux-s390x@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-s390x": "1.3.1" }, "os": "linux", "cpu": "s390x" }, "sha512-E4fLLfRPzDLlEeDaTzI98OFLcv++WL5ChLLMwPoVd0CIoZQqupBSNbOisPL5am9XsbQ9T84+iiMpUvbFtkunbA=="],
-    "@img/sharp-linuxmusl-arm64": ["@img/sharp-linuxmusl-arm64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linuxmusl-arm64": "1.2.4" }, "os": "linux", "cpu": "arm64" }, "sha512-fprJR6GtRsMt6Kyfq44IsChVZeGN97gTD331weR1ex1c1rypDEABN6Tm2xa1wE6lYb5DdEnk03NZPqA7Id21yg=="],
+    "@img/sharp-linux-x64": ["@img/sharp-linux-x64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linux-x64": "1.3.1" }, "os": "linux", "cpu": "x64" }, "sha512-gi0zFJJRLswfCZmHtJdikXPOc5u7qamSOS3NHedLqLd4W8Q0NqjdBr6TTRIgsfFjqfTsHFgdfvJ9LwqSgcHiAA=="],
-    "@img/sharp-linuxmusl-x64": ["@img/sharp-linuxmusl-x64@0.34.5", "", { "optionalDependencies": { "@img/sharp-libvips-linuxmusl-x64": "1.2.4" }, "os": "linux", "cpu": "x64" }, "sha512-Jg8wNT1MUzIvhBFxViqrEhWDGzqymo3sV7z7ZsaWbZNDLXRJZoRGrjulp60YYtV4wfY8VIKcWidjojlLcWrd8Q=="],
+    "@img/sharp-linuxmusl-arm64": ["@img/sharp-linuxmusl-arm64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linuxmusl-arm64": "1.3.1" }, "os": "linux", "cpu": "arm64" }, "sha512-siWbOW1u6HFnFLrp0waKyW7VEf7jYvcDWdrXEFa8AkdAQgEvuu5Fz8/Y70w9EeqAdwDtfU012BhEHHaDqvQNzg=="],
-    "@img/sharp-wasm32": ["@img/sharp-wasm32@0.34.5", "", { "dependencies": { "@emnapi/runtime": "^1.7.0" }, "cpu": "none" }, "sha512-OdWTEiVkY2PHwqkbBI8frFxQQFekHaSSkUIJkwzclWZe64O1X4UlUjqqqLaPbUpMOQk6FBu/HtlGXNblIs0huw=="],
+    "@img/sharp-linuxmusl-x64": ["@img/sharp-linuxmusl-x64@0.35.2", "", { "optionalDependencies": { "@img/sharp-libvips-linuxmusl-x64": "1.3.1" }, "os": "linux", "cpu": "x64" }, "sha512-YBqMMcjDi4QGYiSn4vNOYBhmlC4z5AXqkOUUqI2e0AFA4urNv4ESgOgwNl3K+4etQhha0twXlzeF20bbULm9Yg=="],
-    "@img/sharp-win32-arm64": ["@img/sharp-win32-arm64@0.34.5", "", { "os": "win32", "cpu": "arm64" }, "sha512-WQ3AgWCWYSb2yt+IG8mnC6Jdk9Whs7O0gxphblsLvdhSpSTtmu69ZG1Gkb6NuvxsNACwiPV6cNSZNzt0KPsw7g=="],
+    "@img/sharp-wasm32": ["@img/sharp-wasm32@0.35.2", "", { "dependencies": { "@emnapi/runtime": "^1.11.1" } }, "sha512-Mrv4JQNYVQ94xH+jzZ9r+gowleN8mv2FTgKT+PI6bx5C0G8TdNYndu161pg2i7uoBwxy2ImPMHrJOM2LZef7Bw=="],
-    "@img/sharp-win32-ia32": ["@img/sharp-win32-ia32@0.34.5", "", { "os": "win32", "cpu": "ia32" }, "sha512-FV9m/7NmeCmSHDD5j4+4pNI8Cp3aW+JvLoXcTUo0IqyjSfAZJ8dIUmijx1qaJsIiU+Hosw6xM5KijAWRJCSgNg=="],
+    "@img/sharp-webcontainers-wasm32": ["@img/sharp-webcontainers-wasm32@0.35.2", "", { "dependencies": { "@img/sharp-wasm32": "0.35.2" }, "cpu": "none" }, "sha512-QNV27pxs9wpApEiCfvHM1RDoP1w1+2KrUWWDPEhEwg+latvOrfuhWrHWZKwdSFwU6jh3myjw/yOCRsUIuOft3g=="],
-    "@img/sharp-win32-x64": ["@img/sharp-win32-x64@0.34.5", "", { "os": "win32", "cpu": "x64" }, "sha512-+29YMsqY2/9eFEiW93eqWnuLcWcufowXewwSNIT6UwZdUUCrM3oFjMWH/Z6/TMmb4hlFenmfAVbpWeup2jryCw=="],
+    "@img/sharp-win32-arm64": ["@img/sharp-win32-arm64@0.35.2", "", { "os": "win32", "cpu": "arm64" }, "sha512-BiVRYc/t6/Vl3e1hBx0hugG4oN9Pydf4fgMSpxTQJmwGUg/YoXTWHiFeRymHfCZzifxu4F4rpk/I67D0LQ20wQ=="],
    "@img/sharp-win32-ia32": ["@img/sharp-win32-ia32@0.35.2", "", { "os": "win32", "cpu": "ia32" }, "sha512-YYEhx9PImCC7T0tI8JDMi4DB9LwLCXCU5OWNYEXAxh5Q1ShKkyC6byxzoBJ3gEFDnH2lQckWuDe70G7mB2XJog=="],
    "@img/sharp-win32-x64": ["@img/sharp-win32-x64@0.35.2", "", { "os": "win32", "cpu": "x64" }, "sha512-imoOyBcoM/iiUr4J6VPpCNjPnjvP/Gks95898yB8YqoGGYmHYbOyCuNv9FMhFgtaiHFGbHW8bxKqRV6VjtXThQ=="],
    "@internationalized/date": ["@internationalized/date@3.11.0", "", { "dependencies": { "@swc/helpers": "^0.5.0" } }, "sha512-BOx5huLAWhicM9/ZFs84CzP+V3gBW6vlpM02yzsdYC7TGlZJX1OJiEEHcSayF00Z+3jLlm4w79amvSt6RqKN3Q=="],
@@ -831,6 +871,22 @@
    "@internationalized/string": ["@internationalized/string@3.2.7", "", { "dependencies": { "@swc/helpers": "^0.5.0" } }, "sha512-D4OHBjrinH+PFZPvfCXvG28n2LSykWcJ7GIioQL+ok0LON15SdfoUssoHzzOUmVZLbRoREsQXVzA6r8JKsbP6A=="],
    "@ionic/cli-framework-output": ["@ionic/cli-framework-output@2.2.8", "", { "dependencies": { "@ionic/utils-terminal": "2.3.5", "debug": "^4.0.0", "tslib": "^2.0.1" } }, "sha512-TshtaFQsovB4NWRBydbNFawql6yul7d5bMiW1WYYf17hd99V6xdDdk3vtF51bw6sLkxON3bDQpWsnUc9/hVo3g=="],
    "@ionic/utils-array": ["@ionic/utils-array@2.1.6", "", { "dependencies": { "debug": "^4.0.0", "tslib": "^2.0.1" } }, "sha512-0JZ1Zkp3wURnv8oq6Qt7fMPo5MpjbLoUoa9Bu2Q4PJuSDWM8H8gwF3dQO7VTeUj3/0o1IB1wGkFWZZYgUXZMUg=="],
    "@ionic/utils-fs": ["@ionic/utils-fs@3.1.7", "", { "dependencies": { "@types/fs-extra": "^8.0.0", "debug": "^4.0.0", "fs-extra": "^9.0.0", "tslib": "^2.0.1" } }, "sha512-2EknRvMVfhnyhL1VhFkSLa5gOcycK91VnjfrTB0kbqkTFCOXyXgVLI5whzq7SLrgD9t1aqos3lMMQyVzaQ5gVA=="],
    "@ionic/utils-object": ["@ionic/utils-object@2.1.6", "", { "dependencies": { "debug": "^4.0.0", "tslib": "^2.0.1" } }, "sha512-vCl7sl6JjBHFw99CuAqHljYJpcE88YaH2ZW4ELiC/Zwxl5tiwn4kbdP/gxi2OT3MQb1vOtgAmSNRtusvgxI8ww=="],
    "@ionic/utils-process": ["@ionic/utils-process@2.1.12", "", { "dependencies": { "@ionic/utils-object": "2.1.6", "@ionic/utils-terminal": "2.3.5", "debug": "^4.0.0", "signal-exit": "^3.0.3", "tree-kill": "^1.2.2", "tslib": "^2.0.1" } }, "sha512-Jqkgyq7zBs/v/J3YvKtQQiIcxfJyplPgECMWgdO0E1fKrrH8EF0QGHNJ9mJCn6PYe2UtHNS8JJf5G21e09DfYg=="],
    "@ionic/utils-stream": ["@ionic/utils-stream@3.1.7", "", { "dependencies": { "debug": "^4.0.0", "tslib": "^2.0.1" } }, "sha512-eSELBE7NWNFIHTbTC2jiMvh1ABKGIpGdUIvARsNPMNQhxJB3wpwdiVnoBoTYp+5a6UUIww4Kpg7v6S7iTctH1w=="],
    "@ionic/utils-subprocess": ["@ionic/utils-subprocess@3.0.1", "", { "dependencies": { "@ionic/utils-array": "2.1.6", "@ionic/utils-fs": "3.1.7", "@ionic/utils-process": "2.1.12", "@ionic/utils-stream": "3.1.7", "@ionic/utils-terminal": "2.3.5", "cross-spawn": "^7.0.3", "debug": "^4.0.0", "tslib": "^2.0.1" } }, "sha512-cT4te3AQQPeIM9WCwIg8ohroJ8TjsYaMb2G4ZEgv9YzeDqHZ4JpeIKqG2SoaA3GmVQ3sOfhPM6Ox9sxphV/d1A=="],
    "@ionic/utils-terminal": ["@ionic/utils-terminal@2.3.5", "", { "dependencies": { "@types/slice-ansi": "^4.0.0", "debug": "^4.0.0", "signal-exit": "^3.0.3", "slice-ansi": "^4.0.0", "string-width": "^4.1.0", "strip-ansi": "^6.0.0", "tslib": "^2.0.1", "untildify": "^4.0.0", "wrap-ansi": "^7.0.0" } }, "sha512-3cKScz9Jx2/Pr9ijj1OzGlBDfcmx7OMVBt4+P1uRR0SSW4cm1/y3Mo4OY3lfkuaYifMNBW8Wz6lQHbs1bihr7A=="],
    "@isaacs/cliui": ["@isaacs/cliui@9.0.0", "", {}, "sha512-AokJm4tuBHillT+FpMtxQ60n8ObyXBatq7jD2/JA9dxbDDokKQm8KMht5ibGzLVU9IJDIKK4TPKgMHEYMn3lMg=="],
    "@isaacs/fs-minipass": ["@isaacs/fs-minipass@4.0.1", "", { "dependencies": { "minipass": "^7.0.4" } }, "sha512-wgm9Ehl2jpeqP3zw/7mo3kRHFp5MEDhqAdwy1fTGkHAwnkGOVsgpvQhL8B5n1qlb01jV3n/bI0ZfZp5lWA1k4w=="],
@@ -933,11 +989,13 @@
    "@openchamber/electron": ["@openchamber/electron@workspace:packages/electron"],
    "@openchamber/mobile": ["@openchamber/mobile@workspace:packages/mobile"],
    "@openchamber/ui": ["@openchamber/ui@workspace:packages/ui"],
    "@openchamber/web": ["@openchamber/web@workspace:packages/web"],
-    "@opencode-ai/sdk": ["@opencode-ai/sdk@1.17.7", "", { "dependencies": { "cross-spawn": "7.0.6" } }, "sha512-7q7StGM+N0OwUgRsmDc8Gyz3hMIH1XGig+qZ4lzWUpmSgFEjLx8U7R14GXY7KiMJVdbVf6FeaYloRz2Rcsma4A=="],
+    "@opencode-ai/sdk": ["@opencode-ai/sdk@1.17.18", "", { "dependencies": { "cross-spawn": "7.0.6" } }, "sha512-c/C9PhY8PrbcxDY+JIYtOZsrmMD0KzoVvxq+RGUrZ6LQp57SuVBbT4lfwA2G8Se5RNC1N5JtYjiuaXeECnF2SQ=="],
    "@paralleldrive/cuid2": ["@paralleldrive/cuid2@2.3.1", "", { "dependencies": { "@noble/hashes": "^1.1.5" } }, "sha512-XO7cAxhnTZl0Yggq6jOgjiOHhbgcO4NqFqwSmQpjK3b6TEE6Uj/jfSk6wzYyemh3+I0sHirKSetjQwn5cZktFw=="],
@@ -965,11 +1023,11 @@
    "@peculiar/x509": ["@peculiar/x509@1.14.3", "", { "dependencies": { "@peculiar/asn1-cms": "^2.6.0", "@peculiar/asn1-csr": "^2.6.0", "@peculiar/asn1-ecc": "^2.6.0", "@peculiar/asn1-pkcs9": "^2.6.0", "@peculiar/asn1-rsa": "^2.6.0", "@peculiar/asn1-schema": "^2.6.0", "@peculiar/asn1-x509": "^2.6.0", "pvtsutils": "^1.3.6", "reflect-metadata": "^0.2.2", "tslib": "^2.8.1", "tsyringe": "^4.10.0" } }, "sha512-C2Xj8FZ0uHWeCXXqX5B4/gVFQmtSkiuOolzAgutjTfseNOHT3pUjljDZsTSxXFGgio54bCzVFqmEOUrIVk8RDA=="],
-    "@pierre/diffs": ["@pierre/diffs@1.3.0-beta.4", "", { "dependencies": { "@pierre/theme": "1.0.3", "@pierre/theming": "0.0.1", "@shikijs/transformers": "^3.0.0", "diff": "8.0.3", "hast-util-to-html": "9.0.5", "lru_map": "0.4.1", "shiki": "^3.0.0" }, "peerDependencies": { "react": "^18.3.1 || ^19.0.0", "react-dom": "^18.3.1 || ^19.0.0" } }, "sha512-poFcsvhcQt9lH/InzAPaGs47WYHMidnFCjuYGNU41HiVLJP4mkIQDSdvcnPIkBuh/cYbPOQg/YE3T1kSpr01GA=="],
+    "@pierre/diffs": ["@pierre/diffs@1.3.0-beta.6", "", { "dependencies": { "@pierre/theme": "1.1.0", "@pierre/theming": "0.0.2", "@shikijs/transformers": "^3.0.0 || ^4.0.0", "diff": "9.0.0", "hast-util-to-html": "9.0.5", "lru_map": "0.4.1", "shiki": "^3.0.0 || ^4.0.0" }, "peerDependencies": { "react": "^18.3.1 || ^19.0.0", "react-dom": "^18.3.1 || ^19.0.0" } }, "sha512-SGxpOvuPeAq2sIMYqCokt8pVJ9UAZ6P5/qR4RYlcEVGRXOfGszbNMbrHs+IfRKnk6AufPNqVkIQWTwLC77x85A=="],
-    "@pierre/theme": ["@pierre/theme@1.0.3", "", {}, "sha512-sWHv11TMoqKxKDgTIk5VbhQjdPhs8DCcBxbjh3mRlS3YOM/OcrWoGX6MM8eBGn9cUu3M46Py0JnxsG2nJaFTuA=="],
+    "@pierre/theme": ["@pierre/theme@1.1.0", "", {}, "sha512-GC2OWTAfTIIWWYhPCygwG8t2EtePQkRfON4MI2rwIkJylmiyqIttJID2dCL8sUD8cNdEvYkEyfEHHKMeCiDLoQ=="],
-    "@pierre/theming": ["@pierre/theming@0.0.1", "", { "peerDependencies": { "@pierre/theme": "^1.0.0", "@shikijs/themes": "^3.0.0 || ^4.0.0", "react": "^18.3.1 || ^19.0.0", "react-dom": "^18.3.1 || ^19.0.0", "shiki": "^3.0.0 || ^4.0.0" }, "optionalPeers": ["@pierre/theme", "@shikijs/themes", "react", "react-dom", "shiki"] }, "sha512-1thlEtJbqdyLzc1ZS2KQa1q7FzDGHT4dTEdKHoyQjOMeWWOmbVG5/ndEfOKfAb5Fzkz8cNJrOjFLiZoDH/A03A=="],
+    "@pierre/theming": ["@pierre/theming@0.0.2", "", { "peerDependencies": { "@pierre/theme": "^1.1.0", "@shikijs/themes": "^3.0.0 || ^4.0.0", "react": "^18.3.1 || ^19.0.0", "react-dom": "^18.3.1 || ^19.0.0", "shiki": "^3.0.0 || ^4.0.0" }, "optionalPeers": ["@pierre/theme", "@shikijs/themes", "react", "react-dom", "shiki"] }, "sha512-QM1M4stXfnzfaE8I8YbjXSApV8c+2dBsXJj8eYg9WTpBR/cTmCZIcfGnN4p13iRrYu2Br/R/OJfEL7uR8Qjctw=="],
    "@pkgjs/parseargs": ["@pkgjs/parseargs@0.11.0", "", {}, "sha512-+1VkjdD0QBLPodGrJUeqarH8VAIvQODIbwh9XpP5Syisf7YoQgsJKPNFoqqLQlu+VQ/tVSshMR6loPMn8U+dPg=="],
@@ -1199,7 +1257,7 @@
    "@simplewebauthn/browser": ["@simplewebauthn/browser@13.3.0", "", {}, "sha512-BE/UWv6FOToAdVk0EokzkqQQDOWtNydYlY6+OrmiZ5SCNmb41VehttboTetUM3T/fr6EAFYVXjz4My2wg230rQ=="],
-    "@simplewebauthn/server": ["@simplewebauthn/server@13.3.0", "", { "dependencies": { "@hexagon/base64": "^1.1.27", "@levischuck/tiny-cbor": "^0.2.2", "@peculiar/asn1-android": "^2.6.0", "@peculiar/asn1-ecc": "^2.6.1", "@peculiar/asn1-rsa": "^2.6.1", "@peculiar/asn1-schema": "^2.6.0", "@peculiar/asn1-x509": "^2.6.1", "@peculiar/x509": "^1.14.3" } }, "sha512-MLHYFrYG8/wK2i+86XMhiecK72nMaHKKt4bo+7Q1TbuG9iGjlSdfkPWKO5ZFE/BX+ygCJ7pr8H/AJeyAj1EaTQ=="],
+    "@simplewebauthn/server": ["@simplewebauthn/server@13.3.1", "", { "dependencies": { "@hexagon/base64": "^1.1.27", "@levischuck/tiny-cbor": "^0.2.2", "@peculiar/asn1-android": "^2.6.0", "@peculiar/asn1-ecc": "^2.6.1", "@peculiar/asn1-rsa": "^2.6.1", "@peculiar/asn1-schema": "^2.6.0", "@peculiar/asn1-x509": "^2.6.1", "@peculiar/x509": "^1.14.3" } }, "sha512-GV/oM/qeycWn8p42JZIMJBsXWQcNFg+nJFzeQTnMA4gN8mXg0+HZFWJerHg8ZN/zlveMS3iV1wzuFpOVWS/46w=="],
    "@sindresorhus/is": ["@sindresorhus/is@4.6.0", "", {}, "sha512-t09vSN3MdfsyCHoFcTRCH/iUtG7OJ0CsjzB8cjAmKc/va/kIgeDI/TxsigdncE/4be734m0cvIYwNaV4i2XqAw=="],
@@ -1243,6 +1301,10 @@
    "@tailwindcss/postcss": ["@tailwindcss/postcss@4.2.1", "", { "dependencies": { "@alloc/quick-lru": "^5.2.0", "@tailwindcss/node": "4.2.1", "@tailwindcss/oxide": "4.2.1", "postcss": "^8.5.6", "tailwindcss": "4.2.1" } }, "sha512-OEwGIBnXnj7zJeonOh6ZG9woofIjGrd2BORfvE5p9USYKDCZoQmfqLcfNiRWoJlRWLdNPn2IgVZuWAOM4iTYMw=="],
    "@tanstack/react-virtual": ["@tanstack/react-virtual@3.14.5", "", { "dependencies": { "@tanstack/virtual-core": "3.17.3" }, "peerDependencies": { "react": "^16.8.0 || ^17.0.0 || ^18.0.0 || ^19.0.0", "react-dom": "^16.8.0 || ^17.0.0 || ^18.0.0 || ^19.0.0" } }, "sha512-4EKRXh7zBLkbKbFmG3AUVkircuHd+7OdT1pocJSepxtfBd3qnrJgJ5rtPkRYyo9fmyVb2+pI2xPy5oYvMLQy6A=="],
    "@tanstack/virtual-core": ["@tanstack/virtual-core@3.17.3", "", {}, "sha512-8Np/TFELpI0ySuJoVmjvOrQYXH/8sTX0Biv9szhFhY39xOdAAY+smrMxjxOum/ux3eM8MUJQsEJ0/R0UpvC8dw=="],
    "@textlint/ast-node-types": ["@textlint/ast-node-types@15.5.2", "", {}, "sha512-fCaOxoup5LIyBEo7R1oYWE7V4bSX0KQeHh66twon9e9usaLE3ijgF8QjYsR6joCssdeCHVd0wHm7ppsEyTr6vg=="],
    "@textlint/linter-formatter": ["@textlint/linter-formatter@15.5.2", "", { "dependencies": { "@azu/format-text": "^1.0.2", "@azu/style-format": "^1.0.1", "@textlint/module-interop": "15.5.2", "@textlint/resolver": "15.5.2", "@textlint/types": "15.5.2", "chalk": "^4.1.2", "debug": "^4.4.3", "js-yaml": "^4.1.1", "lodash": "^4.17.23", "pluralize": "^2.0.0", "string-width": "^4.2.3", "strip-ansi": "^6.0.1", "table": "^6.9.0", "text-table": "^0.2.0" } }, "sha512-jAw7jWM8+wU9cG6Uu31jGyD1B+PAVePCvnPKC/oov+2iBPKk3ao30zc/Itmi7FvXo4oPaL9PmzPPQhyniPVgVg=="],
@@ -1275,7 +1337,7 @@
    "@types/deep-eql": ["@types/deep-eql@4.0.2", "", {}, "sha512-c9h9dVVMigMPc4bwTvC5dxqtqJZwQPePsWjPlpSOnojbor6pGqdk541lfA7AqFQr5pB1BRdq0juY9db81BwyFw=="],
-    "@types/dom-speech-recognition": ["@types/dom-speech-recognition@0.0.11", "", {}, "sha512-PyLFPLM9F5D+qEmkNLX/ZC3uiEV/2B/UhZA9uhWkFVOxUyDVj+UBKI2pF1dnhKhliOiIoR1d/QsOZQfOtQPE3A=="],
+    "@types/dom-speech-recognition": ["@types/dom-speech-recognition@0.0.12", "", {}, "sha512-SmLovKV3e/J71U5CBmKYe03Q75biuw7jiEWGoO1arc47CjtmxCr+W7cPJcAAwySSJFwr+jWkr/fPVuVuL+D6Dw=="],
    "@types/estree": ["@types/estree@1.0.8", "", {}, "sha512-dWHzHa2WqEXI/O1E9OjrocMTKJl2mSrEolh1Iomrv6U+JuNwaHXsXx9bLu5gG7BUWFIN0skIQJQ/L1rIex4X6w=="],
@@ -1325,6 +1387,8 @@
    "@types/sarif": ["@types/sarif@2.1.7", "", {}, "sha512-kRz0VEkJqWLf1LLVN4pT1cg1Z9wAuvI6L97V3m2f5B76Tg8d413ddvLBPTEHAZJlnn4XSvu0FkZtViCQGVyrXQ=="],
    "@types/slice-ansi": ["@types/slice-ansi@4.0.0", "", {}, "sha512-+OpjSaq85gvlZAYINyzKpLeiFkSC4EsC6IIiT6v6TLSU5k5U83fHGj9Lel8oKEXM0HqgrMVCjXPDPVICtxF7EQ=="],
    "@types/superagent": ["@types/superagent@8.1.9", "", { "dependencies": { "@types/cookiejar": "^2.1.5", "@types/methods": "^1.1.4", "@types/node": "*", "form-data": "^4.0.0" } }, "sha512-pTVjI73witn+9ILmoJdajHGW2jkSaOzhiFYF1Rd3EQ94kymLqB9PjD9ISg7WaALC7+dCHT0FGe9T2LktLq/3GQ=="],
    "@types/supertest": ["@types/supertest@7.2.0", "", { "dependencies": { "@types/methods": "^1.1.4", "@types/superagent": "^8.1.0" } }, "sha512-uh2Lv57xvggst6lCqNdFAmDSvoMG7M/HDtX4iUCquxQ5EGPtaPM5PL5Hmi7LCvOG8db7YaCPNJEeoI8s/WzIQw=="],
@@ -1515,6 +1579,8 @@
    "better-sqlite3": ["better-sqlite3@12.10.0", "", { "dependencies": { "bindings": "^1.5.0", "prebuild-install": "^7.1.1" } }, "sha512-CyzaZRQKyHkB2ZInfTTl2nvT33EbDpjkLEbE8/Zck3Ll6O0qqvuGdrJ45HgtH+HykRg88ITY3AdreBGN70aBSQ=="],
    "big-integer": ["big-integer@1.6.52", "", {}, "sha512-QxD8cf2eVqJOOz63z6JIN9BzvVs/dlySa5HGSBH5xtR8dPteIRQnBxxKqkNTiT6jbDTF6jAfrd4oMcND9RGbQg=="],
    "binary-extensions": ["binary-extensions@2.3.0", "", {}, "sha512-Ceh+7ox5qe7LJuLHoY0feh3pHuUDHAcRUeyL2VYghZwfpkNIy/+8Ocg0a3UuSoYzavmylwuLWQOf3hl0jjMMIw=="],
    "binaryextensions": ["binaryextensions@6.11.0", "", { "dependencies": { "editions": "^6.21.0" } }, "sha512-sXnYK/Ij80TO3lcqZVV2YgfKN5QjUWIRk/XSm2J/4bd/lPko3lvk0O4ZppH6m+6hB2/GTu+ptNwVFe1xh+QLQw=="],
@@ -1533,6 +1599,8 @@
    "boundary": ["boundary@2.0.0", "", {}, "sha512-rJKn5ooC9u8q13IMCrW0RSp31pxBCHE3y9V/tp3TdWSLf8Em3p6Di4NBpfzbJge9YjjFEsD0RtFEjtvHL5VyEA=="],
    "bplist-parser": ["bplist-parser@0.3.2", "", { "dependencies": { "big-integer": "1.6.x" } }, "sha512-apC2+fspHGI3mMKj+dGevkGo/tCqVB8jMb6i+OX+E29p0Iposz07fABkRIfVUPNd5A5VbuOz1bZbnmkKLYF+wQ=="],
    "brace-expansion": ["brace-expansion@1.1.12", "", { "dependencies": { "balanced-match": "^1.0.0", "concat-map": "0.0.1" } }, "sha512-9T9UjW3r0UW5c1Q7GTwllptXwhvYmEzFhzMfZ9H7FQWt+uZePjZPjBP/W1ZEyZ1twGWom5/56TF4lPcqjnDHcg=="],
    "braces": ["braces@3.0.3", "", { "dependencies": { "fill-range": "^7.1.1" } }, "sha512-yQbXgO/OSZVD2IsiLlro+7Hf6Q18EJrKSEsdoMzKePKXct3gvD8oLcOQdIzGupr5Fj+EDe8gO/lxc1BzfMpxvA=="],
@@ -1639,7 +1707,7 @@
    "comma-separated-tokens": ["comma-separated-tokens@2.0.3", "", {}, "sha512-Fu4hJdvzeylCfQPp9SGWidpzrMs7tTrlu6Vb8XGaRGck8QSNZJJp538Wrb60Lax4fPwR64ViY468OIUTbRlGZg=="],
-    "commander": ["commander@8.3.0", "", {}, "sha512-OkTL9umf+He2DZkUq8f8J9of7yL6RJKI24dVITBmNfZBmri9zYZQrKkuXiKhyfPSu8tUhnVBB1iKXevvnlR4Ww=="],
+    "commander": ["commander@12.1.0", "", {}, "sha512-Vw8qHK3bZM9y/P10u3Vib8o/DdkvA2OtPtZvD871QKjy74Wj1WSKFILMPRPSdUSx5RFK1arlJzEtA4PkFgnbuA=="],
    "common-tags": ["common-tags@1.8.2", "", {}, "sha512-gk/Z852D2Wtb//0I+kRFNKKE9dIIVirjoqPoA1wJU+XePVXZfGeBpk45+A1rKO4Q43prqWBNY/MiIeRLbPWUaA=="],
@@ -1727,7 +1795,7 @@
    "define-data-property": ["define-data-property@1.1.4", "", { "dependencies": { "es-define-property": "^1.0.0", "es-errors": "^1.3.0", "gopd": "^1.0.1" } }, "sha512-rBMvIzlpA8v6E+SJZoo++HAYqsLrkg7MSfIinMPFhmkorw7X+dOXVJQs+QT69zGkzMyfDnIMN2Wid1+NbL3T+A=="],
-    "define-lazy-prop": ["define-lazy-prop@3.0.0", "", {}, "sha512-N+MeXYoqr3pOgn8xfyRPREN7gHakLYjhsHhWGT3fWAiL4IkAt0iDw14QiiEm2bE30c5XX5q0FtAA3CK5f9/BUg=="],
+    "define-lazy-prop": ["define-lazy-prop@2.0.0", "", {}, "sha512-Ds09qNh8yw3khSjiJjiUInaGX9xlqZDY7JVryGxdxV7NPeuqQfplOpQ66yJFZut3jLa5zOwkXw1g9EI2uKh4Og=="],
    "define-properties": ["define-properties@1.2.1", "", { "dependencies": { "define-data-property": "^1.0.1", "has-property-descriptors": "^1.0.0", "object-keys": "^1.1.1" } }, "sha512-8QmQKqEASLd5nx0U1B1okLElbUuuttJ/AnYmRXbbbGDWh6uS208EjD4Xqq/I9wK7u0v6O08XhTWnt5XtEbR6Dg=="],
@@ -1747,7 +1815,7 @@
    "dezalgo": ["dezalgo@1.0.4", "", { "dependencies": { "asap": "^2.0.0", "wrappy": "1" } }, "sha512-rXSP0bf+5n0Qonsb+SVVfNfIsimO4HEtmnIpPHY8Q1UCzKlQrDMfdobr8nJOOsRgWCyMRqeSBQzmWUMq7zvVig=="],
-    "diff": ["diff@8.0.3", "", {}, "sha512-qejHi7bcSD4hQAZE0tNAawRK1ZtafHDmMTMkrrIGgSLl7hTnQHmKCeB45xAcbfTqK2zowkM3j3bHt/4b/ARbYQ=="],
+    "diff": ["diff@9.0.0", "", {}, "sha512-svtcdpS8CgJyqAjEQIXdb3OjhFVVYjzGAPO8WGCmRbrml64SPw/jJD4GoE98aR7r25A0XcgrK3F02yw9R/vhQw=="],
    "dijkstrajs": ["dijkstrajs@1.0.3", "", {}, "sha512-qiSlmBq9+BCdCA/L46dw8Uy93mloxsPSbwnm5yrKn2vMPiy8KyAskTF6zuV/j5BMsmOGZDPs7KjU+mjb670kfA=="],
@@ -1805,6 +1873,8 @@
    "electron-winstaller": ["electron-winstaller@5.4.0", "", { "dependencies": { "@electron/asar": "^3.2.1", "debug": "^4.1.1", "fs-extra": "^7.0.1", "lodash": "^4.17.21", "temp": "^0.9.0" }, "optionalDependencies": { "@electron/windows-sign": "^1.1.2" } }, "sha512-bO3y10YikuUwUuDUQRM4KfwNkKhnpVO7IPdbsrejwN9/AABJzzTQ4GeHwyzNSrVO+tEH3/Np255a3sVZpZDjvg=="],
    "elementtree": ["elementtree@0.1.7", "", { "dependencies": { "sax": "1.1.4" } }, "sha512-wkgGT6kugeQk/P6VZ/f4T+4HB41BVgNBq5CDIZVbQ02nvTVqAiVTbskxxu3eA/X96lMlfYOwnLQpN2v5E1zDEg=="],
    "elkjs": ["elkjs@0.11.0", "", {}, "sha512-u4J8h9mwEDaYMqo0RYJpqNMFDoMK7f+pu4GjcV+N8jIC7TRdORgzkfSjTJemhqONFfH6fBI3wpysgWbhgVWIXw=="],
    "emoji-regex": ["emoji-regex@8.0.0", "", {}, "sha512-MSjYzcWNOA0ewAHpz0MxpYFvwg6yjy1NG3xteoqz644VCo/RPgnr1/GGt+ic3iJTzQ8Eu3TdM14SawnVUmGE6A=="],
@@ -2131,10 +2201,12 @@
    "inherits": ["inherits@2.0.4", "", {}, "sha512-k/vGaX4/Yla3WzyMCvTQOXYeIHvqOKtnqBduzTHpzpQZzAskKMhZ2K+EnBiSM9zGSoIFeMpXKxa4dYeZIQqewQ=="],
-    "ini": ["ini@1.3.8", "", {}, "sha512-JV/yugV2uzW5iMRSiZAyDtQd+nxtUnjeLt0acNdw98kKLrvuRVyB80tsREOE7yvGVgalhZ6RNXCmEHkUKBKxew=="],
+    "ini": ["ini@4.1.3", "", {}, "sha512-X7rqawQBvfdjS10YU1y1YVreA3SsLrW9dX2CewP2EbBJM4ypVNLDkO5y04gejPwKIY9lR+7r9gn3rFPt/kmWFg=="],
    "inline-style-parser": ["inline-style-parser@0.2.7", "", {}, "sha512-Nb2ctOyNR8DqQoR0OwRG95uNWIC0C1lCgf5Naz5H6Ji72KZ8OcFZLz2P5sNgwlyoJ8Yif11oMuYs5pBQa86csA=="],
    "inspect-webkit": ["inspect-webkit@0.0.5", "", { "peerDependencies": { "typescript": "^5" }, "bin": { "inspect-webkit": "dist/cli.js" } }, "sha512-584wP/2nJO1LX74nqHP2j0tQzlK9ZTi+D0Z9qeLQjtUR/LCMXQHGX8M0vrsqBwTeGakF7q5GMFpg81nxUYlCvw=="],
    "internal-slot": ["internal-slot@1.1.0", "", { "dependencies": { "es-errors": "^1.3.0", "hasown": "^2.0.2", "side-channel": "^1.1.0" } }, "sha512-4gd7VpWNQNB4UKKCFFVcp1AVv+FMOgs9NKzjHKusc8jTMhd5eL1NqQqOpE0KzMds804/yHlglp3uxgluOqAPLw=="],
    "intl-messageformat": ["intl-messageformat@10.7.18", "", { "dependencies": { "@formatjs/ecma402-abstract": "2.3.6", "@formatjs/fast-memoize": "2.2.7", "@formatjs/icu-messageformat-parser": "2.11.4", "tslib": "^2.8.0" } }, "sha512-m3Ofv/X/tV8Y3tHXLohcuVuhWKo7BBq62cqY15etqmLxg2DZ34AGGgQDeR+SCta2+zICb1NX83af0GJmbQ1++g=="],
@@ -2285,7 +2357,7 @@
    "jws": ["jws@4.0.1", "", { "dependencies": { "jwa": "^2.0.1", "safe-buffer": "^5.0.1" } }, "sha512-EKI/M/yqPncGUUh44xz0PxSidXFr/+r0pA70+gIYhjv+et7yxM+s29Y+VGDkovRofQem0fs7Uvf4+YmAdyRduA=="],
-    "katex": ["katex@0.16.45", "", { "dependencies": { "commander": "^8.3.0" }, "bin": { "katex": "cli.js" } }, "sha512-pQpZbdBu7wCTmQUh7ufPmLr0pFoObnGUoL/yhtwJDgmmQpbkg/0HSVti25Fu4rmd1oCR6NGWe9vqTWuWv3GcNA=="],
+    "katex": ["katex@0.17.0", "", { "dependencies": { "commander": "^8.3.0" }, "bin": { "katex": "cli.js" } }, "sha512-Vdw0ATsQ9V+LuegM/BTwQqV/6cTl5lbGcIrU+BCgLxyf6bo38ybOr372tuSIxir3CN720flu1meYR6XzNMwQnw=="],
    "keytar": ["keytar@7.9.0", "", { "dependencies": { "node-addon-api": "^4.3.0", "prebuild-install": "^7.0.1" } }, "sha512-VPD8mtVtm5JNtA2AErl6Chp06JBfy7diFQ7TQQhdpWOl6MrCRB+eRbvAZUsbGQS9kiMq0coJsy0W0vHpDCkWsQ=="],
@@ -2293,6 +2365,8 @@
    "klaw-sync": ["klaw-sync@6.0.0", "", { "dependencies": { "graceful-fs": "^4.1.11" } }, "sha512-nIeuVSzdCCs6TDPTqI8w1Yre34sSq7AkZ4B3sfOBbI2CgVSB4Du4aLQijFU2+lhAFCwt9+42Hel6lQNIv6AntQ=="],
    "kleur": ["kleur@4.1.5", "", {}, "sha512-o+NO+8WrRiQEE4/7nwRJhN1HWpVmJm511pBHUxPLtp0BUISzlBplORYSmTclCnJvQq2tKu/sgl3xVpkc7ZWuQQ=="],
    "lazy-val": ["lazy-val@1.0.5", "", {}, "sha512-0/BnGCCfyUMkBpeDgWihanIAF9JmZhHBgUhEqzvf+adhNGLoP6TaiI5oF8oyb3I45P+PcnrqihSf01M0l0G5+Q=="],
    "leven": ["leven@3.1.0", "", {}, "sha512-qsda+H8jTaUaN/x5vzW2rzc+8Rw4TAQ/4KjB46IwK5VH+IlVeeeje/EoZRpiXvIqjFgK84QffqPztGI3VBLG1A=="],
@@ -2539,6 +2613,8 @@
    "napi-build-utils": ["napi-build-utils@2.0.0", "", {}, "sha512-GEbrYkbfF7MoNaoh2iGG84Mnf/WZfB0GdGEsM8wz7Expx/LlWf5U8t9nvJKXSp3qr5IsEbK04cBGhol/KwOsWA=="],
    "native-run": ["native-run@2.0.3", "", { "dependencies": { "@ionic/utils-fs": "^3.1.7", "@ionic/utils-terminal": "^2.3.4", "bplist-parser": "^0.3.2", "debug": "^4.3.4", "elementtree": "^0.1.7", "ini": "^4.1.1", "plist": "^3.1.0", "split2": "^4.2.0", "through2": "^4.0.2", "tslib": "^2.6.2", "yauzl": "^2.10.0" }, "bin": { "native-run": "bin/native-run" } }, "sha512-U1PllBuzW5d1gfan+88L+Hky2eZx+9gv3Pf6rNBxKbORxi7boHzqiA6QFGSnqMem4j0A9tZ08NMIs5+0m/VS1Q=="],
    "natural-compare": ["natural-compare@1.4.0", "", {}, "sha512-OWND8ei3VtNC9h7V60qff3SVobHr996CTwgxubgyQYEpg290h9J0buyECNNJexkFm5sOajh5G116RYA1c8ZMSw=="],
    "negotiator": ["negotiator@0.6.4", "", {}, "sha512-myRT3DiWPHqho5PrJaIRyaMv2kgYf0mUVgBNOYMuCH5Ki1yEiQaf/ZJuQ62nvpc44wL5WDbTX7yGJi1Neevw8w=="],
@@ -2703,6 +2779,8 @@
    "promise-retry": ["promise-retry@2.0.1", "", { "dependencies": { "err-code": "^2.0.2", "retry": "^0.12.0" } }, "sha512-y+WKFlBR8BGXnsNlIHFGPZmyDf3DFMoLhaflAnyZgV6rG6xu+JwesTo2Q9R6XwYmtmwAFCkAk3e35jEdoeh/3g=="],
    "prompts": ["prompts@2.4.2", "", { "dependencies": { "kleur": "^3.0.3", "sisteransi": "^1.0.5" } }, "sha512-NxNv/kLguCA7p3jE8oL2aEBsrJWgAakBpgmgK6lpPWV+WuOmY6r2/zbAVnP+T8bQlA0nzHXSJSJW0Hq7ylaD2Q=="],
    "proper-lockfile": ["proper-lockfile@4.1.2", "", { "dependencies": { "graceful-fs": "^4.2.4", "retry": "^0.12.0", "signal-exit": "^3.0.2" } }, "sha512-TjNPblN4BwAWMXU8s9AEz4JmQxnD1NNL7bNOY/AKUzyamc379FWASUhc/K1pL2noVb+XmZKLL68cjzLsiOAMaA=="],
    "property-information": ["property-information@7.1.0", "", {}, "sha512-TwEZ+X+yCJmYfL7TPUOcvBZ4QfoT5YenQiJuX//0th53DE6w0xxLEtfK3iyryQFddXuvkIk51EEgrJQ0WJkOmQ=="],
@@ -2839,7 +2917,7 @@
    "reusify": ["reusify@1.1.0", "", {}, "sha512-g6QUff04oZpHs0eG5p83rFLhHeV00ug/Yf9nZM6fLeUrPguBTkTQOdpAWWspMh55TZfVQDPaN3NQJfbVRAxdIw=="],
-    "rimraf": ["rimraf@3.0.2", "", { "dependencies": { "glob": "^7.1.3" }, "bin": { "rimraf": "bin.js" } }, "sha512-JZkJMZkAGFFPP2YqXZXPbMlMBgsxzE8ILs4lMIX/2o0L9UBw9O/Y3o6wFw/i9YLapcUJWwqbi3kdxIPdC62TIA=="],
+    "rimraf": ["rimraf@6.1.3", "", { "dependencies": { "glob": "^13.0.3", "package-json-from-dist": "^1.0.1" }, "bin": { "rimraf": "dist/esm/bin.mjs" } }, "sha512-LKg+Cr2ZF61fkcaK1UdkH2yEBBKnYjTyWzTJT6KNPcSPaiT7HSdhtMXQuN5wkTX0Xu72KQ1l8S42rlmexS2hSA=="],
    "roarr": ["roarr@2.15.4", "", { "dependencies": { "boolean": "^3.0.1", "detect-node": "^2.0.4", "globalthis": "^1.0.1", "json-stringify-safe": "^5.0.1", "semver-compare": "^1.0.0", "sprintf-js": "^1.1.2" } }, "sha512-CHhPh+UNHD2GTXNYhPWLnU8ONHdI+5DI+4EYIAOaiD63rHeYlZvyh8P+in5999TTSFgUYuKUAjzRI4mdh/p+2A=="],
@@ -2881,6 +2959,8 @@
    "serialize-javascript": ["serialize-javascript@6.0.2", "", { "dependencies": { "randombytes": "^2.1.0" } }, "sha512-Saa1xPByTTq2gdeFZYLLo+RFE35NHZkAbqZeWNd3BpzppeVisAqpDjcp8dyf6uIvEqJRd46jemmyA4iFIeVk8g=="],
    "serve-sim": ["serve-sim@0.1.43", "", { "dependencies": { "inspect-webkit": "^0.0.5", "ws": "^8.21.0" }, "bin": { "serve-sim": "dist/serve-sim.js" } }, "sha512-kLcWWucVZxPD2+73EAhku6iThATYXUTYlt8M4+sw1ZHZYkfFNhqCuhy8g+Z5JHCNUTf93t2qwCHPOPqvbYKRrw=="],
    "serve-static": ["serve-static@2.2.1", "", { "dependencies": { "encodeurl": "^2.0.0", "escape-html": "^1.0.3", "parseurl": "^1.3.3", "send": "^1.2.0" } }, "sha512-xRXBn0pPqQTVQiC8wyQrKs2MOlX24zQ0POGaj0kultvoOCstBQM5yvOhAVSUwOMjQtTvsPWoNCHfPGwaaQJhTw=="],
    "set-blocking": ["set-blocking@2.0.0", "", {}, "sha512-KiKBS8AnWGEyLzofFfmvKwpdPzqiy16LvQfK3yv/fVH7Bj13/wl3JSR1J+rfgRE9q7xUJK4qvgS8raSOeLUehw=="],
@@ -2893,7 +2973,7 @@
    "setprototypeof": ["setprototypeof@1.2.0", "", {}, "sha512-E5LDX7Wrp85Kil5bhZv46j8jOeboKq5JMmYM3gVGdGH8xFpPWXUMsNrlODCrkoxMEeNi/XZIwuRvY4XNwYMJpw=="],
-    "sharp": ["sharp@0.34.5", "", { "dependencies": { "@img/colour": "^1.0.0", "detect-libc": "^2.1.2", "semver": "^7.7.3" }, "optionalDependencies": { "@img/sharp-darwin-arm64": "0.34.5", "@img/sharp-darwin-x64": "0.34.5", "@img/sharp-libvips-darwin-arm64": "1.2.4", "@img/sharp-libvips-darwin-x64": "1.2.4", "@img/sharp-libvips-linux-arm": "1.2.4", "@img/sharp-libvips-linux-arm64": "1.2.4", "@img/sharp-libvips-linux-ppc64": "1.2.4", "@img/sharp-libvips-linux-riscv64": "1.2.4", "@img/sharp-libvips-linux-s390x": "1.2.4", "@img/sharp-libvips-linux-x64": "1.2.4", "@img/sharp-libvips-linuxmusl-arm64": "1.2.4", "@img/sharp-libvips-linuxmusl-x64": "1.2.4", "@img/sharp-linux-arm": "0.34.5", "@img/sharp-linux-arm64": "0.34.5", "@img/sharp-linux-ppc64": "0.34.5", "@img/sharp-linux-riscv64": "0.34.5", "@img/sharp-linux-s390x": "0.34.5", "@img/sharp-linux-x64": "0.34.5", "@img/sharp-linuxmusl-arm64": "0.34.5", "@img/sharp-linuxmusl-x64": "0.34.5", "@img/sharp-wasm32": "0.34.5", "@img/sharp-win32-arm64": "0.34.5", "@img/sharp-win32-ia32": "0.34.5", "@img/sharp-win32-x64": "0.34.5" } }, "sha512-Ou9I5Ft9WNcCbXrU9cMgPBcCK8LiwLqcbywW3t4oDV37n1pzpuNLsYiAV8eODnjbtQlSDwZ2cUEeQz4E54Hltg=="],
+    "sharp": ["sharp@0.35.2", "", { "dependencies": { "@img/colour": "^1.1.0", "detect-libc": "^2.1.2", "semver": "^7.8.4" }, "optionalDependencies": { "@img/sharp-darwin-arm64": "0.35.2", "@img/sharp-darwin-x64": "0.35.2", "@img/sharp-freebsd-wasm32": "0.35.2", "@img/sharp-libvips-darwin-arm64": "1.3.1", "@img/sharp-libvips-darwin-x64": "1.3.1", "@img/sharp-libvips-linux-arm": "1.3.1", "@img/sharp-libvips-linux-arm64": "1.3.1", "@img/sharp-libvips-linux-ppc64": "1.3.1", "@img/sharp-libvips-linux-riscv64": "1.3.1", "@img/sharp-libvips-linux-s390x": "1.3.1", "@img/sharp-libvips-linux-x64": "1.3.1", "@img/sharp-libvips-linuxmusl-arm64": "1.3.1", "@img/sharp-libvips-linuxmusl-x64": "1.3.1", "@img/sharp-linux-arm": "0.35.2", "@img/sharp-linux-arm64": "0.35.2", "@img/sharp-linux-ppc64": "0.35.2", "@img/sharp-linux-riscv64": "0.35.2", "@img/sharp-linux-s390x": "0.35.2", "@img/sharp-linux-x64": "0.35.2", "@img/sharp-linuxmusl-arm64": "0.35.2", "@img/sharp-linuxmusl-x64": "0.35.2", "@img/sharp-webcontainers-wasm32": "0.35.2", "@img/sharp-win32-arm64": "0.35.2", "@img/sharp-win32-ia32": "0.35.2", "@img/sharp-win32-x64": "0.35.2" } }, "sha512-FVtFjtBCMiJS6yb5CX7Sop45WFMpeGw6oRKuJnXYgf/f1ms/D7LE/ZUSNxnW7rZ/dbslQWYkoqFHGPaDBtaK4w=="],
    "shebang-command": ["shebang-command@2.0.0", "", { "dependencies": { "shebang-regex": "^3.0.0" } }, "sha512-kHxr2zZpYtdmrN1qDjrrX/Z1rR1kG8Dx+gkpK1G4eXmvXswmcE1hTWBWYUzlraYw1/yZp6YuDY77YtvbN0dmDA=="],
@@ -2901,6 +2981,20 @@
    "shell-quote": ["shell-quote@1.8.3", "", {}, "sha512-ObmnIF4hXNg1BqhnHmgbDETF8dLPCggZWBjkQfhZpbszZnYur5DUljTcCHii5LC3J5E0yeO/1LIMyH+UvHQgyw=="],
    "sherpa-onnx-darwin-arm64": ["sherpa-onnx-darwin-arm64@1.13.3", "", { "os": "darwin", "cpu": "arm64" }, "sha512-9x86Cbf+BDFONdtCPM3cnjvtAW0ER8tMaHK5pVfz+SHPt8GeuwRXaiR/BzcByFBUyxCgmceO09/WMZOCi44P/g=="],
    "sherpa-onnx-darwin-x64": ["sherpa-onnx-darwin-x64@1.13.3", "", { "os": "darwin", "cpu": "x64" }, "sha512-TVQ35g7JIpDPB1lUDdcog+JtI0cI45ZzOnvHXm0DtWs/dgxnJXtWMY3uLRtBbLnysV9j5ljffwZ1IX9VDHsCzQ=="],
    "sherpa-onnx-linux-arm64": ["sherpa-onnx-linux-arm64@1.13.3", "", { "os": "linux", "cpu": "arm64" }, "sha512-uDtZkkoP6QQ/3DHOscCpEZ2WpaiHUQsDpbyYaHURrJ7DbsjqGnS6G8l+R589Ro5Bf282QElzBy3okwxXbt3Kxw=="],
    "sherpa-onnx-linux-x64": ["sherpa-onnx-linux-x64@1.13.3", "", { "os": "linux", "cpu": "x64" }, "sha512-OFVK0GYwKwKNsjxbPmfcLQm/dfA0IwAoiIQJ96s+eFYcDqhlapcY06ocdb7SNluGBcM7xgU5jEW2QXBkMIOEvQ=="],
    "sherpa-onnx-node": ["sherpa-onnx-node@1.12.28", "", { "optionalDependencies": { "sherpa-onnx-darwin-arm64": "^1.12.28", "sherpa-onnx-darwin-x64": "^1.12.28", "sherpa-onnx-linux-arm64": "^1.12.28", "sherpa-onnx-linux-x64": "^1.12.28", "sherpa-onnx-win-ia32": "^1.12.28", "sherpa-onnx-win-x64": "^1.12.28" } }, "sha512-EHSB3EG6hKyXaTNh6GU/bwh6i3dncCH6ZCU2mScNzkxRbVStZ7QmNj0Oo4E9XrGGo9jX9pKg9MPHEPyjdK+ApA=="],
    "sherpa-onnx-win-ia32": ["sherpa-onnx-win-ia32@1.13.3", "", { "os": "win32", "cpu": "ia32" }, "sha512-VDZh1M7Ccx/bkP3WwBCFoJzwAwq+b5nR1KRkYRz5p1w5bfhzfa3ACBGr7vpUt5AGUge4qSLe0MSKXyKtSmy1uA=="],
    "sherpa-onnx-win-x64": ["sherpa-onnx-win-x64@1.13.3", "", { "os": "win32", "cpu": "x64" }, "sha512-ZQzcSmFvZK4jzmtWckqxocDUuEjYnBV2MHrDD21HPTeUMfGdE9yfvuSPpesIVfdzKbQzIQY42RAcfZEGWu0FbQ=="],
    "shiki": ["shiki@3.23.0", "", { "dependencies": { "@shikijs/core": "3.23.0", "@shikijs/engine-javascript": "3.23.0", "@shikijs/engine-oniguruma": "3.23.0", "@shikijs/langs": "3.23.0", "@shikijs/themes": "3.23.0", "@shikijs/types": "3.23.0", "@shikijs/vscode-textmate": "^10.0.2", "@types/hast": "^3.0.4" } }, "sha512-55Dj73uq9ZXL5zyeRPzHQsK7Nbyt6Y10k5s7OjuFZGMhpp4r/rsLBH0o/0fstIzX1Lep9VxefWljK/SKCzygIA=="],
    "side-channel": ["side-channel@1.1.0", "", { "dependencies": { "es-errors": "^1.3.0", "object-inspect": "^1.13.3", "side-channel-list": "^1.0.0", "side-channel-map": "^1.0.1", "side-channel-weakmap": "^1.0.2" } }, "sha512-ZX99e6tRweoUXqR+VBrslhda51Nh5MTQwou5tnUDgbtyM0dBgmhEDtWGP/xbKn6hqfPRHujUNwz5fy/wbbhnpw=="],
@@ -2963,6 +3057,8 @@
    "spdx-license-ids": ["spdx-license-ids@3.0.23", "", {}, "sha512-CWLcCCH7VLu13TgOH+r8p1O/Znwhqv/dbb6lqWy67G+pT1kHmeD/+V36AVb/vq8QMIQwVShJ6Ssl5FPh0fuSdw=="],
    "split2": ["split2@4.2.0", "", {}, "sha512-UcjcJOWknrNkF6PLX83qcHM6KHgVKNkV62Y8a5uYDVv9ydGQVwAHMKqHdJje1VTWpljG0WYpCDhrCdAOYH4TWg=="],
    "sprintf-js": ["sprintf-js@1.1.3", "", {}, "sha512-Oo+0REFV59/rz3gfJNKQiBlwfHaSESl1pcGyABQsnnIfWOFt6JNj5gCog2U6MLZ//IGYD+nA8nI+mTShREReaA=="],
    "ssri": ["ssri@9.0.1", "", { "dependencies": { "minipass": "^3.1.1" } }, "sha512-o57Wcn66jMQvfHG1FlYbWeZWW/dHZhJXjpIcTfXldXEk5nz5lStPo3mK0OJQfGR3RbZUlbISexbljkJzuEj/8Q=="],
@@ -3061,6 +3157,8 @@
    "textextensions": ["textextensions@6.11.0", "", { "dependencies": { "editions": "^6.21.0" } }, "sha512-tXJwSr9355kFJI3lbCkPpUH5cP8/M0GGy2xLO34aZCjMXBaK3SoPnZwr/oWmo1FdCnELcs4npdCIOFtq9W3ruQ=="],
    "through2": ["through2@4.0.2", "", { "dependencies": { "readable-stream": "3" } }, "sha512-iOqSav00cVxEEICeD7TjLB1sueEL+81Wpzp2bY17uZjZN0pWZPuo4suZ/61VujxmqSGFfgOcNuTZ85QJwNZQpw=="],
    "tiny-async-pool": ["tiny-async-pool@1.3.0", "", { "dependencies": { "semver": "^5.5.0" } }, "sha512-01EAw5EDrcVrdgyCLgoSPvqznC0sVxDSVeiOz09FUpjh71G79VCqneOr+xvt7T1r76CF6ZZfPjHorN2+d+3mqA=="],
    "tiny-typed-emitter": ["tiny-typed-emitter@2.1.0", "", {}, "sha512-qVtvMxeXbVej0cQWKqVSSAHmKZEHAvxdF8HEUBFWts8h+xEo5m/lEiPakuyZ3BnCBjOD8i24kzNOiOLLgsSxhA=="],
@@ -3177,6 +3275,8 @@
    "unpipe": ["unpipe@1.0.0", "", {}, "sha512-pjy2bYhSsufwWlKwPc+l3cN7+wuJlK6uz0YdJEOlQDbl6jo/YlPi4mb8agUkVC8BF7V8NuzeyPNqRksA3hztKQ=="],
    "untildify": ["untildify@4.0.0", "", {}, "sha512-KK8xQ1mkzZeg9inewmFVDNkg3l5LUhoq9kN6iWYB/CC9YMG8HA+c1Q8HwDe6dEX7kErrEVNVBO3fWsVq5iDgtw=="],
    "unused-filename": ["unused-filename@4.0.1", "", { "dependencies": { "escape-string-regexp": "^5.0.0", "path-exists": "^5.0.0" } }, "sha512-ZX6U1J04K1FoSUeoX1OicAhw4d0aro2qo+L8RhJkiGTNtBNkd/Fi1Wxoc9HzcVu6HfOzm0si/N15JjxFmD1z6A=="],
    "upath": ["upath@1.2.0", "", {}, "sha512-aZwGpamFO61g3OlfT7OQCHqhGnW43ieH9WZeP7QxN/G/jS4jfqUkZxoryvJgVPEcrl5NL/ggHsSmLMHuH64Lhg=="],
@@ -3293,13 +3393,13 @@
    "wrappy": ["wrappy@1.0.2", "", {}, "sha512-l4Sp/DRseor9wL6EvV2+TuQn63dMkPjZ/sp9XkghTEbV9KlPS1xUsZ3u7/IQO4wxtcFB4bgpQPRcR3QCvezPcQ=="],
-    "ws": ["ws@8.19.0", "", { "peerDependencies": { "bufferutil": "^4.0.1", "utf-8-validate": ">=5.0.2" }, "optionalPeers": ["bufferutil", "utf-8-validate"] }, "sha512-blAT2mjOEIi0ZzruJfIhb3nps74PRWTCz1IjglWEEpQl5XS/UNama6u2/rjFkDDouqr4L67ry+1aGIALViWjDg=="],
+    "ws": ["ws@8.21.0", "", { "peerDependencies": { "bufferutil": "^4.0.1", "utf-8-validate": ">=5.0.2" }, "optionalPeers": ["bufferutil", "utf-8-validate"] }, "sha512-Vsp28b7DRcimFQvrqu2Wek3z1iYxDCWqHYB8Qsnk/S4RfaCQzPGPyBNuVjJV3cd6UiKtUtp6sNM77gWvzcCH+g=="],
    "wsl-utils": ["wsl-utils@0.1.0", "", { "dependencies": { "is-wsl": "^3.1.0" } }, "sha512-h3Fbisa2nKGPxCpm89Hk33lBLsnaGBvctQopaBSOW/uIs6FTe1ATyAnKFJrzVs9vpGdsTe73WF3V4lIsk4Gacw=="],
-    "xml2js": ["xml2js@0.5.0", "", { "dependencies": { "sax": ">=0.6.0", "xmlbuilder": "~11.0.0" } }, "sha512-drPFnkQJik/O+uPKpqSgr22mpuFHqKdbS835iAQrUC73L2F5WkboIRd63ai/2Yg6I1jzifPFKH2NTK+cfglkIA=="],
+    "xml2js": ["xml2js@0.6.2", "", { "dependencies": { "sax": ">=0.6.0", "xmlbuilder": "~11.0.0" } }, "sha512-T4rieHaC1EXcES0Kxxj4JWgaUQHDk+qwHcYOCFHfiwKz7tOVPLq7Hjq9dM1WCMhylqMEfP7hMcOIChvotiZegA=="],
-    "xmlbuilder": ["xmlbuilder@11.0.1", "", {}, "sha512-fDlsI/kFEx7gLvbecc0/ohLG50fugQp8ryHzMTuW9vSa1GJ0XYWKnhsUx7oie3G98+r56aTQIUB4kht42R3JvA=="],
+    "xmlbuilder": ["xmlbuilder@15.1.1", "", {}, "sha512-yMqGBqtXyeN1e3TGYvgNgDVZ3j84W4cwkOXQswghol6APgZWaff9lnbvN7MHYJOiXsvGPXtjTYJEiC9J2wv9Eg=="],
    "xtend": ["xtend@4.0.2", "", {}, "sha512-LKYU1iAXJXUgAXn9URjiu+MWhyUXHsvfp7mcuYm9dSUKK0/CjtrUwFAxD82/mCWbtLsGjFIad0wIsod4zrTAEQ=="],
@@ -3341,6 +3441,14 @@
    "@babel/preset-env/semver": ["semver@6.3.1", "", { "bin": { "semver": "bin/semver.js" } }, "sha512-BR7VvDCVHO+q2xBEWskxS6DJE1qRnb7DxzUrogb71CWoSficBxYsiAGd+Kl0mmq/MprG9yArRkyrQxTO6XjMzA=="],
    "@capacitor/cli/fs-extra": ["fs-extra@11.3.3", "", { "dependencies": { "graceful-fs": "^4.2.0", "jsonfile": "^6.0.1", "universalify": "^2.0.0" } }, "sha512-VWSRii4t0AFm6ixFFmLLx1t7wS1gh+ckoa84aOeapGum0h+EZd1EhEumSB+ZdDLnEPuucsVB9oB7cxJHap6Afg=="],
    "@capacitor/cli/open": ["open@8.4.2", "", { "dependencies": { "define-lazy-prop": "^2.0.0", "is-docker": "^2.1.1", "is-wsl": "^2.2.0" } }, "sha512-7x81NCL719oNbsq/3mh+hVrAWmFuEYUqrq/Iw3kUzH8ReypT9QQ0BLoJS7/G9k6N81XjW4qHWtjWwe/9eLy1EQ=="],
    "@capacitor/cli/semver": ["semver@7.8.5", "", { "bin": { "semver": "bin/semver.js" } }, "sha512-Y7/KDsb8LjooZpwaqGyulO6DQlksgCncchHGk+sZIY4SBvUocMBEFH5Ur1fI4dV+Jvl0w6cjvucaIi40puRioA=="],
    "@capacitor/cli/tar": ["tar@7.5.13", "", { "dependencies": { "@isaacs/fs-minipass": "^4.0.0", "chownr": "^3.0.0", "minipass": "^7.1.2", "minizlib": "^3.1.0", "yallist": "^5.0.0" } }, "sha512-tOG/7GyXpFevhXVh8jOPJrmtRpOTsYqUIkVdVooZYJS/z8WhfQUX8RJILmeuJNinGAMSu1veBr4asSHFt5/hng=="],
    "@electron/asar/commander": ["commander@5.1.0", "", {}, "sha512-P0CysNDQ7rtVw4QIQtm+MRxV66vKFSvlsQvGYXZWR3qFU0jlMKHZZZgw8e+8DSah4UDKMqnknRDQz+xuQXQ/Zg=="],
    "@electron/asar/glob": ["glob@7.2.3", "", { "dependencies": { "fs.realpath": "^1.0.0", "inflight": "^1.0.4", "inherits": "2", "minimatch": "^3.1.1", "once": "^1.3.0", "path-is-absolute": "^1.0.0" } }, "sha512-nFR0zLpU2YCaRxwoCJvL6UvCH2JFyFVIvwTLsIf21AuHlMskA1hhTdk+LlYJtOlYt9v6dvszD2BGRqBL+iQK9Q=="],
@@ -3371,6 +3479,12 @@
    "@heroui/theme/tailwind-merge": ["tailwind-merge@3.4.0", "", {}, "sha512-uSaO4gnW+b3Y2aWoWfFpX62vn2sR3skfhbjsEnaBI81WD1wBLlHZe5sWf0AqjksNdYTbGBEd0UasQMT3SNV15g=="],
    "@ionic/utils-fs/@types/fs-extra": ["@types/fs-extra@8.1.5", "", { "dependencies": { "@types/node": "*" } }, "sha512-0dzKcwO+S8s2kuF5Z9oUWatQJj5Uq/iqphEtE3GQJVRRYm/tD1LglU2UnXi2A8jLq5umkGouOXOR9y0n613ZwQ=="],
    "@ionic/utils-fs/fs-extra": ["fs-extra@9.1.0", "", { "dependencies": { "at-least-node": "^1.0.0", "graceful-fs": "^4.2.0", "jsonfile": "^6.0.1", "universalify": "^2.0.0" } }, "sha512-hcg3ZmepS30/7BSFqRvoo3DOMQu7IjqxO5nCDt+zM9XWjb33Wg7ziNT+Qvqbuc3+gWpzO02JubVyk2G4Zvo1OQ=="],
    "@ionic/utils-terminal/slice-ansi": ["slice-ansi@4.0.0", "", { "dependencies": { "ansi-styles": "^4.0.0", "astral-regex": "^2.0.0", "is-fullwidth-code-point": "^3.0.0" } }, "sha512-qMCMfhY040cVHT43K9BFygqYbUPFZKHOg7K73mtTWJRb8pyP3fzf4Ixd5SzdEJQ6MRUg/WBnOLxghZtKKurENQ=="],
    "@isaacs/fs-minipass/minipass": ["minipass@7.1.3", "", {}, "sha512-tEBHqDnIoM/1rXME1zgka9g6Q2lcoCkxHLuc7ODJ5BxbP5d4c2Z5cGgtXAku59200Cx7diuHTOYfSBD8n6mm8A=="],
    "@malept/flatpak-bundler/fs-extra": ["fs-extra@9.1.0", "", { "dependencies": { "at-least-node": "^1.0.0", "graceful-fs": "^4.2.0", "jsonfile": "^6.0.1", "universalify": "^2.0.0" } }, "sha512-hcg3ZmepS30/7BSFqRvoo3DOMQu7IjqxO5nCDt+zM9XWjb33Wg7ziNT+Qvqbuc3+gWpzO02JubVyk2G4Zvo1OQ=="],
@@ -3379,7 +3493,7 @@
    "@npmcli/agent/socks-proxy-agent": ["socks-proxy-agent@8.0.5", "", { "dependencies": { "agent-base": "^7.1.2", "debug": "^4.3.4", "socks": "^2.8.3" } }, "sha512-HehCEsotFqbPW9sJ8WVYB6UbmIMv7kUUORIF2Nncq4VQvBfNBLibW9YZR5dlYCSUhwcD628pRllm7n+E+YTzJw=="],
-    "@openchamber/ui/ghostty-web": ["ghostty-web@0.4.0", "", {}, "sha512-0puDBik2qapbD/QQBW9o5ZHfXnZBqZWx/ctBiVtKZ6ZLds4NYb+wZuw1cRLXZk9zYovIQ908z3rvFhexAvc5Hg=="],
+    "@npmcli/move-file/rimraf": ["rimraf@3.0.2", "", { "dependencies": { "glob": "^7.1.3" }, "bin": { "rimraf": "bin.js" } }, "sha512-JZkJMZkAGFFPP2YqXZXPbMlMBgsxzE8ILs4lMIX/2o0L9UBw9O/Y3o6wFw/i9YLapcUJWwqbi3kdxIPdC62TIA=="],
    "@openchamber/web/cron-parser": ["cron-parser@4.9.0", "", { "dependencies": { "luxon": "^3.2.1" } }, "sha512-p0SaNjrHOnQeR8/VnfGbmg9te2kfyYSQ7Sc/j/6DtPL3JQvKxmjO9TSjNFpujqV3vEYYBvNNvXSxzyksBWAx1Q=="],
@@ -3435,15 +3549,13 @@
    "@textlint/linter-formatter/pluralize": ["pluralize@2.0.0", "", {}, "sha512-TqNZzQCD4S42De9IfnnBvILN7HAW7riLqsCyp8lgjXeysyPlX5HhqKAcJHHHb9XskE4/a+7VGC9zzx8Ls0jOAw=="],
    "@types/plist/xmlbuilder": ["xmlbuilder@15.1.1", "", {}, "sha512-yMqGBqtXyeN1e3TGYvgNgDVZ3j84W4cwkOXQswghol6APgZWaff9lnbvN7MHYJOiXsvGPXtjTYJEiC9J2wv9Eg=="],
    "@typescript-eslint/eslint-plugin/ignore": ["ignore@7.0.5", "", {}, "sha512-Hs59xBNfUIunMFgWAbGX5cq6893IbWg4KnrjbYwX3tx0ztorVgTDA6B2sxf8ejHJ4wz8BqGUMYlnzNBer5NvGg=="],
    "@typescript-eslint/typescript-estree/minimatch": ["minimatch@10.2.4", "", { "dependencies": { "brace-expansion": "^5.0.2" } }, "sha512-oRjTw/97aTBN0RHbYCdtF1MQfvusSIBQM0IZEgzl6426+8jSC0nF1a/GmnVLpfB9yyr6g6FTqWqiZVbxrtaCIg=="],
    "@typescript-eslint/visitor-keys/eslint-visitor-keys": ["eslint-visitor-keys@5.0.1", "", {}, "sha512-tD40eHxA35h0PEIZNeIjkHoDR4YjjJp34biM0mDvplBe//mB+IHCqHDGV7pxF+7MklTvighcCPPZC7ynWyjdTA=="],
-    "@vscode/vsce/commander": ["commander@12.1.0", "", {}, "sha512-Vw8qHK3bZM9y/P10u3Vib8o/DdkvA2OtPtZvD871QKjy74Wj1WSKFILMPRPSdUSx5RFK1arlJzEtA4PkFgnbuA=="],
+    "@vscode/vsce/xml2js": ["xml2js@0.5.0", "", { "dependencies": { "sax": ">=0.6.0", "xmlbuilder": "~11.0.0" } }, "sha512-drPFnkQJik/O+uPKpqSgr22mpuFHqKdbS835iAQrUC73L2F5WkboIRd63ai/2Yg6I1jzifPFKH2NTK+cfglkIA=="],
    "@xenova/transformers/sharp": ["sharp@0.32.6", "", { "dependencies": { "color": "^4.2.3", "detect-libc": "^2.0.2", "node-addon-api": "^6.1.0", "prebuild-install": "^7.1.1", "semver": "^7.5.4", "simple-get": "^4.0.1", "tar-fs": "^3.0.4", "tunnel-agent": "^0.6.0" } }, "sha512-KyLTWwgcR9Oe4d9HwCwNM2l7+J0dUQwn/yf7S0EnTtb0eVS4RxO0eUSvxPtzT4F3SY+C4K6fqdv/DO27sJ/v/w=="],
@@ -3473,6 +3585,8 @@
    "cacache/p-map": ["p-map@4.0.0", "", { "dependencies": { "aggregate-error": "^3.0.0" } }, "sha512-/bjOqmgETBYB5BoEeGVea8dmvHb2m9GLy1E9W43yeyfP6QQCZGFNa+XRceJEuDB6zqr+gKpIAmlLebMpykw/MQ=="],
    "cacache/rimraf": ["rimraf@3.0.2", "", { "dependencies": { "glob": "^7.1.3" }, "bin": { "rimraf": "bin.js" } }, "sha512-JZkJMZkAGFFPP2YqXZXPbMlMBgsxzE8ILs4lMIX/2o0L9UBw9O/Y3o6wFw/i9YLapcUJWwqbi3kdxIPdC62TIA=="],
    "chalk/supports-color": ["supports-color@7.2.0", "", { "dependencies": { "has-flag": "^4.0.0" } }, "sha512-qpCAvRl9stuOHveKsn7HncJRvv501qIacKzQlO/+Lwxc9+0q2wLyv4Dfvt80/DPn2pqOBsJdDiogXGR9+OvwRw=="],
    "chokidar/glob-parent": ["glob-parent@5.1.2", "", { "dependencies": { "is-glob": "^4.0.1" } }, "sha512-AOIgSQCepiJYwP3ARnGx+5VnTu2HBYdzbGP45eLw1vr3zB3vZLeyed1sC9hnbcOc9/SrMyM5RPQrkGz4aS9Zow=="],
@@ -3497,6 +3611,8 @@
    "electron-winstaller/fs-extra": ["fs-extra@7.0.1", "", { "dependencies": { "graceful-fs": "^4.1.2", "jsonfile": "^4.0.0", "universalify": "^0.1.0" } }, "sha512-YJDaCJZEnBmcbw13fvdAM9AwNOJwOzrE4pqMqBq5nFiEqXUqHwlK4B+3pUw6JNvfSPtX05xFHtYy/1ni01eGCw=="],
    "elementtree/sax": ["sax@1.1.4", "", {}, "sha512-5f3k2PbGGp+YtKJjOItpg3P99IMD84E4HOvcfleTb5joCHNXYLsR9yWFPOYGgaeMPDubQILTCMdsFb2OMeOjtg=="],
    "encoding/iconv-lite": ["iconv-lite@0.6.3", "", { "dependencies": { "safer-buffer": ">= 2.1.2 < 3.0.0" } }, "sha512-4fCk79wshMdzMp2rH06qWrJE4iolqLhCUH+OiuIgU++RB0+94NlDL81atO7GX55uUKueo0txHNtvEyI6D7WdMw=="],
    "encoding-sniffer/iconv-lite": ["iconv-lite@0.6.3", "", { "dependencies": { "safer-buffer": ">= 2.1.2 < 3.0.0" } }, "sha512-4fCk79wshMdzMp2rH06qWrJE4iolqLhCUH+OiuIgU++RB0+94NlDL81atO7GX55uUKueo0txHNtvEyI6D7WdMw=="],
@@ -3537,6 +3653,8 @@
    "is-inside-container/is-docker": ["is-docker@3.0.0", "", { "bin": { "is-docker": "cli.js" } }, "sha512-eljcgEDlEns/7AXFosB5K/2nCM4P7FQPkGc/DWLy5rmFEWvZayGrik1d9/QIY5nJ4f9YsVvBkA6kJpHn9rISdQ=="],
    "katex/commander": ["commander@8.3.0", "", {}, "sha512-OkTL9umf+He2DZkUq8f8J9of7yL6RJKI24dVITBmNfZBmri9zYZQrKkuXiKhyfPSu8tUhnVBB1iKXevvnlR4Ww=="],
    "keytar/node-addon-api": ["node-addon-api@4.3.0", "", {}, "sha512-73sE9+3UaLYYFmDsFZnqCInzPyh3MqIwZO9cw58yIqAZhONrrabrYyYe3TuIqtIiOuTXVhsGau8hcrhhwSsDIQ=="],
    "make-fetch-happen/http-proxy-agent": ["http-proxy-agent@5.0.0", "", { "dependencies": { "@tootallnate/once": "2", "agent-base": "6", "debug": "4" } }, "sha512-n2hY8YdoRE1i7r6M0w9DIw5GgZN0G25P8zLCRQ8rjXtTU3vsNFBI/vWK/UIeE6g5MUUz6avwAPXmL6Fy9D/90w=="],
@@ -3553,6 +3671,8 @@
    "mdast-util-mdx-jsx/parse-entities": ["parse-entities@4.0.2", "", { "dependencies": { "@types/unist": "^2.0.0", "character-entities-legacy": "^3.0.0", "character-reference-invalid": "^2.0.0", "decode-named-character-reference": "^1.0.0", "is-alphanumerical": "^2.0.0", "is-decimal": "^2.0.0", "is-hexadecimal": "^2.0.0" } }, "sha512-GG2AQYWoLgL877gQIKeRPGO1xF9+eG1ujIb5soS5gPvLQ1y2o8FL90w2QWNdf9I361Mpp7726c+lj3U0qK1uGw=="],
    "micromark-extension-math/katex": ["katex@0.16.45", "", { "dependencies": { "commander": "^8.3.0" }, "bin": { "katex": "cli.js" } }, "sha512-pQpZbdBu7wCTmQUh7ufPmLr0pFoObnGUoL/yhtwJDgmmQpbkg/0HSVti25Fu4rmd1oCR6NGWe9vqTWuWv3GcNA=="],
    "micromatch/picomatch": ["picomatch@2.3.1", "", {}, "sha512-JU3teHTNjmE2VCGFzuY8EXzCDVwEqB2a8fsIvwaStHhAWJEeVd1o1QD80CU6+ZdEXXSLbSsuLwJjkCBWqRQUVA=="],
    "minipass-collect/minipass": ["minipass@3.3.6", "", { "dependencies": { "yallist": "^4.0.0" } }, "sha512-DxiNidxSEK+tHG6zOIklvNOwm3hvCrbUrdtzY74U6HKTJxvIDfOUL5W5P2Ghd3DTkhhKPYGqeNUIh5qcM4YBfw=="],
@@ -3597,14 +3717,16 @@
    "path-scurry/minipass": ["minipass@7.1.3", "", {}, "sha512-tEBHqDnIoM/1rXME1zgka9g6Q2lcoCkxHLuc7ODJ5BxbP5d4c2Z5cGgtXAku59200Cx7diuHTOYfSBD8n6mm8A=="],
    "plist/xmlbuilder": ["xmlbuilder@15.1.1", "", {}, "sha512-yMqGBqtXyeN1e3TGYvgNgDVZ3j84W4cwkOXQswghol6APgZWaff9lnbvN7MHYJOiXsvGPXtjTYJEiC9J2wv9Eg=="],
    "postject/commander": ["commander@9.5.0", "", {}, "sha512-KRs7WVDKg86PWiuAqhDrAQnTXZKraVcCc6vFdL14qrZ/DcWwuRo7VoiYXalXO7S5GKpqYiVEwCbgFDfxNHKJBQ=="],
    "prebuild-install/tar-fs": ["tar-fs@2.1.4", "", { "dependencies": { "chownr": "^1.1.1", "mkdirp-classic": "^0.5.2", "pump": "^3.0.0", "tar-stream": "^2.1.4" } }, "sha512-mDAjwmZdh7LTT6pNleZ05Yt65HC3E+NiQzl672vQG38jIrehtJk/J3mNwIg+vShQPcLF/LV7CMnDW6vjj6sfYQ=="],
    "prompts/kleur": ["kleur@3.0.3", "", {}, "sha512-eTIzlVOSUR+JxdDFepEYcBMtZ9Qqdef+rnzWdRZuMbOywu5tO2w2N7rqjoANZ5k9vywhL6Br1VRjUIgTQx4E8w=="],
    "qrcode/yargs": ["yargs@15.4.1", "", { "dependencies": { "cliui": "^6.0.0", "decamelize": "^1.2.0", "find-up": "^4.1.0", "get-caller-file": "^2.0.1", "require-directory": "^2.1.1", "require-main-filename": "^2.0.0", "set-blocking": "^2.0.0", "string-width": "^4.2.0", "which-module": "^2.0.0", "y18n": "^4.0.0", "yargs-parser": "^18.1.2" } }, "sha512-aePbxDmcYW++PaqBsJ+HYUFwCdv4LVvdnhBy78E57PIor8/OVvhMrADFFEDh8DHDFRv/O9i3lPhsENjO7QX0+A=="],
    "rc/ini": ["ini@1.3.8", "", {}, "sha512-JV/yugV2uzW5iMRSiZAyDtQd+nxtUnjeLt0acNdw98kKLrvuRVyB80tsREOE7yvGVgalhZ6RNXCmEHkUKBKxew=="],
    "rc/strip-json-comments": ["strip-json-comments@2.0.1", "", {}, "sha512-4gB8na07fecVVkOI6Rs4e7T6NOTki5EmL7TUduTs6bu3EdnSycntVJ4re8kgZA+wx9IueI2Y11bfbgwtzuE0KQ=="],
    "react-syntax-highlighter/@babel/runtime": ["@babel/runtime@7.28.6", "", {}, "sha512-05WQkdpL9COIMz4LjTxGpPNCdlpyimKppYNoJ5Di5EUObifl8t4tuLuUBBZEpoLYOmfvIWrsp9fCl0HoPRVTdA=="],
@@ -3617,10 +3739,14 @@
    "refractor/prismjs": ["prismjs@1.27.0", "", {}, "sha512-t13BGPUlFDR7wRB5kQDG4jjl7XeuH6jbJGt11JHPL96qwsEHNX2+68tFXqc1/k+/jALsbSWJKUOT/hcYAZ5LkA=="],
-    "rimraf/glob": ["glob@7.2.3", "", { "dependencies": { "fs.realpath": "^1.0.0", "inflight": "^1.0.4", "inherits": "2", "minimatch": "^3.1.1", "once": "^1.3.0", "path-is-absolute": "^1.0.0" } }, "sha512-nFR0zLpU2YCaRxwoCJvL6UvCH2JFyFVIvwTLsIf21AuHlMskA1hhTdk+LlYJtOlYt9v6dvszD2BGRqBL+iQK9Q=="],
+    "rehype-katex/katex": ["katex@0.16.45", "", { "dependencies": { "commander": "^8.3.0" }, "bin": { "katex": "cli.js" } }, "sha512-pQpZbdBu7wCTmQUh7ufPmLr0pFoObnGUoL/yhtwJDgmmQpbkg/0HSVti25Fu4rmd1oCR6NGWe9vqTWuWv3GcNA=="],
    "rimraf/glob": ["glob@13.0.6", "", { "dependencies": { "minimatch": "^10.2.2", "minipass": "^7.1.3", "path-scurry": "^2.0.2" } }, "sha512-Wjlyrolmm8uDpm/ogGyXZXb1Z+Ca2B8NbJwqBVg0axK9GbBeoS7yGV6vjXnYdGm6X53iehEuxxbyiKp8QmN4Vw=="],
    "serialize-error/type-fest": ["type-fest@0.13.1", "", {}, "sha512-34R7HTnG0XIJcBSn5XhDd7nNFPRcXYRZrBB2O2jdKqYODldSzBAqzsWoZYYvduky73toYS/ESqxPvkDf/F0XMg=="],
    "sharp/semver": ["semver@7.8.5", "", { "bin": { "semver": "bin/semver.js" } }, "sha512-Y7/KDsb8LjooZpwaqGyulO6DQlksgCncchHGk+sZIY4SBvUocMBEFH5Ur1fI4dV+Jvl0w6cjvucaIi40puRioA=="],
    "slice-ansi/ansi-styles": ["ansi-styles@6.2.3", "", {}, "sha512-4Dj6M28JB+oAH8kFkTLUo+a2jwOFkuqb3yucU0CANcRRUbxS0cP0nZYCGjcc3BNXwRIsUVmDGgzawme7zvJHvg=="],
    "slice-ansi/is-fullwidth-code-point": ["is-fullwidth-code-point@4.0.0", "", {}, "sha512-O4L094N2/dZ7xqVdrXhh9r1KODPJpFms8B5sGdJLPy664AgvXsreZUyCQQNItZRDlYug4xStLjNp/sz3HvBowQ=="],
@@ -3677,10 +3803,22 @@
    "wsl-utils/is-wsl": ["is-wsl@3.1.1", "", { "dependencies": { "is-inside-container": "^1.0.0" } }, "sha512-e6rvdUCiQCAuumZslxRJWR/Doq4VpPR82kqclvcS0efgt430SlGIk05vdCN58+VrzgtIcfNODjozVielycD4Sw=="],
    "xml2js/xmlbuilder": ["xmlbuilder@11.0.1", "", {}, "sha512-fDlsI/kFEx7gLvbecc0/ohLG50fugQp8ryHzMTuW9vSa1GJ0XYWKnhsUx7oie3G98+r56aTQIUB4kht42R3JvA=="],
    "@apideck/better-ajv-errors/ajv/json-schema-traverse": ["json-schema-traverse@1.0.0", "", {}, "sha512-NM8/P9n3XjXhIZn1lLhkFaACTOURQXjWhV4BA/RnOv8xvgqtqpAX9IO4mRQxSx1Rlo4tqzeqb0sOlruaOy3dug=="],
    "@azure/identity/open/define-lazy-prop": ["define-lazy-prop@3.0.0", "", {}, "sha512-N+MeXYoqr3pOgn8xfyRPREN7gHakLYjhsHhWGT3fWAiL4IkAt0iDw14QiiEm2bE30c5XX5q0FtAA3CK5f9/BUg=="],
    "@babel/helper-compilation-targets/lru-cache/yallist": ["yallist@3.1.1", "", {}, "sha512-a4UGQaWPH59mOXUYnAG2ewncQS4i4F43Tv3JoAM+s2VDAmS9NsK8GpDMLrCHPksFT7h3K6TOoUNn2pb7RoXx4g=="],
    "@capacitor/cli/tar/chownr": ["chownr@3.0.0", "", {}, "sha512-+IxzY9BZOQd/XuYPRmrvEVjF/nqj5kgT4kEq7VofrDoM1MxoRjEWkrCC3EtLi59TVawxTAn+orJwFQcrqEN1+g=="],
    "@capacitor/cli/tar/minipass": ["minipass@7.1.3", "", {}, "sha512-tEBHqDnIoM/1rXME1zgka9g6Q2lcoCkxHLuc7ODJ5BxbP5d4c2Z5cGgtXAku59200Cx7diuHTOYfSBD8n6mm8A=="],
    "@capacitor/cli/tar/minizlib": ["minizlib@3.1.0", "", { "dependencies": { "minipass": "^7.1.2" } }, "sha512-KZxYo1BUkWD2TVFLr0MQoM8vUUigWD3LlD83a/75BqC+4qE0Hb1Vo5v1FgcfaNXvfXzr+5EhQ6ing/CaBijTlw=="],
    "@capacitor/cli/tar/yallist": ["yallist@5.0.0", "", {}, "sha512-YgvUTfwqyc7UXVMrB+SImsVYSmTS8X/tSrtdNZMImM+n7+QTriRXyXim0mBrTXNeqzVF0KWGgHPeiyViFFrNDw=="],
    "@electron/get/fs-extra/jsonfile": ["jsonfile@4.0.0", "", { "optionalDependencies": { "graceful-fs": "^4.1.6" } }, "sha512-m6F1R3z8jjlf2imQHS2Qez5sjKWQzbuuhuJ/FKYFRZvPE3PuHcSMVZzfsLhGVOkfd20obL5SWEBew5ShlquNxg=="],
    "@electron/get/fs-extra/universalify": ["universalify@0.1.2", "", {}, "sha512-rBJeI5CXAlmy1pV+617WB9J63U6XcazHHF2f2dbJix4XzpUF0RS3Zbj0FGIOCAva5P/d/GBOYaACQ1w+0azUkg=="],
@@ -3689,6 +3827,8 @@
    "@electron/universal/minimatch/brace-expansion": ["brace-expansion@2.0.2", "", { "dependencies": { "balanced-match": "^1.0.0" } }, "sha512-Jt0vHyM+jmUBqojB7E1NIYadt0vI0Qxjxd2TErW94wDz+E2LAm5vKMXXwg6ZZBTHPuUlDgQHKXvjGBdfcF1ZDQ=="],
    "@npmcli/move-file/rimraf/glob": ["glob@7.2.3", "", { "dependencies": { "fs.realpath": "^1.0.0", "inflight": "^1.0.4", "inherits": "2", "minimatch": "^3.1.1", "once": "^1.3.0", "path-is-absolute": "^1.0.0" } }, "sha512-nFR0zLpU2YCaRxwoCJvL6UvCH2JFyFVIvwTLsIf21AuHlMskA1hhTdk+LlYJtOlYt9v6dvszD2BGRqBL+iQK9Q=="],
    "@rollup/plugin-node-resolve/@rollup/pluginutils/estree-walker": ["estree-walker@2.0.2", "", {}, "sha512-Rfkk/Mp/DL7JVje3u18FxFujQlTNR2q6QfMSMB7AvCBx91NGj/ba3kCfza0f6dVDbw7YlRf/nDrn7pQrCCyQ/w=="],
    "@secretlint/config-loader/ajv/json-schema-traverse": ["json-schema-traverse@1.0.0", "", {}, "sha512-NM8/P9n3XjXhIZn1lLhkFaACTOURQXjWhV4BA/RnOv8xvgqtqpAX9IO4mRQxSx1Rlo4tqzeqb0sOlruaOy3dug=="],
@@ -3697,6 +3837,8 @@
    "@typescript-eslint/typescript-estree/minimatch/brace-expansion": ["brace-expansion@5.0.4", "", { "dependencies": { "balanced-match": "^4.0.2" } }, "sha512-h+DEnpVvxmfVefa4jFbCf5HdH5YMDXRsmKflpf1pILZWRFlTbJpxeU55nJl4Smt5HQaGzg1o6RHFPJaOqnmBDg=="],
    "@vscode/vsce/xml2js/xmlbuilder": ["xmlbuilder@11.0.1", "", {}, "sha512-fDlsI/kFEx7gLvbecc0/ohLG50fugQp8ryHzMTuW9vSa1GJ0XYWKnhsUx7oie3G98+r56aTQIUB4kht42R3JvA=="],
    "@xenova/transformers/sharp/node-addon-api": ["node-addon-api@6.1.0", "", {}, "sha512-+eawOlIgy680F0kBzPUNFhMZGtJ1YmqM6l4+Crf4IkImjYrO/mqPwRMh352g23uIaQKFItcQ64I7KMaJxHgAVA=="],
    "app-builder-lib/@electron/get/fs-extra": ["fs-extra@8.1.0", "", { "dependencies": { "graceful-fs": "^4.2.0", "jsonfile": "^4.0.0", "universalify": "^0.1.0" } }, "sha512-yhlQgA6mnOJUKOsRUFsgJdQCvkKhcz8tlZG5HBQfReYZy46OwLcY+Zia0mtdHsOo9y/hP+CxMN0TU9QxoOtG4g=="],
@@ -3719,6 +3861,8 @@
    "cacache/glob/minimatch": ["minimatch@5.1.9", "", { "dependencies": { "brace-expansion": "^2.0.1" } }, "sha512-7o1wEA2RyMP7Iu7GNba9vc0RWWGACJOCZBJX2GJWip0ikV+wcOsgVuY9uE8CPiyQhkGFSlhuSkZPavN7u1c2Fw=="],
    "cacache/rimraf/glob": ["glob@7.2.3", "", { "dependencies": { "fs.realpath": "^1.0.0", "inflight": "^1.0.4", "inherits": "2", "minimatch": "^3.1.1", "once": "^1.3.0", "path-is-absolute": "^1.0.0" } }, "sha512-nFR0zLpU2YCaRxwoCJvL6UvCH2JFyFVIvwTLsIf21AuHlMskA1hhTdk+LlYJtOlYt9v6dvszD2BGRqBL+iQK9Q=="],
    "cli-truncate/string-width/emoji-regex": ["emoji-regex@10.6.0", "", {}, "sha512-toUI84YS5YmxW219erniWD0CIVOo46xGKColeNQRgOzDorgBi1v4D71/OFzgD9GO2UGKIv1C3Sp8DAn0+j5w7A=="],
    "cli-truncate/string-width/strip-ansi": ["strip-ansi@7.2.0", "", { "dependencies": { "ansi-regex": "^6.2.2" } }, "sha512-yDPMNjp4WyfYBkHnjIRLfca1i6KMyGCtsVgoKe/z1+6vukgaENdgGBZt+ZmKPc4gavvEZ5OgHfHdrazhgNyG7w=="],
@@ -3759,6 +3903,8 @@
    "mdast-util-mdx-jsx/parse-entities/is-hexadecimal": ["is-hexadecimal@2.0.1", "", {}, "sha512-DgZQp241c8oO6cA1SbTEWiXeoxV42vlcJxgH+B3hi1AiqqKruZR3ZGF8In3fj4+/y/7rHvlOZLZtgJ/4ttYGZg=="],
    "micromark-extension-math/katex/commander": ["commander@8.3.0", "", {}, "sha512-OkTL9umf+He2DZkUq8f8J9of7yL6RJKI24dVITBmNfZBmri9zYZQrKkuXiKhyfPSu8tUhnVBB1iKXevvnlR4Ww=="],
    "node-gyp/make-fetch-happen/cacache": ["cacache@19.0.1", "", { "dependencies": { "@npmcli/fs": "^4.0.0", "fs-minipass": "^3.0.0", "glob": "^10.2.2", "lru-cache": "^10.0.1", "minipass": "^7.0.3", "minipass-collect": "^2.0.1", "minipass-flush": "^1.0.5", "minipass-pipeline": "^1.2.4", "p-map": "^7.0.2", "ssri": "^12.0.0", "tar": "^7.4.3", "unique-filename": "^4.0.0" } }, "sha512-hdsUxulXCi5STId78vRVYEtDAjq99ICAUktLTeTYsLoTE6Z8dS0c8pWNCxwdrk9YfJeobDZc2Y186hD/5ZQgFQ=="],
    "node-gyp/make-fetch-happen/minipass": ["minipass@7.1.3", "", {}, "sha512-tEBHqDnIoM/1rXME1zgka9g6Q2lcoCkxHLuc7ODJ5BxbP5d4c2Z5cGgtXAku59200Cx7diuHTOYfSBD8n6mm8A=="],
@@ -3801,6 +3947,12 @@
    "qrcode/yargs/yargs-parser": ["yargs-parser@18.1.3", "", { "dependencies": { "camelcase": "^5.0.0", "decamelize": "^1.2.0" } }, "sha512-o50j0JeToy/4K6OZcaQmW6lyXXKhq7csREXcDwk2omFPJEwUNOVtJKvmDr9EI1fAJZUyZcRF7kxGBWmRXudrCQ=="],
    "rehype-katex/katex/commander": ["commander@8.3.0", "", {}, "sha512-OkTL9umf+He2DZkUq8f8J9of7yL6RJKI24dVITBmNfZBmri9zYZQrKkuXiKhyfPSu8tUhnVBB1iKXevvnlR4Ww=="],
    "rimraf/glob/minimatch": ["minimatch@10.2.4", "", { "dependencies": { "brace-expansion": "^5.0.2" } }, "sha512-oRjTw/97aTBN0RHbYCdtF1MQfvusSIBQM0IZEgzl6426+8jSC0nF1a/GmnVLpfB9yyr6g6FTqWqiZVbxrtaCIg=="],
    "rimraf/glob/minipass": ["minipass@7.1.3", "", {}, "sha512-tEBHqDnIoM/1rXME1zgka9g6Q2lcoCkxHLuc7ODJ5BxbP5d4c2Z5cGgtXAku59200Cx7diuHTOYfSBD8n6mm8A=="],
    "source-map/whatwg-url/tr46": ["tr46@1.0.1", "", { "dependencies": { "punycode": "^2.1.0" } }, "sha512-dTpowEjclQ7Kgx5SdBkqRzVhERQXov8/l9Ft9dVM9fmg0W0KQSVaXX9T4i6twCPNtYiZM53lpSSUAwJbFPOHxA=="],
    "source-map/whatwg-url/webidl-conversions": ["webidl-conversions@4.0.2", "", {}, "sha512-YQ+BmxuTgd6UXZW3+ICGfyqRyHXVlD5GtQr5+qjiNW7bF0cqrzX500HVXPBOvgXb5YnzDd+h0zqyv61KUD7+Sg=="],
@@ -3953,6 +4105,8 @@
    "qrcode/yargs/find-up/locate-path": ["locate-path@5.0.0", "", { "dependencies": { "p-locate": "^4.1.0" } }, "sha512-t7hw9pI+WvuwNJXwk5zVHpyhIqzg2qTlklJOf0mVxGSbe3Fp2VieZcduNYjaLDoy6p9uGpQEGWG87WpMKlNq8g=="],
    "rimraf/glob/minimatch/brace-expansion": ["brace-expansion@5.0.4", "", { "dependencies": { "balanced-match": "^4.0.2" } }, "sha512-h+DEnpVvxmfVefa4jFbCf5HdH5YMDXRsmKflpf1pILZWRFlTbJpxeU55nJl4Smt5HQaGzg1o6RHFPJaOqnmBDg=="],
    "node-gyp/make-fetch-happen/cacache/glob/jackspeak": ["jackspeak@3.4.3", "", { "dependencies": { "@isaacs/cliui": "^8.0.2" }, "optionalDependencies": { "@pkgjs/parseargs": "^0.11.0" } }, "sha512-OGlZQpz2yfahA/Rd1Y8Cd9SIEsqvXkLVoSw/cgwhnhFMDbsQFeZYoJJ7bIZBS9BcamUW96asq/npPWugM+RQBw=="],
    "node-gyp/make-fetch-happen/cacache/glob/minimatch": ["minimatch@9.0.9", "", { "dependencies": { "brace-expansion": "^2.0.2" } }, "sha512-OBwBN9AL4dqmETlpS2zasx+vTeWclWzkblfZk7KTA5j3jeOONz/tRCnZomUyvNg83wL5Zv9Ss6HMJXAgL8R2Yg=="],
@@ -3963,6 +4117,8 @@
    "qrcode/yargs/find-up/locate-path/p-locate": ["p-locate@4.1.0", "", { "dependencies": { "p-limit": "^2.2.0" } }, "sha512-R79ZZ/0wAxKGu3oYMlz8jy/kbhsNrS7SKZ7PxEHBgJ5+F2mtFW2fK2cOtBh1cHYkQsbzFV7I+EoRKe6Yt0oK7A=="],
    "rimraf/glob/minimatch/brace-expansion/balanced-match": ["balanced-match@4.0.4", "", {}, "sha512-BLrgEcRTwX2o6gGxGOCNyMvGSp35YofuYzw9h1IMTRmKqttAZZVU67bdb9Pr2vUHA8+j3i2tJfjO6C6+4myGTA=="],
    "node-gyp/make-fetch-happen/cacache/glob/jackspeak/@isaacs/cliui": ["@isaacs/cliui@8.0.2", "", { "dependencies": { "string-width": "^5.1.2", "string-width-cjs": "npm:string-width@^4.2.0", "strip-ansi": "^7.0.1", "strip-ansi-cjs": "npm:strip-ansi@^6.0.1", "wrap-ansi": "^8.1.0", "wrap-ansi-cjs": "npm:wrap-ansi@^7.0.0" } }, "sha512-O8jcjabXaleOG9DQ0+ARXWZBTfnP4WNAqzuiJK7ll44AmxGKv/J2M4TPjxjY3znBCfvBXFzucm1twdyFybFqEA=="],
    "node-gyp/make-fetch-happen/cacache/glob/minimatch/brace-expansion": ["brace-expansion@2.0.2", "", { "dependencies": { "balanced-match": "^1.0.0" } }, "sha512-Jt0vHyM+jmUBqojB7E1NIYadt0vI0Qxjxd2TErW94wDz+E2LAm5vKMXXwg6ZZBTHPuUlDgQHKXvjGBdfcF1ZDQ=="],
@@ -1,326 +0,0 @@
 # Preview — Remote-host relay (design)
 Status: design only, no implementation.
 Owner: TBD.
 Audience: contributors planning the next phase of the embedded preview feature.
 ## Problem
 The current preview implementation (`packages/web/server/lib/preview/proxy-runtime.js`,
 `packages/ui/src/components/layout/ContextPanel.tsx`) terminates inside the
 OpenChamber server process and forwards requests to a **loopback** target
 (`localhost`, `127.0.0.1`, `::1`, `0.0.0.0`). It works for these topologies:
 | Topology                                                                 | Works today? |
 | ------------------------------------------------------------------------ | ------------ |
 | Web UI in browser, OpenChamber server on same host as dev server         | yes          |
 | Electron desktop, dev server on same host                                | yes          |
 | VS Code extension, dev server on same host                               | yes          |
 | Mobile/tablet hitting OpenChamber over LAN, dev server on host           | yes          |
 | **Remote OpenChamber** (cloud / shared / tunneled), dev server on user's local machine | **no**       |
 The blocked case is real: a user runs `openchamber serve` on a remote box (or a
 hosted OpenChamber instance) but their dev server (`vite`, `next dev`, etc.)
 runs on their laptop. The proxy correctly refuses to talk to non-loopback
 targets — that is a deliberate SSRF gate, not a bug. We need a separate path
 that tunnels traffic from the remote OpenChamber back to the user's laptop
 without weakening that gate.
 ## Non-goals
 - Replacing the existing loopback proxy. The local-loopback path is the common
  case and stays unchanged.
 - Acting as a generic public ingress for arbitrary local services. We only
  expose dev servers selected through the preview UI, scoped to the active
  user's session.
 - Providing a hosted relay service. The relay is something the user runs;
  OpenChamber provides the agent + the server endpoints.
 ## Constraints (carried forward from the loopback proxy)
 - Same-origin in the browser. The iframe must load from the OpenChamber
  origin so HTTPS, cookies, and CSP behave predictably.
 - Per-target cookie auth. A target id must not be guessable, and the cookie
  must be HttpOnly + scoped to that target's path.
 - WebSocket upgrade support (HMR is a hard requirement; without it the
  feature is uninteresting).
 - Strip frame-busting headers on the response.
 - Strip OpenChamber credentials before forwarding to the dev server.
 - Survive partial failure cleanly: if the agent disconnects, the iframe
  should land on the existing "dev server is not responding" overlay, not a
  zombie hang.
 ## Architecture
 Three components, in order of where they run.
 ### 1. Local agent (runs on the user's laptop)
 A small process the user starts on the same machine as the dev server. Two
 shipping options:
 - A subcommand of the existing CLI: `openchamber preview-agent`.
 - A standalone single-binary build for users who do not have the full UI
  installed locally.
 Responsibilities:
 - Open exactly one outbound, authenticated WebSocket to the remote
  OpenChamber server (`wss://<host>/api/preview/agent`). Outbound-only — no
  inbound port on the user's machine, so it works behind NAT, VPN,
  corporate firewall, etc.
 - Authenticate with a short-lived enrollment token issued by the remote
  OpenChamber server (see "Pairing flow").
 - Advertise the set of dev servers the user has authorised. Scope is
  loopback-only on the agent side (same allowlist as the existing proxy:
  `localhost`, `127.0.0.1`, `::1`, `0.0.0.0`). The agent never proxies to
  arbitrary hosts on the user's network.
 - Multiplex per-request streams over the single control WebSocket
  (frame protocol below). Each browser request becomes one logical stream.
 - Forward HTTP and upgraded WebSocket connections to the local dev server.
 - Send authoritative `agent-disconnected` notifications so the server can
  evict targets immediately rather than waiting for TTL.
 Deliberately out of scope for the agent:
 - TLS termination. The agent only talks to loopback over plain HTTP; the
  outbound link to OpenChamber is TLS via the server's existing cert.
 - Anything that mutates the user's filesystem.
 - Acting as a general SOCKS/HTTP proxy. It is dev-server-scoped.
 ### 2. Remote OpenChamber server (extends `proxy-runtime.js`)
 Adds two new surfaces alongside the existing loopback proxy:
 - `GET /api/preview/agent` (WebSocket): the single control channel an agent
  connects to after enrollment. Authenticated by the enrollment token + the
  user's UI session.
 - `POST /api/preview/targets/remote`: same shape as the existing
  `POST /api/preview/targets`, but the URL is interpreted **relative to a
  connected agent**. The body becomes
  `{ agentId, url, ttlMs? }` (or the existing endpoint accepts an optional
  `agentId` and dispatches to the right path). The response keeps the same
  contract: `{ id, proxyBasePath, expiresAt }`. The browser does not learn
  it is talking to a remote agent — that is a server-side detail.
 The existing `/api/preview/proxy/:id/*` route is reused unchanged from the
 browser's perspective. Internally it now dispatches based on the registered
 target type:
 - `kind: 'loopback'` (existing) → `http-proxy-middleware` to a local origin.
 - `kind: 'agent'` (new) → encode the request into a frame, push it onto the
  matching agent's WebSocket, await the response frames, stream them back
  to the browser.
 This dispatch boundary is the only invasive change to the existing runtime.
 The factory stays `createPreviewProxyRuntime`; the agent registry, frame
 codec, and response streaming live in a sibling module
 (`packages/web/server/lib/preview/agent-runtime.js`) so the loopback path
 remains readable and individually testable.
 ### 3. Browser (UI layer)
 Almost no change. `PreviewPane` already POSTs to `/api/preview/targets` and
 loads the iframe at the returned `proxyBasePath`. The remote case adds:
 - A small "no agent connected" empty state when the user's profile has no
  active agent but tries to preview a non-public URL. Gives them the exact
  command to run and a one-click copy of the enrollment token.
 - The existing 502 / dev-server-down overlay handles agent disconnects too
  — the proxy returns 502 if the agent vanishes mid-request.
 ## Pairing / enrollment flow
 The agent must prove it is acting on behalf of a specific UI user, and the
 server must be able to revoke that proof.
 1. User opens Settings → Preview → "Connect a local dev-server agent".
 2. Server mints a short-lived (5 min) enrollment token bound to the user's
   UI session id, with a single allowed scope: `preview-agent.connect`. UI
   shows the command:
   ```
   openchamber preview-agent --server https://<host> --token <enrollment-token>
   ```
 3. Agent posts the enrollment token to `POST /api/preview/agent/enroll` and
   receives a long-lived `agentId` + `agentSecret`. Stored in the agent's
   config dir (`$XDG_CONFIG_HOME/openchamber/agent.json` or platform
   equivalent).
 4. Agent opens the control WebSocket, authenticating with `agentId` +
   `agentSecret`. The server verifies and registers the agent against the
   owning user.
 5. Agent sends an initial `hello` frame with: agent version, OS, hostname
   hint (display only — never used for routing), and a list of dev-server
   URLs the user has explicitly approved on the agent side.
 Revocation:
 - User can revoke an agent from Settings; the server invalidates the
  `agentSecret` and closes any open WebSocket.
 - The agent honours `disconnect` frames from the server with a clean
  shutdown.
 - Enrollment tokens are single-use and expire after 5 min.
 ## Wire protocol (control WebSocket)
 Binary frames, little-endian, one frame = one logical operation. JSON metadata
 header followed by an opaque body. Designed to be implementable in Node and
 Bun without exotic deps.
 ```
 +--------+--------+--------+----------------------+----------------------+
 | u8 ver | u8 op  | u32 len| metadata (JSON, len) | body (remaining)     |
 +--------+--------+--------+----------------------+----------------------+
 ```
 Operations:
 | op   | name              | direction      | metadata                                                            | body                                |
 | ---- | ----------------- | -------------- | ------------------------------------------------------------------- | ----------------------------------- |
 | 0x01 | hello             | agent → server | `{ agentVersion, hostnameHint, allowedTargets: [{origin}] }`        | empty                               |
 | 0x02 | hello-ack         | server → agent | `{ ok, serverVersion }` or `{ ok: false, reason }`                  | empty                               |
 | 0x10 | http-request      | server → agent | `{ streamId, method, path, headers, originHint }`                   | request body bytes                  |
 | 0x11 | http-response-head| agent → server | `{ streamId, status, headers }`                                     | empty                               |
 | 0x12 | http-response-data| agent → server | `{ streamId, fin: bool }`                                           | response body chunk                 |
 | 0x13 | http-error        | agent → server | `{ streamId, code, message }`                                       | empty                               |
 | 0x20 | ws-open           | server → agent | `{ streamId, path, headers, subprotocols }`                         | empty                               |
 | 0x21 | ws-open-ack       | agent → server | `{ streamId, ok, status?, subprotocol? }`                           | empty                               |
 | 0x22 | ws-frame          | both           | `{ streamId, opcode: 'text'|'binary', fin: bool }`                  | frame payload                       |
 | 0x23 | ws-close          | both           | `{ streamId, code?, reason? }`                                      | empty                               |
 | 0x30 | cancel            | server → agent | `{ streamId }`                                                      | empty                               |
 | 0xFE | ping              | both           | `{ ts }`                                                            | empty                               |
 | 0xFF | disconnect        | server → agent | `{ reason }`                                                        | empty                               |
 Notes:
 - `streamId` is server-assigned for `http-request` and `ws-open`. It scopes
  ordering and back-pressure per logical request.
 - Body chunks for HTTP responses are streamed (`fin: false` until the last
  chunk). The server proxies them to the browser without buffering, so
  large downloads do not balloon memory on either side.
 - The `originHint` lets the agent log which approved target a request was
  routed to; routing itself is determined by the registered target's
  `agentId` + origin, not by anything the browser sends.
 - Back-pressure: if the server's downstream socket is paused, it stops
  reading from the agent's WebSocket. WebSocket flow control then applies
  end-to-end. We do not implement an additional credit scheme until
  measurement shows we need one.
 ## Security model
 Every guarantee the loopback proxy gives must hold here too. Checked
 against the same threat model:
 - **Server-side SSRF**: target URLs are still validated against the loopback
  allowlist — but on the agent, not the server. The server never makes a
  network call on behalf of a target.
 - **Cross-user target access**: a target id is owned by the user that
  registered it. Cookie + path scope unchanged.
 - **Cross-agent leakage**: a target id is also bound to the specific
  `agentId` it was registered against. Even if two users somehow share a
  target id (they cannot — ids are 128-bit random), dispatch only reaches
  the agent the target was bound to.
 - **Agent impersonation**: `agentSecret` is per-agent, stored only on the
  user's machine, transported only over TLS during enrollment + connect.
  Revocable from Settings.
 - **Frame-busting headers**: stripped server-side after the agent returns
  the response, identical to the loopback path. Same code path
  (`stripFrameBustingHeaders`) — keep it as a single point of truth.
 - **Dev-server credentials**: the agent strips `cookie`, `authorization`,
  and `x-openchamber-ui-session` before forwarding to the local dev
  server, mirroring the existing `proxyReq` handler.
 - **Public-internet exposure**: no inbound port opens on the user's
  machine; no egress to non-loopback addresses; the agent process refuses
  to start with `0.0.0.0` upstream targets that resolve off-loopback.
 - **Connection pinning**: when the agent's WebSocket disconnects, all of
  its targets are evicted immediately and any in-flight streams are
  aborted with 502. The cached entry on the browser side (see
  `previewProxyTargetCache` in `ContextPanel.tsx`) will then re-register
  on the next attempt and surface the "no agent connected" empty state.
 Out-of-scope hardening to revisit later:
 - mTLS for the agent ↔ server link (current proposal: TLS + agentSecret;
  mTLS is a future option for self-hosters who want it).
 - Audit logging of every proxied request (today the loopback path doesn't
  do this; the remote path should not become an exception without a UX
  for inspecting the log).
 ## Failure modes
 | Failure                                | Behaviour                                                                                                      |
 | -------------------------------------- | -------------------------------------------------------------------------------------------------------------- |
 | Agent never connected                  | `POST /api/preview/targets/remote` returns 409 with `{ error: 'No agent connected' }`. UI shows empty state.   |
 | Agent disconnected mid-request         | Server cancels the stream, returns 502 to the browser, evicts the target. Existing overlay handles it.         |
 | Dev server down on user's laptop       | Agent forwards the connection refusal as `http-error`; server emits 502. Existing overlay handles it.          |
 | Slow agent / dev server                | Streamed response keeps flowing; no buffering on the server. WebSocket flow control gates the data rate.       |
 | Server restarted                       | Agent reconnects with stored `agentSecret`. Browser-side cache 404s on next request and re-registers.          |
 | Enrollment token expired               | `POST /api/preview/agent/enroll` returns 401 with a clear error; UI prompts to mint a new one.                 |
 | Two agents registered for same user    | Allowed. The browser-side flow always picks the most recently active agent for a given upstream URL.           |
 ## Open questions
 These need a decision before implementation, not before the doc lands.
 1. **CLI surface.** Is `openchamber preview-agent` the right verb, or should
   it live under `openchamber agent preview`? Bias: the former; only one
   agent today, and we can rename without breaking anything if we ever ship
   a second.
 2. **Multi-agent UX.** When a user has two agents online (laptop + desktop)
   and registers a `localhost:3000` preview, which one wins? Most-recent
   activity is a sensible default but we should also let the user pin a
   target to an agent.
 3. **Browser-side detection of remote vs loopback.** Today the UI has no
   reason to know. If the empty state needs the user's enrolled agents,
   that becomes a new `GET /api/preview/agents` endpoint. Acceptable.
 4. **Storage of `agentSecret`.** Plain file under the agent config dir is
   simplest. OS keychain integration is nicer but a much larger surface.
   Bias: file first, keychain later.
 5. **Frame protocol vs. full HTTP/2 / gRPC.** The custom frame protocol is
   maybe 200 lines in each runtime. gRPC would handle streaming and back
   pressure for us but adds a heavy dep. Bias: custom frames; revisit only
   if we hit a back-pressure or multiplexing bug we cannot solve cleanly.
 6. **Compression.** The current loopback path forces `accept-encoding:
   identity` to keep the proxy simple. The remote path probably wants
   gzip/br between the agent and the server to save bandwidth on slow
   links — but the dev server may not be configured for it. Decide once we
   measure.
 ## Implementation milestones
 Each milestone is independently shippable and reviewable. Numbers are
 sequence, not effort.
 1. Agent registry + enrollment endpoints on the server. No proxying yet.
   Settings UI to mint and revoke enrollment tokens.
 2. Standalone agent that connects, says hello, and stays connected with
   ping/pong. No proxying yet. Validates the auth + reconnect story.
 3. HTTP-only proxying through the agent (`http-request` /
   `http-response-*`). Browser can register a remote target and load
   static pages. No HMR yet.
 4. WebSocket proxying through the agent (`ws-open` / `ws-frame` /
   `ws-close`). HMR works.
 5. Failure-mode polish: 502 on disconnect, target eviction, browser-side
   empty state, "agent connected" indicator in Settings.
 6. Documentation + tutorial for the remote-host scenario; update
   `docs/REVERSE_PROXY.md` cross-link.
 ## Why not …?
 - **A reverse SSH tunnel from the agent.** Works but requires SSH server
  on the OpenChamber host, exposes a port, and breaks the same-origin
  guarantee unless we also reverse-proxy that port through the
  OpenChamber HTTP server. The control-WebSocket design avoids all of
  that and keeps a single TLS endpoint.
 - **Cloudflare/ngrok-style hosted relay.** Would work but turns
  OpenChamber into a service that depends on a third party (or on us
  hosting a relay). The agent design lets users run entirely
  self-hosted.
 - **WebRTC data channels.** Lower latency in theory, much harder to debug
  and to reason about behind corporate NATs. Not worth the complexity
  for HTTP + WS forwarding.
 ## Cross-references
 - Loopback runtime: `packages/web/server/lib/preview/proxy-runtime.js`
 - Browser PreviewPane + cache: `packages/ui/src/components/layout/ContextPanel.tsx`
 - Reverse-proxy deployment notes: `docs/REVERSE_PROXY.md`
@@ -0,0 +1,948 @@
 # Pairing v2 Trusted-Device Issuance Backend Plan
 ## Scope
 Implement the Pairing v2 mechanism without UI.
 Included:
 - Backend pairing session runtime.
 - Pairing create/redeem/cancel routes.
 - Trusted-device token issuance through the existing remote client auth runtime.
 - Backward-compatible remote client metadata extension.
 - Password/passkey issuance metadata alignment.
 - Shared v2 `openchamber://connect` payload helpers.
 Not included:
 - Settings page.
 - QR modal.
 - Pair Device button.
 - Device list UI.
 - Translations/copy.
 - Relay implementation.
 - LAN discovery.
 - End-user polished mobile/desktop screens.
 ## Naming
 Use the existing `client-auth` domain.
 New module:
 ```text
 packages/web/server/lib/client-auth/pairing.js
 ```
 Existing durable token module remains:
 ```text
 packages/web/server/lib/client-auth/remote-clients.js
 ```
 Conceptual names:
 ```text
 Remote client
 Trusted-device client token
 Pairing session
 Pairing secret
 Pairing redeem
 ```
 Deep link stays:
 ```text
 openchamber://connect
 ```
 Versions:
 ```text
 v=1 => legacy server + long-lived token import
 v=2 => one-time pairing handshake
 ```
 ## New Files
 ### 1. `packages/web/server/lib/client-auth/pairing.js`
 Create a new backend runtime module for short-lived pairing sessions.
 Responsibilities:
 ```text
 createPairingSession
 getPairingSession
 cancelPairingSession
 redeemPairingSession
 sweepExpiredSessions
 ```
 Store file:
 ```text
 OPENCHAMBER_DATA_DIR/client-pairing-sessions.json
 ```
 Suggested store shape:
 ```json
 {
  "version": 1,
  "sessions": [
    {
      "id": "pair_...",
      "secretHash": "...",
      "createdAt": "...",
      "expiresAt": "...",
      "usedAt": null,
      "cancelledAt": null,
      "clientId": null,
      "label": "Pair new device",
      "fingerprint": "ABCD-1234",
      "allowedClientKinds": ["mobile", "desktop"],
      "createdByClientId": null
    }
  ]
 }
 ```
 Security requirements:
 ```text
 Persist only secretHash.
 Return plaintext secret only from createPairingSession.
 Redeem is one-time.
 Redeem is expiry-aware.
 Redeem is cancellation-aware.
 Redeem must be mutation-serialized to avoid double issuance.
 No raw token/secret logging.
 ```
 Public methods should accept injected dependencies, following `remote-clients.js` style:
 ```js
 createClientPairingRuntime({
  fsPromises,
  path,
  crypto,
  storePath,
  remoteClientAuthRuntime,
 })
 ```
 ## Existing Files To Update
 ### 2. `packages/web/server/lib/client-auth/remote-clients.js`
 Extend trusted-device metadata backward-compatibly.
 Current `createClient` input:
 ```js
 {
  label,
  expiresAt,
  clientKind,
  dedupeKey,
 }
 ```
 Extend to:
 ```js
 {
  label,
  expiresAt,
  clientKind,
  dedupeKey,
  authMethod,
  pairingId,
  deviceName,
  devicePlatform,
  deviceModel,
  appVersion,
 }
 ```
 Add normalized public fields:
 ```text
 authMethod
 pairingId
 deviceName
 devicePlatform
 deviceModel
 appVersion
 ```
 Backward compatibility rules:
 ```text
 Existing remote-clients.json remains valid.
 Missing new fields normalize to null.
 Existing tokens continue authenticating.
 Public client output never exposes tokenHash.
 Raw token is returned only from createClient.
 ```
 Recommended `authMethod` values:
 ```text
 pairing
 password
 passkey
 desktop-local
 manual
 legacy
 ```
 Do not force migration for old records. Treat missing `authMethod` as legacy/null.
 ### 3. `packages/web/server/index.js`
 Instantiate the new pairing runtime next to `remoteClientAuthRuntime`.
 Existing:
 ```js
 const remoteClientAuthRuntime = createRemoteClientAuthRuntime({
  fsPromises,
  path,
  crypto,
  storePath: REMOTE_CLIENTS_FILE_PATH,
 });
 ```
 Add:
 ```js
 const CLIENT_PAIRING_SESSIONS_FILE_PATH = path.join(
  OPENCHAMBER_DATA_DIR,
  'client-pairing-sessions.json',
 );
 ```
 Then:
 ```js
 const clientPairingRuntime = createClientPairingRuntime({
  fsPromises,
  path,
  crypto,
  storePath: CLIENT_PAIRING_SESSIONS_FILE_PATH,
  remoteClientAuthRuntime,
 });
 ```
 Pass `clientPairingRuntime` into `registerAuthAndAccessRoutes` dependencies.
 ### 4. `packages/web/server/lib/opencode/core-routes.js`
 Add pairing routes near existing client-auth routes:
 ```text
 /api/client-auth/clients
 ```
 Add:
 ```http
 POST   /api/client-auth/pairing/sessions
 DELETE /api/client-auth/pairing/sessions/:id
 POST   /api/client-auth/pairing/redeem
 ```
 Optional, can be deferred:
 ```http
 GET /api/client-auth/pairing/sessions/:id
 ```
 Since UI polling is out of scope, `GET` is not required for this phase.
 #### Route: `POST /api/client-auth/pairing/sessions`
 Purpose:
 ```text
 Create one short-lived pairing session and return data needed to build QR/deep link.
 ```
 Auth:
 ```text
 Require UI session auth.
 Allow desktop-local client only if consistent with existing client-create exception.
 Reject arbitrary remote client tokens.
 Reject url-token auth.
 ```
 Request:
 ```json
 {
  "label": "Pair new device",
  "allowedClientKinds": ["mobile", "desktop"]
 }
 ```
 Response:
 ```json
 {
  "pairing": {
    "id": "pair_...",
    "secret": "one_time_secret",
    "expiresAt": "...",
    "fingerprint": "ABCD-1234",
    "label": "Pair new device"
  },
  "server": {
    "label": "OpenChamber",
    "candidates": [
      {
        "type": "lan",
        "url": "http://192.168.1.20:4096",
        "priority": 10
      },
      {
        "type": "tunnel",
        "url": "https://abc.ngrok.app",
        "priority": 20
      }
    ]
  }
 }
 ```
 Headers:
 ```http
 Cache-Control: no-store
 ```
 Note:
 ```text
 This route does not render QR.
 UI can later encode the returned data into openchamber://connect?v=2&p=...
 ```
 #### Route: `DELETE /api/client-auth/pairing/sessions/:id`
 Purpose:
 ```text
 Cancel an unused pairing session.
 ```
 Auth:
 ```text
 Require owner/session auth.
 ```
 Behavior:
 ```text
 Set cancelledAt.
 Do not delete immediately.
 If already used, cancellation should not revoke the issued client.
 ```
 Response:
 ```json
 {
  "cancelled": true
 }
 ```
 #### Route: `POST /api/client-auth/pairing/redeem`
 Purpose:
 ```text
 Exchange pairingId + one-time secret for a trusted-device client token.
 ```
 Auth:
 ```text
 No existing auth required.
 The one-time pairing secret is the authentication factor.
 ```
 Request:
 ```json
 {
  "pairingId": "pair_...",
  "secret": "one_time_secret",
  "clientLabel": "Iryna iPhone",
  "clientKind": "mobile",
  "deviceName": "Iryna iPhone",
  "devicePlatform": "ios",
  "deviceModel": "iPhone",
  "appVersion": "1.12.0",
  "dedupeKey": "optional-stable-device-key"
 }
 ```
 Server behavior:
 ```text
 Validate pairing exists.
 Validate secret using constant-time comparison.
 Validate not expired.
 Validate not cancelled.
 Validate not used.
 Validate clientKind is allowed.
 Mark pairing used.
 Create remote client through remoteClientAuthRuntime.createClient.
 Return clientToken once.
 ```
 Create client with:
 ```js
 {
  label: clientLabel || deviceName || 'Remote client',
  clientKind,
  dedupeKey,
  authMethod: 'pairing',
  pairingId,
  deviceName,
  devicePlatform,
  deviceModel,
  appVersion,
 }
 ```
 Response:
 ```json
 {
  "ok": true,
  "server": {
    "label": "OpenChamber",
    "url": "https://selected-or-current-url",
    "fingerprint": "ABCD-1234"
  },
  "client": {
    "id": "device_...",
    "label": "Iryna iPhone",
    "clientKind": "mobile",
    "authMethod": "pairing",
    "createdAt": "..."
  },
  "clientToken": "oc_client_..."
 }
 ```
 Headers:
 ```http
 Cache-Control: no-store
 ```
 Failure response should be generic:
 ```json
 {
  "error": "Invalid or expired pairing session"
 }
 ```
 Do not reveal whether id, secret, expiry, used, or cancellation caused failure.
 ### 5. `packages/web/server/lib/ui-auth/ui-auth.js`
 Preserve existing password/passkey behavior.
 Only add metadata to client token issuance when `issueClientToken === true`.
 Password issuance should pass:
 ```js
 authMethod: 'password'
 clientKind: req.body?.clientKind
 dedupeKey: req.body?.dedupeKey
 deviceName: req.body?.deviceName
 devicePlatform: req.body?.devicePlatform
 deviceModel: req.body?.deviceModel
 appVersion: req.body?.appVersion
 ```
 Passkey issuance should pass:
 ```js
 authMethod: 'passkey'
 clientKind: req.body?.clientKind
 dedupeKey: req.body?.dedupeKey
 deviceName: req.body?.deviceName
 devicePlatform: req.body?.devicePlatform
 deviceModel: req.body?.deviceModel
 appVersion: req.body?.appVersion
 ```
 Backward compatibility:
 ```text
 Existing POST /auth/session payload still works.
 Existing response shape still works.
 Existing clientToken issuance still works.
 Password login remains disabled for tunnel/public scope.
 ```
 ### 6. `packages/ui/src/lib/connectionPayload.ts`
 Extend existing connect payload helpers.
 Keep current v1 behavior:
 ```text
 openchamber://connect?v=1&server=...&token=...&label=...
 ```
 Add v2 payload types and helpers.
 Suggested types:
 ```ts
 export type ClientConnectionPayloadV1 = {
  v: 1;
  serverUrl: string;
  token: string;
  label?: string;
 };
 export type PairingEndpointCandidate = {
  type: 'lan' | 'tunnel' | 'relay';
  url: string;
  priority?: number;
 };
 export type PairingConnectionPayloadV2 = {
  v: 2;
  pairingId: string;
  secret: string;
  label?: string;
  fingerprint?: string;
  expiresAt?: string;
  candidates: PairingEndpointCandidate[];
 };
 ```
 Suggested helpers:
 ```ts
 encodePairingConnectionPayload(payload: PairingConnectionPayloadV2): string
 parsePairingConnectionPayload(value: string): PairingConnectionPayloadV2 | null
 ```
 Use deep link format:
 ```text
 openchamber://connect?v=2&p=<base64url-json>
 ```
 Validation:
 ```text
 Require v=2.
 Require pairingId.
 Require secret.
 Require at least one valid http/https candidate.
 Reject malformed URL.
 Reject oversized payload.
 Reject expired payload locally if expiresAt is clearly in the past.
 ```
 Do not break current exports used by mobile QR/manual connect.
 ### 7. `packages/ui/src/apps/mobileQrScan.ts`
 Update parser only.
 Current scan parser recognizes legacy fields like:
 ```text
 server
 label
 ```
 Add support for v2 connect links.
 Output should be able to distinguish:
 ```text
 legacy v1 token import
 pairing v2 payload
 plain URL
 ```
 Do not implement full mobile UI flow in this scope unless there is already a non-UI callable path.
 ### 8. `packages/ui/src/apps/mobileConnections.ts`
 Add non-visual callable mechanism for redeeming pairing payload.
 Add a function conceptually like:
 ```ts
 redeemPairingConnection(payload: PairingConnectionPayloadV2): Promise<void>
 ```
 Responsibilities:
 ```text
 Try endpoint candidates.
 POST /api/client-auth/pairing/redeem.
 Persist issued token securely.
 Persist connection metadata.
 Switch runtime only after token write succeeds.
 ```
 No new screens/buttons.
 Existing password flow remains unchanged.
 Candidate selection:
 ```text
 Normalize candidates.
 Probe /health with timeout.
 Try candidates by priority.
 Prefer HTTPS when priority ties.
 If network failure, try next candidate.
 If server says invalid/expired/used, stop.
 ```
 Mobile native should reuse existing native HTTP fallback path for LAN HTTP.
 ### 9. `packages/electron/main.mjs`
 Extend existing connect deep-link handling.
 Current v1 behavior:
 ```text
 openchamber://connect?v=1&server=...&token=...
 ```
 Keep it.
 Add v2 branch:
 ```text
 openchamber://connect?v=2&p=...
 ```
 Behavior:
 ```text
 Parse v2 payload.
 Show confirmation before redeem/write/switch.
 Probe candidates.
 Redeem pairing secret.
 Store returned clientToken in desktop hosts config.
 Ask/switch according to existing remote host behavior.
 Never show token.
 Never write config before confirmation.
 ```
 If this phase is strictly backend-only, this file can be deferred. But if desktop app as client must be functionally supported by deep link in this phase, include this change.
 ### 10. `packages/electron/preload.mjs`
 No change expected unless a renderer-side desktop API is needed for pairing redeem.
 Prefer keeping pairing redeem in main process only for deep-link handling if desktop v2 is implemented there.
 ### 11. `packages/web/server/lib/ui-auth/DOCUMENTATION.md`
 Update module documentation to reflect the unified issuance model:
 ```text
 Password, passkey, and pairing are issuance methods.
 Trusted-device client token is the durable credential.
 Pairing v2 uses one-time secrets and issues remote client tokens.
 ```
 Optionally add:
 ```text
 packages/web/server/lib/client-auth/DOCUMENTATION.md
 ```
 if the client-auth module needs ownership docs.
 ## Route Registration Summary
 Add to `registerAuthAndAccessRoutes`:
 ```http
 POST   /api/client-auth/pairing/sessions
 DELETE /api/client-auth/pairing/sessions/:id
 POST   /api/client-auth/pairing/redeem
 ```
 Optional later:
 ```http
 GET /api/client-auth/pairing/sessions/:id
 ```
 Route placement:
 ```text
 Register before generic OpenCode proxy.
 Place near existing /api/client-auth/clients routes.
 ```
 ## Execution Sequence
 ### Step 1: Extend Remote Client Metadata
 Files:
 ```text
 packages/web/server/lib/client-auth/remote-clients.js
 ```
 Do:
 ```text
 Add metadata normalization.
 Extend createClient input.
 Extend publicClient output.
 Keep old records valid.
 Do not change token generation/authentication behavior.
 ```
 ### Step 2: Add Password/Passkey Metadata Issuance
 Files:
 ```text
 packages/web/server/lib/ui-auth/ui-auth.js
 ```
 Do:
 ```text
 When issueClientToken is true, pass authMethod='password' from password login.
 When issueClientToken is true, pass authMethod='passkey' from passkey auth.
 Pass optional device metadata through.
 Preserve response shape.
 ```
 ### Step 3: Create Pairing Runtime Module
 Files:
 ```text
 packages/web/server/lib/client-auth/pairing.js
 ```
 Do:
 ```text
 Implement session creation.
 Implement hashed secret storage.
 Implement cancel.
 Implement redeem.
 Implement expiry/used/cancelled checks.
 Integrate remoteClientAuthRuntime.createClient in redeem.
 ```
 ### Step 4: Instantiate Pairing Runtime
 Files:
 ```text
 packages/web/server/index.js
 ```
 Do:
 ```text
 Define CLIENT_PAIRING_SESSIONS_FILE_PATH.
 Instantiate createClientPairingRuntime.
 Pass clientPairingRuntime to registerAuthAndAccessRoutes.
 ```
 ### Step 5: Add Pairing Routes
 Files:
 ```text
 packages/web/server/lib/opencode/core-routes.js
 ```
 Do:
 ```text
 Destructure clientPairingRuntime from dependencies.
 Add POST /api/client-auth/pairing/sessions.
 Add DELETE /api/client-auth/pairing/sessions/:id.
 Add POST /api/client-auth/pairing/redeem.
 Use correct auth gates.
 Set Cache-Control: no-store where secrets/tokens are returned.
 Keep error responses generic for redeem.
 ```
 ### Step 6: Add v2 Payload Helpers
 Files:
 ```text
 packages/ui/src/lib/connectionPayload.ts
 ```
 Do:
 ```text
 Keep v1 helpers unchanged.
 Add v2 payload type.
 Add encode v2 helper.
 Add parse v2 helper.
 Use openchamber://connect?v=2&p=<base64url-json>.
 Validate candidates.
 Reject malformed/expired/oversized payloads.
 ```
 ### Step 7: Update QR Scan Parser Shape
 Files:
 ```text
 packages/ui/src/apps/mobileQrScan.ts
 ```
 Do:
 ```text
 Recognize v2 connect payload.
 Return structured v2 result.
 Do not add new UI.
 Do not break v1/manual URL behavior.
 ```
 ### Step 8: Add Non-UI Mobile Redeem Plumbing
 Files:
 ```text
 packages/ui/src/apps/mobileConnections.ts
 ```
 Do:
 ```text
 Add callable redeem pairing function.
 Try endpoint candidates.
 Redeem via /api/client-auth/pairing/redeem.
 Persist token before runtime switch.
 Reuse existing storage model.
 Keep password/manual connect unchanged.
 ```
 ### Step 9: Add Desktop Deep-Link v2 Handling If In Scope
 Files:
 ```text
 packages/electron/main.mjs
 ```
 Do:
 ```text
 Extend connect deep-link parser to recognize v2.
 Confirm before redeem.
 Redeem against candidate endpoint.
 Store remote host config with returned token.
 Switch only after confirmation and successful storage.
 Keep v1 behavior unchanged.
 ```
 If desktop client deep-link support is deferred, skip this step and document that v2 backend/shared payload exists but desktop consumer is not wired yet.
 ### Step 10: Update Documentation
 Files:
 ```text
 packages/web/server/lib/ui-auth/DOCUMENTATION.md
 ```
 Optionally add:
 ```text
 packages/web/server/lib/client-auth/DOCUMENTATION.md
 ```
 Document:
 ```text
 Unified trusted-device token issuance.
 Pairing v2 flow.
 Password/passkey/pairing authMethod values.
 Security rules.
 Backward compatibility guarantees.
 ```
 ## Important Non-Goals
 Do not implement:
 ```text
 Settings page
 Pair Device button
 QR modal
 Device list UI
 Translations
 Visual design
 Relay transport
 LAN discovery
 Account/cloud sync
 Token migration to OS keychain on desktop
 ```
 ## Backward Compatibility Requirements
 Must remain true:
 ```text
 Existing v1 openchamber://connect links keep working.
 Existing password login with issueClientToken keeps working.
 Existing passkey issueClientToken keeps working.
 Existing remote-clients.json keeps loading.
 Existing client tokens keep authenticating.
 Existing mobile saved connections keep working.
 Existing desktop remote hosts keep working.
 ```
 ## Security Requirements
 Must hold:
 ```text
 No long-lived token in v2 link.
 Pairing secret persisted only as hash.
 Pairing secret returned only once.
 Client token returned only once.
 Token hash persisted server-side.
 Redeem is one-time.
 Redeem is expiry-aware.
 Redeem is cancellation-aware.
 Redeem errors are generic.
 Password login remains disabled for tunnel/public scope.
 Pairing session creation requires owner/session auth.
 Pairing redeem requires no prior auth but requires valid one-time secret.
 Desktop v2 connect confirms before writing host config or switching runtime.
 ```
@@ -0,0 +1,62 @@
 {
  "$schema": "https://unpkg.com/knip@latest/schema.json",
  "workspaces": {
    ".": {
      "entry": [
        "scripts/**/*.{js,cjs,mjs,ts}"
      ],
      "project": [
        "*.{js,cjs,mjs,ts}",
        "scripts/**/*.{js,cjs,mjs,ts}"
      ]
    },
    "packages/ui": {
      "entry": [
        "src/**/*.{test,spec}.{js,cjs,mjs,jsx,ts,tsx}",
        "src/**/__tests__/**/*.{js,cjs,mjs,jsx,ts,tsx}"
      ],
      "project": [
        "src/**/*.{ts,tsx}"
      ]
    },
    "packages/web": {
      "entry": [
        "src/mobile-main.tsx",
        "src/mini-chat-main.tsx",
        "src/sw.ts",
        "server/**/*.{test,spec}.{js,cjs,mjs}",
        "src/**/*.{test,spec}.{ts,tsx}"
      ],
      "project": [
        "bin/**/*.js",
        "server/**/*.{js,mjs,cjs}",
        "src/**/*.{ts,tsx}"
      ]
    },
    "packages/electron": {
      "entry": [
        "main.mjs",
        "preload.mjs",
        "tray.mjs",
        "ssh-manager.mjs",
        "opencode-cwd.mjs",
        "*.{test,spec}.{js,cjs,mjs}",
        "scripts/**/*.{js,cjs,mjs}"
      ],
      "project": [
        "*.{js,cjs,mjs}",
        "scripts/**/*.{js,cjs,mjs}"
      ]
    },
    "packages/vscode": {
      "entry": [
        "src/**/*.{test,spec}.{js,cjs,mjs,ts,tsx}",
        "webview/**/*.{test,spec}.{js,cjs,mjs,ts,tsx}"
      ],
      "project": [
        "src/**/*.{ts,tsx}",
        "webview/**/*.{ts,tsx}"
      ]
    }
  }
 }
@@ -1,6 +1,6 @@
 {
  "name": "openchamber-monorepo",
-  "version": "1.13.2",
+  "version": "1.15.0",
  "description": "OpenChamber monorepo workspace for web, ui, and desktop runtimes",
  "private": true,
  "type": "module",
@@ -22,18 +22,22 @@
  "license": "MIT",
  "scripts": {
    "dev": "node ./scripts/dev-web-hmr.mjs",
    "oc-dev": "node scripts/oc-dev.mjs",
    "build": "bun run --filter '*' build",
    "build:web": "bun run --cwd packages/web build",
    "build:ui": "bun run --cwd packages/ui build",
    "build:electron": "bun run --cwd packages/electron build",
    "build:mobile": "bun run --cwd packages/mobile build",
    "type-check": "bun run --filter '*' type-check",
    "type-check:web": "bun run --cwd packages/web type-check",
    "type-check:ui": "bun run --cwd packages/ui type-check",
    "type-check:electron": "bun run --cwd packages/electron type-check",
    "type-check:mobile": "bun run --cwd packages/mobile type-check",
    "lint": "bun run --filter '*' lint",
    "lint:web": "bun run --cwd packages/web lint",
    "lint:ui": "bun run --cwd packages/ui lint",
    "lint:electron": "bun run --cwd packages/electron lint",
    "lint:mobile": "bun run --cwd packages/mobile lint",
    "clean": "bun run --filter '*' clean",
    "changelog-card": "node scripts/changelog-card/generate.mjs",
    "postinstall": "node ./fix-deprecation.js && patch-package",
@@ -46,11 +50,27 @@
    "electron:dev": "node ./packages/electron/scripts/electron-dev.mjs",
    "electron:dev:bundled": "OPENCHAMBER_ELECTRON_USE_BUNDLED_UI=1 node ./packages/electron/scripts/electron-dev.mjs",
    "electron:build": "bun run --cwd packages/electron package",
    "mobile:build": "bun run --cwd packages/mobile build",
    "mobile:sync": "bun run --cwd packages/mobile sync",
    "mobile:add:ios": "bun run --cwd packages/mobile add:ios",
    "mobile:add:android": "bun run --cwd packages/mobile add:android",
    "mobile:build:android:debug": "bun run --cwd packages/mobile build:android:debug",
    "mobile:build:ios:simulator": "bun run --cwd packages/mobile build:ios:simulator",
    "mobile:sim:boot": "bun run --cwd packages/mobile sim:boot",
    "mobile:sim:install": "bun run --cwd packages/mobile sim:install",
    "mobile:sim:launch": "bun run --cwd packages/mobile sim:launch",
    "mobile:sim:run": "bun run --cwd packages/mobile sim:run",
    "mobile:sim:serve": "bun run --cwd packages/mobile sim:serve",
    "mobile:sim:list": "bun run --cwd packages/mobile sim:list",
    "mobile:sim:kill": "bun run --cwd packages/mobile sim:kill",
    "mobile:open:ios": "bun run --cwd packages/mobile open:ios",
    "mobile:open:android": "bun run --cwd packages/mobile open:android",
    "vscode:dev": "node ./scripts/dev-vscode.mjs",
    "vscode:build": "bun run --cwd packages/vscode build",
    "vscode:package": "bun run --cwd packages/vscode package",
    "vscode:type-check": "bun run --cwd packages/vscode type-check",
    "docs:validate": "node scripts/docs/validate-docs.mjs",
    "dead-code": "bunx knip@5.80.0 --no-exit-code --include files,exports,nsExports,types,nsTypes,enumMembers,duplicates",
    "doctor": "node scripts/react-doctor.mjs",
    "icons:sprite": "node scripts/generate-file-type-sprite.mjs",
    "icons:generate": "bun run scripts/generate-icon-sprite.mjs",
@@ -82,15 +102,12 @@
    "@codemirror/search": "^6.6.0",
    "@codemirror/state": "^6.5.4",
    "@codemirror/view": "6.39.13",
    "@fontsource/ibm-plex-mono": "^5.2.7",
    "@fontsource/ibm-plex-sans": "^5.1.1",
    "@heroui/scroll-shadow": "^2.3.18",
    "@heroui/system": "^2.4.23",
    "@heroui/theme": "^2.4.23",
    "@ibm/plex": "^6.4.1",
    "@lezer/highlight": "^1.2.3",
    "@octokit/rest": "^22.0.1",
-    "@opencode-ai/sdk": "^1.17.7",
+    "@opencode-ai/sdk": "1.17.18",
    "@radix-ui/react-collapsible": "^1.1.12",
    "@radix-ui/react-dialog": "^1.1.15",
    "@radix-ui/react-dropdown-menu": "^2.1.16",
@@ -129,9 +146,10 @@
    "@codemirror/view": "6.39.13"
  },
  "devDependencies": {
    "@clack/prompts": "^1.1.0",
    "@eslint/js": "^9.33.0",
    "@tailwindcss/postcss": "^4.0.0",
-    "@types/dom-speech-recognition": "^0.0.11",
+    "@types/dom-speech-recognition": "^0.0.12",
    "@types/node": "^24.3.1",
    "@types/react": "^19.1.10",
    "@types/react-dom": "^19.1.7",
@@ -149,12 +167,15 @@
    "nodemon": "^3.1.7",
    "patch-package": "^8.0.0",
    "@remixicon/react": "^4.7.0",
-    "sharp": "^0.34.5",
+    "sharp": "^0.35.0",
    "tailwindcss": "^4.0.0",
    "tsx": "^4.20.6",
    "tw-animate-css": "^1.3.8",
    "typescript": "~5.9.0",
    "typescript-eslint": "^8.39.1",
    "vite": "^7.1.2"
  },
  "patchedDependencies": {
    "@tanstack/virtual-core@3.17.3": "patches/@tanstack%2Fvirtual-core@3.17.3.patch"
  }
 }
@@ -203,12 +203,13 @@ other language mirrors the English files under a locale folder.
 | Korean | `ko/` | `ko` |
 | Polish | `pl/` | `pl` |
 | French | `fr/` | `fr` |
 | Japanese | `ja/` | `ja` |
 > [!IMPORTANT]
 > The **content folder** uses the lowercase locale key (`zh-cn`, `pt-br`); the
 > **sidebar `translations`** key uses the BCP-47 language tag (`zh-CN`, `pt-BR`).
 > They look similar but are not interchangeable — Starlight resolves them with
-> different rules. Everything else (`uk`, `es`, `ko`, `pl`, `fr`, `en`) is identical
+> different rules. Everything else (`uk`, `es`, `ko`, `pl`, `fr`, `ja`, `en`) is identical
 > in both columns.
 This locale set is mirrored in the website at
@@ -230,6 +231,7 @@ content/docs/
  ko/install.mdx           # Korean
  pl/install.mdx           # Polish
  fr/install.mdx           # French
  ja/install.mdx           # Japanese
  guides/tunnels.mdx       # nested English page
  uk/guides/tunnels.mdx    # its Ukrainian translation
@@ -266,7 +268,8 @@ to each section and item in `sidebar.config.json`:
    "pt-BR": "Comece aqui",
    "ko": "여기서 시작",
    "pl": "Zacznij tutaj",
-    "fr": "Commencer ici"
+    "fr": "Commencer ici",
    "ja": "ここから開始"
  },
  "items": [
    {
@@ -279,7 +282,8 @@ to each section and item in `sidebar.config.json`:
        "pt-BR": "Instalação",
        "ko": "설치",
        "pl": "Instalacja",
-        "fr": "Installation"
+        "fr": "Installation",
        "ja": "インストール"
      }
    }
  ]
@@ -0,0 +1,68 @@
 ---
 title: Connect a Device
 description: Pair your phone, desktop, or another browser with your OpenChamber server using a one-time QR code.
 ---
 # Connect a Device
 Pair another device — the mobile app, the desktop app, or a browser on another machine — with your OpenChamber server by scanning a one-time QR code. This is the recommended way to connect devices; there are no ports to open and no addresses to type.
 ## Pair a device
 1. On the machine running OpenChamber, open **Settings → Remote Instances → Connect to this server** and press **Add a device**.
 2. Give the device a name (e.g. *My iPhone*) so you can recognize it later.
 3. Pick where you'll use the device:
   - **This computer only** — for apps running on this same machine
   - **Home network only** — connects directly over your Wi-Fi; does not work away from this network
   - **Anywhere** — works at home and away; away traffic goes through the [Private Relay](/private-relay/), an end-to-end encrypted tunnel with no setup needed
 4. Press **Create QR code**.
 5. On the other device, scan the code:
   - **mobile app** — tap **Scan QR code** on the connect screen (or in the instances list)
   - **desktop app** — copy the connection link instead and paste it in **Settings → Remote Instances → Other OpenChamber servers → Import Link**
 The dialog closes on its own as soon as the device connects, and the device appears in the list with a live status. That's it — you're paired.
 ## How pairing stays safe
 - **The QR code is single-use.** It stops working the moment a device redeems it, and it expires on its own if never used.
 - **Each device gets its own token.** Scanning a code never exposes your UI password, and one device's token can't be used to impersonate another.
 - **You stay in control.** Every paired device is listed with its name, platform, and connection status — revoke any of them at any time.
 - **Away-from-home traffic is end-to-end encrypted.** With **Anywhere**, traffic outside your network rides the [Private Relay](/private-relay/), which cannot read what passes through it.
 ## Manage paired devices
 **Settings → Remote Instances → Connect to this server** lists every device that can reach this server, with a green dot when it's online and whether it's connected over the local network or the relay.
 - **Revoke** cuts a device off immediately. Pair it again with a new QR code if you change your mind.
 - **Clear revoked** tidies up the list.
 The same physical device keeps one entry even if it signs in again later — you won't collect duplicates.
 ## Connect from the command line
 If the server runs headless (no UI open), create a connection link from a terminal on that machine.
 For a device on the same network:
 ```bash
 openchamber connect-url --port 3000 --qr
 ```
 For a device that should connect from **anywhere** — the equivalent of picking **Anywhere** in the dialog:
 ```bash
 openchamber connect-url --relay --qr
 ```
 A `--relay` link carries both routes, just like the dialog: the device connects directly over your local network when it can reach the server, and falls back to the [Private Relay](/private-relay/) when away. The relay starts on its own: a running instance picks the link up within a minute, a stopped one on its next launch.
 > The direct route only works if the server actually listens on your network. By default OpenChamber listens on the machine itself only — start it with `--lan` to make it reachable over Wi-Fi. The command warns you (`[LAN_UNREACHABLE]`) when the link's direct route won't be usable from other devices; a `--relay` link still works then, just always through the relay.
 The printed link and QR code work exactly like the ones from the settings dialog — single-use, expiring, revocable.
 ## Related
 - [Private Relay](/private-relay/) — how "Anywhere" connections work and what the relay can and cannot see
 - [Mobile Apps](/mobile/) — install the iOS or Android app
 - [Remote Instances](/remote-instances/) — connect the desktop app to servers over SSH or links
 - [Remote access](/troubleshooting/remote-access/) — when a device won't connect
@@ -0,0 +1,68 @@
 ---
 title: Conectar un dispositivo
 description: Vincula tu teléfono, escritorio u otro navegador con tu servidor de OpenChamber usando un código QR de un solo uso.
 ---
 # Conectar un dispositivo
 Vincula otro dispositivo —la app móvil, la app de escritorio o un navegador en otra máquina— con tu servidor de OpenChamber escaneando un código QR de un solo uso. Es la forma recomendada de conectar dispositivos: no hay puertos que abrir ni direcciones que escribir.
 ## Vincula un dispositivo
 1. En la máquina donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
 2. Dale un nombre al dispositivo (p. ej. *Mi iPhone*) para reconocerlo más adelante.
 3. Elige dónde usarás el dispositivo:
   - **Solo este equipo** — para aplicaciones en esta misma máquina
   - **Solo red doméstica** — se conecta directamente por tu Wi-Fi; no funciona fuera de esta red
   - **En cualquier lugar** — funciona en casa y fuera; fuera de casa el tráfico pasa por el [Private Relay](/es/private-relay/), un túnel cifrado de extremo a extremo sin configuración
 4. Pulsa **Crear código QR**.
 5. En el otro dispositivo, escanea el código:
   - **app móvil** — toca **Escanear código QR** en la pantalla de conexión (o en la lista de instancias)
   - **app de escritorio** — copia el enlace de conexión y pégalo en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**
 El diálogo se cierra solo en cuanto el dispositivo se conecta, y el dispositivo aparece en la lista con su estado en vivo. Eso es todo: ya están vinculados.
 ## Por qué la vinculación es segura
 - **El código QR es de un solo uso.** Deja de funcionar en el momento en que un dispositivo lo canjea, y caduca por sí solo si nunca se usa.
 - **Cada dispositivo recibe su propio token.** Escanear un código nunca expone tu contraseña de UI, y el token de un dispositivo no puede usarse para suplantar a otro.
 - **Tú mantienes el control.** Cada dispositivo vinculado aparece en la lista con su nombre, plataforma y estado de conexión; puedes revocar cualquiera en cualquier momento.
 - **El tráfico fuera de casa está cifrado de extremo a extremo.** Con **En cualquier lugar**, el tráfico fuera de tu red viaja por el [Private Relay](/es/private-relay/), que no puede leer lo que pasa por él.
 ## Gestiona los dispositivos vinculados
 **Settings → Remote Instances → Conectarse a este servidor** lista todos los dispositivos que pueden alcanzar este servidor, con un punto verde cuando están en línea y si están conectados por la red local o por el relay.
 - **Revocar** corta el acceso de un dispositivo de inmediato. Vuelve a vincularlo con un nuevo código QR si cambias de opinión.
 - **Borrar revocados** limpia la lista.
 El mismo dispositivo físico mantiene una sola entrada aunque vuelva a iniciar sesión más tarde: no acumularás duplicados.
 ## Conecta desde la línea de comandos
 Si el servidor funciona en modo headless (sin UI abierta), crea un enlace de conexión desde una terminal en esa máquina.
 Para un dispositivo en la misma red:
 ```bash
 openchamber connect-url --port 3000 --qr
 ```
 Para un dispositivo que debe conectarse desde **cualquier lugar** —el equivalente a elegir **En cualquier lugar** en el diálogo—:
 ```bash
 openchamber connect-url --relay --qr
 ```
 Un enlace `--relay` lleva ambas rutas, igual que el diálogo: el dispositivo se conecta directamente por tu red local cuando puede alcanzar el servidor, y recurre al [Private Relay](/es/private-relay/) cuando está fuera. El relay arranca por sí solo: una instancia en marcha recoge el enlace en menos de un minuto, y una detenida lo hace en su próximo arranque.
 > La ruta directa solo funciona si el servidor realmente escucha en tu red. De forma predeterminada, OpenChamber solo escucha en la propia máquina; inícialo con `--lan` para que sea accesible por Wi-Fi. El comando te avisa (`[LAN_UNREACHABLE]`) cuando la ruta directa del enlace no será utilizable desde otros dispositivos; un enlace `--relay` sigue funcionando en ese caso, solo que siempre a través del relay.
 El enlace y el código QR impresos funcionan exactamente igual que los del diálogo de ajustes: de un solo uso, con caducidad y revocables.
 ## Relacionado
 - [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar» y qué puede ver el relay y qué no
 - [Apps móviles](/es/mobile/) — instala la app de iOS o Android
 - [Instancias remotas](/es/remote-instances/) — conecta la app de escritorio a servidores por SSH o con enlaces
 - [Acceso remoto](/es/troubleshooting/remote-access/) — cuando un dispositivo no se conecta
@@ -1,31 +1,43 @@
 ---
-title: PWA y acceso móvil
+title: Apps móviles y PWA
-description: Instala OpenChamber como una app y úsalo desde tu teléfono.
+description: Instala la app de OpenChamber en iOS o Android y conéctala a tu servidor.
 ---
-# PWA y acceso móvil
+# Apps móviles y PWA
-La app web de OpenChamber se instala como una app de teléfono (una PWA), así que puedes tenerla en tu pantalla de inicio y usarla a pantalla completa. Combínala con un [túnel](/es/tunnels/) y podrás echar un vistazo a una sesión desde cualquier lugar.
+OpenChamber tiene apps nativas para iPhone y Android, para que puedas seguir sesiones, responder a los agentes y gestionar el trabajo desde tu teléfono, en casa por Wi-Fi o desde cualquier lugar a través del [Private Relay](/es/private-relay/).
-## Instálala
+## Instala la app
-OpenChamber usa la instalación integrada de tu navegador, así que no hay una descarga aparte:
+- **iPhone/iPad** — únete a la [beta de TestFlight](https://testflight.apple.com/join/5ek6GU1E)
 - **Android** — descarga el APK de la [última release](https://github.com/openchamber/openchamber/releases/latest)
- **navegador de escritorio** — usa la opción **Install** en la barra de direcciones
+## Conéctala a tu servidor
 1. En la computadora donde se ejecuta OpenChamber, abre **Settings → Remote Instances → Conectarse a este servidor** y pulsa **Añadir un dispositivo**.
 2. Elige **En cualquier lugar** (o **Solo red doméstica** si solo usarás el teléfono en casa) y pulsa **Crear código QR**.
 3. En la app móvil, toca **Escanear código QR** y apunta la cámara al código.
 La app se conecta y recuerda el servidor. El código QR es de un solo uso y cada dispositivo recibe su propio token revocable; consulta [Conectar un dispositivo](/es/connect-devices/) para saber por qué la vinculación es segura.
 Puedes vincular la app con varios servidores y cambiar entre ellos desde la lista de instancias; la app muestra para cada uno si está accesible y si estás conectado por la red local o por el relay.
 ## PWA (instalación desde el navegador)
 ¿Prefieres prescindir de las tiendas de apps? La app web se instala directamente desde el navegador:
 - **navegador de escritorio** — usa la opción **Instalar** de la barra de direcciones
 - **iPhone/iPad (Safari)** — Compartir → **Añadir a pantalla de inicio**
 - **Android (Chrome)** — menú → **Instalar app** / **Añadir a pantalla de inicio**
-Una vez instalada, se abre en su propia ventana sin los elementos del navegador.
+Para alcanzar la PWA desde fuera de tu red necesitarás un [túnel](/es/tunnels/) y una [contraseña de UI](/es/security/) fuerte; las apps nativas se encargan de esto por ti mediante el relay.
 ## Accede desde tu teléfono
 Para abrir OpenChamber en tu teléfono cuando el servidor se ejecuta en tu computadora, inicia un [túnel](/es/tunnels/) y abre el enlace (o escanea el código QR) en el teléfono. Usa una [contraseña de UI](/es/security/) fuerte siempre que lo hagas.
 ## Ajustes móviles
-En **Settings → OpenChamber**, unas pocas opciones ajustan la experiencia móvil e instalada: el nombre con el que se instala la app, la orientación de la pantalla y cómo se comporta el teclado en pantalla.
+En **Settings → OpenChamber**, unas cuantas opciones ajustan la experiencia móvil e instalada: el nombre de la app instalada, la orientación de la pantalla y el comportamiento del teclado en pantalla.
 ## Relacionado
- [Túneles](/es/tunnels/) — accede a tu instancia desde otra red
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación, códigos QR de un solo uso y gestión de dispositivos
 - [Private Relay](/es/private-relay/) — cómo funciona el acceso «En cualquier lugar»
 - [Seguridad](/es/security/) — protege la UI antes de exponerla
@@ -0,0 +1,44 @@
 ---
 title: Private Relay
 description: Alcanza tu servidor de OpenChamber desde cualquier lugar a través de un relay cifrado de extremo a extremo, sin puertos, sin túneles y sin configuración.
 ---
 # Private Relay
 El Private Relay de OpenChamber permite que tus dispositivos vinculados alcancen tu servidor desde cualquier lugar —datos móviles, la red de una cafetería, otra ciudad— sin abrir puertos, montar un túnel ni exponer tu máquina a internet. Se gestiona solo: basta con vincular un dispositivo con **En cualquier lugar** en [Conectar un dispositivo](/es/connect-devices/).
 ## Cómo funciona
 Tu servidor abre una conexión saliente hacia la infraestructura de relay de OpenChamber y la mantiene activa. Cuando uno de tus dispositivos está fuera de tu red, también se conecta al relay, y el relay pasa el tráfico cifrado entre ambos. Nada en tu máquina escucha conexiones entrantes desde internet.
 Cuando hay una conexión directa disponible —vuelves a casa y estás en la misma Wi-Fi—, tus dispositivos la prefieren y se saltan el relay por completo.
 ## Qué puede ver el relay y qué no
 El relay es un mensajero ciego, no un intermediario:
 - **Cifrado de extremo a extremo.** Tu dispositivo y tu servidor acuerdan las claves de cifrado directamente entre ellos. El relay reenvía tráfico sellado para el que no tiene claves: no puede leer tu código, tus prompts ni tus contraseñas.
 - **Solo tus dispositivos pueden conectarse.** Un dispositivo debe tener un token emitido por *tu* servidor mediante la [vinculación de un solo uso](/es/connect-devices/). Nadie puede descubrir tu servidor a través del relay ni conectarse a él sin un token que tú hayas creado, y puedes revocar cualquier token en cualquier momento.
 - **Los enlaces de vinculación son de un solo uso.** Un código QR de vinculación funciona exactamente una vez y caduca si no se usa, así que un enlace antiguo filtrado no vale nada.
 - **No se comparte nada hasta que tú lo decides.** El relay permanece apagado hasta que lo actives o vincules un dispositivo a través de él, y puedes desactivarlo en cualquier momento; los dispositivos conectados a través de él se desconectan de inmediato.
 ## Cuándo funciona
 El relay gestiona su propio ciclo de vida: no hay ningún interruptor que recordar.
 - **Se inicia bajo demanda.** Crear una vinculación **En cualquier lugar** enciende el relay, y este vuelve tras un reinicio mientras algún dispositivo vinculado siga dependiendo de él.
 - **Se detiene solo.** Cuando ningún dispositivo ni vinculación pendiente usa el relay —por ejemplo, después de revocar el último dispositivo vinculado por relay—, se apaga automáticamente.
 **Settings → Remote Instances → OpenChamber Relay** muestra el estado en vivo (Conectado, Reconectando, …) y cuántos dispositivos están conectados a través de él en ese momento. Allí también puedes pulsar **Desactivar** para cortar el acceso por relay de inmediato; los dispositivos de tu red local no se ven afectados.
 ## ¿Relay o túnel?
 - Usa el **relay** para alcanzar tu propio servidor desde tus propios dispositivos vinculados. No requiere configuración y nada se expone públicamente.
 - Usa un [túnel](/es/tunnels/) cuando necesites una **URL pública** normal, por ejemplo para abrir OpenChamber en un navegador corriente en una máquina que no puedes vincular, o para compartir acceso detrás de una [contraseña de UI](/es/security/).
 ## Relacionado
 - [Conectar un dispositivo](/es/connect-devices/) — vincula un dispositivo con un código QR de un solo uso
 - [Apps móviles](/es/mobile/) — instala la app de iOS o Android
 - [Seguridad](/es/security/) — contraseñas, passkeys y nociones básicas de exposición
 - [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa
@@ -24,19 +24,25 @@ OpenChamber recorre los pasos —comprobar la conexión, configurar el remoto, i
 Tú decides si guardar las contraseñas de SSH y de UI o introducirlas cada vez. Si la conexión se cae, OpenChamber informa qué paso falló para que puedas arreglarlo; consulta [Acceso remoto](/es/troubleshooting/remote-access/).
-## Enlaces de conexión directa
+## Enlaces de conexión
-Si una máquina remota ya ejecuta OpenChamber, crea allí un enlace de conexión e impórtalo en **Settings → Remote Instances → Server links**:
+Si una máquina remota ya ejecuta OpenChamber, la forma más fácil de conectar la app de escritorio es un enlace de vinculación. En la UI del servidor remoto, abre **Settings → Remote Instances → Conectarse a este servidor → Añadir un dispositivo**, crea un enlace e impórtalo en tu escritorio en **Settings → Remote Instances → Otros servidores de OpenChamber → Importar enlace**. Consulta [Conectar un dispositivo](/es/connect-devices/) para el flujo completo.
 Un enlace creado con **En cualquier lugar** lleva tanto una dirección directa como una ruta por el [Private Relay](/es/private-relay/): el escritorio se conecta directamente cuando puede alcanzar el servidor (misma red) y recurre al relay cifrado de extremo a extremo cuando estás fuera. El estado junto a cada servidor guardado muestra qué ruta se está usando.
 También puedes crear un enlace desde una terminal en la máquina remota:
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 ```
-`connect-url` inicia el servidor primero si no hay nada ejecutándose en ese puerto. Añade `--api-only` para un servidor headless, `--lan` para escuchar en la LAN al iniciar, `--ui-password` para proteger el acceso del navegador y `--name` para etiquetar la conexión guardada.
+`connect-url` inicia el servidor primero si no hay nada ejecutándose en ese puerto. Añade `--api-only` para un servidor headless, `--lan` para escuchar en la LAN al iniciar, `--ui-password` para proteger el acceso del navegador y `--name` para etiquetar la conexión guardada. Añade `--relay` para un enlace que también funciona fuera de la red local: el dispositivo prefiere la conexión directa cuando el servidor está accesible y recurre al [Private Relay](/es/private-relay/) en caso contrario; la instancia levanta el relay por sí sola.
-El enlace generado contiene un token de cliente para apps de OpenChamber. Ese token es independiente de la contraseña de la UI del navegador y sobrevive a reinicios hasta que lo revoques o elimines.
+El enlace generado contiene un secreto de vinculación de un solo uso. Una vez importado, el dispositivo conserva su propio token de cliente —independiente de la contraseña de la UI del navegador— que sobrevive a los reinicios del servidor hasta que lo revoques en el servidor emisor.
 ## Relacionado
 - [Conectar un dispositivo](/es/connect-devices/) — enlaces de vinculación, códigos QR y gestión de dispositivos
 - [Private Relay](/es/private-relay/) — cómo funcionan las conexiones «En cualquier lugar»
 - [OpenCode Server](/es/opencode-server/) — conéctate a un servidor remoto en la web o en VS Code
 - [Acceso remoto](/es/troubleshooting/remote-access/) — cuando una conexión no se completa
@@ -20,6 +20,8 @@ Una tarea programada ejecuta un prompt por ti según una programación; por ejem
 Puedes ejecutar cualquier tarea de inmediato con **run now** para comprobar que hace lo que esperas.
 Marca **Ejecutar como objetivo** para que la ejecución persiga su prompt hasta completarlo en lugar de detenerse tras una respuesta — consulta [Objetivos de sesión](/session-goals/).
 ## Cómo se ve el éxito
 Después de una ejecución, la tarea muestra cuándo se ejecutó por última vez, si tuvo éxito y un enlace a la sesión que creó. Si una ejecución falla, el error también se muestra ahí.
@@ -25,13 +25,20 @@ Una vez definida una contraseña, puedes añadir passkeys (Face ID, Touch ID, un
 Las passkeys están vinculadas a la contraseña actual. Si cambias o eliminas la contraseña, las passkeys guardadas se borran y tendrás que añadirlas de nuevo.
 ## Tokens de dispositivo
 Los dispositivos vinculados mediante [Conectar un dispositivo](/es/connect-devices/) se autentican con sus propios tokens por dispositivo, no con la contraseña de UI. Los enlaces de vinculación son de un solo uso y caducan si no se usan; cada dispositivo vinculado aparece en **Settings → Remote Instances → Conectarse a este servidor**, donde puedes revocar cualquiera en cualquier momento. Las conexiones fuera de casa pasan por el [Private Relay](/es/private-relay/), que está cifrado de extremo a extremo y no puede leer tu tráfico.
 ## Antes de exponerlo
 - De forma predeterminada, OpenChamber solo escucha en tu propia máquina (`127.0.0.1`). Hace falta un cambio deliberado para escuchar más ampliamente, y deberías definir una contraseña primero.
- Prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
+- Para tus propios dispositivos, prefiere la [vinculación](/es/connect-devices/) con el [Private Relay](/es/private-relay/): no se expone nada públicamente.
 - Si necesitas una URL pública, prefiere un [túnel](/es/tunnels/) o una red privada (como una VPN) antes que abrir un puerto a internet.
 - Si pones OpenChamber detrás de tu propio servidor HTTPS, consulta [Proxy inverso](/es/reverse-proxy/).
 ## Relacionado
- [Túneles](/es/tunnels/) — la forma recomendada de acceder a una instancia de forma remota
+- [Conectar un dispositivo](/es/connect-devices/) — vinculación de un solo uso y tokens por dispositivo
 - [Private Relay](/es/private-relay/) — acceso cifrado de extremo a extremo desde cualquier lugar
 - [Túneles](/es/tunnels/) — expón una URL pública cuando la necesites
 - [Proxy inverso](/es/reverse-proxy/) — ejecuta OpenChamber detrás de tu propio servidor
@@ -0,0 +1,73 @@
 ---
 title: Objetivos de sesión
 description: Convierte un prompt en un objetivo hacia el que el agente trabaja automáticamente.
 ---
 # Objetivos de sesión
 Un objetivo convierte un solo prompt en una línea de meta. En lugar de empujar al agente con "continúa" tras cada respuesta, defines el objetivo una vez — y OpenChamber mantiene la sesión trabajando hacia él automáticamente, comprobando el progreso con un auditor independiente después de cada turno. Sigue funcionando incluso mientras no estás.
 ## Iniciar un objetivo
 1. Pulsa el botón de diana en el compositor. Se ilumina — el modo objetivo está armado.
 2. Escribe tu prompt y envíalo. Ese mensaje se convierte en el objetivo.
 Funciona igual en una sesión existente y en un borrador de sesión nueva: arma la diana, escribe el primer mensaje, envía — la nueva sesión arranca con el objetivo ya activo.
 ### Más formas de iniciar un objetivo
 - **Desde una respuesta del agente**: en el diálogo "Start new session from this answer", marca **Ejecutar como objetivo** — la respuesta se entrega como una tarea que la nueva sesión ejecuta hasta completarla (combínalo con **Create worktree** para una ejecución aislada).
 - **Desde un plan**: al implementar un plan guardado en una sesión o worktree nuevos, marca **Ejecutar como objetivo** en el diálogo. El objetivo lleva el contenido del plan, así que el auditor juzga el progreso contra el plan real.
 - **Según un horario**: marca **Ejecutar como objetivo** en una [tarea programada](/scheduled-tasks/) para que las ejecuciones recurrentes persigan su prompt hasta completarlo.
 ## Escribe un objetivo autocontenido
 El auditor de progreso solo ve tu objetivo y la última respuesta del agente — no el historial del chat. Redacta el mensaje-objetivo de forma que alguien sin el contexto de la conversación entienda cómo es el estado final.
 - Bien: "Añade tests para el módulo de exportación y haz que toda la suite pase."
 - No tan bien: "Arréglalo" o "Continúa con esa idea."
 Para pequeños ajustes contextuales no necesitas un objetivo — envía un mensaje normal.
 ## Cómo funciona
 Cuando el agente se detiene y la sesión queda en silencio un momento, OpenChamber:
 1. Pide a un modelo pequeño y barato que audite el último turno contra el objetivo: ¿seguir, hecho o atascado?
 2. Si el veredicto es "seguir", envía un prompt de continuación y el agente retoma el trabajo.
 3. Si el objetivo se ha logrado de forma verificable, el objetivo se completa y recibes una notificación.
 4. Si el agente está realmente atascado (necesita tu intervención), el objetivo se detiene como bloqueado — pero solo después de que el auditor lo diga tres veces seguidas, así que un tropiezo puntual nunca termina el objetivo.
 También hay topes de seguridad: un presupuesto de tokens opcional, un límite de continuaciones automáticas y una parada ante errores de turno. Si el contexto de la sesión se compacta a mitad del trabajo, el objetivo simplemente continúa — chocar con la ventana de contexto es prueba de que el trabajo no había terminado.
 ### Detener y reanudar
 - El **botón de detener** aborta el turno en curso y pausa el objetivo — tu "para" explícito siempre gana al bucle.
 - **Pausar** en la franja del objetivo hace lo mismo desde el otro lado: pausa el objetivo y detiene el turno en curso.
 - Mientras está pausado, chatea con normalidad — el bucle no interfiere.
 - **Reanudar** rearma el bucle: en una sesión inactiva el empujón de continuación sale de inmediato; si el agente está trabajando, el bucle se reengancha en su siguiente pausa.
 ## Observar y gestionar
 - La franja sobre el compositor muestra la última nota de progreso, el estado y el uso de tokens, con un botón de pausar/reanudar integrado. Cuando el agente se ha detenido y el objetivo sigue activo, la franja muestra un **Evaluando…** giratorio — es la ventana de silencio y la auditoría en marcha.
 - El botón de diana permanece encendido mientras el objetivo corre (azul), se vuelve verde al completarse y rojo cuando está bloqueado o sin presupuesto. Púlsalo para abrir el diálogo del objetivo: edita el objetivo o el presupuesto, o elimínalo. Un objetivo completado es de solo lectura — elimínalo y arma uno nuevo.
 - En la barra lateral de sesiones aparece una pequeña diana junto a la fecha de la sesión, coloreada según el estado del objetivo.
 ## Notificaciones
 Mientras un objetivo está activo, las notificaciones por turno de "agente listo" se suprimen — solo harían eco de las continuaciones del propio bucle. Cuando el objetivo se resuelve (completado, bloqueado o presupuesto alcanzado) recibes una única notificación final, en el escritorio y como push móvil. Obedece el mismo ajuste de "notificar al completar"; las solicitudes de permisos, las preguntas y las notificaciones de error siguen funcionando con normalidad.
 ## Presupuesto de tokens
 En **Ajustes → Chat → Objetivo** puedes definir un presupuesto de tokens predeterminado para nuevos objetivos. Al alcanzarlo, el objetivo se detiene como "presupuesto alcanzado" en lugar de gastar más — puedes subir el presupuesto y reanudar desde el diálogo del objetivo.
 ## Ten en cuenta
 - El bucle del objetivo corre en el servidor de OpenChamber, no en tu pestaña del navegador. Cierra la pestaña, bloquea el teléfono — el agente sigue trabajando y recibirás una notificación cuando el objetivo termine. El servidor (app de escritorio o proceso `openchamber`) debe seguir en marcha.
 - Los objetivos usan el proveedor y modelo de tu propia sesión, incluidas las llamadas del auditor — nada sale hacia proveedores que no uses ya.
 - Un objetivo por sesión a la vez.
 ## Relacionado
 - [Tareas programadas](/scheduled-tasks/) — ejecutar un prompt según un horario; activa allí "Ejecutar como objetivo" para que la ejecución programada persiga su prompt hasta completarlo
 - [Notificaciones](/notifications/) — cómo te enteras de un objetivo terminado
@@ -12,6 +12,15 @@ Cuando no puedes alcanzar OpenChamber desde tu teléfono u otra máquina, la sol
 - abre `http://localhost:3000` en la misma computadora primero; si eso falla, no es un problema remoto; consulta [Conexión de OpenCode](/es/troubleshooting/opencode-connection/)
 - confirma que el servidor está en funcionamiento con `openchamber status`
 ## Un dispositivo vinculado no se conecta
 - el código QR / enlace de vinculación es **de un solo uso**; si ya se escaneó (o caducó), crea uno nuevo desde **Añadir un dispositivo**
 - si el dispositivo se vinculó con **Solo red doméstica**, no puede conectarse desde fuera de esa red; vuelve a vincularlo con **En cualquier lugar**
 - para la vinculación **En cualquier lugar**, comprueba **Settings → Remote Instances → OpenChamber Relay** en el servidor: debería decir **Conectado**; si no, desactívalo y vuelve a activarlo
 - si un dispositivo fue **revocado**, su token desaparece para siempre; vincúlalo de nuevo con un código QR nuevo
 Consulta [Conectar un dispositivo](/es/connect-devices/) y [Private Relay](/es/private-relay/) para saber cómo funcionan estas conexiones.
 ## El enlace del túnel no funciona
 - ejecuta `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Si pones OpenChamber detrás de un proxy inverso y carga de forma extraña o no
 ## Relacionado
- [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
+- [Conectar un dispositivo](/es/connect-devices/) · [Private Relay](/es/private-relay/) · [Túneles](/es/tunnels/) · [Instancias remotas](/es/remote-instances/) · [Proxy inverso](/es/reverse-proxy/)
 - [Seguridad](/es/security/) — protege la UI antes de exponerla
@@ -5,7 +5,9 @@ description: Expón OpenChamber de forma segura para acceso remoto y móvil.
 # Túneles
-Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde tu teléfono u otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
+Un túnel es un enlace público a tu OpenChamber, para que puedas acceder a él desde un navegador corriente en otra red. Usa `openchamber tunnel` para crear uno para una instancia en marcha.
 > Conectar tus **propios dispositivos** (la app móvil, otro escritorio) normalmente no necesita un túnel: [vincúlalos](/es/connect-devices/) y deja que el [Private Relay](/es/private-relay/), cifrado de extremo a extremo, se encargue del acceso fuera de casa sin configuración.
 ## Requisitos previos
@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000
 ## Relacionado
 - [Conectar un dispositivo](/es/connect-devices/) — vincula tus propios dispositivos sin una URL pública
 - [Seguridad](/es/security/) — protege la interfaz antes de exponerla
 - [Túneles de escritorio](/es/desktop-tunnels/) — configuración de túneles en la app de escritorio sin iniciar desde CLI
 - [PWA y acceso móvil](/es/mobile/) — accede a OpenChamber desde tu teléfono
@@ -0,0 +1,68 @@
 ---
 title: Connecter un appareil
 description: Associez votre téléphone, votre desktop ou un autre navigateur à votre serveur OpenChamber avec un QR code à usage unique.
 ---
 # Connecter un appareil
 Associez un autre appareil — l’application mobile, l’application desktop ou un navigateur sur une autre machine — à votre serveur OpenChamber en scannant un QR code à usage unique. C’est la méthode recommandée pour connecter des appareils : aucun port à ouvrir, aucune adresse à taper.
 ## Associer un appareil
 1. Sur la machine qui exécute OpenChamber, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur** et pressez **Ajouter un appareil**.
 2. Donnez un nom à l’appareil (par ex. *Mon iPhone*) pour le reconnaître plus tard.
 3. Choisissez où vous utiliserez l’appareil :
   - **Cet ordinateur uniquement** — pour les applications sur cette même machine
   - **Réseau domestique uniquement** — connexion directe via votre Wi-Fi ; ne fonctionne pas hors de ce réseau
   - **Partout** — fonctionne à la maison et en déplacement ; en déplacement, le trafic passe par le [Relais privé](/private-relay/), un tunnel chiffré de bout en bout sans aucune configuration
 4. Pressez **Créer le code QR**.
 5. Sur l’autre appareil, scannez le code :
   - **application mobile** — touchez **Scanner le code QR** sur l’écran de connexion (ou dans la liste des instances)
   - **application desktop** — copiez plutôt le lien de connexion et collez-le dans **Paramètres → Instances distantes → Autres serveurs OpenChamber → Importer le lien**
 Le dialogue se ferme tout seul dès que l’appareil se connecte, et l’appareil apparaît dans la liste avec un statut en direct. C’est tout — vous êtes associé.
 ## Pourquoi l’association reste sûre
 - **Le QR code est à usage unique.** Il cesse de fonctionner dès qu’un appareil l’utilise, et il expire de lui-même s’il n’est jamais utilisé.
 - **Chaque appareil reçoit son propre token.** Scanner un code n’expose jamais votre mot de passe UI, et le token d’un appareil ne peut pas servir à en usurper un autre.
 - **Vous gardez le contrôle.** Chaque appareil associé est listé avec son nom, sa plateforme et son état de connexion — révoquez n’importe lequel à tout moment.
 - **Le trafic hors du domicile est chiffré de bout en bout.** Avec **Partout**, le trafic en dehors de votre réseau passe par le [Relais privé](/private-relay/), qui ne peut pas lire ce qui le traverse.
 ## Gérer les appareils associés
 **Paramètres → Instances distantes → Se connecter à ce serveur** liste chaque appareil pouvant joindre ce serveur, avec un point vert quand il est en ligne et l’indication d’une connexion via le réseau local ou le relais.
 - **Révoquer** coupe un appareil immédiatement. Associez-le à nouveau avec un nouveau QR code si vous changez d’avis.
 - **Effacer les révocations** nettoie la liste.
 Le même appareil physique garde une seule entrée même s’il se reconnecte plus tard — vous n’accumulerez pas de doublons.
 ## Se connecter depuis la ligne de commande
 Si le serveur tourne en headless (aucune UI ouverte), créez un lien de connexion depuis un terminal sur cette machine.
 Pour un appareil sur le même réseau :
 ```bash
 openchamber connect-url --port 3000 --qr
 ```
 Pour un appareil qui doit se connecter depuis **n’importe où** — l’équivalent du choix **Partout** dans le dialogue :
 ```bash
 openchamber connect-url --relay --qr
 ```
 Un lien `--relay` contient les deux routes, exactement comme le dialogue : l’appareil se connecte directement via votre réseau local quand il peut joindre le serveur, et bascule sur le [Relais privé](/private-relay/) en déplacement. Le relais démarre tout seul : une instance en cours d’exécution prend le lien en compte en moins d’une minute, une instance arrêtée au prochain lancement.
 > La route directe ne fonctionne que si le serveur écoute réellement sur votre réseau. Par défaut, OpenChamber n’écoute que sur la machine elle-même — démarrez-le avec `--lan` pour le rendre joignable en Wi-Fi. La commande vous prévient (`[LAN_UNREACHABLE]`) quand la route directe du lien ne sera pas utilisable depuis d’autres appareils ; un lien `--relay` fonctionne quand même dans ce cas, simplement toujours via le relais.
 Le lien et le QR code affichés fonctionnent exactement comme ceux du dialogue des paramètres — à usage unique, avec expiration, révocables.
 ## Pages liées
 - [Relais privé](/private-relay/) — comment fonctionnent les connexions « Partout » et ce que le relais peut ou ne peut pas voir
 - [Applications mobiles](/mobile/) — installer l’application iOS ou Android
 - [Instances distantes](/remote-instances/) — connecter l’application desktop à des serveurs via SSH ou des liens
 - [Accès distant](/troubleshooting/remote-access/) — quand un appareil ne se connecte pas
@@ -1,31 +1,43 @@
 ---
-title: PWA et accès mobile
+title: Applications mobiles et PWA
-description: Installez OpenChamber comme application et utilisez-le depuis votre téléphone.
+description: Installez l’application OpenChamber sur iOS ou Android et connectez-la à votre serveur.
 ---
-# PWA et accès mobile
+# Applications mobiles et PWA
-L’application web OpenChamber s’installe comme une application de téléphone (une PWA), pour rester sur votre écran d’accueil et s’utiliser en plein écran. Associez-la à un [tunnel](/tunnels/) et vous pouvez vérifier une session depuis n’importe où.
+OpenChamber a des applications natives pour iPhone et Android : suivez les sessions, répondez aux agents et gérez votre travail depuis votre téléphone — à la maison en Wi-Fi ou depuis n’importe où via le [Relais privé](/private-relay/).
-## L’installer
+## Installer l’application
-OpenChamber utilise l’installation intégrée de votre navigateur, donc il n’y a pas de téléchargement séparé :
+- **iPhone/iPad** — rejoignez la [bêta TestFlight](https://testflight.apple.com/join/5ek6GU1E)
 - **Android** — téléchargez l’APK depuis la [dernière release](https://github.com/openchamber/openchamber/releases/latest)
 ## La connecter à votre serveur
 1. Sur l’ordinateur qui exécute OpenChamber, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur** et pressez **Ajouter un appareil**.
 2. Choisissez **Partout** (ou **Réseau domestique uniquement** si vous n’utiliserez le téléphone qu’à la maison) et pressez **Créer le code QR**.
 3. Dans l’application mobile, touchez **Scanner le code QR** et pointez la caméra dessus.
 L’application se connecte et mémorise le serveur. Le QR code est à usage unique et chaque appareil reçoit son propre token révocable — voir [Connecter un appareil](/connect-devices/) pour comprendre pourquoi l’association reste sûre.
 Vous pouvez associer l’application à plusieurs serveurs et basculer entre eux depuis la liste des instances ; l’application indique pour chacun s’il est joignable et si vous êtes connecté via le réseau local ou le relais.
 ## PWA (installation depuis le navigateur)
 Vous préférez éviter les app stores ? L’application web s’installe directement depuis le navigateur :
 - **navigateur desktop** — utilisez l’option **Installer** dans la barre d’adresse
- **iPhone/iPad (Safari)** — Partager → **Ajouter à l’écran d’accueil**
+- **iPhone/iPad (Safari)** — Partager → **Sur l’écran d’accueil**
 - **Android (Chrome)** — menu → **Installer l’application** / **Ajouter à l’écran d’accueil**
-Une fois installée, elle s’ouvre dans sa propre fenêtre sans chrome de navigateur.
+Pour joindre la PWA depuis l’extérieur de votre réseau, il vous faudra un [tunnel](/tunnels/) et un [mot de passe UI](/security/) solide — les applications natives s’en occupent pour vous via le relais.
-## Y accéder depuis votre téléphone
+## Paramètres mobiles
-Pour ouvrir OpenChamber sur votre téléphone quand le serveur tourne sur votre ordinateur, démarrez un [tunnel](/tunnels/) et ouvrez le lien (ou scannez le QR code) sur le téléphone. Utilisez toujours un [mot de passe UI](/security/) robuste lorsque vous faites cela.
+Dans **Paramètres → OpenChamber**, quelques options ajustent l’expérience mobile et installée — le nom de l’application installée, l’orientation de l’écran et le comportement du clavier à l’écran.
 ## Paramètres mobile
 Sous **Paramètres → OpenChamber**, quelques options ajustent l’expérience mobile et installée — le nom installé de l’application, l’orientation de l’écran et le comportement du clavier à l’écran.
 ## Pages liées
- [Tunnels](/tunnels/) — joindre votre instance depuis un autre réseau
+- [Connecter un appareil](/connect-devices/) — association, QR codes à usage unique et gestion des appareils
 - [Relais privé](/private-relay/) — comment fonctionne l’accès « Partout »
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
@@ -0,0 +1,44 @@
 ---
 title: Relais privé
 description: Joignez votre serveur OpenChamber depuis n’importe où via un relais chiffré de bout en bout — sans ports, sans tunnels, sans configuration.
 ---
 # Relais privé
 Le relais privé OpenChamber (Private Relay) permet à vos appareils associés de joindre votre serveur depuis n’importe où — réseau cellulaire, Wi-Fi de café, autre ville — sans ouvrir de ports, sans configurer de tunnel et sans exposer votre machine à internet. Il se gère tout seul : associer un appareil avec **Partout** dans [Connecter un appareil](/connect-devices/) suffit.
 ## Comment ça marche
 Votre serveur ouvre une connexion sortante vers l’infrastructure de relais d’OpenChamber et la maintient active. Quand l’un de vos appareils est hors de votre réseau, il se connecte lui aussi au relais, et le relais fait transiter le trafic chiffré entre les deux. Rien sur votre machine n’écoute de connexions entrantes depuis internet.
 Quand une connexion directe est disponible — vous êtes de retour à la maison sur le même Wi-Fi — vos appareils la préfèrent et contournent complètement le relais.
 ## Ce que le relais peut et ne peut pas voir
 Le relais est un coursier aveugle, pas un intermédiaire :
 - **Chiffré de bout en bout.** Votre appareil et votre serveur négocient les clés de chiffrement directement entre eux. Le relais transmet un trafic scellé dont il n’a pas les clés — il ne peut lire ni votre code, ni vos prompts, ni vos mots de passe.
 - **Seuls vos appareils peuvent se connecter.** Un appareil doit détenir un token émis par *votre* serveur via l’[association à usage unique](/connect-devices/). Personne ne peut découvrir votre serveur via le relais ni s’y connecter sans un token que vous avez créé — et vous pouvez révoquer n’importe quel token à tout moment.
 - **Les liens d’association sont à usage unique.** Un QR code d’association fonctionne exactement une fois et expire s’il n’est pas utilisé ; un vieux lien qui fuite ne vaut donc rien.
 - **Rien n’est partagé sans votre accord.** Le relais reste éteint tant que vous ne l’activez pas ou que vous n’associez pas d’appareil via celui-ci, et vous pouvez le désactiver à tout moment — les appareils connectés à travers lui sont coupés immédiatement.
 ## Quand il s’exécute
 Le relais gère son propre cycle de vie — aucun interrupteur à retenir :
 - **Il démarre à la demande.** Créer une association **Partout** active le relais, et il revient après un redémarrage tant qu’un appareil associé en dépend encore.
 - **Il s’arrête tout seul.** Dès qu’aucun appareil ni aucune association en attente n’utilise le relais — par exemple après avoir révoqué le dernier appareil associé via le relais — il s’éteint automatiquement.
 **Paramètres → Instances distantes → OpenChamber Relay** affiche l’état en direct (Connecté, Reconnexion, …) et le nombre d’appareils connectés à travers lui en ce moment. Vous pouvez aussi y presser **Désactiver** pour couper immédiatement l’accès via le relais ; les appareils sur votre réseau local ne sont pas affectés.
 ## Relais ou tunnel ?
 - Utilisez le **relais** pour joindre votre propre serveur depuis vos propres appareils associés. Zéro configuration, et rien n’est exposé publiquement.
 - Utilisez un [tunnel](/tunnels/) quand il vous faut une simple **URL publique** — par exemple pour ouvrir OpenChamber dans un navigateur ordinaire sur une machine que vous ne pouvez pas associer, ou pour partager l’accès derrière un [mot de passe UI](/security/).
 ## Pages liées
 - [Connecter un appareil](/connect-devices/) — associer un appareil avec un QR code à usage unique
 - [Applications mobiles](/mobile/) — installer l’application iOS ou Android
 - [Sécurité](/security/) — mots de passe, passkeys et bases de l’exposition
 - [Accès distant](/troubleshooting/remote-access/) — quand une connexion ne se termine pas
@@ -24,19 +24,25 @@ OpenChamber déroule les étapes — vérification de la connexion, configuratio
 Vous décidez d’enregistrer les mots de passe SSH et UI ou de les saisir à chaque fois. Si la connexion tombe, OpenChamber indique l’étape qui a échoué pour vous aider à corriger — voir [Accès distant](/troubleshooting/remote-access/).
-## Liens de connexion directe
+## Liens de connexion
-Si une machine distante exécute déjà OpenChamber, créez un lien de connexion là-bas et importez-le dans **Paramètres → Instances distantes → Liens de serveur** :
+Si une machine distante exécute déjà OpenChamber, le moyen le plus simple de connecter l’application desktop est un lien d’association. Sur l’UI du serveur distant, ouvrez **Paramètres → Instances distantes → Se connecter à ce serveur → Ajouter un appareil**, créez un lien, puis importez-le sur votre desktop dans **Paramètres → Instances distantes → Autres serveurs OpenChamber → Importer le lien**. Voir [Connecter un appareil](/connect-devices/) pour le flux complet.
 Un lien créé avec **Partout** contient à la fois une adresse directe et une route via le [Relais privé](/private-relay/) : le desktop se connecte directement quand il peut joindre le serveur (même réseau), et bascule sur le relais chiffré de bout en bout quand vous êtes en déplacement. Le statut à côté de chaque serveur enregistré indique la route utilisée.
 Vous pouvez aussi créer un lien depuis un terminal sur la machine distante :
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 ```
-`connect-url` démarre d’abord le serveur si rien ne tourne sur ce port. Ajoutez `--api-only` pour un serveur headless, `--lan` pour écouter sur le LAN au démarrage, `--ui-password` pour protéger l’accès navigateur et `--name` pour nommer la connexion enregistrée.
+`connect-url` démarre d’abord le serveur si rien ne tourne sur ce port. Ajoutez `--api-only` pour un serveur headless, `--lan` pour écouter sur le LAN au démarrage, `--ui-password` pour protéger l’accès navigateur et `--name` pour nommer la connexion enregistrée. Ajoutez `--relay` pour un lien qui fonctionne aussi hors du réseau local : l’appareil préfère la connexion directe quand elle est joignable et bascule sur le [Relais privé](/private-relay/) — l’instance active le relais toute seule.
-Le lien généré contient un token client pour les applications OpenChamber. Ce token est séparé du mot de passe de l’UI navigateur et survit aux redémarrages du serveur jusqu’à révocation ou suppression.
+Le lien généré contient un secret d’association à usage unique. Une fois importé, l’appareil détient son propre token client — séparé du mot de passe de l’UI navigateur — qui survit aux redémarrages du serveur jusqu’à révocation sur le serveur émetteur.
 ## Pages liées
 - [Connecter un appareil](/connect-devices/) — liens d’association, QR codes et gestion des appareils
 - [Relais privé](/private-relay/) — comment fonctionnent les connexions « Partout »
 - [Serveur OpenCode](/opencode-server/) — se connecter à un serveur distant sur web ou VS Code
 - [Accès distant](/troubleshooting/remote-access/) — quand une connexion ne se termine pas
@@ -20,6 +20,8 @@ Une tâche planifiée lance un prompt pour vous selon un planning — par exempl
 Vous pouvez lancer n’importe quelle tâche immédiatement avec **run now** pour vérifier qu’elle fait ce que vous attendez.
 Cochez **Exécuter comme objectif** pour que l'exécution poursuive son prompt jusqu'au bout au lieu de s'arrêter après une réponse — voir [Objectifs de session](/session-goals/).
 ## À quoi ressemble une réussite
 Après une exécution, la tâche indique quand elle a tourné pour la dernière fois, si elle a réussi et un lien vers la session créée. Si une exécution échoue, l’erreur s’affiche aussi à cet endroit.
@@ -25,13 +25,20 @@ Une fois un mot de passe défini, vous pouvez ajouter des passkeys (Face ID, Tou
 Les passkeys sont liées au mot de passe actuel. Si vous changez ou supprimez le mot de passe, les passkeys enregistrées sont effacées et vous devrez les ajouter à nouveau.
 ## Tokens d’appareil
 Les appareils associés via [Connecter un appareil](/connect-devices/) s’authentifient avec leurs propres tokens par appareil, pas avec le mot de passe UI. Les liens d’association sont à usage unique et expirent s’ils ne sont pas utilisés ; chaque appareil associé est listé dans **Paramètres → Instances distantes → Se connecter à ce serveur**, où vous pouvez révoquer n’importe lequel à tout moment. Les connexions hors du domicile passent par le [Relais privé](/private-relay/), qui est chiffré de bout en bout et ne peut pas lire votre trafic.
 ## Avant de l’exposer
 - Par défaut, OpenChamber n’écoute que sur votre propre machine (`127.0.0.1`). Écouter plus largement demande un changement volontaire, et vous devriez définir un mot de passe d’abord.
- Préférez un [tunnel](/tunnels/) ou un réseau privé (comme un VPN) plutôt que d’ouvrir un port sur internet.
+- Pour vos propres appareils, préférez l’[association](/connect-devices/) avec le [Relais privé](/private-relay/) — rien n’est exposé publiquement du tout.
 - S’il vous faut une URL publique, préférez un [tunnel](/tunnels/) ou un réseau privé (comme un VPN) plutôt que d’ouvrir un port sur internet.
 - Si vous placez OpenChamber derrière votre propre serveur HTTPS, consultez [Reverse proxy](/reverse-proxy/).
 ## Pages liées
- [Tunnels](/tunnels/) — la façon recommandée de joindre une instance à distance
+- [Connecter un appareil](/connect-devices/) — association à usage unique et tokens par appareil
 - [Relais privé](/private-relay/) — accès chiffré de bout en bout depuis n’importe où
 - [Tunnels](/tunnels/) — exposer une URL publique quand il en faut une
 - [Reverse proxy](/reverse-proxy/) — exécuter OpenChamber derrière votre propre serveur
@@ -0,0 +1,73 @@
 ---
 title: Objectifs de session
 description: Transformez un prompt en objectif vers lequel l'agent travaille automatiquement.
 ---
 # Objectifs de session
 Un objectif transforme un seul prompt en ligne d'arrivée. Au lieu de relancer l'agent avec « continue » après chaque réponse, vous définissez l'objectif une fois — et OpenChamber fait travailler la session vers lui automatiquement, en vérifiant la progression avec un auditeur indépendant après chaque tour. Le travail continue même en votre absence.
 ## Démarrer un objectif
 1. Appuyez sur le bouton cible du composeur. Il s'allume — le mode objectif est armé.
 2. Écrivez votre prompt et envoyez-le. Ce message devient l'objectif.
 Cela fonctionne aussi bien dans une session existante que dans un brouillon de nouvelle session : armez la cible, écrivez le premier message, envoyez — la nouvelle session démarre avec l'objectif déjà actif.
 ### D'autres façons de démarrer un objectif
 - **Depuis une réponse de l'agent** : dans le dialogue « Start new session from this answer », cochez **Exécuter comme objectif** — la réponse est transmise comme une mission que la nouvelle session exécute jusqu'au bout (combinez avec **Create worktree** pour une exécution isolée).
 - **Depuis un plan** : en implémentant un plan enregistré dans une nouvelle session ou un worktree, cochez **Exécuter comme objectif** dans le dialogue. L'objectif porte le contenu du plan, l'auditeur juge donc la progression par rapport au plan réel.
 - **Selon un horaire** : cochez **Exécuter comme objectif** sur une [tâche planifiée](/scheduled-tasks/) pour que les exécutions récurrentes poursuivent leur prompt jusqu'au bout.
 ## Rédigez un objectif autonome
 L'auditeur de progression ne voit que votre objectif et la dernière réponse de l'agent — pas l'historique du chat. Formulez donc le message-objectif de sorte qu'une personne sans le contexte de la conversation comprenne à quoi ressemble l'état final.
 - Bien : « Ajoute des tests pour le module d'export et fais passer toute la suite de tests. »
 - Moins bien : « Corrige ça » ou « Continue sur cette idée. »
 Pour de petits ajustements contextuels, pas besoin d'objectif — envoyez un message normal.
 ## Comment ça marche
 Quand l'agent s'arrête et que la session reste calme un instant, OpenChamber :
 1. Demande à un petit modèle économique d'auditer le dernier tour par rapport à l'objectif : continuer, terminé ou bloqué ?
 2. Si le verdict est « continuer », il envoie un prompt de continuation et l'agent reprend le travail.
 3. Si l'objectif est atteint de manière vérifiable, l'objectif se termine et vous recevez une notification.
 4. Si l'agent est réellement bloqué (il a besoin de vous), l'objectif s'arrête comme bloqué — mais seulement après que l'auditeur l'a dit trois fois de suite ; un accroc ponctuel ne termine jamais l'objectif.
 Il y a aussi des garde-fous : un budget de tokens optionnel, un plafond de continuations automatiques et un arrêt en cas d'erreur de tour. Si le contexte de la session est compacté en plein travail, l'objectif continue simplement — heurter la fenêtre de contexte prouve que le travail n'était pas fini.
 ### Arrêter et reprendre
 - Le **bouton stop** interrompt le tour en cours et met l'objectif en pause — votre « stop » explicite l'emporte toujours sur la boucle.
 - **Pause** sur la bande de l'objectif fait la même chose dans l'autre sens : elle met l'objectif en pause et arrête le tour en cours.
 - Pendant la pause, discutez normalement — la boucle reste à l'écart.
 - **Reprendre** réarme la boucle : sur une session inactive, la relance part immédiatement ; si l'agent est en train de travailler, la boucle se raccroche silencieusement à sa prochaine pause.
 ## Suivre et gérer
 - La bande au-dessus du composeur affiche la dernière note de progression, le statut et l'usage de tokens, avec un bouton pause/reprise intégré. Quand l'agent s'est arrêté et que l'objectif est actif, la bande affiche un **Évaluation…** animé — c'est la fenêtre de calme et l'audit en cours.
 - Le bouton cible reste allumé tant que l'objectif tourne (bleu), passe au vert à la fin et au rouge s'il est bloqué ou à court de budget. Appuyez dessus pour ouvrir le dialogue de l'objectif : modifier l'objectif ou le budget, ou le supprimer. Un objectif terminé est en lecture seule — supprimez-le, puis armez-en un nouveau.
 - Dans la barre latérale des sessions, une petite cible apparaît à côté de la date de la session, colorée selon l'état de l'objectif.
 ## Notifications
 Tant qu'un objectif est actif, les notifications « agent prêt » à chaque tour sont supprimées — elles ne feraient qu'écho aux continuations de la boucle elle-même. Quand l'objectif se règle (terminé, bloqué ou budget atteint), vous recevez une seule notification finale, sur le bureau et en push mobile. Elle respecte le même réglage « notifier à la fin » ; les demandes de permission, les questions et les notifications d'erreur continuent de fonctionner normalement.
 ## Budget de tokens
 Dans **Paramètres → Chat → Objectif**, vous pouvez définir un budget de tokens par défaut pour les nouveaux objectifs. Quand un objectif atteint son budget, il s'arrête en « budget atteint » au lieu de dépenser plus — vous pouvez augmenter le budget et reprendre depuis le dialogue de l'objectif.
 ## À garder en tête
 - La boucle d'objectif tourne dans le serveur OpenChamber, pas dans votre onglet de navigateur. Fermez l'onglet, verrouillez le téléphone — l'agent continue, et vous recevez une notification quand l'objectif se termine. Le serveur (app de bureau ou processus `openchamber`) doit rester lancé.
 - Les objectifs utilisent le fournisseur et le modèle de votre propre session, y compris pour les appels de l'auditeur — rien ne part vers des fournisseurs que vous n'utilisez pas déjà.
 - Un objectif par session à la fois.
 ## Voir aussi
 - [Tâches planifiées](/scheduled-tasks/) — exécuter un prompt selon un horaire ; activez-y « Exécuter comme objectif » pour qu'une exécution planifiée poursuive son prompt jusqu'au bout
 - [Notifications](/notifications/) — comment vous êtes prévenu d'un objectif terminé
@@ -12,6 +12,15 @@ Quand vous ne pouvez pas joindre OpenChamber depuis votre téléphone ou une aut
 - ouvrez d’abord `http://localhost:3000` sur le même ordinateur — si cela échoue, ce n’est pas un problème distant ; voir [Connexion à OpenCode](/troubleshooting/opencode-connection/)
 - confirmez que le serveur tourne avec `openchamber status`
 ## L’appareil associé ne se connecte pas
 - le QR code / lien d’association est **à usage unique** — s’il a déjà été scanné (ou a expiré), créez-en un nouveau depuis **Ajouter un appareil**
 - si l’appareil a été associé avec **Réseau domestique uniquement**, il ne peut pas se connecter depuis l’extérieur de ce réseau — associez-le à nouveau avec **Partout**
 - pour une association **Partout**, vérifiez **Paramètres → Instances distantes → OpenChamber Relay** sur le serveur : le statut doit être **Connecté** ; sinon, désactivez puis réactivez le relais
 - si un appareil a été **révoqué**, son token est perdu définitivement — associez-le à nouveau avec un nouveau QR code
 Voir [Connecter un appareil](/connect-devices/) et [Relais privé](/private-relay/) pour comprendre comment ces connexions fonctionnent.
 ## Le lien de tunnel ne fonctionne pas
 - lancez `openchamber tunnel status --all`
@@ -34,5 +43,5 @@ Si vous placez OpenChamber derrière un reverse proxy et qu’il se charge bizar
 ## Pages liées
- [Tunnels](/tunnels/) · [Instances distantes](/remote-instances/) · [Reverse proxy](/reverse-proxy/)
+- [Connecter un appareil](/connect-devices/) · [Relais privé](/private-relay/) · [Tunnels](/tunnels/) · [Instances distantes](/remote-instances/) · [Reverse proxy](/reverse-proxy/)
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
@@ -5,7 +5,9 @@ description: Exposez OpenChamber en sécurité pour l’accès distant et mobile
 # Tunnels
-Un tunnel est un lien public vers votre OpenChamber, pour y accéder depuis votre téléphone ou un autre réseau. Utilisez `openchamber tunnel` pour en créer un pour une instance en cours d’exécution.
+Un tunnel est un lien public vers votre OpenChamber, pour y accéder depuis un navigateur ordinaire sur un autre réseau. Utilisez `openchamber tunnel` pour en créer un pour une instance en cours d’exécution.
 > Connecter vos **propres appareils** (l’application mobile, un autre desktop) ne nécessite généralement pas de tunnel — [associez-les](/connect-devices/) plutôt et laissez le [Relais privé](/private-relay/), chiffré de bout en bout, gérer l’accès hors du domicile sans aucune configuration.
 ## Prérequis
@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000
 ## Pages liées
 - [Connecter un appareil](/connect-devices/) — associer vos propres appareils sans URL publique
 - [Sécurité](/security/) — protéger l’UI avant de l’exposer
 - [Tunnels desktop](/desktop-tunnels/) — configuration des tunnels de l’application desktop sans démarrage CLI
 - [PWA et mobile](/mobile/) — joindre OpenChamber depuis votre téléphone
@@ -0,0 +1,39 @@
 ---
 title: コマンドとスニペット
 description: チャットで使い回せるスラッシュコマンドとテキストスニペットを作成します。
 ---
 # コマンドとスニペット
 コマンドとスニペットは、どちらも同じ内容を何度も入力する手間を省きます。コマンドは `/` で呼び出す完全なプロンプトで、スニペットは `#` でメッセージに差し込む短いテキストです。
 ## コマンド
 コマンドは `/review` のようにスラッシュで実行する保存済みプロンプトです。**Settings → Commands** で管理します。
 1. **Settings → Commands** を開き、コマンドを作成します。
 2. 名前、説明、送信するプロンプト本文を入力します。
 3. 必要なら特定のエージェントやモデルに固定します。
 4. 個人用かプロジェクト用かのスコープを選びます。
 チャットでは、メッセージの**最初**の文字として `/` を入力するとコマンドが表示されます。そこから選んでください。テキストにはプレースホルダーを使えます。
 - `$ARGUMENTS` — コマンドの後に入力した内容
 - `@filename` — ファイルの内容を差し込みます
 - `` !`command` `` — シェルコマンドの出力を差し込みます
 組み込みの `init` と `review` コマンドはリセットできますが、削除はできません。
 ## スニペット
 スニペットは `#signoff` のようなハッシュタグで本文中から参照する再利用可能なテキストです。**Settings → Snippets** で管理します。
 1. **Settings → Snippets** を開き、スニペットを作成します。
 2. 名前と、その名前が表すテキストを入力します。複数の呼び出し名が欲しい場合はエイリアスを追加します。
 3. 個人用かプロジェクト用かのスコープを選びます。
 チャットで `#` を入力してスニペットを選ぶと、OpenChamber が送信前に全文へ置き換えます。
 ## 関連
 - [スキル](/skills/) — 必要なときに大きな指示セットを読み込む
@@ -0,0 +1,68 @@
 ---
 title: デバイスを接続する
 description: 1 回限りの QR コードで、スマートフォン、デスクトップ、別のブラウザを OpenChamber サーバーとペアリングします。
 ---
 # デバイスを接続する
 モバイルアプリ、デスクトップアプリ、別マシンのブラウザなど、別のデバイスを 1 回限りの QR コードのスキャンで OpenChamber サーバーとペアリングできます。これがデバイス接続の推奨方法です。ポートを開ける必要も、アドレスを入力する必要もありません。
 ## デバイスをペアリングする
 1. OpenChamber が動いているマシンで **Settings → Remote Instances → このサーバーに接続** を開き、**デバイスを追加** を押します。
 2. 後で見分けられるように、デバイスに名前を付けます（例: *My iPhone*）。
 3. デバイスをどこで使うか選びます。
   - **このコンピュータのみ** — 同じマシン上で動くアプリ用
   - **自宅ネットワークのみ** — Wi-Fi 経由で直接接続します。このネットワークの外では使えません
   - **どこでも** — 自宅でも外出先でも使えます。外出先の通信は、設定不要のエンドツーエンド暗号化トンネルである [Private Relay](/private-relay/) を経由します
 4. **QRコードを作成** を押します。
 5. もう一方のデバイスでコードをスキャンします。
   - **モバイルアプリ** — 接続画面（またはインスタンス一覧）で **QR コードをスキャン** をタップします
   - **デスクトップアプリ** — 代わりに接続リンクをコピーし、**Settings → Remote Instances → その他の OpenChamber サーバー → リンクをインポート** に貼り付けます
 デバイスが接続されるとダイアログは自動で閉じ、デバイスがライブステータス付きで一覧に表示されます。これでペアリング完了です。
 ## ペアリングが安全な理由
 - **QR コードは 1 回限りです。** デバイスが使用した瞬間に無効になり、未使用のままでも自動的に期限切れになります。
 - **各デバイスに専用のトークンが発行されます。** コードをスキャンしても UI パスワードが漏れることはなく、あるデバイスのトークンで別のデバイスになりすますこともできません。
 - **主導権は常にあなたにあります。** ペアリング済みのデバイスはすべて名前、プラットフォーム、接続状態とともに一覧表示され、いつでも無効化できます。
 - **外出先の通信はエンドツーエンドで暗号化されます。** **どこでも** を選ぶと、ネットワーク外の通信は [Private Relay](/private-relay/) を経由します。リレーは通過する内容を読むことができません。
 ## ペアリング済みデバイスを管理する
 **Settings → Remote Instances → このサーバーに接続** には、このサーバーに到達できるすべてのデバイスが表示されます。オンラインなら緑のドットが付き、ローカルネットワーク経由かリレー経由かも分かります。
 - **無効化** はデバイスを即座に切断します。気が変わったら、新しい QR コードで再ペアリングしてください。
 - **無効化済みをクリア** で一覧を整理できます。
 同じ物理デバイスは後で再サインインしてもエントリは 1 つのまま維持されるため、重複がたまることはありません。
 ## コマンドラインから接続する
 サーバーがヘッドレス（UI を開いていない状態）で動いている場合は、そのマシンのターミナルから接続リンクを作成できます。
 同じネットワーク上のデバイス用にはこちらです。
 ```bash
 openchamber connect-url --port 3000 --qr
 ```
 **どこからでも**接続するデバイス用 — ダイアログで **どこでも** を選ぶのと同等 — にはこちらです。
 ```bash
 openchamber connect-url --relay --qr
 ```
 `--relay` リンクには、ダイアログと同様に両方の経路が含まれます。デバイスはサーバーに到達できるときはローカルネットワーク経由で直接接続し、外出先では [Private Relay](/private-relay/) にフォールバックします。リレーは自動的に起動します。実行中のインスタンスは 1 分以内にリンクを拾い、停止中のインスタンスは次回の起動時に拾います。
 > 直接経路は、サーバーが実際にネットワーク上で待ち受けている場合にのみ機能します。デフォルトでは OpenChamber はそのマシン上でのみ待ち受けます。Wi-Fi 経由で到達できるようにするには `--lan` を付けて起動してください。リンクの直接経路が他のデバイスから使えない場合、コマンドは警告（`[LAN_UNREACHABLE]`）を表示します。その場合でも `--relay` リンクは機能しますが、常にリレー経由になります。
 出力されるリンクと QR コードは、設定ダイアログから作成したものとまったく同じように機能します — 1 回限りで、期限切れになり、無効化できます。
 ## 関連
 - [Private Relay](/private-relay/) — 「どこでも」接続の仕組みと、リレーに見えるもの・見えないもの
 - [モバイルアプリ](/mobile/) — iOS または Android アプリをインストールする
 - [リモートインスタンス](/remote-instances/) — デスクトップアプリを SSH やリンクでサーバーに接続する
 - [リモートアクセス](/troubleshooting/remote-access/) — デバイスが接続できない場合
@@ -0,0 +1,38 @@
 ---
 title: コンテキスト
 description: セッションがモデルの記憶容量をどれだけ使っているかを確認します。
 ---
 # コンテキスト
 どのモデルも、一度に保持できる会話量には上限があります。これがコンテキストです。OpenChamber はその使用量を表示するので、セッションが上限に近づき、返信で古い詳細が抜け始める可能性があるタイミングを把握できます。
 ## クイックインジケーター
 チャット中は、小さなゲージが使用済みコンテキストの割合を表示します。埋まるにつれて色が変わります。
 - 緑 — まだ十分な余裕があります
 - 黄 — かなり埋まっています（約 4 分の 3）
 - 赤 — ほぼ満杯です
 ホバーするか、モバイルではタップすると、正確なトークン数を確認できます。
 ## 完全なコンテキストパネル
 右サイドバーの **Context** タブを開くと、現在のセッションをより詳しく確認できます。
 - 使用中のモデルとセッション開始時刻
 - モデルの上限に対する合計トークン数
 - メッセージ数とコスト合計
 - 直近の返信のトークン内訳
 - 何がコンテキストを占めているかの大まかな内訳（あなたのメッセージ、エージェントのメッセージ、ツール出力）
 この内訳は正確なカウントではなく推定です。課金確認ではなく、何がウィンドウを埋めているかを見るために使ってください。
 ## 満杯になったら
 1 つのセッションを永遠に伸ばすのではなく、新しいタスクには新しいセッションを開始してください。短いコンテキストのほうが速く、モデルの集中も保ちやすくなります。
 ## 関連
 - [プロジェクト](/projects/) — セッションはプロジェクトごとにまとめられます
@@ -0,0 +1,22 @@
 ---
 title: デスクトップブラウザ
 description: デスクトップアプリ内で任意のページを開き、検査とコンソール取得を使います。
 ---
 # デスクトップブラウザ
 デスクトップアプリには組み込みブラウザがあります。チャットのすぐ横で任意のページを開き、要素を指して質問したり、ページのコンソールを取得したりできます。アプリヘッダーの地球儀ボタンから開きます。
 > デスクトップブラウザは**デスクトップ専用**機能です。Web では、[プレビュー](/preview/) パネルがローカル開発サーバー向けに同じ検査・コンソールツールを提供します。
 ## 検査して注釈を付ける
 **inspect** をオンにして、ページ上の任意の要素をクリックします。OpenChamber はその要素について、何であるか、スタイル、位置、スクリーンショットを含むメモを取得し、チャットメッセージに添付します。エージェントに「この要素、ここ」と伝える最短の方法です。
 ## コンソール取得
 ブラウザはページのコンソール出力（エラー、警告、ログ）を集めるので、開発者ツールを開かずにフィルターして読めます。
 ## 関連
 - [プレビューと開発サーバー](/preview/) — ローカル開発サーバー向けの同じツール
@@ -0,0 +1,41 @@
 ---
 title: デスクトップトンネル
 description: デスクトップアプリから Cloudflare または Ngrok トンネルを作成します。
 ---
 # デスクトップトンネル
 デスクトップアプリでは **Settings → OpenChamber → Tunnel** から公開トンネルを作成できます。この方法では CLI から OpenChamber を起動する必要はありません。
 ## プロバイダーをインストールする
 OpenChamber はあなたのマシン上でプロバイダー CLI を起動します。使いたいプロバイダーを先にインストールしてください。
 ```bash
 brew install cloudflared
 brew install ngrok
 ```
 Cloudflare は `cloudflared` を使います。Ngrok には ngrok アカウントと ngrok ダッシュボードの authtoken が必要です。
 ```bash
 ngrok config add-authtoken <your-ngrok-token>
 ```
 ## アプリから開始する
 1. **Settings → OpenChamber → Tunnel** を開きます。
 2. **Cloudflare** または **Ngrok** を選びます。
 3. クイックトンネルを開始します。
 4. 生成された QR コードをスマートフォンでスキャンします。
 現在、Ngrok はクイックトンネルに対応しています。Cloudflare はクイックトンネルと管理対象 Cloudflare モードに対応しています。
 ## アクセス保護
 プロバイダー URL 自体が公開されていても、OpenChamber は独自の接続トークンでアクセスを保護します。生成される接続リンクには一度きりのトークンが含まれ、TTL があり、新しいリンクを生成するかトンネルを停止/再起動すると、未使用の古いリンクは無効化されます。
 ## 関連
 - [トンネル](/tunnels/) — CLI でのトンネル利用と管理対象 Cloudflare モード
 - [PWA とモバイル](/mobile/) — スマートフォンから OpenChamber にアクセスする
@@ -0,0 +1,138 @@
 ---
 title: 環境変数
 description: 環境変数で OpenChamber と OpenCode 連携を設定します。
 ---
 # 環境変数
 OpenChamber は起動時にこれらの環境変数を読み取ります。スタートアップサービスでは、`openchamber startup enable` がデフォルトで現在の環境をスナップショットするため、サービスに使わせたい変数を変更した後は再実行してください。
 ## OpenChamber サーバー
 ### `OPENCHAMBER_HOST`
 OpenChamber Web サーバーのバインドアドレスです。他のマシンからアクセスできるようにするには `0.0.0.0` を使います。
 ### `OPENCHAMBER_UI_PASSWORD`
 ブラウザ UI のパスワードです。localhost 以外にバインドする場合、トンネルを使う場合、またはリバースプロキシの背後で実行する場合に使います。
 ### `OPENCHAMBER_API_ONLY`
 `true` または `1` に設定すると、OpenChamber をヘッドレスモードで起動します。デスクトップおよびモバイルクライアント向けの API ルートは利用できますが、ブラウザ UI は配信されません。
 ### `OPENCHAMBER_DATA_DIR`
 OpenChamber のデータディレクトリを上書きします。デフォルトは `~/.config/openchamber` です。
 ### `OPENCHAMBER_COMPRESS_API`
 API レスポンス圧縮を制御します。`true` または `1` で強制的に有効化し、`false` または `0` で強制的に無効化します。
 ### `OPENCHAMBER_SKIP_API_COMPRESSION`
 `true` または `1` に設定すると API レスポンス圧縮を無効化します。これは `OPENCHAMBER_COMPRESS_API` より優先されます。
 ### `OPENCHAMBER_VERBOSE_REQUEST_LOGS`
 `true` または `1` に設定すると詳細な HTTP リクエストログを有効にします。
 ### `OPENCHAMBER_UPDATE_API_URL`
 更新確認 API エンドポイントを上書きします。ほとんどのユーザーは未設定のままでかまいません。
 ### `OPENCHAMBER_PACKAGE_MANAGER`
 自動検出が間違っている場合に、更新操作で使うパッケージマネージャーを強制します。
 ## OpenCode サーバー
 ### `OPENCODE_HOST`
 OpenChamber を既存の OpenCode サーバーに接続します。値は明示的なポートを含み、パス、クエリ、ハッシュを含まない `http` または `https` の origin である必要があります。`OPENCODE_HOST` は `OPENCODE_PORT` より優先されます。
 ### `OPENCODE_PORT`
 OpenCode サーバーのポートを設定します。管理対象 OpenCode では管理対象ポートの要求になり、`OPENCODE_SKIP_START=true` ではそのポートの外部サーバーに接続します。
 ### `OPENCODE_SKIP_START`
 `true` に設定すると、OpenChamber が独自の OpenCode サーバーを起動しません。
 ### `OPENCHAMBER_OPENCODE_HOSTNAME`
 OpenChamber が管理する OpenCode サーバーのバインドホスト名です。デフォルトは `127.0.0.1` です。
 ### `OPENCODE_BINARY`
 OpenChamber が実行する `opencode` 実行ファイルへのパスです。
 ### `OPENCODE_CONFIG`
 特定の OpenCode 設定ファイルへのパスです。
 ### `OPENCODE_CONFIG_DIR`
 エージェント、スキル、スニペット、設定検出に使う特定の OpenCode 設定ディレクトリへのパスです。
 ### `OPENCODE_DATA_DIR`
 管理対象 OpenCode サーバーのカスタムデータディレクトリです。
 ### `OPENCODE_WSL_DISTRO`
 Windows 上の OpenCode 連携に使う WSL ディストリビューションを選びます。
 ### `OPENCHAMBER_OPENCODE_WSL_DISTRO`
 WSL ディストリビューション選択用の OpenChamber 固有エイリアスです。両方が設定されている場合は `OPENCODE_WSL_DISTRO` が優先されます。
 ### `OPENCODE_JWT_SECRET`
 UI 認証トークンの署名に使うシークレットです。永続的なサービス配置では長いランダム値を使ってください。
 ## ターミナルと Git
 ### `OPENCHAMBER_TERMINAL_SHELL`
 OpenChamber のターミナルセッションで使うシェル実行ファイルです。
 ### `OPENCHAMBER_GIT_BINARY`
 OpenChamber の Git 機能で使う Git 実行ファイルです。
 ### `GIT_BINARY`
 代替の Git 実行ファイル上書きです。OpenChamber 固有の設定には `OPENCHAMBER_GIT_BINARY` を推奨します。
 ### `OPENCHAMBER_GIT_READ_CACHE_TTL_MS`
 Git に基づくファイル読み取りキャッシュの有効期間（ミリ秒）です。デバッグ中にこのキャッシュを無効化するには `0` を設定します。
 ## 音声とトンネル
 ### `OPENAI_API_KEY`
 OpenAI 互換サービスを呼び出す OpenChamber の音声機能で使う API キーです。
 ### `OPENCHAMBER_ALLOW_REMOTE_OPENAI_COMPAT_URLS`
 `true` または `1` に設定すると、音声機能でリモートの OpenAI 互換 base URL を許可します。
 ### `NGROK_AUTHTOKEN`
 OpenChamber のトンネルコマンドで使う ngrok 認証トークンです。`ngrok config add-authtoken <token>` で ngrok 側に設定することもできます。
 ## ランタイムヘルパー
 ### `BUN_BINARY`
 デーモンプロセスを起動するときに OpenChamber が使う Bun 実行ファイルです。
 ### `BUN_INSTALL`
 Bun のインストールルートです。OpenChamber はデーモン起動と更新のために `bin/bun` を探す際に使います。
 ### `VITE_OPENCODE_URL`
 Vite でビルドされた Web アプリ向けのビルド時 API base URL です。通常の CLI またはデスクトップ利用では、ほとんどのユーザーは設定する必要がありません。
@@ -0,0 +1,30 @@
 ---
 title: Git ID
 description: リポジトリごとに正しい名前とメールでコミットします。
 ---
 # Git ID
 Git ID は、コミットに使われる名前とメールアドレスです。個人用リポジトリと仕事用リポジトリをまたいで作業する場合、1 つのグローバル設定に頼る代わりに ID を保存し、リポジトリごとに正しいものを適用できます。**Settings → Git** で管理します。
 ## ID を追加する
 1. **Settings → Git** を開き、**New** を選びます。
 2. コミットに使う **name** と **email** を入力します。
 3. リモートへの認証方法を選びます。
   - **SSH** — SSH キーを指定します
   - **token** — ホスト用に保存された認証情報を使います
 4. 必要なら、見分けやすいように色とアイコンを付けます。
 システムのグローバル ID も読み取り専用で表示されます。
 ## ID をリポジトリに適用する
 ID を適用すると、そのリポジトリの**ローカル** Git 設定に書き込まれます。影響するのはそのリポジトリだけで、グローバル設定には影響しません。SSH ID はそのキーを使う SSH コマンドも設定し、トークン ID はホスト用の認証情報保存を設定します。
 OpenChamber が既存の Git 認証情報から見つけた ID をインポートし、トークン ID として保存することもできます。
 ## 関連
 - [Git と GitHub ワークフロー](/git/) — 設定した ID でコミットする
 - [GitHub Issues と PR](/github/) — PR 用に GitHub アカウントを接続する
@@ -0,0 +1,41 @@
 ---
 title: Git と GitHub ワークフロー
 description: OpenChamber から離れずにステージ、コミット、ブランチ管理を行います。
 ---
 # Git と GitHub ワークフロー
 OpenChamber には組み込みの Git ビューがあり、ターミナルに切り替えずに変更の確認、コミット、ブランチ管理ができます。右サイドバーの **Git** タブから開きます。
 ## 確認してコミットする
 Git ビューは変更を **staged** と **unstaged** に分けて表示します。
 - ファイルの **+** をクリックしてステージ、**−** をクリックしてアンステージします
 - グループ内のすべてをまとめてステージまたはアンステージできます
 - ファイルをクリックすると差分を確認できます
 その後、コミットメッセージを書いてコミットします。OpenChamber に staged 変更から**コミットメッセージを生成**させることもできます。現在のセッションのモデルを使うため、セッションを開いておく必要があります。
 ## ブランチと履歴
 Git ビューは日常的な Git 操作も扱います。
 - ブランチの作成、切り替え、名前変更、削除
 - push、pull、fetch
 - 履歴とコミットごとの差分の閲覧
 - 変更の stash と復元
 ## プルリクエスト
 GitHub を接続すると（[GitHub Issues と PR](/github/) を参照）、**PR** タブからプルリクエストを開く、更新する、ready にする、またはマージできます。タイトルと説明もコミットメッセージと同じように生成できます。
 ## コンフリクトを取り込む
 merge、rebase、integrate でコンフリクトが起きると、OpenChamber は詰まっている箇所を表示し、解決できるようにします。エージェントに渡して解決させることもできます。
 ## 関連
 - [GitHub Issues と PR](/github/) — GitHub を接続し、Issue から作業を始める
 - [Worktree セッション](/worktrees/) — ブランチを専用フォルダに分離する
 - [Git ID](/git-identities/) — リポジトリごとに正しい人物としてコミットする
@@ -0,0 +1,34 @@
 ---
 title: GitHub Issues と PR
 description: GitHub を接続し、Issue やプルリクエストからセッションを開始します。
 ---
 # GitHub Issues と PR
 GitHub アカウントを接続すると、OpenChamber は Issue とプルリクエストを取り込み、そこから直接セッションを開始したり、PR を開いたり更新したりできます。
 ## GitHub を接続する
 1. **Settings → Git** を開きます。
 2. GitHub セクションで **Connect** を選びます。OpenChamber がリンクと短いコードを表示します。
 3. リンクを開き、コードを入力して承認します。
 接続されると、GitHub セクションにアカウントが表示されます。複数のアカウントを接続して切り替えたり、いつでも切断したりできます。
 ## Issue または PR から作業を始める
 GitHub 接続済みで [worktree セッション](/worktrees/) を作成すると、**Start from GitHub issue/PR** を選べます。
 - **issue** を選ぶと、OpenChamber はその Issue に基づいてブランチ名を付け、Issue とコメントを最初のメッセージとしてセッションを開きます
 - **pull request** を選ぶと、その PR のブランチをチェックアウトします。PR の差分を含めて、エージェントに変更全体を渡すこともできます
 これにより、必要なコンテキストが読み込まれた状態でそのままセッションに入れます。
 ## プルリクエストを開いて管理する
 [Git ビュー](/git/) の **PR** タブから、プルリクエストの作成、更新、draft から ready への変更、マージができます。OpenChamber は変更内容から PR のタイトルと説明を生成できます。
 ## 関連
 - [Git と GitHub ワークフロー](/git/) — コミットとブランチ管理
 - [Worktree セッション](/worktrees/) — Issue と PR のセッションが始まる場所
@@ -0,0 +1,32 @@
 ---
 title: OpenChamber ドキュメント
 description: Web、デスクトップ、VS Code で OpenChamber をセットアップして運用するためのガイドです。
 ---
 # OpenChamber ドキュメント
 OpenChamber は、OpenCode（ターミナルで動く AI コーディングエージェント）の周りにあるビジュアルな作業スペースです。コマンドラインだけで作業する代わりに、その作業を見守り、方向付ける画面を提供します。
 このドキュメントでは次のことができます。
 - 作業方法に合ったアプリをインストールする
 - OpenChamber を安全にリモート利用できるように開く
 - 見た目をカスタマイズし、よくある問題を解決する
 ## 最初に読むもの
 - [インストール](/install/)
 - [クイックスタート](/quickstart/)
 - [トンネル](/tunnels/)
 - [トラブルシューティング](/troubleshooting/)
 ## 探す
 - [プロジェクト](/projects/) と [Worktree セッション](/worktrees/) — 作業を整理し、分離する
 - [プロバイダー、モデル、エージェント](/providers/) — OpenCode を接続し、モデルを選ぶ
 - [Git と GitHub ワークフロー](/git/) — コミット、レビュー、PR 作成
 - [セキュリティ](/security/) と [トンネル](/tunnels/) — インスタンスを保護し、アクセスする
 ## OpenChamber の用途
 OpenChamber は、AI コーディングのうち、管制室があると便利な部分のためのものです。セッションの分岐、差分レビュー、ターミナル管理、ツール進行状況の監視、プロジェクトアクションの実行、エージェントが作業している間に全体の状況を見える状態に保つことができます。
@@ -0,0 +1,33 @@
 ---
 title: インストール
 description: デスクトップ、Web、VS Code 向けに OpenChamber をインストールします。
 ---
 # インストール
 OpenChamber を実行する方法は 3 つあります。
 - macOS 用のデスクトップアプリ
 - CLI がホストする Web アプリ。スマートフォンアプリのようにインストールできます（PWA）
 - VS Code 拡張機能
 ## 前提条件
 先に [OpenCode](https://opencode.ai) をインストールしてください。OpenChamber はその上で動作します。
 ## Web + PWA
 ```bash
 curl -fsSL https://raw.githubusercontent.com/openchamber/openchamber/main/scripts/install.sh | bash
 openchamber --ui-password be-creative-here
 ```
 CLI が表示する URL（通常は `http://localhost:3000`）を開きます。OpenChamber のセッション一覧が表示されるはずです。すぐ使えるようにしておくには、ブラウザのアドレスバーにある「インストール」オプションでアプリとして追加します。
 ## デスクトップ
 GitHub releases ページまたは OpenChamber ダウンロードページから最新のデスクトップビルドをダウンロードします。開いたら、普段の OpenCode ワークフローにサインインします。
 ## VS Code
 VS Code Marketplace からインストールし、普段の OpenCode ワークフローにサインインします。その後、OpenChamber ビューがサイドバーに開きます。
@@ -0,0 +1,26 @@
 ---
 title: マジックプロンプト
 description: OpenChamber の自動フローの背後にある組み込みプロンプトをカスタマイズします。
 ---
 # マジックプロンプト
 OpenChamber は、コミットメッセージの作成、PR の下書き、Issue のレビュー、コンフリクト解決、セッション要約などを自動で行うとき、裏側で組み込みプロンプトを使います。Magic Prompts は、それらのプロンプトを読み、書き換える場所です。**Settings → Magic Prompts** から開きます。
 通常の利用ではこのページは必要ありません。たとえばコミットメッセージを特定のスタイルにしたいなど、フローの動作を変えたいときに使ってください。
 ## プロンプトを編集する
 1. **Settings → Magic Prompts** を開きます。
 2. サイドバーのグループ（Git、GitHub、Planning、Session）からプロンプトを選びます。
 3. テキストを編集して保存します。
 一部のプロンプトには、表示される部分（あなたが見るメッセージ）と instructions 部分（エージェント向けの非表示ガイド）があります。プロンプトには差分や Issue タイトルなどを OpenChamber が埋める `{{placeholders}}` を含められます。これらは残してください。
 ## リセット
 気が変わりましたか？各プロンプトには **reset to default** があり、すべてを最初からやり直したい場合は **reset all** もあります。
 ## 関連
 - [Git と GitHub ワークフロー](/git/) — これらのプロンプトの多くが Git フローを支えています
@@ -0,0 +1,30 @@
 ---
 title: MCP サーバー
 description: MCP サーバーを追加して、エージェントに追加ツールを渡します。
 ---
 # MCP サーバー
 MCP サーバーは、エージェントに追加ツールを与えます。たとえばデータベース検索、API 呼び出し、利用中サービスの読み取りなどです。**Settings → MCP** で追加します。
 ## サーバーを追加する
 1. **Settings → MCP** を開きます。
 2. サーバーを追加し、種類を選びます。
   - **local** — OpenChamber があなたのマシンでコマンドを実行します。実行するコマンドと、必要なら環境変数を指定します。
   - **remote** — OpenChamber が誰かがホストする URL に接続します。URL と必要なヘッダー（たとえば認証トークン）を指定します。
 3. 保存します。サーバーはデフォルトでオンになります。削除せずにオフにできます。
 ## 適用範囲
 サーバーを追加するときにスコープを選びます。
 - **personal** — すべてのプロジェクトで利用できます
 - **project** — 現在のプロジェクトでのみ利用でき、プロジェクトの他の設定と一緒に保存されます
 サーバー名には小文字、数字、ハイフン、アンダースコアを使います。
 ## 関連
 - [プロバイダー、モデル、エージェント](/providers/) — 先にモデルを接続する
 - [スキル](/skills/) — エージェントができることを広げる別の方法
@@ -0,0 +1,43 @@
 ---
 title: モバイルアプリと PWA
 description: iOS または Android に OpenChamber アプリをインストールし、サーバーに接続します。
 ---
 # モバイルアプリと PWA
 OpenChamber には iPhone と Android のネイティブアプリがあり、セッションの確認、エージェントへの返信、作業の管理をスマートフォンから行えます。自宅では Wi-Fi 経由、外出先では [Private Relay](/private-relay/) 経由でどこからでも使えます。
 ## アプリをインストールする
 - **iPhone/iPad** — [TestFlight ベータ](https://testflight.apple.com/join/5ek6GU1E) に参加します
 - **Android** — [最新リリース](https://github.com/openchamber/openchamber/releases/latest) から APK をダウンロードします
 ## サーバーに接続する
 1. OpenChamber が動いているコンピューターで **Settings → Remote Instances → このサーバーに接続** を開き、**デバイスを追加** を押します。
 2. **どこでも** を選び（自宅でしか使わないなら **自宅ネットワークのみ** でも可）、**QRコードを作成** を押します。
 3. モバイルアプリで **QR コードをスキャン** をタップし、カメラをコードに向けます。
 アプリが接続し、サーバーを記憶します。QR コードは 1 回限りで、各デバイスには無効化可能な専用トークンが発行されます。ペアリングが安全な理由は [デバイスを接続する](/connect-devices/) を参照してください。
 アプリは複数のサーバーとペアリングでき、インスタンス一覧から切り替えられます。各サーバーについて、到達可能かどうか、ローカルネットワーク経由かリレー経由かが表示されます。
 ## PWA（ブラウザからのインストール）
 アプリストアを一切使いたくない場合は、Web アプリをブラウザから直接インストールできます。
 - **デスクトップブラウザ** — アドレスバーの **Install** オプションを使います
 - **iPhone/iPad (Safari)** — 共有 → **ホーム画面に追加**
 - **Android (Chrome)** — メニュー → **アプリをインストール** / **ホーム画面に追加**
 ネットワークの外から PWA に到達するには、[トンネル](/tunnels/) と強力な [UI パスワード](/security/) が必要です。ネイティブアプリならリレー経由でこれらを自動的に処理します。
 ## モバイル設定
 **Settings → OpenChamber** には、モバイルやインストール済みアプリの体験を調整するいくつかのオプションがあります。アプリのインストール名、画面の向き、オンスクリーンキーボードの動作などです。
 ## 関連
 - [デバイスを接続する](/connect-devices/) — ペアリング、1 回限りの QR コード、デバイス管理
 - [Private Relay](/private-relay/) — 「どこでも」アクセスの仕組み
 - [セキュリティ](/security/) — 公開する前に UI を保護する
@@ -0,0 +1,34 @@
 ---
 title: Multi-run
 description: 同じプロンプトを複数のモデルまたはセッションで同時に実行します。
 ---
 # Multi-run
 Multi-run は 1 つのフォームから複数のセッションを起動します。同じタスクを異なるモデルで試し、結果を比較するのに便利です。セッションサイドバー上部のボタンから開きます。
 ## Multi-run を開始する
 1. Multi-run ランチャーを開きます。
 2. プロジェクトを選び、実行グループに名前を付けます。
 3. プロンプトを書き、それを実行するモデルを選びます（1 グループにつき最大 5 つ）。
 4. **isolate runs** するかどうかを選びます。
 5. 起動します。
 各モデルには独自のセッションが作られ、すべて同じプロンプトから始まります。
 ## 分離実行
 **isolate runs** をオンにすると、各実行に独自の [worktree](/worktrees/) とブランチが与えられ、同じファイルに触れないようになります。これには Git リポジトリが必要です。Git リポジトリではないフォルダでは自動的にオフになります。実行の開始元ブランチを選んでください。
 分離をオフにすると、各実行はプロジェクトフォルダ内の通常のセッションになります。
 ## 結果を比較する
 各実行は通常のセッションなので、開いて読み、残すか破棄するか選べます。アプローチを比較するために実行した場合は、横に並べて確認し、最良のものを先へ進めてください。
 1 つの実行だけ開始に失敗しても、他の実行は起動します。要求した数より少ないセッションが表示されるだけです。
 ## 関連
 - [Worktree セッション](/worktrees/) — 分離が内部でどう動くか
@@ -0,0 +1,37 @@
 ---
 title: プロジェクトのメモ、Todo、計画
 description: プロジェクトごとにメモ、Todo リスト、保存済み計画を保持します。
 ---
 # プロジェクトのメモ、Todo、計画
 各プロジェクトには、メモ、Todo リスト、保存済み計画のための専用スペースがあります。これらは特定のセッションではなくプロジェクトに属するため、セッションを移動しても残ります。右サイドバーの **Context** タブ（モバイルでは専用タブ）で見つけられます。
 ## メモ
 プロジェクトについて覚えておきたいことを自由に書けるメモ欄です。入力すると自動で保存されます。
 ## Todo
 シンプルなチェックリストです。項目を追加し、チェックを付け、ドラッグで並び替え、完了したものを消去できます。
 各 Todo には **send** メニューがあり、エージェントに渡せます。
 - 現在のセッションに送る
 - それを使って新しいセッションを開始する
 - それを使って新しい [worktree セッション](/worktrees/) を開始する（プロジェクトが Git リポジトリの場合のみ）
 ## 計画
 長めの計画を保存済みファイルとして置いておく場所です。次のことができます。
 - Markdown またはテキストファイルから計画をインポートする
 - 計画を開いてサイドパネルで読む
 - 不要になった計画を削除する
 メモが保存され、Todo がチェックされ、または計画が一覧に表示された状態で Context タブに戻れば、操作が反映されたことが分かります。
 ## 関連
 - [Worktree セッション](/worktrees/) — Todo を専用ブランチで実行する
 - [プロジェクト](/projects/) — これらはアクティブなプロジェクトに属します
@@ -0,0 +1,34 @@
 ---
 title: 通知
 description: セッションがあなたを必要とするとき、または完了したときに知らせます。
 ---
 # 通知
 通知は、画面を見張っていなくても注意が必要なことを知らせます。セッションの完了、エラー、質問、何かを行うための権限要求などです。**Settings → OpenChamber → Notifications** で設定します。
 ## オンにする
 1. **Settings → OpenChamber → Notifications** を開きます。
 2. ブラウザまたはシステムが求めたら通知を許可します。
 3. 何について通知を受けたいか選びます。
   - セッションが**完了**した
   - セッションで**エラー**が起きた
   - セッションが**質問**した
   - セッションが**権限**を必要としている
   - **サブタスク**が完了した
 ## 通知の届き方
 - **デスクトップ**では、ネイティブのシステム通知を受け取ります
 - **ブラウザまたはインストール済みアプリ**では、Web Push 通知を受け取るため、タブがバックグラウンドでも届きます
 自動承認に設定されたセッションでは、権限通知で何度も邪魔されることはありません。
 ## 文言をカスタマイズする
 通知の種類ごとに、エージェント名やモデルなどのフィールドを使ったタイトルとメッセージテンプレートを編集できます。直近メッセージをどれだけ含めるかにも上限があり、通知が短く保たれます。
 ## 関連
 - [音声モード](/voice/) — 代わりに返信を読み上げで聞く
@@ -0,0 +1,97 @@
 ---
 title: OpenCode サーバー
 description: OpenChamber をローカルまたはリモートの OpenCode サーバーに接続します。
 ---
 # OpenCode サーバー
 OpenChamber は OpenCode サーバーの上で動作します。デフォルトでは OpenChamber がサーバーを起動するため、何もする必要はありません。このページが必要なのは、すでに実行しているサーバーに OpenChamber を向けたい場合、または OpenChamber が起動するサーバーを管理したい場合だけです。
 ## OpenChamber がサーバーを見つける順序
 OpenChamber の起動時、次の順序でサーバーを探します。
 1. すでに起動済みのサーバーを再利用する
 2. 指定されていれば外部サーバーに接続する（下記参照）
 3. デフォルトポート（`4096`）のサーバーを自動検出する
 4. それ以外の場合は、自分でサーバーを起動して管理する
 何も設定されていなければ、手順 4 が自動的に実行され、そのまま使えるようになります。
 ## すでに実行しているサーバーに接続する
 OpenChamber を起動する前に次を設定します。
 ```bash
 OPENCODE_HOST=http://localhost:4096 OPENCODE_SKIP_START=true openchamber
 ```
 - `OPENCODE_HOST` — ポートを含む OpenCode サーバーの完全なアドレスです（`http://localhost:4096` のような値）。末尾にパスを付けてはいけません。
 - `OPENCODE_SKIP_START=true` — OpenChamber に自分のサーバーを起動しないよう伝えます。
 ポートだけを変えたい場合は、`OPENCODE_HOST` ではなく `OPENCODE_PORT` を設定します。
 `OPENCODE_HOST` にポートがない、またはパスが含まれている場合、OpenChamber はそれを無視し、自分のサーバー起動にフォールバックします。期待した接続が行われなかった場合は、起動ログの `[config]` 警告を確認してください。
 ## CLI からサーバーを管理する
 ```bash
 openchamber status
 openchamber logs
 openchamber restart
 openchamber stop
 ```
 `openchamber` だけを実行すると、サーバーはバックグラウンドで起動します。ターミナルに接続したままにするには `--foreground` を追加します。
 ## ログイン時に OpenChamber を起動する
 `startup enable` を使うと、ネイティブのユーザーサービスをインストールできます。OpenChamber は macOS では `launchd`、Linux では `systemd --user`、Windows では Task Scheduler を使います。
 ```bash
 openchamber startup enable
 openchamber startup status
 openchamber startup disable
 ```
 UI を保護するには、サービスを有効化するときにパスワードを設定します。
 ```bash
 OPENCHAMBER_UI_PASSWORD='secret' openchamber startup enable
 ```
 ログイン時に起動し、デスクトップまたはモバイルクライアント向けに使うヘッドレスサーバーでは、`--api-only` と到達可能な host を含めます。
 ```bash
 openchamber startup enable --port 3000 --api-only --host 0.0.0.0 --ui-password secret
 ```
 `startup enable` は現在の環境をサービスにスナップショットするため、同じシェルから `openchamber` を起動した場合に近い動作になります。これにより、プロバイダートークン、`PATH`、SSH agent 設定、その他の CLI 認証/設定変数が利用できます。最小限のサービス環境にしたい場合は `--no-env-snapshot` を使ってください。
 スタートアップサービスは `--port`、`--host`、`--ui-password`、`--api-only` を記憶します。CLI の restart と update restart は保存済み設定を再利用します。
 別の OpenChamber アプリ向けに接続リンクを作成するには、次を使います。
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 ```
 `openchamber connect-url --help` を実行すると、`--name`、`--lan`、`--server`、`--api-only`、`--ui-password`、`--qr` など、すべてのリンクオプションを確認できます。
 その実行中サービスに対して、トンネルは独立して管理できます。
 ```bash
 openchamber tunnel start --port 3000
 openchamber tunnel stop --port 3000
 ```
 トンネルを停止しても、サービスやアプリは再起動されません。
 ## "OpenCode is restarting"
 サーバーの起動中または再起動中、OpenChamber は "OpenCode is restarting" 状態を表示し、準備が整うまでリクエストを一時停止します。これは起動直後や再起動直後には正常です。いつまでも消えない場合は、[OpenCode 接続](/troubleshooting/opencode-connection/) を参照してください。
 ## 関連
 - [プロバイダー、モデル、エージェント](/providers/) — サーバーの接続先を設定する
 - [OpenCode 接続](/troubleshooting/opencode-connection/) — 接続できない場合
@@ -0,0 +1,32 @@
 ---
 title: プレビューと開発サーバー
 description: 実行中の開発サーバーを OpenChamber 内で開きます。
 ---
 # プレビューと開発サーバー
 開発サーバーを起動すると、OpenChamber は別のブラウザタブではなくアプリ内で直接開けます。サイトをチャットの横で見ながら、コンソールを取得し、要素を指して質問できます。
 ## プレビューを開く
 OpenChamber はターミナル出力からローカルアドレスを監視します（Vite、Next.js、Astro などが表示する `Local:` 行）。見つけると次のことができます。
 - ターミナルに **Open preview** ボタンが表示されます
 - 自動オープンを有効にした [プロジェクトアクション](/project-actions/) が開きます
 - チャットメッセージ内のローカルリンクからも開けます
 サイトはサイドパネルに読み込まれます。プレビューできるのはローカルアドレス（あなたのマシン上）のみです。
 ## コンソールと検査
 プレビューパネルでは次のことができます。
 - ページの **console** を見る — エラー、警告、ログを好きなようにフィルターできます
 - **inspect** をオンにし、任意の要素をクリックして、そのメモ（セレクター、スタイル、位置、スクリーンショット）をそのままチャットへ送る
 これは「このボタン、ここ」とエージェントに伝える最速の方法です。
 ## 関連
 - [プロジェクトアクション](/project-actions/) — サーバー起動時に自動で開く
 - [デスクトップブラウザ](/desktop-browser/) — デスクトップで任意のページに同じツールを使う
@@ -0,0 +1,44 @@
 ---
 title: Private Relay
 description: エンドツーエンド暗号化リレー経由で、どこからでも OpenChamber サーバーに到達できます。ポート開放もトンネルもセットアップも不要です。
 ---
 # Private Relay
 OpenChamber Private Relay を使うと、ペアリング済みのデバイスから、モバイル回線、カフェの Wi-Fi、別の都市など、どこからでもサーバーに到達できます。ポートを開けたり、トンネルを設定したり、マシンをインターネットに公開したりする必要はありません。リレーは自己管理型です。[デバイスを接続する](/connect-devices/) で **どこでも** を選んでデバイスをペアリングするだけで使えます。
 ## 仕組み
 サーバーは OpenChamber のリレーインフラへアウトバウンド接続を張り、維持し続けます。デバイスが自宅ネットワークの外にあるときは、デバイスもリレーに接続し、リレーが両者の間で暗号化された通信を中継します。あなたのマシン上でインターネットからの着信接続を待ち受けるものは何もありません。
 直接接続が可能なとき — 自宅に戻って同じ Wi-Fi にいるとき — は、デバイスは直接接続を優先し、リレーを完全にスキップします。
 ## リレーに見えるもの・見えないもの
 リレーは中間者ではなく、中身の見えない配達人です。
 - **エンドツーエンドで暗号化されます。** 暗号化キーはデバイスとサーバーが直接合意します。リレーはキーを持たない封印済みの通信を転送するだけで、コード、プロンプト、パスワードを読むことはできません。
 - **接続できるのはあなたのデバイスだけです。** デバイスは、[1 回限りのペアリング](/connect-devices/) を通じて*あなたの*サーバーが発行したトークンを持っている必要があります。リレー経由であなたのサーバーを発見したり、あなたが作成したトークンなしで接続したりすることは誰にもできません。トークンはいつでも無効化できます。
 - **ペアリングリンクは 1 回限りです。** ペアリング用 QR コードは 1 回だけ機能し、未使用なら期限切れになるため、古いリンクが漏れても無価値です。
 - **オプトインするまで何も共有されません。** リレーは、あなたが有効にするかリレー経由でデバイスをペアリングするまでオフのままです。いつでも無効にでき、その場合リレー経由で接続中のデバイスは即座に切断されます。
 ## いつ動くのか
 リレーは自分でライフサイクルを管理します。オン / オフのスイッチを覚えておく必要はありません。
 - **必要になると起動します。** **どこでも** のペアリングを作成するとリレーがオンになり、ペアリング済みのデバイスがリレーを必要としている限り、再起動後も自動的に復帰します。
 - **自動で停止します。** リレーを使うデバイスや保留中のペアリングがなくなると — たとえば最後のリレー経由デバイスを無効化した後 — 自動的にシャットダウンします。
 **Settings → Remote Instances → OpenChamber Relay** には、ライブステータス（接続済み、再接続中など）と、現在リレー経由で接続中のデバイス数が表示されます。そこで **無効にする** を押せば、リレー経由のアクセスを即座に遮断することもできます。ローカルネットワーク上のデバイスには影響しません。
 ## リレーとトンネル、どちらを使う?
 - 自分のペアリング済みデバイスから自分のサーバーに到達するには **リレー** を使います。セットアップ不要で、何も公開されません。
 - 通常の **公開 URL** が必要なときは [トンネル](/tunnels/) を使います。たとえば、ペアリングできないマシンの普通のブラウザで OpenChamber を開きたい場合や、[UI パスワード](/security/) の背後でアクセスを共有したい場合です。
 ## 関連
 - [デバイスを接続する](/connect-devices/) — 1 回限りの QR コードでデバイスをペアリングする
 - [モバイルアプリ](/mobile/) — iOS または Android アプリをインストールする
 - [セキュリティ](/security/) — パスワード、パスキー、公開時の基本
 - [リモートアクセス](/troubleshooting/remote-access/) — 接続が完了しない場合
@@ -0,0 +1,28 @@
 ---
 title: プロジェクトアクション
 description: よく実行するコマンドを保存し、ワンクリックで起動します。
 ---
 # プロジェクトアクション
 プロジェクトアクションは、一度保存してクリックで実行できるシェルコマンドです。開発サーバー、ビルド、テスト実行などに使えます。各プロジェクトが独自の一覧を持ちます。**Settings → Projects → Project Actions** で設定します。
 ## アクションを追加する
 1. **Settings → Projects** を開き、**Project Actions** セクションを見つけます。
 2. アクションを追加し、名前を付け、アイコンを選び、実行するコマンドを入力します。
 3. 保存します。
 コマンドが特定の OS でしか意味を持たない場合は、アクションをその OS に限定できます。
 ## アクションを実行する
 アクションはアプリヘッダーのメニューにあります。クリックすると、OpenChamber はプロジェクトフォルダ内のターミナルで実行し、出力を見られるようにターミナルビューへ切り替えます。同じメニューから停止できます。
 ## 開発サーバーを自動で開く
 サーバーを起動するアクションでは **auto-open URL** をオンにします。OpenChamber は出力からローカルアドレスを監視し、開く候補として表示します。[プレビューと開発サーバー](/preview/) を参照してください。デスクトップでは SSH ポートフォワード経由にすることもできます。
 ## 関連
 - [プレビューと開発サーバー](/preview/) — 実行中の開発サーバーを OpenChamber 内で開く
@@ -0,0 +1,20 @@
 ---
 title: プロジェクトアイコン
 description: 各プロジェクトに見分けやすいアイコンを付けます。
 ---
 # プロジェクトアイコン
 プロジェクトアイコンがあると、プロジェクトをひと目で見分けやすくなります。OpenChamber は自動で見つけようとしますが、自分で設定することもできます。**Settings → Projects** で管理します。
 ## 自動検出
 プロジェクトを追加すると、OpenChamber はその中の `favicon` ファイルを探し、プロジェクトアイコンとして使います。リポジトリにすでに favicon が含まれていれば、多くの場合アイコンは自動で表示されます。何もする必要はありません。
 ## 自分で設定する
 **Settings → Projects** を開き、画像をアップロードします（PNG、JPEG、SVG、最大 5 MB）。カスタム画像は自動検出されたものより優先されます。代わりに色を選ぶことも、画像を削除して自動検出に戻すこともできます。
 ## 関連
 - [プロジェクト](/projects/) — プロジェクトの名前、色、整理
@@ -0,0 +1,34 @@
 ---
 title: プロジェクト
 description: 作業をプロジェクトに整理し、切り替えます。
 ---
 # プロジェクト
 プロジェクトは、OpenChamber が追跡するあなたのコンピューター上のフォルダです。通常は 1 つのコードベースです。プロジェクトを切り替えると、エージェントが作業するフォルダ、そのプロジェクトのセッション、設定も切り替わります。
 ## プロジェクトを追加する
 プロジェクトは複数の場所から追加できます。
 - コマンドパレットの **Add project** 項目
 - セッションサイドバー上部の **+** ボタン
 - ディレクトリを選ぶときのフォルダブラウザ
 フォルダを指定すると、OpenChamber が記憶します。名前はフォルダ名から取られますが、後で変更できます。
 ## プロジェクトを切り替える
 サイドバーからプロジェクトを選ぶとアクティブになります。セッション、Git、メモなどすべてが、開いているプロジェクトに追従します。
 ## プロジェクトを見分けやすくする
 **Settings → Projects** を開くと、プロジェクトにカスタム名、色、アイコンを設定できます。OpenChamber はアイコンを自動で探します。[プロジェクトアイコン](/project-icons/) を参照してください。
 > VS Code では、OpenChamber は開いているフォルダを常に唯一のプロジェクトとして使います。そのため追加や切り替えはありません。Projects 設定ページも表示されません。
 ## 関連
 - [プロジェクトのメモ、Todo、計画](/notes-todos-plans/) — プロジェクトごとに作業メモを保持する
 - [プロジェクトアクション](/project-actions/) — よく実行するコマンドを保存する
 - [コンテキスト](/context/) — セッションがモデルの記憶容量をどれだけ使っているかを見る
@@ -0,0 +1,49 @@
 ---
 title: プロバイダー、モデル、エージェント
 description: AI プロバイダーを接続し、モデルを選び、エージェントを設定します。
 ---
 # プロバイダー、モデル、エージェント
 OpenChamber が何かを行うには、少なくとも 1 つの AI プロバイダーが接続されている必要があります。このページでは、プロバイダーの接続、モデルの選択、エージェントの調整について説明します。
 ## プロバイダーを接続する
 1. **Settings → Providers** を開きます。
 2. **Add provider** メニューを開き、まだ接続されていないプロバイダーを選びます。
 3. プロバイダーに応じて、次のどちらかの方法でサインインします。
   - **API key** — キーを貼り付けて保存します。
   - **Sign-in (device flow)** — OpenChamber がリンクと短いコードを表示します。リンクを開き、コードを入力して承認します。OpenChamber が自動で接続を完了します。
 プロバイダーが接続済みとして表示されると、そのモデルがチャットで使えるようになります。
 切断するには、プロバイダーを開き、サインインを削除する操作を選びます。
 ## モデルを選ぶ
 作業している場所でモデルを選びます。
 - チャットでは、メッセージバーのモデルピッカーを使って、そのセッションのプロバイダーとモデルを設定します
 - エージェントごとに、デフォルトモデルを設定します（下記）
 ## エージェントを設定する
 エージェントは、名前付きの設定です。モデル、人格、許可された操作をまとめます。
 1. **Settings → Agents** を開きます。
 2. エージェントを選ぶか、新しく作成します。
 3. 次の項目を編集できます。
   - **description** — エージェントの用途
   - **model** — デフォルトモデル
   - **temperature** — 回答の創造性
   - **prompt** — 常に従う固定指示
   - **tool rules** — 使用してよいツール
 ## サインイン情報の保存場所
 プロバイダーのサインイン情報は OpenChamber ではなく OpenCode に保存されるため、OpenCode CLI と共有されます。同じプロバイダーを複数の場所で設定した場合、最も具体的な設定が優先されます。プロジェクトごとの設定は個人設定を上書きします。
 ## 関連
 - [MCP サーバー](/mcp/) — エージェントに追加ツールを加える
 - [使用量とクォータ](/usage/) — 使った量を追跡する
@@ -0,0 +1,26 @@
 ---
 title: クイックスタート
 description: OpenChamber をすばやく始め、タスクに合ったアプリを選びます。
 ---
 # クイックスタート
 ## 最短手順
 1. [OpenCode](https://opencode.ai) をインストールします。
 2. OpenChamber CLI をインストールします（1 行コマンドは [インストール](/install/) を参照）。
 3. `openchamber --ui-password be-creative-here` を実行します。
 4. CLI が表示する URL（通常は `http://localhost:3000`）を開きます。
 5. スマートフォンから使うには、[トンネル](/tunnels/) を開始して QR コードをスキャンします。
 ブラウザに OpenChamber のセッション一覧が表示されるはずです。読み込まれれば、起動できています。
 特にインスタンスをインターネットに公開する予定がある場合は、強力な UI パスワードを使ってください。
 ページが読み込まれない場合は、[トラブルシューティング](/troubleshooting/) を確認してください。
 ## どのアプリを使うべきですか？
 - macOS での日常作業には **desktop** を使います
 - リモートアクセスやスマートフォンからの確認には **web** を使います
 - コードのすぐ横でセッションを使うには **VS Code** を使います
@@ -0,0 +1,48 @@
 ---
 title: リモートインスタンス
 description: デスクトップアプリを SSH 経由で別マシン上の OpenChamber に接続します。
 ---
 # リモートインスタンス
 デスクトップアプリは、作業サーバー、クラウドマシン、ホームラボなど、別マシン上で動く OpenChamber に SSH 経由で接続し、その UI をローカルのように画面へ表示できます。**Settings → Remote Instances** で設定します。
 > リモートインスタンスは**デスクトップ専用**機能です。Web または VS Code では、代わりに [OpenCode サーバー](/opencode-server/) の環境変数を使ってリモートサーバーに接続します。
 ## リモートインスタンスを追加する
 1. **Settings → Remote Instances** を開き、追加します。
 2. そのマシンに接続するために普段使う SSH コマンドと、ニックネームを入力します。
 3. そこで OpenChamber をどう実行するか選びます。
   - **managed** — OpenChamber がリモートマシンに自分自身をインストールして起動します
   - **external** — すでに実行中の OpenChamber に接続します
 4. 接続します。
 OpenChamber は接続確認、リモートのセットアップ、サーバー起動、ポート転送の各ステップを進め、現在の段階を表示します。**ready** に到達すると、リモート UI がローカルに読み込まれます。
 ## 認証情報
 SSH と UI のパスワードを保存するか、毎回入力するかを選べます。接続が落ちた場合、OpenChamber はどのステップで失敗したかを表示するため、修正できます。[リモートアクセス](/troubleshooting/remote-access/) を参照してください。
 ## 接続リンク
 リモートマシンですでに OpenChamber が実行されている場合、デスクトップアプリを接続する最も簡単な方法はペアリングリンクです。リモートサーバーの UI で **Settings → Remote Instances → このサーバーに接続 → デバイスを追加** を開いてリンクを作成し、デスクトップ側の **Settings → Remote Instances → その他の OpenChamber サーバー → リンクをインポート** で取り込みます。フローの詳細は [デバイスを接続する](/connect-devices/) を参照してください。
 **どこでも** で作成したリンクには、直接アドレスと [Private Relay](/private-relay/) 経路の両方が含まれます。デスクトップはサーバーに到達できるとき（同じネットワーク）は直接接続し、外出先ではエンドツーエンド暗号化リレーにフォールバックします。保存済みの各サーバーの横のステータスに、どちらの経路が使われているかが表示されます。
 リモートマシンのターミナルからリンクを作成することもできます。
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 ```
 `connect-url` は、そのポートで何も実行されていなければ先にサーバーを起動します。ヘッドレスサーバーには `--api-only`、起動時に LAN にバインドするには `--lan`、ブラウザアクセスを保護するには `--ui-password`、保存接続にラベルを付けるには `--name` を追加します。ローカルネットワークの外でも使えるリンクには `--relay` を追加します。デバイスは到達可能なときは直接接続を優先し、外出先では [Private Relay](/private-relay/) にフォールバックします。リレーはインスタンスが自動的に立ち上げます。
 生成されたリンクには 1 回限りのペアリングシークレットが含まれます。インポートすると、デバイスは専用のクライアントトークンを保持します。これはブラウザ UI パスワードとは別で、発行元サーバーで無効化するまでサーバー再起動後も残ります。
 ## 関連
 - [デバイスを接続する](/connect-devices/) — ペアリングリンク、QR コード、デバイス管理
 - [Private Relay](/private-relay/) — 「どこでも」接続の仕組み
 - [OpenCode サーバー](/opencode-server/) — Web または VS Code でリモートサーバーに接続する
 - [リモートアクセス](/troubleshooting/remote-access/) — 接続が完了しない場合
@@ -0,0 +1,347 @@
 ---
 title: リバースプロキシ
 description: Nginx、Nginx Proxy Manager、その他のリバースプロキシの背後で OpenChamber を正しく設定します。
 ---
 # リバースプロキシ
 Nginx、Nginx Proxy Manager、Caddy、Cloudflare、その他のリバースプロキシの背後で OpenChamber を実行する場合は、このページを使ってください。
 ## プロキシする前に
 1. まず OpenChamber が直接動くことを確認します。
 2. 同じネットワークから `http://<server-ip>:3000` またはカスタムポートを開きます。
 3. 直接接続が動いてから、リバースプロキシを追加します。
 ## プロキシが対応すべきもの
 - ライブメッセージ転送用の WebSocket:
  - `/api/event/ws`
  - `/api/global/event/ws`
  - `/api/terminal/ws`
 - バッファリングなしの SSE:
  - `/api/event`
  - `/api/global/event`
  - `/api/notifications/stream`
  - `/api/openchamber/events`
  - `/api/terminal/:sessionId/stream`
 - 添付ファイルとファイル操作向けの大きなリクエストボディ
 - ライブストリームとターミナルセッション向けの長い read timeout
 ## 重要なルール
 - WebSocket プロキシを有効にします。
 - SSE ルートではバッファリングを無効にします。
 - OpenChamber がすでにレスポンスを圧縮している場合、プロキシ側の gzip を無効にします。
 - 圧縮を有効にする層は 1 つだけにします。
 - `Host`、`X-Forwarded-For`、`X-Forwarded-Proto` など通常のプロキシヘッダーを転送します。
 - ユーザーがファイルをアップロードする場合は body size limit を増やします。
 ## クイックチェックリスト
 - OpenChamber に LAN から直接到達できる
 - プロキシで WebSocket が有効
 - SSE ルートのバッファリングがオフ
 - プロキシホストで `gzip off`、または別の方法でプロキシ圧縮が無効
 - `client_max_body_size` が添付ファイルに十分な大きさ
 - `proxy_read_timeout` がストリームに十分長い
 ## 例: Nginx
 <details>
 <summary>設定例を表示</summary>
 ```nginx
 client_max_body_size 50M;
 client_body_buffer_size 50M;
 proxy_request_buffering off;
 proxy_http_version 1.1;
 proxy_set_header Connection "";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 gzip off;
 location = /api/terminal/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location = /api/global/event/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location = /api/event/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location ~ ^/api/(event|global/event|notifications/stream|openchamber/events)$ {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location ~ ^/api/terminal/.+/stream$ {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location /api {
    proxy_pass http://127.0.0.1:3000;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
 }
 location / {
    proxy_pass http://127.0.0.1:3000;
 }
 ```
 </details>
 ## 例: Nginx Proxy Manager
 <details>
 <summary>Advanced タブの例を表示</summary>
 ```nginx
 client_max_body_size 50M;
 client_body_buffer_size 50M;
 proxy_request_buffering off;
 proxy_http_version 1.1;
 proxy_set_header Connection "";
 proxy_set_header Host $host;
 proxy_set_header X-Real-IP $remote_addr;
 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
 proxy_set_header X-Forwarded-Proto $scheme;
 proxy_set_header X-Forwarded-Host $host;
 gzip off;
 location = /api/terminal/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/global/event/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/event/ws {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_buffering off;
    proxy_cache off;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/event {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/global/event {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/notifications/stream {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location = /api/openchamber/events {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location ~ ^/api/terminal/.+/stream$ {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header Accept "text/event-stream";
    proxy_set_header Cache-Control "no-cache";
    proxy_buffering off;
    proxy_cache off;
    gzip off;
    add_header X-Accel-Buffering "no" always;
    add_header Cache-Control "no-cache, no-transform" always;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location /api {
    proxy_pass http://127.0.0.1:3000;
    proxy_read_timeout 3600s;
    proxy_send_timeout 3600s;
    proxy_connect_timeout 30s;
 }
 location / {
    proxy_pass http://127.0.0.1:3000;
 }
 ```
 </details>
 このホストでは Nginx Proxy Manager の `Websockets Support` も有効にしてください。
 ## よくある失敗の兆候
 ### ページは読み込まれるが、メッセージ送信に失敗する
 - プロキシで WebSocket が有効になっていません
 - `/api/event/ws` または `/api/global/event/ws` が正しく通っていません
 ### 通知またはライブ状態が更新されない
 - SSE ルートのどれかがバッファリングまたはキャッシュされています
 - `X-Accel-Buffering "no"` がありません
 ### ファイルアップロードに失敗する
 - `client_max_body_size` が小さすぎます
 ### ローカルではすべて動くが、プロキシ背後でだけ壊れる
 - プロキシがライブ通信を圧縮またはバッファリングしています
 - プロキシに WebSocket 対応がありません
 ## 例: Caddy
 <details>
 <summary>設定例を表示</summary>
 ```caddy
 reverse_proxy 127.0.0.1:3000 {
    # WebSocket support is automatic in Caddy
    # Flush SSE responses immediately
    flush_interval -1
    # Pass through Host and proxy headers
    header_up Host {host}
    header_up X-Real-IP {remote_host}
    header_up X-Forwarded-For {remote_host}
    header_up X-Forwarded-Proto {scheme}
    # Increase timeouts for long-lived streams
    transport http {
        read_timeout 3600s
        write_timeout 3600s
    }
 }
 ```
 </details>
 Caddy は WebSocket upgrade を自動で処理します。追加設定は不要です。`flush_interval -1` ディレクティブにより、SSE チャンクがバッファリングされずすぐ転送されます。
 ## CDN と二重圧縮の警告
 リバースプロキシの前に Cloudflare などの CDN を置く場合、二重圧縮に注意してください。
 - OpenChamber は HTTP レスポンスを gzip 圧縮します（しきい値 1 KB）。
 - Cloudflare や他の CDN もデフォルトでレスポンスを圧縮します。
 - これにより、二重圧縮されたレスポンスや誤った `Content-Encoding` ヘッダーが発生することがあります。
 これを避けるには、**どちらか一方**の層で圧縮を無効にします。
 - **Cloudflare:** Rules → Compression → disable（または "Passthrough" mode を使用）。
 - **Nginx:** `gzip off`（上の例に含まれています）。
 - **Caddy:** upstream がすでに圧縮済みコンテンツを送る場合、Caddy はデフォルトでは再圧縮しません。
 SSE ストリーミングルートは OpenChamber 側で圧縮対象外ですが、CDN がまだバッファリングする場合があります。SSE パスでバッファリングを無効にする方法は、CDN のドキュメントを確認してください。
 ## 関連
 - [トンネル](/tunnels/)
 - [トラブルシューティング](/troubleshooting/)
@@ -0,0 +1,35 @@
 ---
 title: スケジュールタスク
 description: プロンプトをスケジュールに従って自動実行します。
 ---
 # スケジュールタスク
 スケジュールタスクは、たとえば毎日の「昨日の変更を要約」や毎週の整理のように、指定したスケジュールでプロンプトを実行します。実行時には OpenChamber が新しいセッションを開始し、自動でプロンプトを送信します。セッションサイドバー上部のボタンからスケジューラーを開きます。
 ## タスクを作成する
 1. セッションサイドバーからスケジュールタスクダイアログを開きます。
 2. タスクを追加し、名前を付けます。
 3. 実行タイミングを選びます。
   - **daily** — 毎日 1 つ以上の時刻
   - **weekly** — 選んだ曜日と時刻
   - **once** — 1 回だけの日時
 4. 実行内容を設定します。送信するプロンプト、使用するプロバイダー、モデル、エージェントです。プロンプトには `/review` のようなスラッシュコマンドも使えます。
 5. 保存し、タスクが有効になっていることを確認します。
 任意のタスクは **run now** ですぐ実行でき、期待通り動くか確認できます。
 **ゴールとして実行**にチェックすると、実行は1回の返信で止まらず、プロンプトを完了まで追求します — [セッションゴール](/session-goals/)を参照してください。
 ## 成功時の見え方
 実行後、タスクには最後に実行された時刻、成功したかどうか、作成されたセッションへのリンクが表示されます。実行に失敗した場合は、エラーもそこに表示されます。
 ## 注意点
 タスクは OpenChamber サーバーが実行中の間だけ発火します。閉じると、サーバーが戻るまでスケジュール実行は一時停止します。
 ## 関連
 - [コマンドとスニペット](/commands-snippets/) — スラッシュコマンドをプロンプトとして再利用する
@@ -0,0 +1,44 @@
 ---
 title: セキュリティ
 description: 公開する前に、パスワードとパスキーで UI を保護します。
 ---
 # セキュリティ
 OpenChamber はあなたのマシンとコードへのアクセスを提供するため、あなた以外が到達できるようにする前に必ず保護してください。このページでは UI パスワード、パスキー、ネットワークに OpenChamber を公開する前に知っておくべきことを説明します。
 ## UI パスワードを設定する
 パスワード付きで OpenChamber を起動すると、ブラウザ UI がそれを要求します。
 ```bash
 openchamber --ui-password be-creative-here
 ```
 コマンドラインに書く代わりに、`OPENCHAMBER_UI_PASSWORD` 環境変数で設定することもできます。サインイン後、OpenChamber はしばらくそのデバイスを記憶するため、毎回求められることはありません。
 インスタンスが自分以外から到達可能な場合は、必ずパスワードを設定してください。特に [トンネル](/tunnels/) や public internet 経由の場合は重要です。
 ## パスキー
 パスワードを設定すると、より速くサインインするためにパスキー（Face ID、Touch ID、セキュリティキー）を追加できます。**Settings → OpenChamber → Passkeys** で追加します。
 パスキーは現在のパスワードに紐づきます。パスワードを変更または削除すると、保存済みパスキーは消去され、再追加が必要になります。
 ## デバイストークン
 [デバイスを接続する](/connect-devices/) でペアリングしたデバイスは、UI パスワードではなく、デバイスごとの専用トークンで認証します。ペアリングリンクは 1 回限りで、未使用なら期限切れになります。ペアリング済みのデバイスはすべて **Settings → Remote Instances → このサーバーに接続** に一覧表示され、いつでも無効化できます。外出先からの接続は [Private Relay](/private-relay/) を経由します。リレーはエンドツーエンドで暗号化されており、通信内容を読むことはできません。
 ## 公開する前に
 - デフォルトでは、OpenChamber はあなたのマシン上（`127.0.0.1`）でのみ待ち受けます。より広く待ち受けるには明示的な変更が必要で、その前にパスワードを設定するべきです。
 - 自分のデバイスなら、[Private Relay](/private-relay/) を使った [ペアリング](/connect-devices/) を推奨します。何も公開されません。
 - 公開 URL が必要な場合は、インターネットにポートを開けるより、[トンネル](/tunnels/) または VPN のようなプライベートネットワークを推奨します。
 - OpenChamber を自分の HTTPS サーバーの背後に置く場合は、[リバースプロキシ](/reverse-proxy/) を参照してください。
 ## 関連
 - [デバイスを接続する](/connect-devices/) — 1 回限りのペアリングとデバイスごとのトークン
 - [Private Relay](/private-relay/) — どこからでも使えるエンドツーエンド暗号化アクセス
 - [トンネル](/tunnels/) — 必要なときに公開 URL を用意する
 - [リバースプロキシ](/reverse-proxy/) — OpenChamber を自分のサーバー背後で実行する
@@ -0,0 +1,73 @@
 ---
 title: セッションゴール
 description: プロンプトをゴールに変え、エージェントが自動的に取り組み続けます。
 ---
 # セッションゴール
 ゴールは、1つのプロンプトをゴールラインに変えます。返信のたびに「続けて」と促す代わりに、ゴールを一度設定するだけ — OpenChamber がセッションを自動的にゴールへ向かわせ、各ターンの後に独立した監査モデルで進捗を確認します。離席中でも動き続けます。
 ## ゴールを開始する
 1. コンポーザーのターゲットボタンを押します。点灯すればゴールモードが準備完了です。
 2. プロンプトを書いて送信します。そのメッセージがゴールの目標になります。
 既存のセッションでも新規セッションの下書きでも同じように機能します。ターゲットを有効にして最初のメッセージを書いて送信すれば、新しいセッションは最初からゴールが有効な状態で始まります。
 ### ゴールを開始する他の方法
 - **エージェントの返信から**：「Start new session from this answer」ダイアログで **ゴールとして実行** にチェック — 返信が課題として引き継がれ、新しいセッションが完了まで実行します（**Create worktree** と組み合わせれば隔離された実行になります）。
 - **プランから**：保存したプランを新しいセッションや worktree で実装するとき、ダイアログの **ゴールとして実行** にチェック。ゴールの目標にはプランの内容が入るため、監査はプランそのものに照らして進捗を判定します。
 - **スケジュールで**：[スケジュールタスク](/scheduled-tasks/)の **ゴールとして実行** にチェックすると、定期実行がプロンプトを完了まで追求します。
 ## 自己完結した目標を書く
 進捗の監査モデルが見るのは、あなたの目標とエージェントの最新の返信だけです — チャット履歴は見ません。会話の文脈を知らない人でも完成状態がわかるように、ゴールのメッセージを書いてください。
 - 良い例：「エクスポートモジュールのテストを追加し、テストスイート全体を通るようにして。」
 - 良くない例：「直して」「さっきのアイデアで続けて」
 ちょっとした文脈依存の指示にはゴールは不要です — 普通のメッセージを送りましょう。
 ## 仕組み
 エージェントが停止してセッションがしばらく静かになると、OpenChamber は：
 1. 小型で安価なモデルに、最新のターンを目標と照らして監査させます：続行、完了、それとも行き詰まり？
 2. 判定が「続行」なら、継続プロンプトを送り、エージェントが作業を再開します。
 3. 目標が検証可能な形で達成されていればゴールは完了し、通知が届きます。
 4. エージェントが本当に行き詰まっている（あなたの入力が必要な）場合、ゴールはブロックとして停止します — ただし監査が3回連続でそう判定した場合のみ。一度のつまずきでゴールが終わることはありません。
 ハードな安全装置もあります：オプションのトークン予算、自動継続の上限、ターンエラー時の停止です。作業中にセッションのコンテキストが圧縮されても、ゴールはそのまま続行します — コンテキストウィンドウに達したこと自体が、作業が終わっていない証拠だからです。
 ### 停止と再開
 - **停止ボタン**は実行中のターンを中断し、ゴールを一時停止します — あなたの明示的な「止めて」は常にループより優先されます。
 - ストリップの**一時停止**は逆方向から同じことをします：ゴールを一時停止し、実行中のターンを止めます。
 - 一時停止中は普通にチャットできます — ループは邪魔をしません。
 - **再開**はループを再始動します：アイドルなセッションでは継続プロンプトが即座に送られ、エージェントが作業中なら次の停止時にループが静かに再接続します。
 ## 確認と管理
 - コンポーザー上部のストリップに、最新の進捗メモ、ステータス、トークン使用量が表示され、一時停止/再開ボタンも組み込まれています。エージェントが停止していてゴールがアクティブなときは、回転する**評価中…**が表示されます — 静止ウィンドウと監査が動いている印です。
 - ターゲットボタンはゴール実行中は点灯し（青）、完了で緑、ブロックや予算切れで赤になります。押すとゴールのダイアログが開き、目標や予算の編集、ゴールの削除ができます。完了したゴールは読み取り専用です — 削除してから新しいゴールを開始してください。
 - セッションサイドバーでは、セッションの日付の横にゴールの状態色の小さなターゲットが表示されます。
 ## 通知
 ゴールがアクティブな間、ターンごとの「エージェント準備完了」通知は抑制されます — ループ自身の継続をなぞるだけだからです。ゴールが確定すると（完了、ブロック、予算到達）、代わりに最終通知が1件、デスクトップとモバイルプッシュで届きます。「完了時に通知」と同じ設定に従います。権限リクエスト、質問、エラー通知は通常どおり機能し続けます。
 ## トークン予算
 **設定 → チャット → ゴール** で、新しいゴールのデフォルトトークン予算を設定できます。予算に達するとゴールは「予算上限に到達」として停止し、それ以上消費しません — 予算を上げてゴールのダイアログから再開できます。
 ## 留意点
 - ゴールのループはブラウザのタブではなく OpenChamber サーバーで動きます。タブを閉じても、スマホをロックしても — エージェントは働き続け、ゴールが確定すると通知が届きます。サーバー（デスクトップアプリまたは `openchamber` プロセス）は起動したままにしてください。
 - ゴールはセッション自身のプロバイダーとモデルを使います。監査の呼び出しも同様です — 既に使っているプロバイダーの外にデータが出ることはありません。
 - ゴールは1セッションにつき同時に1つです。
 ## 関連
 - [スケジュールタスク](/scheduled-tasks/) — スケジュールでプロンプトを実行。「ゴールとして実行」を有効にすると、スケジュール実行がプロンプトを完了まで追求します
 - [通知](/notifications/) — 完了したゴールを知る方法
@@ -0,0 +1,27 @@
 ---
 title: スキルカタログ
 description: 既製のスキルを探してインストールします。
 ---
 # スキルカタログ
 Skills Catalog では、自分で書く代わりに、他の人が公開したスキルをインストールできます。**Settings → Skills → Catalog** から開きます。
 自分でスキルを書く場合は、[スキル](/skills/) を参照してください。
 ## スキルをインストールする
 1. カタログを開きます。
 2. 組み込みソース（Anthropic skills repo と ClawdHub community registry）を閲覧するか、検索します。
 3. スキルを選び、インストールします。
 4. インストール先を選びます。すべての作業で使うか、現在のプロジェクトだけで使うかです。
 同じ名前のスキルがすでにある場合、OpenChamber はどうするかを確認します。スキップ、上書き、またはスキルごとに判断できます。
 ## 独自ソースを追加する
 任意の Git リポジトリを、`owner/repo` 名または完全な Git URL でソースとして追加できます。プライベートリポジトリには、あなたのマシン上でアクセス設定（SSH キーまたは保存済み認証情報）が必要です。ソースが認証できない場合、カタログは黙って失敗せず、その旨を表示します。
 ## 関連
 - [スキル](/skills/) — インストール済みスキルを作成・管理する
@@ -0,0 +1,30 @@
 ---
 title: スキル
 description: エージェントが必要に応じて読み込む再利用可能な指示を作成します。
 ---
 # スキル
 スキルは、関連があるときにエージェントが取り込める再利用可能な指示セットです。たとえば「コミットメッセージの書き方」や「自社 API の規約」などです。**Settings → Skills** で管理します。
 自分で書く代わりに既製のスキルをインストールする場合は、[スキルカタログ](/skills-catalog/) を参照してください。
 ## スキルを作成する
 1. **Settings → Skills** を開きます。
 2. スキルを作成し、名前と短い説明を付けます。説明はエージェントがそのスキルをいつ適用するか判断する材料なので、具体的に書いてください。
 3. 指示を書きます。必要なら補助ファイルを追加します。
 4. 保存場所を選びます。
   - **personal** — すべてのプロジェクトで利用できます
   - **project** — 現在のプロジェクトでのみ利用できます
 ## チャットでスキルを使う
 メッセージの途中で `/` を入力するとスキルピッカーが表示されます。そこから選ぶと、エージェントはそのスキルの指示を返信に読み込みます。
 メッセージの先頭にある `/` は、代わりに [コマンド](/commands-snippets/) を開きます。
 ## 関連
 - [スキルカタログ](/skills-catalog/) — 他の人が公開したスキルをインストールする
 - [コマンドとスニペット](/commands-snippets/) — チャットでテキストを再利用する別の方法
@@ -0,0 +1,48 @@
 ---
 title: SSH ホストとプロキシ
 description: 保存済み SSH ホストをインポートし、デスクトップアプリで追加の SSH ポートフォワードを設定します。
 ---
 # SSH ホストとプロキシ
 デスクトップアプリの **Settings → Remote Instances** を使うと、保存済み SSH ホストのインポート、リモートマシンへの接続、同じ SSH 接続を通じた追加ポートの利用ができます。
 > SSH ホストと SSH プロキシは**デスクトップ専用**機能です。あなたのコンピューター上の SSH クライアントを使います。
 ## SSH ホストをインポートする
 OpenChamber は、`ssh work-server` のようなコマンドが使うのと同じローカル SSH config からホストを読み取れます。
 1. **Settings → Remote Instances** を開きます。
 2. **Saved SSH hosts** からホストを選びます。
 3. ホストがパターンの場合は、`deploy@app.example.com` のような実際の宛先を入力します。
 4. 保存して接続します。
 OpenChamber はその SSH コマンドを使ってリモートインスタンスを作成します。**ready** に到達すると、リモート OpenChamber UI がデスクトップアプリ内で開きます。
 ## 追加のポートフォワードを加える
 各リモートインスタンスには **Port Forwards** セクションがあります。SSH 接続の片側にあるものが、もう片側のポートへ到達する必要があるときに使います。
 OpenChamber は 3 種類のフォワードに対応しています。
 - **Local (-L)** — あなたのコンピューター上にポートを開き、リモートマシン上の何かへ接続します。
 - **Remote (-R)** — リモートマシン上にポートを開き、あなたのコンピューターへ戻って接続します。
 - **Dynamic (-D)** — SSH 接続を通じてローカル SOCKS プロキシを開きます。
 リモートマシン上で動く多くのアプリプレビューやダッシュボードには、**Local (-L)** を使います。
 ## SOCKS プロキシを使う
 あなたのコンピューター上の他のツールから、リモートマシン経由でブラウズしたい場合は **Dynamic (-D)** を選びます。OpenChamber はその SSH 接続用のローカル SOCKS プロキシポートを開きます。
 接続が ready になったら、フォワード行からローカルプロキシアドレスをコピーまたは使用します。ブラウザやツールで SOCKS5 プロキシとして設定してください。
 ## 非公開に保つ
 転送ポートにネットワーク上の他のデバイスから意図的にアクセスさせたい場合を除き、ローカル bind host には `127.0.0.1` または `localhost` を使ってください。
 ## 関連
 - [リモートインスタンス](/remote-instances/) — デスクトップアプリを別マシン上の OpenChamber に接続する
 - [リモートアクセス](/troubleshooting/remote-access/) — SSH またはリモートアクセスが接続できない場合
@@ -0,0 +1,30 @@
 ---
 title: テーマ
 description: 組み込みテーマとユーザー定義テーマで OpenChamber をカスタマイズします。
 ---
 # テーマ
 OpenChamber は組み込みテーマとカスタムテーマ JSON ファイルに対応しています。
 ## カスタムテーマを追加する
 1. テーマディレクトリを作成します。
 ```bash
 mkdir -p ~/.config/openchamber/themes
 ```
 2. そのディレクトリに JSON ファイルを追加します（例: `my-theme.json`）。
 3. OpenChamber を開き、**Settings -> Theme -> Reload themes** に移動します。
 4. ドロップダウンからテーマを選びます。すぐに適用されます。
 ## テーマの場所
 - macOS/Linux: `~/.config/openchamber/themes/`
 ## 完全な JSON 形式リファレンス
 メインリポジトリのドキュメントにある完全な形式ガイドを使ってください。
 - [`docs/CUSTOM_THEMES.md`](https://github.com/openchamber/openchamber/blob/main/docs/CUSTOM_THEMES.md)
@@ -0,0 +1,40 @@
 ---
 title: トラブルシューティング
 description: セットアップや実行時によくある問題と、すぐ試せる修正です。
 ---
 # トラブルシューティング
 問題に当たりましたか？下の症状を探し、修正を試してください。
 ## OpenChamber コマンドが終了する、または起動に失敗する
 - Node.js が `>=22` であることを確認します
 - `openchamber --version` を実行します
 - 必要なら最新の CLI を再インストールします
 ## Web UI に到達できない
 - `openchamber logs` でサーバーログを確認します
 - アクティブなポートを確認します（デフォルトは `3000`）
 - トンネルリンクを試す前に、まず `http://localhost:3000` を直接開きます
 ## リモート/トンネルリンクが動かない
 - `openchamber tunnel status --all` を実行します
 - 同じインスタンス/ポートからトンネルを再起動します
 - 以前のトークンがすでに使用済みなら、接続リンクを再生成します
 完全なセットアップは [トンネル](/tunnels/) を参照してください。リバースプロキシを使っている場合は [リバースプロキシ](/reverse-proxy/) も参照してください。
 ## VS Code 拡張機能が接続しない
 - OpenChamber サーバーが実行中であることを確認します
 - 拡張機能が更新済みであることを確認します
 - VS Code ウィンドウを再読み込みし、接続を再試行します
 ## 関連
 - [クイックスタート](/quickstart/)
 - [トンネル](/tunnels/)
 - [リバースプロキシ](/reverse-proxy/)
@@ -0,0 +1,34 @@
 ---
 title: OpenCode 接続
 description: OpenChamber が OpenCode サーバーへ接続できない問題を修正します。
 ---
 # OpenCode 接続
 OpenChamber は読み込まれるのに "OpenCode is restarting" から進まない、またはチャットが応答しない場合、接続先サーバーに到達できていません。次を順に確認してください。
 ## "OpenCode is restarting" のまま止まっている
 - 起動直後は少し待ってください。サーバー起動中はこの状態が正常です
 - `openchamber status` でサーバーが生きているか確認します
 - `openchamber restart` で再起動します
 - `openchamber logs` で起動詳細を確認します
 ## 自分のサーバーへ接続している
 既存サーバーを使うよう OpenChamber を設定した場合は、[OpenCode サーバー](/opencode-server/) の設定を再確認してください。
 - `OPENCODE_HOST` はポートを含み、パスを含まない必要があります。例: `http://localhost:4096`
 - `OPENCODE_SKIP_START=true` を設定し、OpenChamber が自分のサーバーも起動しないようにします
 - アドレスが無効な場合、OpenChamber はそれを無視して自分のサーバーを起動します。ログの `[config]` 警告を探してください
 ## まだ失敗する場合
 - Node.js がバージョン `20` 以上であることを確認します
 - 最新の CLI を再インストールします
 - トンネルやリモートリンクを試す前に、`http://localhost:3000` を直接開きます
 ## 関連
 - [OpenCode サーバー](/opencode-server/) — OpenChamber がサーバーを見つけて管理する方法
 - [トラブルシューティング](/troubleshooting/) — その他のよくある問題
@@ -0,0 +1,47 @@
 ---
 title: リモートアクセス
 description: トンネル、リモートインスタンス、別デバイスからの OpenChamber アクセスを修正します。
 ---
 # リモートアクセス
 スマートフォンや別マシンから OpenChamber に到達できない場合、修正方法は接続方法によって変わります。
 ## まず基本を確認する
 - 同じコンピューターで先に `http://localhost:3000` を開きます。失敗する場合はリモートの問題ではありません。[OpenCode 接続](/troubleshooting/opencode-connection/) を参照してください
 - `openchamber status` でサーバーが実行中であることを確認します
 ## ペアリング済みデバイスが接続しない
 - QR コード / ペアリングリンクは **1 回限り** です。すでにスキャン済み（または期限切れ）の場合は、**デバイスを追加** から新しいものを作成してください
 - デバイスを **自宅ネットワークのみ** でペアリングした場合、そのネットワークの外からは接続できません。**どこでも** で再ペアリングしてください
 - **どこでも** のペアリングでは、サーバー側の **Settings → Remote Instances → OpenChamber Relay** を確認してください。**接続済み** と表示されているはずです。そうでなければ、いったん無効にしてから再度有効にします
 - デバイスを **無効化** した場合、そのトークンは完全に失効しています。新しい QR コードで再ペアリングしてください
 これらの接続の仕組みは [デバイスを接続する](/connect-devices/) と [Private Relay](/private-relay/) を参照してください。
 ## トンネルリンクが動かない
 - `openchamber tunnel status --all` を実行します
 - 同じインスタンスとポートからトンネルを再起動します
 - 前のリンクがすでに使用済みなら、接続リンクを再生成します
 完全なセットアップは [トンネル](/tunnels/) を参照してください。
 ## リモートインスタンスが接続しない（デスクトップ）
 [リモートインスタンス](/remote-instances/) が止まった場合、OpenChamber は失敗したステップ名を表示します。
 - **auth** — SSH または UI パスワードが拒否されました。再入力してください
 - **install / start** — OpenChamber がリモートマシン上でサーバーをセットアップまたは起動できませんでした。そのマシンの要件を確認してください
 - **forwarding** — 接続はできていますが、ポートが届いていません。別のローカルポートを試してください
 ## 自分のサーバーの背後にある場合
 OpenChamber をリバースプロキシの背後に置いていて、表示がおかしい、または接続できない場合は [リバースプロキシ](/reverse-proxy/) を参照してください。
 ## 関連
 - [デバイスを接続する](/connect-devices/) · [Private Relay](/private-relay/) · [トンネル](/tunnels/) · [リモートインスタンス](/remote-instances/) · [リバースプロキシ](/reverse-proxy/)
 - [セキュリティ](/security/) — 公開する前に UI を保護する
@@ -0,0 +1,35 @@
 ---
 title: Worktrees と Git
 description: よくある worktree と Git の問題を修正します。
 ---
 # Worktrees と Git
 [worktree セッション](/worktrees/) と [Git ビュー](/git/) で起きる問題と、その解消方法です。
 ## worktree に注意が必要
 OpenChamber は、worktree に異常があるとフラグを立てます。
 - **folder missing** — worktree のフォルダが削除された、または OpenChamber 外で移動されました。セッションを削除し、新しい worktree を作成してください
 - **detached or unborn branch** — worktree が通常のブランチ上にありません。ブランチをチェックアウトしてください
 - **merge, rebase, or cherry-pick in progress** — 操作が途中で残っています。Git ビューから完了または中止してください
 ## worktree を作成できない
 - **branch already exists** — 別のブランチ名を選ぶか、既存ブランチのオプションを使います
 - **name already in use** — 別の worktree 名を選びます
 ## コミットまたは PR 生成に失敗する
 コミットメッセージや PR 説明の生成はアクティブなセッションで実行されるため、動作するモデルが選択されたセッションを開いておく必要があります。セッションを開くか選び直して、もう一度試してください。
 ## SSH または Windows パスの問題
 - リポジトリが使う SSH キーが [Git ID](/git-identities/) に設定したものか確認します
 - Windows では Git が Unix 形式のパス（`/c/Users/...` など）を使います。OpenChamber はこれを扱えますが、カスタム SSH キーパスも同じ形式にしてください
 ## 関連
 - [Worktree セッション](/worktrees/) — worktree の作成と削除の仕組み
 - [Git ID](/git-identities/) — リポジトリごとに正しいキーと ID を設定する
@@ -0,0 +1,120 @@
 ---
 title: トンネル
 description: リモートおよびモバイルアクセス向けに OpenChamber を安全に公開します。
 ---
 # トンネル
 トンネルは OpenChamber への公開リンクです。別ネットワークの普通のブラウザからアクセスできます。実行中のインスタンスに対して作成するには `openchamber tunnel` を使います。
 > **自分のデバイス**（モバイルアプリ、別のデスクトップ）の接続には、通常トンネルは不要です。代わりに [ペアリング](/connect-devices/) して、エンドツーエンド暗号化の [Private Relay](/private-relay/) にセットアップ不要で外出先アクセスを任せましょう。
 ## 前提条件
 OpenChamber はあなたのマシン上でトンネルプロバイダー CLI を起動します。使いたいプロバイダーを先にインストールしてください。
 ```bash
 brew install cloudflared
 brew install ngrok
 ```
 Cloudflare quick tunnel は `cloudflared` で実行できます。Ngrok には ngrok アカウントと ngrok ダッシュボードの authtoken が必要です。
 ```bash
 ngrok config add-authtoken <your-ngrok-token>
 ```
 ## クイックスタート
 1. OpenChamber を起動します。
 ```bash
 openchamber
 ```
 この手順を省いた場合、`openchamber tunnel start` は CLI サーバーを自動起動できます。自動起動時には `--port`、`--host`、`--lan`、`--ui-password`、`--api-only` などのサーバーオプションを渡せます。
 2. Cloudflare トンネルを開始します。
 ```bash
 openchamber tunnel start --provider cloudflare --mode quick
 ```
 または Ngrok トンネルを開始します。
 ```bash
 openchamber tunnel start --provider ngrok --mode quick
 ```
 3. 状態を確認します。
 ```bash
 openchamber tunnel status
 ```
 トンネルが起動すると、`status` に公開 URL が表示されます。それを開くか QR コードをスキャンすると、どこからでも OpenChamber にアクセスできます。
 デフォルトでは、OpenChamber は対話型 TTY セッションで QR コードを表示します。QR 出力を強制するには `--qr`、無効にするには `--no-qr` を使います。
 ## プロバイダー
 - `cloudflare`: quick、managed remote、managed local モード
 - `ngrok`: quick モード
 ## 管理対象モード
 ### Managed remote
 Cloudflare が管理する token + hostname を使います。
 ```bash
 openchamber tunnel start --provider cloudflare --mode managed-remote --token-file ~/.secrets/cf-token --hostname app.example.com
 ```
 ### Managed local
 ローカルの `cloudflared` 設定を使います。
 ```bash
 openchamber tunnel start --provider cloudflare --mode managed-local --config ~/.cloudflared/config.yml
 ```
 ## プロファイル（managed-remote）
 再利用可能なプロファイルを保存します。
 ```bash
 openchamber tunnel profile add --provider cloudflare --mode managed-remote --name prod-main --hostname app.example.com --token-file ~/.secrets/cf-token
 ```
 保存したプロファイルで起動します。
 ```bash
 openchamber tunnel start --profile prod-main
 ```
 ## 便利なコマンド
 ```bash
 openchamber tunnel providers
 openchamber tunnel ready --provider cloudflare
 openchamber tunnel ready --provider ngrok
 openchamber tunnel doctor --provider cloudflare
 openchamber tunnel doctor --provider ngrok
 openchamber tunnel stop --port 3000
 ```
 ## 動作メモ
 - OpenChamber インスタンス（ポート）ごとにアクティブなトンネルは 1 つです
 - 同じインスタンスで新しい mode/provider を開始すると、前のトンネルは置き換えられます
 - 新しい接続リンクを生成すると、以前の未使用リンクは無効化されます
 - トンネルの自動起動は、restart/update フローで使うインスタンス設定に `--ui-password` や `--api-only` などのサーバーフラグを保持します
 ## 関連
 - [デバイスを接続する](/connect-devices/) — 公開 URL なしで自分のデバイスをペアリングする
 - [セキュリティ](/security/) — 公開する前に UI を保護する
 - [デスクトップトンネル](/desktop-tunnels/) — CLI 起動なしでデスクトップアプリからトンネルを設定する
 - [モバイルアプリと PWA](/mobile/) — スマートフォンから OpenChamber にアクセスする
 - [トラブルシューティング](/troubleshooting/) — トンネルリンクが動かない場合
@@ -0,0 +1,31 @@
 ---
 title: 更新
 description: デスクトップ、Web、VS Code の OpenChamber を最新に保ちます。
 ---
 # 更新
 OpenChamber の更新方法は、インストール方法によって異なります。どの場合でも、現在のバージョンは **Settings → OpenChamber → About** で確認できます。
 ## デスクトップアプリ
 デスクトップアプリは GitHub releases を確認して更新を探します。更新がある場合、OpenChamber が知らせ、あなたが選んだときにダウンロードし、次回再起動時にインストールします。常にあなたが制御します。勝手にインストールされることはありません。
 ## Web / CLI
 CLI をインストールした場合は、**About** の確認・更新ボタンから、またはターミナルから更新できます。
 ```bash
 openchamber update
 ```
 OpenChamber はインストール方法（npm、pnpm、yarn、bun）を検出し、適切な更新を実行します。
 ## OpenCode サーバー
 OpenChamber と OpenCode は別々に更新されます。新しい OpenCode バージョンが利用可能な場合、OpenChamber は更新を提案し、その後サーバーを再起動します。そのサーバーの管理方法は [OpenCode サーバー](/opencode-server/) を参照してください。
 ## 関連
 - [インストール](/install/) — 各アプリのインストール方法
 - [OpenCode サーバー](/opencode-server/) — 下層サーバーの更新
@@ -0,0 +1,28 @@
 ---
 title: 使用量とクォータ
 description: プロバイダープランの使用量を追跡します。
 ---
 # 使用量とクォータ
 Usage ページでは、各プロバイダープランをどれだけ使ったかを確認でき、上限にどれだけ近いかが分かります。**Settings → Usage** から開きます。
 ## 表示されるもの
 接続済みプロバイダーごとに、OpenChamber は次を表示します。
 - 現在のウィンドウでどれだけ使ったかをバーで表示
 - モデル別の内訳
 - 使い切りそうなペースか分かる pace インジケーター
 表示するプロバイダーは選べます。同じサマリーはアプリヘッダーのドロップダウンからも確認できます。
 ## 対応プロバイダー
 Usage は、Claude、Codex、GitHub Copilot、Google、OpenRouter、Kimi、NanoGPT、z.ai、Zhipu、MiniMax、Ollama Cloud、Wafer など、クォータを公開しているプロバイダーで動作します。
 プロバイダーの使用量は、[プロバイダー](/providers/) ページでサインインした後に表示されます。一部のプロバイダーには追加手順が必要です。たとえば Ollama Cloud は別途設定したセッションファイルを読み取ります。プロバイダーにデータが表示されない場合、多くはその追加認証情報が不足しています。
 ## 関連
 - [プロバイダー、モデル、エージェント](/providers/) — 使用量を表示する前にサインインする
@@ -0,0 +1,36 @@
 ---
 title: 音声モード
 description: OpenChamber に話しかけ、返信を読み上げで聞きます。
 ---
 # 音声モード
 音声モードでは、メッセージを音声入力し、返信を読み上げで聞けます。**Settings → OpenChamber → Voice** でオンにします。
 ## 返信の読み上げ（text-to-speech）
 返信の読み上げ方法を選びます。
 - **browser** — ブラウザ組み込みの音声。設定不要です
 - **OpenAI** — OpenAI の音声。API キーを貼り付けて声を選びます
 - **OpenAI-compatible** — OpenAI 形式で音声を返す任意のサービス。URL と、必要なら API キーを入力します
 - **macOS say** — Mac にある組み込みの `say` コマンド
 オンにすると、メッセージに再生ボタンが表示され、読み上げを聞けます。
 ## メッセージの音声入力（speech-to-text）
 音声をどう文字起こしするか選びます。
 - **browser** — ブラウザ組み込みの認識。設定不要です
 - **server** — OpenAI 互換の文字起こしサービス。URL と、必要なら API キーを入力します
 - **on-device** — ブラウザ内で動く音声モデル。初回利用時にダウンロードされます
 ## スマートフォン向けの注意
 スマートフォンで返信を読み上げる場合、OpenAI または OpenAI-compatible の選択肢が最も安定します。モバイルブラウザは組み込み音声に制限があります。
 ## 関連
 - [通知](/notifications/) — 聞き続ける代わりに通知を受け取る
 - [プロバイダー、モデル、エージェント](/providers/) — OpenAI キーがすでにあるかもしれない場所
@@ -0,0 +1,36 @@
 ---
 title: Worktree セッション
 description: セッションに専用のブランチとフォルダを与え、作業を分離します。
 ---
 # Worktree セッション
 Worktree セッションは、リポジトリをチェックアウトした独自のコピーと独自ブランチ（git worktree）で実行されます。これにより、並行セッションが互いのファイルを踏み合うことを防げます。片方がリファクタリングし、もう片方がバグ修正をしても、行き来する必要はありません。
 ## 作成する
 1. セッションサイドバー上部のボタンから new-worktree ダイアログを開きます。
 2. 開始点を選びます。
   - **new branch** — ブランチ名を付け、どのブランチから始めるか選びます
   - **existing branch** — すでにあるブランチをチェックアウトします
 3. worktree フォルダを確認します（OpenChamber はブランチ名から候補を出します）。
 4. 作成します。
 OpenChamber はブランチを作り、フォルダをセットアップし、その中でセッションを開始します。[Todo](/notes-todos-plans/) や [GitHub Issue または PR](/github/) から直接開始することもできます。
 ## 作業を戻す
 作業が良い状態になったら、Git ビューの **Integrate** を使って、worktree のコミットを別ブランチ（`main` など）へ取り込みます。変更がコンフリクトした場合は、エージェントに解決を任せることもできます。
 ## 片付ける
 セッションを削除またはアーカイブすると、worktree を削除できます。ブランチも削除するかどうかを選びます。ローカルと、存在する場合はリモートも対象です。あなたが指示しない限り、何も削除されません。
 ## 何かおかしい場合
 worktree は、フォルダがなくなった、ブランチが detached 状態になった、merge または rebase が途中で止まった、などの場合に注意が必要になります。OpenChamber はこれらにフラグを付け、修正できるようにします。[Worktrees と Git](/troubleshooting/worktrees-git/) を参照してください。
 ## 関連
 - [Multi-run](/multi-run/) — 多数の worktree セッションを一度に起動する
 - [Git と GitHub ワークフロー](/git/) — OpenChamber 内でコミットして統合する
@@ -0,0 +1,68 @@
 ---
 title: 기기 연결
 description: 일회용 QR 코드로 휴대폰, 데스크톱, 다른 브라우저를 OpenChamber 서버와 페어링하세요.
 ---
 # 기기 연결
 일회용 QR 코드를 스캔해 다른 기기(모바일 앱, 데스크톱 앱, 다른 컴퓨터의 브라우저)를 OpenChamber 서버와 페어링하세요. 기기를 연결하는 권장 방법이며, 열어야 할 포트도 입력할 주소도 없습니다.
 ## 기기 페어링하기
 1. OpenChamber가 실행 중인 컴퓨터에서 **Settings → Remote Instances → 이 서버에 연결**을 열고 **기기 추가**를 누릅니다.
 2. 나중에 알아볼 수 있도록 기기 이름(예: *My iPhone*)을 지정합니다.
 3. 기기를 어디에서 사용할지 선택합니다.
   - **이 컴퓨터 전용** — 같은 컴퓨터에서 실행되는 앱용
   - **집 네트워크 전용** — Wi-Fi로 직접 연결하며, 이 네트워크 밖에서는 작동하지 않습니다
   - **어디서나** — 집에서도 밖에서도 작동합니다. 밖에서는 설정이 필요 없는 종단 간 암호화 터널인 [Private Relay](/ko/private-relay/)를 통해 연결됩니다
 4. **QR 코드 만들기**를 누릅니다.
 5. 다른 기기에서 코드를 스캔합니다.
   - **모바일 앱** — 연결 화면(또는 인스턴스 목록)에서 **QR 코드 스캔**을 탭합니다
   - **데스크톱 앱** — 대신 연결 링크를 복사해 **Settings → Remote Instances → 다른 OpenChamber 서버 → 링크 가져오기**에 붙여넣습니다
 기기가 연결되는 즉시 대화 상자가 자동으로 닫히고, 기기가 실시간 상태와 함께 목록에 나타납니다. 이것으로 페어링 완료입니다.
 ## 페어링이 안전한 이유
 - **QR 코드는 일회용입니다.** 기기가 코드를 사용하는 순간 더 이상 작동하지 않으며, 사용되지 않으면 저절로 만료됩니다.
 - **기기마다 고유한 토큰을 받습니다.** 코드를 스캔해도 UI 비밀번호는 절대 노출되지 않으며, 한 기기의 토큰으로 다른 기기를 사칭할 수 없습니다.
 - **제어권은 항상 사용자에게 있습니다.** 페어링된 모든 기기는 이름, 플랫폼, 연결 상태와 함께 목록에 표시되며, 언제든 어떤 기기든 해지할 수 있습니다.
 - **집 밖 트래픽은 종단 간 암호화됩니다.** **어디서나**를 선택하면 네트워크 밖의 트래픽은 [Private Relay](/ko/private-relay/)를 통해 전달되며, 릴레이는 지나가는 내용을 읽을 수 없습니다.
 ## 페어링된 기기 관리하기
 **Settings → Remote Instances → 이 서버에 연결**에는 이 서버에 접근할 수 있는 모든 기기가 표시됩니다. 온라인이면 초록색 점이, 로컬 네트워크와 릴레이 중 어느 경로로 연결되어 있는지도 함께 표시됩니다.
 - **해지**는 기기 접근을 즉시 차단합니다. 마음이 바뀌면 새 QR 코드로 다시 페어링하세요.
 - **해지된 항목 지우기**로 목록을 정리할 수 있습니다.
 같은 기기가 나중에 다시 로그인해도 항목은 하나로 유지되므로 중복이 쌓이지 않습니다.
 ## 명령줄에서 연결하기
 서버가 headless(UI가 열려 있지 않음)로 실행 중이면 그 컴퓨터의 터미널에서 연결 링크를 만드세요.
 같은 네트워크의 기기라면:
 ```bash
 openchamber connect-url --port 3000 --qr
 ```
 **어디서든** 연결해야 하는 기기라면(대화 상자에서 **어디서나**를 선택하는 것과 동일):
 ```bash
 openchamber connect-url --relay --qr
 ```
 `--relay` 링크에는 대화 상자와 마찬가지로 두 경로가 모두 들어 있습니다. 기기가 서버에 도달할 수 있으면 로컬 네트워크로 직접 연결하고, 밖에 있으면 [Private Relay](/ko/private-relay/)로 대체합니다. 릴레이는 스스로 시작됩니다. 실행 중인 인스턴스는 1분 안에 링크를 인식하고, 멈춰 있는 인스턴스는 다음 실행 시 인식합니다.
 > 직접 경로는 서버가 실제로 네트워크에서 수신 대기할 때만 작동합니다. 기본적으로 OpenChamber는 그 컴퓨터 자체에서만 수신 대기하므로, Wi-Fi에서 접근할 수 있게 하려면 `--lan`으로 시작하세요. 링크의 직접 경로를 다른 기기에서 사용할 수 없는 경우 명령이 경고(`[LAN_UNREACHABLE]`)를 표시합니다. 이때도 `--relay` 링크는 여전히 작동하며, 항상 릴레이를 통해 연결될 뿐입니다.
 출력된 링크와 QR 코드는 설정 대화 상자에서 만든 것과 똑같이 작동합니다. 일회용이고, 만료되며, 해지할 수 있습니다.
 ## 관련 항목
 - [Private Relay](/ko/private-relay/) — "어디서나" 연결의 작동 방식과 릴레이가 볼 수 있는 것과 없는 것
 - [모바일 앱](/ko/mobile/) — iOS 또는 Android 앱 설치
 - [원격 인스턴스](/ko/remote-instances/) — SSH나 링크로 데스크톱 앱을 서버에 연결
 - [원격 접속](/ko/troubleshooting/remote-access/) — 기기가 연결되지 않을 때
@@ -1,31 +1,43 @@
 ---
-title: PWA 및 모바일 접속
+title: 모바일 앱 & PWA
-description: OpenChamber를 앱으로 설치하고 휴대폰에서 사용하세요.
+description: iOS 또는 Android에 OpenChamber 앱을 설치하고 서버에 연결하세요.
 ---
-# PWA 및 모바일 접속
+# 모바일 앱 & PWA
-OpenChamber 웹 앱은 휴대폰 앱(PWA)처럼 설치되므로 홈 화면에 두고 전체 화면으로 사용할 수 있습니다. [터널](/ko/tunnels/)과 함께 사용하면 어디서든 세션을 확인할 수 있습니다.
+OpenChamber에는 iPhone과 Android용 네이티브 앱이 있어 휴대폰에서 세션을 지켜보고, 에이전트에 답하고, 작업을 관리할 수 있습니다. 집에서는 Wi-Fi로, 밖에서는 [Private Relay](/ko/private-relay/)를 통해 어디서든 가능합니다.
-## 설치하기
+## 앱 설치하기
-OpenChamber는 브라우저의 내장 설치 기능을 사용하므로 별도의 다운로드가 없습니다.
+- **iPhone/iPad** — [TestFlight 베타](https://testflight.apple.com/join/5ek6GU1E)에 참여하세요
 - **Android** — [최신 릴리스](https://github.com/openchamber/openchamber/releases/latest)에서 APK를 다운로드하세요
- **데스크톱 브라우저** — 주소 표시줄의 **Install** 옵션을 사용합니다
+## 서버에 연결하기
 1. OpenChamber가 실행 중인 컴퓨터에서 **Settings → Remote Instances → 이 서버에 연결**을 열고 **기기 추가**를 누릅니다.
 2. **어디서나**를 선택하고(휴대폰을 집에서만 쓸 거라면 **집 네트워크 전용**) **QR 코드 만들기**를 누릅니다.
 3. 모바일 앱에서 **QR 코드 스캔**을 탭하고 카메라를 코드에 향하게 합니다.
 앱이 연결되고 서버를 기억합니다. QR 코드는 일회용이며 기기마다 해지 가능한 고유 토큰을 받습니다. 페어링이 안전한 이유는 [기기 연결](/ko/connect-devices/)을 참고하세요.
 앱을 여러 서버와 페어링하고 인스턴스 목록에서 전환할 수 있습니다. 앱은 각 서버가 접근 가능한지, 로컬 네트워크와 릴레이 중 어느 경로로 연결되어 있는지 표시합니다.
 ## PWA (브라우저 설치)
 앱 스토어를 전혀 거치고 싶지 않다면? 웹 앱을 브라우저에서 바로 설치할 수 있습니다:
 - **데스크톱 브라우저** — 주소창의 **설치** 옵션을 사용하세요
 - **iPhone/iPad (Safari)** — 공유 → **홈 화면에 추가**
 - **Android (Chrome)** — 메뉴 → **앱 설치** / **홈 화면에 추가**
-설치되면 브라우저 크롬 없이 자체 창에서 열립니다.
+네트워크 밖에서 PWA에 접근하려면 [터널](/ko/tunnels/)과 강력한 [UI 비밀번호](/ko/security/)가 필요합니다. 네이티브 앱은 릴레이를 통해 이를 알아서 처리합니다.
 ## 휴대폰에서 접근하기
 서버가 사용자의 컴퓨터에서 실행될 때 휴대폰에서 OpenChamber를 열려면 [터널](/ko/tunnels/)을 시작하고 휴대폰에서 링크를 열거나 QR 코드를 스캔합니다. 이렇게 할 때는 항상 강력한 [UI 비밀번호](/ko/security/)를 사용하세요.
 ## 모바일 설정
-**Settings → OpenChamber** 아래의 몇 가지 옵션은 모바일 및 설치된 경험을 조정합니다. 앱의 설치 이름, 화면 방향, 화면 키보드의 동작 방식이 해당됩니다.
+**Settings → OpenChamber**에서 몇 가지 옵션으로 모바일 및 설치된 앱 경험을 조정할 수 있습니다. 앱의 설치된 이름, 화면 방향, 화면 키보드 동작 등입니다.
 ## 관련 항목
- [Tunnels](/ko/tunnels/) — 다른 네트워크에서 인스턴스에 접근하세요
+- [기기 연결](/ko/connect-devices/) — 페어링, 일회용 QR 코드, 기기 관리
- [Security](/ko/security/) — 노출하기 전에 UI를 보호하세요
+- [Private Relay](/ko/private-relay/) — "어디서나" 접속의 작동 방식
 - [보안](/ko/security/) — 노출하기 전에 UI를 보호하세요
@@ -0,0 +1,44 @@
 ---
 title: Private Relay
 description: 포트도, 터널도, 설정도 없이 종단 간 암호화 릴레이로 어디서든 OpenChamber 서버에 접속하세요.
 ---
 # Private Relay
 OpenChamber Private Relay를 사용하면 페어링된 기기가 셀룰러, 카페 네트워크, 다른 도시 등 어디서든 서버에 접속할 수 있습니다. 포트를 열거나 터널을 설정하거나 컴퓨터를 인터넷에 노출할 필요가 없습니다. 릴레이는 스스로 관리됩니다. [기기 연결](/ko/connect-devices/)에서 **어디서나**로 기기를 페어링하기만 하면 됩니다.
 ## 작동 방식
 서버가 OpenChamber 릴레이 인프라로 아웃바운드 연결을 열고 유지합니다. 기기가 네트워크 밖에 있으면 기기도 릴레이에 연결되고, 릴레이가 둘 사이의 암호화된 트래픽을 전달합니다. 컴퓨터에서 인터넷의 인바운드 연결을 수신 대기하는 것은 아무것도 없습니다.
 직접 연결이 가능하면(같은 Wi-Fi로 집에 돌아왔을 때) 기기가 직접 연결을 우선하고 릴레이는 완전히 건너뜁니다.
 ## 릴레이가 볼 수 있는 것과 없는 것
 릴레이는 중개자가 아니라 내용을 볼 수 없는 배달부입니다:
 - **종단 간 암호화.** 기기와 서버가 서로 직접 암호화 키를 합의합니다. 릴레이는 키가 없는 봉인된 트래픽을 전달할 뿐이며, 코드도 프롬프트도 비밀번호도 읽을 수 없습니다.
 - **사용자의 기기만 연결할 수 있습니다.** 기기는 [일회용 페어링](/ko/connect-devices/)을 통해 *사용자의* 서버가 발급한 토큰을 가지고 있어야 합니다. 누구도 릴레이를 통해 서버를 발견하거나 사용자가 만든 토큰 없이 연결할 수 없으며, 어떤 토큰이든 언제든 해지할 수 있습니다.
 - **페어링 링크는 일회용입니다.** 페어링 QR 코드는 정확히 한 번만 작동하고 사용되지 않으면 만료되므로, 유출된 오래된 링크는 쓸모가 없습니다.
 - **직접 켜기 전까지는 아무것도 공유되지 않습니다.** 릴레이는 사용자가 켜거나 릴레이로 기기를 페어링하기 전까지 꺼져 있으며, 언제든 끌 수 있습니다. 끄면 릴레이를 통해 연결된 기기가 즉시 차단됩니다.
 ## 언제 실행되나요
 릴레이는 자체적으로 수명 주기를 관리하므로 신경 써야 할 스위치가 없습니다:
 - **필요할 때 시작됩니다.** **어디서나** 페어링을 만들면 릴레이가 켜지고, 페어링된 기기가 하나라도 릴레이에 의존하는 한 재시작 후에도 다시 올라옵니다.
 - **스스로 멈춥니다.** 릴레이를 사용하는 기기나 대기 중인 페어링이 없어지면(예: 릴레이로 페어링된 마지막 기기를 해지한 뒤) 자동으로 종료됩니다.
 **Settings → Remote Instances → OpenChamber Relay**에는 실시간 상태(연결됨, 재연결 중, …)와 현재 릴레이를 통해 연결된 기기 수가 표시됩니다. 같은 곳에서 **끄기**를 눌러 릴레이 접근을 즉시 차단할 수도 있으며, 로컬 네트워크의 기기는 영향을 받지 않습니다.
 ## 릴레이와 터널, 무엇을 쓸까?
 - 페어링된 자신의 기기에서 자신의 서버에 접속하려면 **릴레이**를 사용하세요. 설정이 전혀 필요 없고 아무것도 공개적으로 노출되지 않습니다.
 - 일반 **공개 URL**이 필요할 때는 [터널](/ko/tunnels/)을 사용하세요. 예를 들어 페어링할 수 없는 컴퓨터의 일반 브라우저에서 OpenChamber를 열거나, [UI 비밀번호](/ko/security/) 뒤에서 접근을 공유할 때입니다.
 ## 관련 항목
 - [기기 연결](/ko/connect-devices/) — 일회용 QR 코드로 기기 페어링
 - [모바일 앱](/ko/mobile/) — iOS 또는 Android 앱 설치
 - [보안](/ko/security/) — 비밀번호, 패스키, 노출 기본 사항
 - [원격 접속](/ko/troubleshooting/remote-access/) — 연결이 완료되지 않을 때
@@ -24,19 +24,25 @@ OpenChamber가 연결 확인, 원격 설정, 서버 시작, 포트 포워딩 단
 SSH 및 UI 비밀번호를 저장할지, 매번 입력할지 결정합니다. 연결이 끊기면 OpenChamber가 어느 단계가 실패했는지 알려주므로 고칠 수 있습니다. [Remote access](/ko/troubleshooting/remote-access/)를 참고하세요.
-## 직접 연결 링크
+## 연결 링크
-원격 머신에서 OpenChamber가 이미 실행 중이면 그 머신에서 연결 링크를 만들고 **Settings → Remote Instances → Server links**에서 가져오세요:
+원격 머신에서 OpenChamber가 이미 실행 중이라면 데스크톱 앱을 연결하는 가장 쉬운 방법은 페어링 링크입니다. 원격 서버의 UI에서 **Settings → Remote Instances → 이 서버에 연결 → 기기 추가**를 열어 링크를 만들고, 데스크톱의 **Settings → Remote Instances → 다른 OpenChamber 서버 → 링크 가져오기**에서 가져오세요. 전체 흐름은 [기기 연결](/ko/connect-devices/)을 참고하세요.
 **어디서나**로 만든 링크에는 직접 주소와 [Private Relay](/ko/private-relay/) 경로가 모두 들어 있습니다. 데스크톱이 서버에 도달할 수 있으면(같은 네트워크) 직접 연결하고, 밖에 있으면 종단 간 암호화 릴레이로 대체합니다. 저장된 각 서버 옆의 상태에 어느 경로가 사용 중인지 표시됩니다.
 원격 머신의 터미널에서도 링크를 만들 수 있습니다:
 ```bash
 openchamber connect-url --port 3000 --server http://your-host:3000 --qr
 ```
-해당 포트에 서버가 없으면 `connect-url`이 먼저 서버를 시작합니다. Headless 서버에는 `--api-only`, 시작 시 LAN에 바인딩하려면 `--lan`, 브라우저 접근 보호에는 `--ui-password`, 저장된 연결 이름에는 `--name`을 사용하세요.
+해당 포트에 서버가 없으면 `connect-url`이 먼저 서버를 시작합니다. Headless 서버에는 `--api-only`, 시작 시 LAN에 바인딩하려면 `--lan`, 브라우저 접근 보호에는 `--ui-password`, 저장된 연결 이름에는 `--name`을 사용하세요. 로컬 네트워크 밖에서도 작동하는 링크가 필요하면 `--relay`를 추가하세요. 기기는 도달 가능할 때 직접 연결을 우선하고, 밖에서는 [Private Relay](/ko/private-relay/)로 대체합니다. 인스턴스가 릴레이를 알아서 올립니다.
-생성된 링크에는 OpenChamber 앱용 client token이 들어 있습니다. 이 token은 브라우저 UI 비밀번호와 별개이며, 취소하거나 삭제하기 전까지 서버 재시작 후에도 유지됩니다.
+생성된 링크에는 일회용 페어링 시크릿이 들어 있습니다. 한 번 가져오면 기기는 브라우저 UI 비밀번호와 별개인 고유 client token을 갖게 되며, 발급한 서버에서 해지하기 전까지 서버 재시작 후에도 유지됩니다.
 ## 관련 항목
 - [기기 연결](/ko/connect-devices/) — 페어링 링크, QR 코드, 기기 관리
 - [Private Relay](/ko/private-relay/) — "어디서나" 연결의 작동 방식
 - [OpenCode Server](/ko/opencode-server/) — 웹이나 VS Code에서 원격 서버에 연결하세요
 - [Remote access](/ko/troubleshooting/remote-access/) — 연결이 완료되지 않을 때
@@ -20,6 +20,8 @@ description: 일정에 따라 프롬프트를 자동으로 실행하세요.
 **run now**로 작업을 즉시 실행하여 기대대로 동작하는지 확인할 수 있습니다.
 **목표로 실행**을 체크하면 실행이 한 번의 답변에서 멈추지 않고 프롬프트를 완료까지 추진합니다 — [세션 목표](/session-goals/)를 참고하세요.
 ## 성공이란 어떤 모습인가
 실행 후 작업에는 마지막 실행 시각, 성공 여부, 생성된 세션으로의 링크가 표시됩니다. 실행이 실패하면 오류도 거기에 표시됩니다.
@@ -25,13 +25,20 @@ openchamber --ui-password be-creative-here
 패스키는 현재 비밀번호에 연결됩니다. 비밀번호를 변경하거나 제거하면 저장된 패스키가 삭제되며, 다시 추가해야 합니다.
 ## 기기 토큰
 [기기 연결](/ko/connect-devices/)로 페어링된 기기는 UI 비밀번호가 아닌 기기별 고유 토큰으로 인증합니다. 페어링 링크는 일회용이며 사용되지 않으면 만료됩니다. 페어링된 모든 기기는 **Settings → Remote Instances → 이 서버에 연결**에 표시되며, 언제든 어떤 기기든 해지할 수 있습니다. 집 밖에서의 연결은 종단 간 암호화되어 트래픽을 읽을 수 없는 [Private Relay](/ko/private-relay/)를 통해 이루어집니다.
 ## 노출하기 전에
 - 기본적으로 OpenChamber는 사용자 자신의 컴퓨터(`127.0.0.1`)에서만 수신 대기합니다. 더 넓게 수신 대기하려면 의도적인 변경이 필요하며, 먼저 비밀번호를 설정해야 합니다.
- 인터넷에 포트를 여는 것보다 [터널](/ko/tunnels/)이나 사설 네트워크(예: VPN)를 선호하세요.
+- 자신의 기기라면 [Private Relay](/ko/private-relay/)를 통한 [페어링](/ko/connect-devices/)을 선호하세요. 아무것도 공개적으로 노출되지 않습니다.
 - 공개 URL이 필요하다면 인터넷에 포트를 여는 것보다 [터널](/ko/tunnels/)이나 사설 네트워크(예: VPN)를 선호하세요.
 - OpenChamber를 자체 HTTPS 서버 뒤에 둔다면 [Reverse Proxy](/ko/reverse-proxy/)를 참고하세요.
 ## 관련 항목
- [Tunnels](/ko/tunnels/) — 원격으로 인스턴스에 접근하는 권장 방법
+- [기기 연결](/ko/connect-devices/) — 일회용 페어링과 기기별 토큰
 - [Private Relay](/ko/private-relay/) — 어디서든 가능한 종단 간 암호화 접속
 - [Tunnels](/ko/tunnels/) — 필요할 때 공개 URL 노출
 - [Reverse Proxy](/ko/reverse-proxy/) — 자체 서버 뒤에서 OpenChamber 실행
@@ -0,0 +1,73 @@
 ---
 title: 세션 목표
 description: 프롬프트를 목표로 바꾸면 에이전트가 자동으로 계속 작업합니다.
 ---
 # 세션 목표
 목표는 하나의 프롬프트를 결승선으로 바꿉니다. 답변이 올 때마다 "계속해"라고 재촉하는 대신 목표를 한 번만 설정하면 — OpenChamber가 세션을 자동으로 목표를 향해 이끌고, 매 턴이 끝날 때마다 독립적인 감사 모델로 진행 상황을 확인합니다. 자리를 비운 동안에도 계속 작동합니다.
 ## 목표 시작하기
 1. 컴포저의 타깃 버튼을 누릅니다. 불이 켜지면 목표 모드가 준비된 것입니다.
 2. 프롬프트를 작성하고 전송합니다. 그 메시지가 목표가 됩니다.
 기존 세션과 새 세션 초안 모두에서 동일하게 작동합니다. 타깃을 켜고 첫 메시지를 작성해 전송하면 — 새 세션이 목표가 이미 활성화된 상태로 시작됩니다.
 ### 목표를 시작하는 다른 방법
 - **에이전트의 답변에서**: "Start new session from this answer" 대화 상자에서 **목표로 실행**을 체크 — 답변이 과제로 넘겨져 새 세션이 완료까지 실행합니다(**Create worktree**와 결합하면 격리된 실행이 됩니다).
 - **계획에서**: 저장된 계획을 새 세션이나 worktree에서 구현할 때 대화 상자의 **목표로 실행**을 체크하세요. 목표에 계획 내용이 담기므로 감사가 실제 계획을 기준으로 진행 상황을 판단합니다.
 - **일정에 따라**: [예약 작업](/scheduled-tasks/)에서 **목표로 실행**을 체크하면 반복 실행이 프롬프트를 완료까지 추진합니다.
 ## 자기 완결적인 목표 작성하기
 진행 감사 모델은 목표와 에이전트의 최신 답변만 봅니다 — 채팅 기록은 보지 않습니다. 따라서 대화 맥락을 모르는 사람도 완료 상태가 어떤 모습인지 이해할 수 있도록 목표 메시지를 작성하세요.
 - 좋은 예: "내보내기 모듈에 테스트를 추가하고 전체 테스트 스위트를 통과시켜."
 - 좋지 않은 예: "고쳐줘" 또는 "그 아이디어로 계속해."
 작은 맥락적 후속 지시에는 목표가 필요 없습니다 — 그냥 일반 메시지를 보내세요.
 ## 작동 방식
 에이전트가 멈추고 세션이 잠시 조용해지면 OpenChamber는:
 1. 작고 저렴한 모델에게 최신 턴을 목표와 대조해 감사하게 합니다: 계속, 완료, 아니면 막힘?
 2. 판정이 "계속"이면 계속 프롬프트를 보내고 에이전트가 작업을 다시 시작합니다.
 3. 목표가 검증 가능하게 달성되면 목표가 완료되고 알림이 옵니다.
 4. 에이전트가 정말로 막혔다면(사용자의 입력이 필요하면) 목표는 차단됨으로 멈춥니다 — 단, 감사가 세 번 연속 그렇게 판정한 후에만요. 한 번의 걸림돌로 목표가 끝나는 일은 없습니다.
 강제 안전장치도 있습니다: 선택적 토큰 예산, 자동 계속 횟수 상한, 턴 오류 시 중지. 작업 도중 세션 컨텍스트가 압축되어도 목표는 그냥 계속됩니다 — 컨텍스트 창에 부딪혔다는 것 자체가 작업이 끝나지 않았다는 증거이기 때문입니다.
 ### 중지와 재개
 - **중지 버튼**은 실행 중인 턴을 중단하고 목표를 일시 중지합니다 — 당신의 명시적인 "멈춰"가 항상 루프보다 우선합니다.
 - 스트립의 **일시 중지**는 반대 방향에서 같은 일을 합니다: 목표를 일시 중지하고 실행 중인 턴을 멈춥니다.
 - 일시 중지 중에는 평소처럼 채팅하세요 — 루프가 끼어들지 않습니다.
 - **재개**는 루프를 다시 켭니다: 유휴 세션에서는 계속 프롬프트가 즉시 나가고, 에이전트가 작업 중이라면 다음 멈춤에서 루프가 조용히 다시 붙습니다.
 ## 확인 및 관리
 - 컴포저 위의 스트립에 최신 진행 메모, 상태, 토큰 사용량이 표시되며, 일시 중지/재개 버튼이 함께 있습니다. 에이전트가 멈췄는데 목표가 활성 상태라면 스트립에 회전하는 **평가 중…**이 표시됩니다 — 조용한 대기 시간과 감사가 진행 중이라는 뜻입니다.
 - 타깃 버튼은 목표가 실행 중일 때 켜져 있고(파란색), 완료되면 초록색, 차단되거나 예산이 소진되면 빨간색이 됩니다. 누르면 목표 대화 상자가 열립니다: 목표나 예산을 편집하거나 목표를 제거하세요. 완료된 목표는 읽기 전용입니다 — 제거한 후 새 목표를 시작하세요.
 - 세션 사이드바에서 세션 날짜 옆에 목표 상태 색상의 작은 타깃이 나타납니다.
 ## 알림
 목표가 활성 상태인 동안 턴마다 오는 "에이전트 준비 완료" 알림은 억제됩니다 — 루프 자체의 계속 실행을 되풀이할 뿐이기 때문입니다. 목표가 확정되면(완료, 차단, 예산 도달) 대신 최종 알림 하나가 데스크톱과 모바일 푸시로 옵니다. "완료 시 알림"과 같은 설정을 따릅니다. 권한 요청, 질문, 오류 알림은 평소처럼 계속 작동합니다.
 ## 토큰 예산
 **설정 → 채팅 → 목표**에서 새 목표의 기본 토큰 예산을 설정할 수 있습니다. 목표가 예산에 도달하면 더 소비하지 않고 "예산 도달"로 멈춥니다 — 예산을 올리고 목표 대화 상자에서 재개할 수 있습니다.
 ## 유의 사항
 - 목표 루프는 브라우저 탭이 아니라 OpenChamber 서버에서 실행됩니다. 탭을 닫든 휴대폰을 잠그든 — 에이전트는 계속 일하고, 목표가 확정되면 알림이 옵니다. 서버(데스크톱 앱 또는 `openchamber` 프로세스)는 계속 실행 중이어야 합니다.
 - 목표는 감사 호출을 포함해 세션 자체의 프로바이더와 모델을 사용합니다 — 이미 사용 중인 프로바이더 밖으로 나가는 것은 없습니다.
 - 세션당 목표는 한 번에 하나입니다.
 ## 관련
 - [예약 작업](/scheduled-tasks/) — 일정에 따라 프롬프트 실행; "목표로 실행"을 켜면 예약 실행이 프롬프트를 완료까지 추진합니다
 - [알림](/notifications/) — 완료된 목표를 알게 되는 방법
@@ -12,6 +12,15 @@ description: 터널, 원격 인스턴스, 다른 기기에서 OpenChamber에 접
 - 같은 컴퓨터에서 `http://localhost:3000`을 먼저 엽니다. 이것이 실패하면 원격 문제가 아닙니다. [OpenCode 연결](/ko/troubleshooting/opencode-connection/)을 참고하세요
 - `openchamber status`로 서버가 실행 중인지 확인합니다
 ## 페어링된 기기가 연결되지 않음
 - QR 코드/페어링 링크는 **일회용**입니다. 이미 스캔되었거나 만료되었다면 **기기 추가**에서 새로 만드세요
 - 기기를 **집 네트워크 전용**으로 페어링했다면 그 네트워크 밖에서는 연결할 수 없습니다. **어디서나**로 다시 페어링하세요
 - **어디서나** 페어링이라면 서버의 **Settings → Remote Instances → OpenChamber Relay**를 확인하세요. **연결됨**으로 표시되어야 하며, 아니라면 껐다가 다시 켜세요
 - 기기가 **해지**되었다면 토큰은 영구히 사라진 것입니다. 새 QR 코드로 다시 페어링하세요
 이 연결의 작동 방식은 [기기 연결](/ko/connect-devices/)과 [Private Relay](/ko/private-relay/)를 참고하세요.
 ## 터널 링크가 작동하지 않음
 - `openchamber tunnel status --all`을 실행합니다
@@ -34,5 +43,5 @@ OpenChamber를 리버스 프록시 뒤에 두었는데 이상하게 로드되거
 ## 관련 항목
- [Tunnels](/ko/tunnels/) · [Remote Instances](/ko/remote-instances/) · [Reverse Proxy](/ko/reverse-proxy/)
+- [기기 연결](/ko/connect-devices/) · [Private Relay](/ko/private-relay/) · [Tunnels](/ko/tunnels/) · [Remote Instances](/ko/remote-instances/) · [Reverse Proxy](/ko/reverse-proxy/)
 - [Security](/ko/security/) — 노출하기 전에 UI를 보호하세요
@@ -5,7 +5,9 @@ description: 원격 및 모바일 접근을 위해 OpenChamber를 안전하게
 # 터널
-터널은 OpenChamber로 연결되는 공개 링크로, 휴대폰이나 다른 네트워크에서 접근할 수 있게 해줍니다. 실행 중인 인스턴스에 터널을 만들려면 `openchamber tunnel`을 사용하세요.
+터널은 OpenChamber로 연결되는 공개 링크로, 다른 네트워크의 일반 브라우저에서 접근할 수 있게 해줍니다. 실행 중인 인스턴스에 터널을 만들려면 `openchamber tunnel`을 사용하세요.
 > **자신의 기기**(모바일 앱, 다른 데스크톱)를 연결할 때는 보통 터널이 필요 없습니다. 대신 [기기를 페어링](/ko/connect-devices/)하고, 설정이 전혀 필요 없는 종단 간 암호화 [Private Relay](/ko/private-relay/)에 집 밖 접속을 맡기세요.
 ## 사전 요구 사항
@@ -111,6 +113,7 @@ openchamber tunnel stop --port 3000
 ## 관련 문서
 - [기기 연결](/ko/connect-devices/) — 자신의 기기는 터널 대신 페어링하세요
 - [보안](/ko/security/) — 외부에 공개하기 전에 UI를 보호하세요
 - [데스크톱 터널](/ko/desktop-tunnels/) — CLI 시작 없이 데스크톱 앱에서 터널 설정
 - [PWA 및 모바일 접속](/ko/mobile/) — 휴대폰에서 OpenChamber에 접속하세요
--- a/Show More
+++ b/Show More