diff --git a/frontend/src/components/ReauthModal.svelte b/frontend/src/components/ReauthModal.svelte
index b7cb2ad..09c31e5 100644
--- a/frontend/src/components/ReauthModal.svelte
+++ b/frontend/src/components/ReauthModal.svelte
@@ -1,5 +1,5 @@
 <script lang="ts">
-  import { getAuthState } from '../lib/auth.svelte'
+  import { getAuthState, getValidToken } from '../lib/auth.svelte'
   import { api, ApiError } from '../lib/api'
   import { _ } from '../lib/i18n'
 
@@ -74,7 +74,12 @@
     loading = true
     error = ''
     try {
-      await api.reauthPassword(auth.session.accessJwt, password)
+      const token = await getValidToken()
+      if (!token) {
+        error = 'Session expired. Please log in again.'
+        return
+      }
+      await api.reauthPassword(token, password)
       show = false
       onSuccess()
     } catch (e) {
@@ -90,7 +95,12 @@
     loading = true
     error = ''
     try {
-      await api.reauthTotp(auth.session.accessJwt, totpCode)
+      const token = await getValidToken()
+      if (!token) {
+        error = 'Session expired. Please log in again.'
+        return
+      }
+      await api.reauthTotp(token, totpCode)
       show = false
       onSuccess()
     } catch (e) {
@@ -109,7 +119,12 @@
     loading = true
     error = ''
     try {
-      const { options } = await api.reauthPasskeyStart(auth.session.accessJwt)
+      const token = await getValidToken()
+      if (!token) {
+        error = 'Session expired. Please log in again.'
+        return
+      }
+      const { options } = await api.reauthPasskeyStart(token)
       const publicKeyOptions = prepareAuthOptions(options)
       const credential = await navigator.credentials.get({
         publicKey: publicKeyOptions
@@ -131,7 +146,7 @@
           userHandle: response.userHandle ? arrayBufferToBase64Url(response.userHandle) : null,
         },
       }
-      await api.reauthPasskeyFinish(auth.session.accessJwt, credentialResponse)
+      await api.reauthPasskeyFinish(token, credentialResponse)
       show = false
       onSuccess()
     } catch (e) {
@@ -152,8 +167,8 @@
 </script>
 
 {#if show}
-  <div class="modal-backdrop" onclick={handleClose} role="presentation">
-    <div class="modal" onclick={(e) => e.stopPropagation()} role="dialog" aria-modal="true">
+  <div class="modal-backdrop" onclick={handleClose} onkeydown={(e) => e.key === 'Escape' && handleClose()} role="presentation">
+    <div class="modal" onclick={(e) => e.stopPropagation()} onkeydown={(e) => e.stopPropagation()} role="dialog" aria-modal="true" tabindex="-1">
       <div class="modal-header">
         <h2>Re-authentication Required</h2>
         <button class="close-btn" onclick={handleClose} aria-label="Close">&times;</button>
diff --git a/frontend/src/lib/api.ts b/frontend/src/lib/api.ts
index 68c3be8..d60a1cc 100644
--- a/frontend/src/lib/api.ts
+++ b/frontend/src/lib/api.ts
@@ -11,13 +11,20 @@ export class ApiError extends Error {
   }
 }
 
+let tokenRefreshCallback: (() => Promise<string | null>) | null = null
+
+export function setTokenRefreshCallback(callback: () => Promise<string | null>) {
+  tokenRefreshCallback = callback
+}
+
 async function xrpc<T>(method: string, options?: {
   method?: 'GET' | 'POST'
   params?: Record<string, string>
   body?: unknown
   token?: string
+  skipRetry?: boolean
 }): Promise<T> {
-  const { method: httpMethod = 'GET', params, body, token } = options ?? {}
+  const { method: httpMethod = 'GET', params, body, token, skipRetry } = options ?? {}
   let url = `${API_BASE}/${method}`
   if (params) {
     const searchParams = new URLSearchParams(params)
@@ -37,6 +44,12 @@ async function xrpc<T>(method: string, options?: {
   })
   if (!res.ok) {
     const err = await res.json().catch(() => ({ error: 'Unknown', message: res.statusText }))
+    if (res.status === 401 && err.error === 'AuthenticationFailed' && token && tokenRefreshCallback && !skipRetry) {
+      const newToken = await tokenRefreshCallback()
+      if (newToken && newToken !== token) {
+        return xrpc(method, { ...options, token: newToken, skipRetry: true })
+      }
+    }
     throw new ApiError(res.status, err.error, err.message, err.did, err.reauthMethods)
   }
   return res.json()
diff --git a/frontend/src/lib/auth.svelte.ts b/frontend/src/lib/auth.svelte.ts
index 9986a3b..ef87673 100644
--- a/frontend/src/lib/auth.svelte.ts
+++ b/frontend/src/lib/auth.svelte.ts
@@ -1,4 +1,4 @@
-import { api, type Session, type CreateAccountParams, type CreateAccountResult, ApiError } from './api'
+import { api, setTokenRefreshCallback, type Session, type CreateAccountParams, type CreateAccountResult, ApiError } from './api'
 import { startOAuthLogin, handleOAuthCallback, checkForOAuthCallback, clearOAuthCallbackParams, refreshOAuthToken } from './oauth'
 import { setLocale, type SupportedLocale } from './i18n'
 
@@ -92,7 +92,27 @@ function removeSavedAccount(did: string) {
   state.savedAccounts = accounts
 }
 
+async function tryRefreshToken(): Promise<string | null> {
+  if (!state.session) return null
+  try {
+    const tokens = await refreshOAuthToken(state.session.refreshJwt)
+    const sessionInfo = await api.getSession(tokens.access_token)
+    const session: Session = {
+      ...sessionInfo,
+      accessJwt: tokens.access_token,
+      refreshJwt: tokens.refresh_token || state.session.refreshJwt,
+    }
+    state.session = session
+    saveSession(session)
+    addOrUpdateSavedAccount(session)
+    return session.accessJwt
+  } catch {
+    return null
+  }
+}
+
 export async function initAuth() {
+  setTokenRefreshCallback(tryRefreshToken)
   state.loading = true
   state.error = null
   state.savedAccounts = loadSavedAccounts()
@@ -142,11 +162,13 @@ export async function initAuth() {
           saveSession(session)
           addOrUpdateSavedAccount(session)
           applyLocaleFromSession(sessionInfo)
-        } catch {
+        } catch (refreshError) {
+          console.error('Token refresh failed during init:', refreshError)
           saveSession(null)
           state.session = null
         }
       } else {
+        console.error('Non-401 error during getSession:', e)
         saveSession(null)
         state.session = null
       }
@@ -321,6 +343,33 @@ export function getToken(): string | null {
   return state.session?.accessJwt ?? null
 }
 
+export async function getValidToken(): Promise<string | null> {
+  if (!state.session) return null
+  try {
+    await api.getSession(state.session.accessJwt)
+    return state.session.accessJwt
+  } catch (e) {
+    if (e instanceof ApiError && e.status === 401) {
+      try {
+        const tokens = await refreshOAuthToken(state.session.refreshJwt)
+        const sessionInfo = await api.getSession(tokens.access_token)
+        const session: Session = {
+          ...sessionInfo,
+          accessJwt: tokens.access_token,
+          refreshJwt: tokens.refresh_token || state.session.refreshJwt,
+        }
+        state.session = session
+        saveSession(session)
+        addOrUpdateSavedAccount(session)
+        return session.accessJwt
+      } catch {
+        return null
+      }
+    }
+    return null
+  }
+}
+
 export function isAuthenticated(): boolean {
   return state.session !== null
 }
diff --git a/frontend/src/lib/i18n.ts b/frontend/src/lib/i18n.ts
index 199ff21..6db2056 100644
--- a/frontend/src/lib/i18n.ts
+++ b/frontend/src/lib/i18n.ts
@@ -2,20 +2,24 @@ import { register, init, getLocaleFromNavigator, locale, _ } from 'svelte-i18n'
 
 const LOCALE_STORAGE_KEY = 'tranquil-pds-locale'
 
-const SUPPORTED_LOCALES = ['en', 'zh', 'ja', 'ko'] as const
+const SUPPORTED_LOCALES = ['en', 'zh', 'ja', 'ko', 'sv', 'fi'] as const
 export type SupportedLocale = typeof SUPPORTED_LOCALES[number]
 
 export const localeNames: Record<SupportedLocale, string> = {
   en: 'English',
   zh: '中文',
   ja: '日本語',
-  ko: '한국어'
+  ko: '한국어',
+  sv: 'Svenska',
+  fi: 'Suomi'
 }
 
 register('en', () => import('../locales/en.json'))
 register('zh', () => import('../locales/zh.json'))
 register('ja', () => import('../locales/ja.json'))
 register('ko', () => import('../locales/ko.json'))
+register('sv', () => import('../locales/sv.json'))
+register('fi', () => import('../locales/fi.json'))
 
 function getInitialLocale(): string {
   const stored = localStorage.getItem(LOCALE_STORAGE_KEY)
diff --git a/frontend/src/locales/en.json b/frontend/src/locales/en.json
index 412b365..3be19b9 100644
--- a/frontend/src/locales/en.json
+++ b/frontend/src/locales/en.json
@@ -306,6 +306,8 @@
     "legacyLoginDescription": "Allow signing in with username/password directly (legacy mode). When disabled, you must use OAuth with MFA.",
     "legacyLoginOn": "Legacy login is enabled",
     "legacyLoginOff": "Legacy login is disabled",
+    "enableLegacyLogin": "Enable legacy login",
+    "disableLegacyLogin": "Disable legacy login",
     "legacyLoginWarning": "Warning: Enabling legacy login bypasses MFA for direct password logins. Only enable if needed for app compatibility.",
     "totpPasswordWarning": "With TOTP enabled, changing your password from the Bluesky app (or other legacy apps) will be blocked. To change your password, you have two options:",
     "totpPasswordOption1Label": "Change it here:",
diff --git a/frontend/src/locales/fi.json b/frontend/src/locales/fi.json
new file mode 100644
index 0000000..ef6b2a2
--- /dev/null
+++ b/frontend/src/locales/fi.json
@@ -0,0 +1,704 @@
+{
+  "common": {
+    "loading": "Ladataan...",
+    "error": "Virhe",
+    "save": "Tallenna",
+    "cancel": "Peruuta",
+    "back": "Takaisin",
+    "done": "Valmis",
+    "refresh": "Päivitä",
+    "create": "Luo",
+    "delete": "Poista",
+    "confirm": "Vahvista",
+    "created": "Luotu",
+    "expires": "Vanhenee",
+    "name": "Nimi",
+    "dashboard": "Hallintapaneeli",
+    "backToDashboard": "← Hallintapaneeli"
+  },
+  "login": {
+    "title": "Kirjaudu sisään",
+    "subtitle": "Kirjaudu sisään hallitaksesi PDS-tiliäsi",
+    "button": "Kirjaudu sisään",
+    "redirecting": "Ohjataan...",
+    "chooseAccount": "Valitse tili",
+    "signInToAnother": "Kirjaudu toiselle tilille",
+    "backToSaved": "← Takaisin tallennettuihin tileihin",
+    "forgotPassword": "Unohditko salasanan?",
+    "lostPasskey": "Kadotitko pääsyavaimen?",
+    "noAccount": "Eikö sinulla ole tiliä?",
+    "createAccount": "Luo tili",
+    "removeAccount": "Poista tallennetuista tileistä"
+  },
+  "verification": {
+    "title": "Vahvista tilisi",
+    "subtitle": "Tilisi vaatii vahvistuksen. Syötä vahvistusmenetelmääsi lähetetty koodi.",
+    "codeLabel": "Vahvistuskoodi",
+    "codePlaceholder": "Syötä 6-numeroinen koodi",
+    "verifyButton": "Vahvista tili",
+    "verifying": "Vahvistetaan...",
+    "resendButton": "Lähetä koodi uudelleen",
+    "resending": "Lähetetään uudelleen...",
+    "resent": "Vahvistuskoodi lähetetty uudelleen!",
+    "backToLogin": "Takaisin kirjautumiseen"
+  },
+  "register": {
+    "title": "Luo tili",
+    "subtitle": "Luo uusi tili tälle PDS:lle",
+    "handle": "Käyttäjänimi",
+    "handlePlaceholder": "nimesi",
+    "handleHint": "Täydellinen käyttäjänimesi on: @{handle}",
+    "handleDotWarning": "Omat verkkotunnukset voidaan määrittää tilin luomisen jälkeen Asetuksissa.",
+    "password": "Salasana",
+    "passwordPlaceholder": "Vähintään 8 merkkiä",
+    "confirmPassword": "Vahvista salasana",
+    "confirmPasswordPlaceholder": "Vahvista salasanasi",
+    "identityType": "Identiteettityyppi",
+    "identityHint": "Valitse, miten hajautettu identiteettisi hallinnoidaan.",
+    "didPlc": "did:plc",
+    "didPlcRecommended": "(Suositellaan)",
+    "didPlcHint": "Siirrettävä identiteetti, jota hallinnoi PLC Directory",
+    "didWeb": "did:web",
+    "didWebHint": "Identiteetti isännöidään tällä PDS:llä (lue alla oleva varoitus)",
+    "didWebBYOD": "did:web (oma verkkotunnus)",
+    "didWebBYODHint": "Käytä omaa verkkotunnustasi",
+    "didWebWarningTitle": "Tärkeää: Ymmärrä kompromissit",
+    "didWebWarning1": "Pysyvä sidonta tähän PDS:ään:",
+    "didWebWarning1Detail": "Identiteettisi on {did}. Vaikka siirtyisit toiseen PDS:ään myöhemmin, tämän palvelimen on jatkettava DID-dokumenttisi isännöintiä.",
+    "didWebWarning2": "Ei palautusmekanismia:",
+    "didWebWarning2Detail": "Toisin kuin did:plc, did:web ei sisällä rotaatioavaimia. Jos tämä PDS menee pysyvästi offline-tilaan, identiteettiäsi ei voida palauttaa.",
+    "didWebWarning3": "Sitoudumme sinuun:",
+    "didWebWarning3Detail": "Jos siirryt pois, jatkamme minimaalisen DID-dokumentin tarjoamista, joka osoittaa uuteen PDS:ääsi. Identiteettisi pysyy toiminnassa.",
+    "didWebWarning4": "Suositus:",
+    "didWebWarning4Detail": "Valitse did:plc, ellei sinulla ole erityistä syytä suosia did:web:iä.",
+    "externalDid": "Sinun did:web",
+    "externalDidPlaceholder": "did:web:verkkotunnuksesi.fi",
+    "externalDidHint": "Verkkotunnuksesi on tarjottava kelvollinen DID-dokumentti osoitteessa /.well-known/did.json, joka osoittaa tähän PDS:ään",
+    "contactMethod": "Yhteysmenetelmä",
+    "contactMethodHint": "Valitse, miten haluat vahvistaa tilisi ja vastaanottaa ilmoituksia. Tarvitset vain yhden.",
+    "verificationMethod": "Vahvistusmenetelmä",
+    "email": "Sähköposti",
+    "emailAddress": "Sähköpostiosoite",
+    "emailPlaceholder": "sinä@esimerkki.fi",
+    "discord": "Discord",
+    "discordId": "Discord-käyttäjätunnus",
+    "discordIdPlaceholder": "Discord-käyttäjätunnuksesi",
+    "discordIdHint": "Numeerinen Discord-käyttäjätunnuksesi (ota Kehittäjätila käyttöön löytääksesi sen)",
+    "telegram": "Telegram",
+    "telegramUsername": "Telegram-käyttäjänimi",
+    "telegramUsernamePlaceholder": "@käyttäjänimesi",
+    "signal": "Signal",
+    "signalNumber": "Signal-puhelinnumero",
+    "signalNumberPlaceholder": "+358401234567",
+    "signalNumberHint": "Sisällytä maakoodi (esim. +358 Suomelle)",
+    "inviteCode": "Kutsukoodi",
+    "inviteCodePlaceholder": "Syötä kutsukoodisi",
+    "inviteCodeRequired": "vaaditaan",
+    "createButton": "Luo tili",
+    "creating": "Luodaan tiliä...",
+    "alreadyHaveAccount": "Onko sinulla jo tili?",
+    "signIn": "Kirjaudu sisään",
+    "wantPasswordless": "Haluatko salasanattoman turvallisuuden?",
+    "createPasskeyAccount": "Luo pääsyavaintili",
+    "validation": {
+      "handleRequired": "Käyttäjänimi vaaditaan",
+      "handleNoDots": "Käyttäjänimi ei voi sisältää pisteitä. Voit määrittää oman verkkotunnuksen tilin luomisen jälkeen.",
+      "passwordRequired": "Salasana vaaditaan",
+      "passwordLength": "Salasanan on oltava vähintään 8 merkkiä",
+      "passwordsMismatch": "Salasanat eivät täsmää",
+      "inviteCodeRequired": "Kutsukoodi vaaditaan",
+      "externalDidRequired": "Ulkoinen did:web vaaditaan",
+      "externalDidFormat": "Ulkoisen DID:n on alettava did:web:",
+      "emailRequired": "Sähköposti vaaditaan sähköpostivahvistukseen",
+      "discordIdRequired": "Discord-tunnus vaaditaan Discord-vahvistukseen",
+      "telegramRequired": "Telegram-käyttäjänimi vaaditaan Telegram-vahvistukseen",
+      "signalRequired": "Puhelinnumero vaaditaan Signal-vahvistukseen"
+    }
+  },
+  "dashboard": {
+    "title": "Hallintapaneeli",
+    "switchAccount": "Vaihda tiliä",
+    "addAnotherAccount": "Lisää toinen tili",
+    "signOut": "Kirjaudu ulos @{handle}",
+    "deactivatedTitle": "Tili poistettu käytöstä",
+    "deactivatedMessage": "Tilisi on tällä hetkellä poistettu käytöstä. Tämä tapahtuu yleensä tilin siirron aikana. Jotkut toiminnot voivat olla rajoitettuja, kunnes tilisi aktivoidaan uudelleen.",
+    "accountOverview": "Tilin yleiskatsaus",
+    "handle": "Käyttäjänimi",
+    "did": "DID",
+    "primaryContact": "Ensisijainen yhteystieto",
+    "admin": "Ylläpitäjä",
+    "deactivated": "Poistettu käytöstä",
+    "verified": "Vahvistettu",
+    "unverified": "Vahvistamaton",
+    "navAppPasswords": "Sovellusten salasanat",
+    "navAppPasswordsDesc": "Hallitse kolmannen osapuolen sovellusten salasanoja",
+    "navSessions": "Aktiiviset istunnot",
+    "navSessionsDesc": "Näytä ja hallitse kirjautumisistuntoja",
+    "navInviteCodes": "Kutsukoodit",
+    "navInviteCodesDesc": "Näytä ja luo kutsukoodeja",
+    "navSettings": "Tilin asetukset",
+    "navSettingsDesc": "Sähköposti, salasana, käyttäjänimi ja muuta",
+    "navSecurity": "Turvallisuus",
+    "navSecurityDesc": "Kaksivaiheinen tunnistautuminen",
+    "navComms": "Viestintäasetukset",
+    "navCommsDesc": "Discord-, Telegram-, Signal-kanavat",
+    "navRepo": "Tietovarastoselaaja",
+    "navRepoDesc": "Selaa ja hallitse raakoja AT Protocol -tietueita",
+    "navAdmin": "Ylläpitopaneeli",
+    "navAdminDesc": "Palvelintilastot ja ylläpitotoiminnot"
+  },
+  "settings": {
+    "title": "Tilin asetukset",
+    "language": "Kieli",
+    "languageDescription": "Valitse haluamasi kieli",
+    "changeEmail": "Vaihda sähköposti",
+    "currentEmail": "Nykyinen: {email}",
+    "newEmail": "Uusi sähköposti",
+    "newEmailPlaceholder": "uusi@esimerkki.fi",
+    "changeEmailButton": "Vaihda sähköposti",
+    "requesting": "Pyydetään...",
+    "verificationCode": "Vahvistuskoodi",
+    "verificationCodePlaceholder": "Syötä koodi sähköpostista",
+    "confirmEmailChange": "Vahvista sähköpostin vaihto",
+    "updating": "Päivitetään...",
+    "changeHandle": "Vaihda käyttäjänimi",
+    "currentHandle": "Nykyinen: @{handle}",
+    "pdsHandle": "PDS-käyttäjänimi",
+    "customDomain": "Oma verkkotunnus",
+    "customDomainDescription": "Käytä omaa verkkotunnustasi käyttäjänimenä. Sinun on vahvistettava verkkotunnuksen omistajuus ensin.",
+    "setupInstructions": "Asennusohjeet",
+    "setupMethodsIntro": "Valitse jokin näistä vahvistusmenetelmistä:",
+    "dnsMethod": "Vaihtoehto 1: DNS TXT -tietue (Suositellaan)",
+    "dnsMethodDesc": "Lisää tämä TXT-tietue verkkotunnukseesi:",
+    "httpMethod": "Vaihtoehto 2: HTTP Well-Known -tiedosto",
+    "httpMethodDesc": "Tarjoa DID tästä URL-osoitteesta:",
+    "httpMethodContent": "Tiedoston tulee sisältää vain:",
+    "yourDomain": "Verkkotunnuksesi",
+    "yourDomainPlaceholder": "esimerkki.fi",
+    "verifyAndUpdate": "Vahvista ja päivitä käyttäjänimi",
+    "verifying": "Vahvistetaan...",
+    "newHandle": "Uusi käyttäjänimi",
+    "newHandlePlaceholder": "käyttäjänimesi",
+    "changeHandleButton": "Vaihda käyttäjänimi",
+    "changePassword": "Vaihda salasana",
+    "currentPassword": "Nykyinen salasana",
+    "currentPasswordPlaceholder": "Syötä nykyinen salasana",
+    "newPassword": "Uusi salasana",
+    "newPasswordPlaceholder": "Vähintään 8 merkkiä",
+    "confirmNewPassword": "Vahvista uusi salasana",
+    "confirmNewPasswordPlaceholder": "Vahvista uusi salasana",
+    "changePasswordButton": "Vaihda salasana",
+    "changing": "Vaihdetaan...",
+    "exportData": "Vie tiedot",
+    "exportDataDescription": "Lataa koko tietovarastosi CAR-tiedostona (Content Addressable Archive). Tämä sisältää kaikki julkaisusi, tykkäyksesi, seuraamisesi ja muut tiedot.",
+    "downloadRepo": "Lataa tietovarasto",
+    "exporting": "Viedään...",
+    "deleteAccount": "Poista tili",
+    "deleteWarning": "Tämä toiminto on peruuttamaton. Kaikki tietosi poistetaan pysyvästi.",
+    "requestDeletion": "Pyydä tilin poistoa",
+    "confirmationCode": "Vahvistuskoodi (sähköpostista)",
+    "confirmationCodePlaceholder": "Syötä vahvistuskoodi",
+    "yourPassword": "Salasanasi",
+    "yourPasswordPlaceholder": "Syötä salasanasi",
+    "permanentlyDelete": "Poista tili pysyvästi",
+    "deleting": "Poistetaan...",
+    "messages": {
+      "emailCodeSent": "Vahvistuskoodi lähetetty nykyiseen sähköpostiisi",
+      "emailUpdated": "Sähköposti päivitetty",
+      "handleUpdated": "Käyttäjänimi päivitetty",
+      "passwordChanged": "Salasana vaihdettu",
+      "passwordsMismatch": "Salasanat eivät täsmää",
+      "passwordLength": "Salasanan on oltava vähintään 8 merkkiä",
+      "deletionCodeSent": "Poistovahvistus lähetetty sähköpostiisi",
+      "repoExported": "Tietovarasto viety",
+      "confirmDelete": "Oletko täysin varma, että haluat poistaa tilisi? Tätä ei voi perua."
+    }
+  },
+  "appPasswords": {
+    "title": "Sovellusten salasanat",
+    "description": "Sovellusten salasanat mahdollistavat kirjautumisen kolmannen osapuolen sovelluksiin antamatta niille pääsalasanaasi. Jokainen sovellusen salasana voidaan perua erikseen.",
+    "createNew": "Luo uusi sovelluksen salasana",
+    "appNamePlaceholder": "Sovelluksen nimi (esim. Graysky, Skeets)",
+    "created": "Sovelluksen salasana luotu",
+    "createdMessage": "Kopioi tämä salasana nyt. Et voi nähdä sitä enää myöhemmin.",
+    "yourPasswords": "Sovellustesi salasanat",
+    "noPasswords": "Ei vielä sovellusten salasanoja",
+    "revoke": "Peruuta",
+    "revoking": "Peruutetaan...",
+    "creating": "Luodaan...",
+    "revokeConfirm": "Peruuta sovelluksen salasana \"{name}\"? Sovellukset, jotka käyttävät tätä salasanaa, eivät enää pääse tilillesi."
+  },
+  "sessions": {
+    "title": "Aktiiviset istunnot",
+    "loadingSessions": "Ladataan istuntoja...",
+    "noSessions": "Aktiivisia istuntoja ei löytynyt.",
+    "current": "Nykyinen",
+    "oauth": "OAuth",
+    "session": "Istunto",
+    "signOut": "Kirjaudu ulos",
+    "revoke": "Peruuta",
+    "revokeAll": "Peruuta kaikki muut istunnot",
+    "revokeCurrentConfirm": "Tämä kirjaa sinut ulos tästä istunnosta. Jatketaanko?",
+    "revokeConfirm": "Peruuta tämä istunto?",
+    "revokeAllConfirm": "Tämä peruuttaa {count} muuta istuntoa. Jatketaanko?",
+    "noOtherSessions": "Ei muita peruutettavia istuntoja",
+    "failedToLoad": "Istuntojen lataaminen epäonnistui",
+    "failedToRevoke": "Istunnon peruuttaminen epäonnistui",
+    "failedToRevokeAll": "Istuntojen peruuttaminen epäonnistui",
+    "created": "Luotu:",
+    "expires": "Vanhenee:",
+    "daysAgo": "{count} päivää sitten",
+    "hoursAgo": "{count} tuntia sitten",
+    "minutesAgo": "{count} minuuttia sitten",
+    "justNow": "Juuri nyt"
+  },
+  "inviteCodes": {
+    "title": "Kutsukoodit",
+    "description": "Kutsukoodit mahdollistavat ystävien kutsumisen. Jokainen koodi voidaan käyttää kerran.",
+    "createNew": "Luo uusi kutsukoodi",
+    "uses": "Käyttökerrat",
+    "usesPlaceholder": "Käyttökertojen määrä (1-100)",
+    "yourCodes": "Kutsukoodisi",
+    "noCodes": "Ei vielä kutsukoodeja",
+    "available": "Saatavilla",
+    "used": "Käyttänyt @{handle}",
+    "disabled": "Poistettu käytöstä",
+    "usedBy": "Käyttänyt",
+    "creating": "Luodaan...",
+    "disableConfirm": "Poista tämä kutsukoodi käytöstä? Sitä ei voi enää käyttää.",
+    "created": "Kutsukoodi luotu",
+    "copy": "Kopioi",
+    "createdOn": "Luotu {date}"
+  },
+  "security": {
+    "title": "Turvallisuus",
+    "passkeys": "Pääsyavaimet",
+    "passkeysDescription": "Pääsyavaimet tarjoavat turvallisen, salasanattoman tunnistautumisen käyttäen laitteesi sisäänrakennettua turvallisuutta (sormenjälki, kasvot tai PIN).",
+    "addPasskey": "Lisää pääsyavain",
+    "adding": "Lisätään...",
+    "noPasskeys": "Ei rekisteröityjä pääsyavaimia",
+    "passkeyName": "Pääsyavaimen nimi",
+    "passkeyNamePlaceholder": "esim. MacBook Pro, iPhone",
+    "register": "Rekisteröi",
+    "registering": "Rekisteröidään...",
+    "rename": "Nimeä uudelleen",
+    "renaming": "Nimetään uudelleen...",
+    "deletePasskey": "Poista",
+    "deletePasskeyConfirm": "Poista pääsyavain \"{name}\"? Et voi enää käyttää sitä kirjautumiseen.",
+    "totp": "Todentajasovellus (TOTP)",
+    "totpDescription": "Käytä todentajasovellusta kuten Google Authenticator, Authy tai 1Password kaksivaiheiseen tunnistautumiseen.",
+    "totpEnabled": "TOTP on käytössä",
+    "totpDisabled": "TOTP ei ole käytössä",
+    "enableTotp": "Ota TOTP käyttöön",
+    "disableTotp": "Poista TOTP käytöstä",
+    "disabling": "Poistetaan käytöstä...",
+    "totpSetup": "Määritä todentajasovellus",
+    "totpSetupInstructions": "Skannaa tämä QR-koodi todentajasovelluksellasi ja syötä sitten 6-numeroinen koodi vahvistaaksesi.",
+    "totpCode": "Vahvistuskoodi",
+    "totpCodePlaceholder": "Syötä 6-numeroinen koodi",
+    "verifyAndEnable": "Vahvista ja ota käyttöön",
+    "backupCodes": "Varakoodit",
+    "backupCodesDescription": "Käytä näitä koodeja kirjautuaksesi sisään, jos menetät pääsyn todentajasovellukseesi. Jokainen koodi voidaan käyttää vain kerran.",
+    "regenerateBackupCodes": "Luo uudet varakoodit",
+    "regenerating": "Luodaan...",
+    "regenerateConfirm": "Luo uudet varakoodit? Nykyiset koodisi eivät enää toimi.",
+    "legacyLogin": "Vanhentunut kirjautuminen",
+    "legacyLoginDescription": "Salli kirjautuminen käyttäjänimellä/salasanalla suoraan (vanhentunut tila). Kun tämä on poistettu käytöstä, sinun on käytettävä OAuthia MFA:n kanssa.",
+    "legacyLoginOn": "Vanhentunut kirjautuminen on käytössä",
+    "legacyLoginOff": "Vanhentunut kirjautuminen on poistettu käytöstä",
+    "enableLegacyLogin": "Ota vanhentunut kirjautuminen käyttöön",
+    "disableLegacyLogin": "Poista vanhentunut kirjautuminen käytöstä",
+    "legacyLoginWarning": "Varoitus: Vanhentuneen kirjautumisen käyttöönotto ohittaa MFA:n suorissa salasanakirjautumisissa. Ota käyttöön vain jos sovellusyhteensopivuus sitä vaatii.",
+    "totpPasswordWarning": "Kun TOTP on käytössä, salasanan vaihtaminen Bluesky-sovelluksesta (tai muista vanhentuneista sovelluksista) estetään. Salasanan vaihtamiseen on kaksi vaihtoehtoa:",
+    "totpPasswordOption1Label": "Vaihda se täällä:",
+    "totpPasswordOption1Text": "Käytä tämän sivuston",
+    "totpPasswordOption1Link": "Asetukset-sivua",
+    "totpPasswordOption1Suffix": "jossa voit vahvistaa todentajasovelluksellasi.",
+    "totpPasswordOption2Label": "Vahvista istuntosi ensin:",
+    "totpPasswordOption2Text": "Käytä",
+    "totpPasswordOption2Link": "uudelleentodennusvaihtoehtoa",
+    "totpPasswordOption2Suffix": "vahvistaaksesi Bluesky-istuntosi TOTP:lla, sitten salasanan vaihto toimii väliaikaisesti.",
+    "legacyAppsTitle": "Mitä ovat vanhentuneet sovellukset?",
+    "legacyAppsDescription": "Jotkin sovellukset (kuten virallinen Bluesky-sovellus) käyttävät vanhentunutta todennusta, joka vaatii vain salasanasi. Kun sinulla on MFA käytössä, nämä sovellukset ohittavat toisen tekijäsi. Vanhentuneen kirjautumisen poistaminen käytöstä pakottaa kaikki sovellukset käyttämään OAuthia, joka soveltaa MFA:ta oikein.",
+    "password": "Salasana",
+    "passwordStatus": "Sinulla on salasana asetettuna",
+    "noPassword": "Ei salasanaa asetettuna (vain pääsyavaintili)",
+    "setPassword": "Aseta salasana",
+    "removePassword": "Poista salasana",
+    "removePasswordConfirm": "Poista salasanasi? Sinun on käytettävä pääsyavaimia kirjautuaksesi sisään.",
+    "removing": "Poistetaan...",
+    "loading": "Ladataan...",
+    "loadingPasskeys": "Ladataan pääsyavaimia...",
+    "cancel": "Peruuta",
+    "save": "Tallenna",
+    "back": "Takaisin",
+    "next": "Seuraava: Vahvista koodi",
+    "copyToClipboard": "Kopioi leikepöydälle",
+    "savedMyCodes": "Olen tallentanut koodini",
+    "cantScan": "Etkö voi skannata? Syötä manuaalisesti",
+    "unnamedPasskey": "Nimetön pääsyavain",
+    "added": "Lisätty",
+    "lastUsed": "Viimeksi käytetty",
+    "passwordDescription": "Hallitse tilisi salasanaa. Jos sinulla on pääsyavaimia määritettynä, voit halutessasi poistaa salasanasi täysin salasanattoman kokemuksen saavuttamiseksi.",
+    "disableTotpWarning": "Tämä tekee tilistäsi vähemmän turvallisen.",
+    "removePasswordWarning": "Tämä tekee tilistäsi vain pääsyavaintilin. Voit kirjautua sisään vain rekisteröidyillä pääsyavaimillasi. Jos menetät pääsyn kaikkiin pääsyavaimeesi, voit palauttaa tilisi ilmoituskanavan kautta.",
+    "beforeProceeding": "Ennen kuin jatkat:",
+    "beforeProceedingItem1": "Varmista, että sinulla on vähintään yksi luotettava pääsyavain rekisteröitynä",
+    "beforeProceedingItem2": "Harkitse pääsyavainten rekisteröimistä useille laitteille",
+    "beforeProceedingItem3": "Varmista, että palautusilmoituskanavasi on ajan tasalla",
+    "addPasskeyFirst": "Lisää vähintään yksi pääsyavain ennen kuin voit poistaa salasanasi.",
+    "passkeyOnlyHint": "Kirjaudut sisään vain pääsyavaimilla. Jos menetät pääsyn pääsyavaimeesi, voit palauttaa tilisi käyttämällä \"Kadotitko pääsyavaimen?\" -linkkiä kirjautumissivulla.",
+    "trustedDevices": "Luotetut laitteet",
+    "trustedDevicesDescription": "Hallitse laitteita, jotka voivat ohittaa kaksivaiheisen tunnistautumisen kirjautuessaan. Luottamus myönnetään 30 päiväksi ja jatkuu automaattisesti, kun käytät laitetta.",
+    "manageTrustedDevices": "Hallitse luotettuja laitteita",
+    "appCompatibility": "Sovellusyhteensopivuus",
+    "enterPassword": "Syötä salasanasi",
+    "legacyLoginEnabled": "Vanhentuneiden sovellusten kirjautuminen käytössä",
+    "legacyLoginDisabled": "Vanhentuneiden sovellusten kirjautuminen poistettu käytöstä - vain OAuth-sovellukset voivat kirjautua",
+    "failedToUpdatePreference": "Asetuksen päivittäminen epäonnistui",
+    "passwordRemoved": "Salasana poistettu. Tilisi on nyt vain pääsyavaintili.",
+    "failedToRemovePassword": "Salasanan poistaminen epäonnistui",
+    "failedToLoadTotpStatus": "TOTP-tilan lataaminen epäonnistui",
+    "totpEnabledSuccess": "Kaksivaiheinen tunnistautuminen käytössä",
+    "totpDisabledSuccess": "Kaksivaiheinen tunnistautuminen poistettu käytöstä",
+    "backupCodesCopied": "Varakoodit kopioitu leikepöydälle",
+    "failedToLoadPasskeys": "Pääsyavainten lataaminen epäonnistui",
+    "passkeysNotSupported": "Pääsyavaimia ei tueta tässä selaimessa",
+    "passkeyCreationCancelled": "Pääsyavaimen luominen peruutettu",
+    "passkeyAddedSuccess": "Pääsyavain lisätty",
+    "passkeyDeleted": "Pääsyavain poistettu",
+    "passkeyRenamed": "Pääsyavain nimetty uudelleen"
+  },
+  "comms": {
+    "title": "Viestintäasetukset",
+    "description": "Valitse, miten haluat vastaanottaa tärkeitä viestejä kuten salasanan palautuksia, turvallisuushälytyksiä ja tilipäivityksiä.",
+    "preferredChannel": "Ensisijainen kanava",
+    "preferredChannelDescription": "Valitse ensisijainen tapasi vastaanottaa viestejä. Sinun on määritettävä kanava ennen kuin voit valita sen.",
+    "channelConfiguration": "Kanavan määritys",
+    "emailVia": "Vastaanota viestejä sähköpostitse",
+    "discordVia": "Vastaanota viestejä Discord-yksityisviestinä",
+    "telegramVia": "Vastaanota viestejä Telegramissa",
+    "signalVia": "Vastaanota viestejä Signalissa",
+    "configureToEnable": "Määritä alla ottaaksesi käyttöön",
+    "emailManagedInSettings": "Sähköpostisi hallinnoidaan Tilin asetuksissa",
+    "discordIdHint": "Discord-käyttäjätunnuksesi (ei käyttäjänimi). Ota Kehittäjätila käyttöön Discordissa kopioidaksesi sen.",
+    "telegramHint": "Telegram-käyttäjänimesi ilman @-merkkiä",
+    "signalHint": "Signal-puhelinnumerosi maakoodilla",
+    "primary": "Ensisijainen",
+    "verified": "Vahvistettu",
+    "notVerified": "Vahvistamaton",
+    "verifyButton": "Vahvista",
+    "verifyCodePlaceholder": "Syötä vahvistuskoodi",
+    "submit": "Lähetä",
+    "saving": "Tallennetaan...",
+    "savePreferences": "Tallenna asetukset",
+    "preferencesSaved": "Viestintäasetukset tallennettu",
+    "verifiedSuccess": "{channel} vahvistettu",
+    "messageHistory": "Viestihistoria",
+    "historyDescription": "Näytä viimeisimmät tilillesi lähetetyt viestit.",
+    "loadHistory": "Lataa historia",
+    "hideHistory": "Piilota historia",
+    "noMessages": "Viestejä ei löytynyt.",
+    "sent": "lähetetty",
+    "failed": "epäonnistui"
+  },
+  "repoExplorer": {
+    "title": "Tietovarastoselaaja",
+    "description": "Selaa ja hallitse raakoja AT Protocol -tietueitasi.",
+    "collections": "Kokoelmat",
+    "noCollections": "Kokoelmia ei löytynyt",
+    "records": "Tietueet",
+    "noRecords": "Ei tietueita tässä kokoelmassa",
+    "recordDetails": "Tietueen tiedot",
+    "rkey": "Tietueavain",
+    "cid": "CID",
+    "value": "Arvo",
+    "deleteRecord": "Poista tietue",
+    "deleteConfirm": "Poista tietue {rkey}? Tätä ei voi perua.",
+    "unknownError": "Tuntematon virhe tapahtui",
+    "invalidJson": "Virheellinen JSON",
+    "collectionRequired": "Kokoelma vaaditaan",
+    "recordCreated": "Tietue luotu: {uri}",
+    "recordUpdated": "Tietue päivitetty",
+    "recordDeleted": "Tietue poistettu",
+    "newRecord": "Uusi tietue",
+    "createRecord": "Luo tietue",
+    "filterCollections": "Suodata kokoelmia...",
+    "filterRecords": "Suodata tietueita...",
+    "noCollectionsYet": "Ei vielä kokoelmia. Luo ensimmäinen tietueesi aloittaaksesi.",
+    "loadMore": "Lataa lisää",
+    "recordJson": "Tietueen JSON",
+    "saving": "Tallennetaan...",
+    "updateRecord": "Päivitä tietue",
+    "collectionNsid": "Kokoelma (NSID)",
+    "recordKeyOptional": "Tietueavain (valinnainen)",
+    "autoGenerated": "Luodaan automaattisesti jos tyhjä (TID)",
+    "autoGeneratedHint": "Jätä tyhjäksi luodaksesi TID-pohjaisen avaimen automaattisesti",
+    "creating": "Luodaan...",
+    "demoPostText": "Hei PDS:ltäni! Tämä on ensimmäinen julkaisuni.",
+    "demoDisplayName": "Näyttönimesi",
+    "demoBio": "Lyhyt kuvaus itsestäsi."
+  },
+  "admin": {
+    "title": "Ylläpitopaneeli",
+    "serverStats": "Palvelintilastot",
+    "users": "Käyttäjät",
+    "repos": "Tietovarastot",
+    "records": "Tietueet",
+    "blobStorage": "Blob-tallennustila",
+    "refreshStats": "Päivitä tilastot",
+    "userManagement": "Käyttäjähallinta",
+    "searchPlaceholder": "Hae käyttäjänimellä (valinnainen)",
+    "searchUsers": "Hae käyttäjiä",
+    "noUsers": "Käyttäjiä ei löytynyt",
+    "handle": "Käyttäjänimi",
+    "email": "Sähköposti",
+    "status": "Tila",
+    "created": "Luotu",
+    "loadMore": "Lataa lisää",
+    "inviteCodes": "Kutsukoodit",
+    "loadInviteCodes": "Lataa kutsukoodit",
+    "refresh": "Päivitä",
+    "noInvites": "Kutsukoodeja ei löytynyt",
+    "code": "Koodi",
+    "available": "Saatavilla",
+    "uses": "Käyttökerrat",
+    "actions": "Toiminnot",
+    "disable": "Poista käytöstä",
+    "disableInviteConfirm": "Poista kutsukoodi {code} käytöstä?",
+    "active": "Aktiivinen",
+    "exhausted": "Käytetty loppuun",
+    "disabled": "Poistettu käytöstä",
+    "userDetails": "Käyttäjän tiedot",
+    "did": "DID",
+    "invites": "Kutsut",
+    "enabled": "Käytössä",
+    "enableInvites": "Ota kutsut käyttöön",
+    "disableInvites": "Poista kutsut käytöstä",
+    "deleteAccount": "Poista tili",
+    "deleteConfirm": "Poista tili @{handle}? Tätä ei voi perua.",
+    "verified": "Vahvistettu",
+    "unverified": "Vahvistamaton",
+    "deactivated": "Poistettu käytöstä"
+  },
+  "oauth": {
+    "login": {
+      "title": "Kirjaudu sisään",
+      "subtitle": "Kirjaudu sisään jatkaaksesi sovellukseen",
+      "signingIn": "Kirjaudutaan...",
+      "authenticating": "Todennetaan...",
+      "checkingPasskey": "Tarkistetaan pääsyavainta...",
+      "signInWithPasskey": "Kirjaudu pääsyavaimella",
+      "passkeyNotSetUp": "Pääsyavainta ei ole määritetty",
+      "orUsePassword": "tai käytä salasanaa",
+      "password": "Salasana",
+      "rememberDevice": "Muista tämä laite",
+      "passkeyHintChecking": "Tarkistetaan pääsyavaimen tilaa...",
+      "passkeyHintAvailable": "Kirjaudu pääsyavaimellasi",
+      "passkeyHintNotAvailable": "Ei rekisteröityjä pääsyavaimia tälle tilille"
+    },
+    "consent": {
+      "title": "Valtuuta sovellus",
+      "appWantsAccess": "{app} haluaa käyttää tiliäsi",
+      "permissions": "Tämä sovellus voi:",
+      "readProfile": "Lukea profiilitietosi",
+      "readPosts": "Lukea julkaisusi ja sisältösi",
+      "writePosts": "Luoda ja poistaa julkaisuja puolestasi",
+      "readNotifications": "Lukea ilmoituksesi",
+      "fullAccess": "Täysi pääsy tiliisi",
+      "authorize": "Valtuuta",
+      "deny": "Estä",
+      "authorizing": "Valtuutetaan...",
+      "rememberChoice": "Muista tämä valinta",
+      "signingInAs": "Kirjaudutaan käyttäjänä:",
+      "permissionsRequested": "Pyydetyt oikeudet",
+      "required": "Vaaditaan",
+      "rememberChoiceLabel": "Muista valintani tälle sovellukselle"
+    },
+    "accounts": {
+      "title": "Valitse tili",
+      "subtitle": "Valitse tili jatkaaksesi",
+      "useAnother": "Käytä toista tiliä"
+    },
+    "twoFactor": {
+      "title": "Kaksivaiheinen tunnistautuminen",
+      "subtitle": "Lisävahvistus vaaditaan",
+      "usePasskey": "Käytä pääsyavainta",
+      "useTotp": "Käytä todentajasovellusta",
+      "verifying": "Vahvistetaan..."
+    },
+    "twoFactorCode": {
+      "title": "Kaksivaiheinen tunnistautuminen",
+      "subtitle": "Vahvistuskoodi on lähetetty {channel}. Syötä koodi alla jatkaaksesi.",
+      "codeLabel": "Vahvistuskoodi",
+      "codePlaceholder": "Syötä 6-numeroinen koodi",
+      "verify": "Vahvista",
+      "verifying": "Vahvistetaan...",
+      "errors": {
+        "missingRequestUri": "Puuttuva request_uri-parametri",
+        "verificationFailed": "Vahvistus epäonnistui",
+        "connectionFailed": "Palvelimeen yhdistäminen epäonnistui",
+        "unexpectedResponse": "Odottamaton vastaus palvelimelta"
+      }
+    },
+    "totp": {
+      "title": "Syötä todentajakoodi",
+      "subtitle": "Syötä 6-numeroinen koodi todentajasovelluksestasi",
+      "codePlaceholder": "Syötä 6-numeroinen koodi",
+      "verify": "Vahvista",
+      "verifying": "Vahvistetaan...",
+      "useBackupCode": "Käytä varakoodia sen sijaan",
+      "backupCodePlaceholder": "Syötä varakoodi",
+      "trustDevice": "Luota tähän laitteeseen 30 päivää",
+      "hintBackupCode": "Käytetään varakoodia",
+      "hintTotpCode": "Käytetään todentajakoodia",
+      "hintDefault": "6 numeroa todentajalle, 8 merkkiä varakoodille"
+    },
+    "passkey": {
+      "title": "Pääsyavaimen vahvistus",
+      "subtitle": "Käytä pääsyavaintasi vahvistaaksesi henkilöllisyytesi",
+      "waiting": "Odotetaan pääsyavainta...",
+      "useTotp": "Käytä todentajasovellusta sen sijaan"
+    },
+    "error": {
+      "title": "Valtuutusvirhe",
+      "genericError": "Valtuutuksen aikana tapahtui virhe.",
+      "tryAgain": "Yritä uudelleen",
+      "backToApp": "Takaisin sovellukseen"
+    }
+  },
+  "verify": {
+    "title": "Vahvista tilisi",
+    "subtitle": "Olemme lähettäneet vahvistuskoodin {channel}. Syötä se alla viimeistelläksesi rekisteröinnin.",
+    "codePlaceholder": "Syötä 6-numeroinen koodi",
+    "codeLabel": "Vahvistuskoodi",
+    "verifyButton": "Vahvista tili",
+    "verifying": "Vahvistetaan...",
+    "resendCode": "Lähetä koodi uudelleen",
+    "resending": "Lähetetään uudelleen...",
+    "codeResent": "Vahvistuskoodi lähetetty uudelleen!",
+    "backToLogin": "Takaisin kirjautumiseen",
+    "verifyingAccount": "Vahvistetaan tiliä: @{handle}",
+    "startOver": "Aloita alusta toisella tilillä",
+    "noPending": "Odottavaa vahvistusta ei löytynyt.",
+    "noPendingInfo": "Jos loit tilin äskettäin ja sinun on vahvistettava se, sinun on ehkä luotava uusi tili. Jos olet jo vahvistanut tilisi, voit kirjautua sisään.",
+    "createAccount": "Luo tili",
+    "signIn": "Kirjaudu sisään"
+  },
+  "resetPassword": {
+    "title": "Palauta salasana",
+    "forgotTitle": "Unohtuiko salasana",
+    "subtitle": "Syötä saamasi koodi ja valitse uusi salasana.",
+    "forgotSubtitle": "Syötä käyttäjänimesi tai sähköpostisi, niin lähetämme sinulle koodin salasanan palauttamiseksi.",
+    "handleOrEmail": "Käyttäjänimi tai sähköposti",
+    "emailPlaceholder": "käyttäjänimi tai sinä@esimerkki.fi",
+    "sendCode": "Lähetä palautuskoodi",
+    "sending": "Lähetetään...",
+    "codeSent": "Palautuskoodi lähetetty! Tarkista ensisijainen ilmoituskanavasi.",
+    "enterCode": "Syötä koodi sähköpostistasi ja uusi salasanasi.",
+    "code": "Palautuskoodi",
+    "codePlaceholder": "Syötä palautuskoodi",
+    "newPassword": "Uusi salasana",
+    "newPasswordPlaceholder": "Vähintään 8 merkkiä",
+    "confirmPassword": "Vahvista salasana",
+    "confirmPasswordPlaceholder": "Vahvista uusi salasana",
+    "resetButton": "Palauta salasana",
+    "resetting": "Palautetaan...",
+    "success": "Salasana palautettu!",
+    "backToLogin": "Takaisin kirjautumiseen",
+    "requestNewCode": "Pyydä uusi koodi",
+    "passwordsMismatch": "Salasanat eivät täsmää",
+    "passwordLength": "Salasanan on oltava vähintään 8 merkkiä"
+  },
+  "recoverPasskey": {
+    "title": "Palauta tilisi",
+    "invalidLinkTitle": "Virheellinen palautuslinkki",
+    "invalidLinkMessage": "Tämä palautuslinkki on virheellinen tai vioittunut. Pyydä uusi palautussähköposti.",
+    "goToLogin": "Siirry kirjautumiseen",
+    "successTitle": "Salasana asetettu!",
+    "successMessage": "Väliaikainen salasanasi on asetettu. Voit nyt kirjautua sisään tällä salasanalla.",
+    "successNextSteps": "Kirjautumisen jälkeen suosittelemme lisäämään uuden pääsyavaimen turvallisuusasetuksissasi palauttaaksesi vain pääsyavaintodennuksen.",
+    "signIn": "Kirjaudu sisään",
+    "subtitle": "Aseta väliaikainen salasana saadaksesi pääsyn takaisin vain pääsyavaintiliisi.",
+    "newPassword": "Uusi salasana",
+    "newPasswordPlaceholder": "Vähintään 8 merkkiä",
+    "confirmPassword": "Vahvista salasana",
+    "confirmPasswordPlaceholder": "Vahvista salasanasi",
+    "whatHappensNext": "Mitä tapahtuu seuraavaksi?",
+    "whatHappensNextDetail": "Tämän salasanan asettamisen jälkeen voit kirjautua sisään ja lisätä uuden pääsyavaimen turvallisuusasetuksissasi. Kun sinulla on uusi pääsyavain, voit halutessasi poistaa väliaikaisen salasanan.",
+    "setPassword": "Aseta salasana",
+    "settingPassword": "Asetetaan salasanaa...",
+    "validation": {
+      "passwordRequired": "Uusi salasana vaaditaan",
+      "passwordLength": "Salasanan on oltava vähintään 8 merkkiä",
+      "passwordsMismatch": "Salasanat eivät täsmää"
+    },
+    "errors": {
+      "invalidLink": "Virheellinen palautuslinkki. Pyydä uusi.",
+      "expired": "Tämä palautuslinkki on vanhentunut. Pyydä uusi."
+    }
+  },
+  "requestPasskeyRecovery": {
+    "title": "Palauta pääsyavaintili",
+    "subtitle": "Menetit pääsyn pääsyavaimeesi? Syötä käyttäjänimesi tai sähköpostisi, niin lähetämme sinulle palautuslinkin.",
+    "successTitle": "Palautuslinkki lähetetty",
+    "successMessage": "Jos tilisi on olemassa ja on vain pääsyavaintili, saat palautuslinkin ensisijaiseen ilmoituskanavaasi.",
+    "successInfo": "Linkki vanhenee tunnin kuluttua. Tarkista sähköpostisi, Discord, Telegram tai Signal tilisi asetusten mukaan.",
+    "handleOrEmail": "Käyttäjänimi tai sähköposti",
+    "emailPlaceholder": "käyttäjänimi tai sinä@esimerkki.fi",
+    "howItWorks": "Miten se toimii",
+    "howItWorksDetail": "Lähetämme suojatun linkin rekisteröityyn ilmoituskanavaasi. Klikkaa linkkiä asettaaksesi väliaikaisen salasanan. Sitten voit kirjautua sisään ja lisätä uuden pääsyavaimen.",
+    "sendRecoveryLink": "Lähetä palautuslinkki",
+    "sending": "Lähetetään...",
+    "backToLogin": "Takaisin kirjautumiseen"
+  },
+  "registerPasskey": {
+    "title": "Luo pääsyavaintili",
+    "subtitle": "Luo salasanaton tili pääsyavaimella.",
+    "handle": "Käyttäjänimi",
+    "handlePlaceholder": "nimesi",
+    "handleHint": "Täydellinen käyttäjänimesi on: @{handle}",
+    "email": "Sähköpostiosoite",
+    "emailPlaceholder": "sinä@esimerkki.fi",
+    "inviteCode": "Kutsukoodi",
+    "inviteCodePlaceholder": "Syötä kutsukoodisi",
+    "createButton": "Luo tili",
+    "creating": "Luodaan...",
+    "alreadyHaveAccount": "Onko sinulla jo tili?",
+    "signIn": "Kirjaudu sisään",
+    "wantPassword": "Haluatko käyttää salasanaa?",
+    "createPasswordAccount": "Luo salasanatili"
+  },
+  "trustedDevices": {
+    "title": "Luotetut laitteet",
+    "backToSecurity": "← Turvallisuusasetukset",
+    "description": "Luotetut laitteet voivat ohittaa kaksivaiheisen tunnistautumisen kirjautuessaan. Luottamus myönnetään 30 päiväksi ja jatkuu automaattisesti, kun käytät laitetta.",
+    "noDevices": "Ei vielä luotettuja laitteita.",
+    "noDevicesHint": "Kun kirjaudut sisään kaksivaiheisen tunnistautumisen ollessa käytössä, voit valita luottaa laitteeseen 30 päivää.",
+    "lastSeen": "Viimeksi nähty:",
+    "trustedSince": "Luotettu alkaen:",
+    "trustExpires": "Luottamus vanhenee:",
+    "expired": "Vanhentunut",
+    "tomorrow": "Huomenna",
+    "inDays": "{days} päivän kuluttua",
+    "revoke": "Peruuta luottamus",
+    "revokeConfirm": "Oletko varma, että haluat peruuttaa luottamuksen tälle laitteelle? Sinun on syötettävä 2FA-koodisi seuraavan kerran kirjautuessasi tältä laitteelta.",
+    "deviceRevoked": "Laitteen luottamus peruutettu",
+    "deviceRenamed": "Laite nimetty uudelleen",
+    "deviceNamePlaceholder": "Laitteen nimi",
+    "browser": "Selain:",
+    "unknownDevice": "Tuntematon laite"
+  },
+  "reauth": {
+    "title": "Uudelleentodennus vaaditaan",
+    "subtitle": "Vahvista henkilöllisyytesi jatkaaksesi.",
+    "usePassword": "Käytä salasanaa",
+    "usePasskey": "Käytä pääsyavainta",
+    "useTotp": "Käytä todentajaa",
+    "passwordPlaceholder": "Syötä salasanasi",
+    "totpPlaceholder": "Syötä 6-numeroinen koodi",
+    "verify": "Vahvista",
+    "verifying": "Vahvistetaan...",
+    "cancel": "Peruuta"
+  }
+}
diff --git a/frontend/src/locales/ja.json b/frontend/src/locales/ja.json
index 86e647b..f004df4 100644
--- a/frontend/src/locales/ja.json
+++ b/frontend/src/locales/ja.json
@@ -306,6 +306,8 @@
     "legacyLoginDescription": "ユーザー名/パスワードでの直接ログイン（レガシーモード）を許可します。無効にすると、MFA 付きの OAuth を使用する必要があります。",
     "legacyLoginOn": "レガシーログインは有効です",
     "legacyLoginOff": "レガシーログインは無効です",
+    "enableLegacyLogin": "レガシーログインを有効にする",
+    "disableLegacyLogin": "レガシーログインを無効にする",
     "legacyLoginWarning": "警告: レガシーログインを有効にすると、直接パスワードログインの MFA がバイパスされます。アプリの互換性が必要な場合にのみ有効にしてください。",
     "totpPasswordWarning": "TOTP が有効な場合、Bluesky アプリ（または他のレガシーアプリ）からパスワードを変更することはできません。パスワードを変更するには、2つの方法があります：",
     "totpPasswordOption1Label": "ここで変更する：",
diff --git a/frontend/src/locales/ko.json b/frontend/src/locales/ko.json
index 23dfc97..b8108ae 100644
--- a/frontend/src/locales/ko.json
+++ b/frontend/src/locales/ko.json
@@ -306,6 +306,8 @@
     "legacyLoginDescription": "사용자 이름/비밀번호로 직접 로그인(레거시 모드)을 허용합니다. 비활성화하면 MFA가 있는 OAuth를 사용해야 합니다.",
     "legacyLoginOn": "레거시 로그인이 활성화되었습니다",
     "legacyLoginOff": "레거시 로그인이 비활성화되었습니다",
+    "enableLegacyLogin": "레거시 로그인 활성화",
+    "disableLegacyLogin": "레거시 로그인 비활성화",
     "legacyLoginWarning": "경고: 레거시 로그인을 활성화하면 직접 비밀번호 로그인에 대한 MFA가 우회됩니다. 앱 호환성이 필요한 경우에만 활성화하세요.",
     "totpPasswordWarning": "TOTP가 활성화되면 Bluesky 앱(또는 기타 레거시 앱)에서 비밀번호를 변경할 수 없습니다. 비밀번호를 변경하려면 두 가지 방법이 있습니다:",
     "totpPasswordOption1Label": "여기에서 변경:",
diff --git a/frontend/src/locales/sv.json b/frontend/src/locales/sv.json
new file mode 100644
index 0000000..eed7743
--- /dev/null
+++ b/frontend/src/locales/sv.json
@@ -0,0 +1,704 @@
+{
+  "common": {
+    "loading": "Laddar...",
+    "error": "Fel",
+    "save": "Spara",
+    "cancel": "Avbryt",
+    "back": "Tillbaka",
+    "done": "Klar",
+    "refresh": "Uppdatera",
+    "create": "Skapa",
+    "delete": "Radera",
+    "confirm": "Bekräfta",
+    "created": "Skapad",
+    "expires": "Upphör",
+    "name": "Namn",
+    "dashboard": "Kontrollpanel",
+    "backToDashboard": "← Kontrollpanel"
+  },
+  "login": {
+    "title": "Logga in",
+    "subtitle": "Logga in för att hantera ditt PDS-konto",
+    "button": "Logga in",
+    "redirecting": "Omdirigerar...",
+    "chooseAccount": "Välj ett konto",
+    "signInToAnother": "Logga in med ett annat konto",
+    "backToSaved": "← Tillbaka till sparade konton",
+    "forgotPassword": "Glömt lösenordet?",
+    "lostPasskey": "Tappat bort nyckeln?",
+    "noAccount": "Har du inget konto?",
+    "createAccount": "Skapa konto",
+    "removeAccount": "Ta bort från sparade konton"
+  },
+  "verification": {
+    "title": "Verifiera ditt konto",
+    "subtitle": "Ditt konto behöver verifieras. Ange koden som skickades till din verifieringsmetod.",
+    "codeLabel": "Verifieringskod",
+    "codePlaceholder": "Ange 6-siffrig kod",
+    "verifyButton": "Verifiera konto",
+    "verifying": "Verifierar...",
+    "resendButton": "Skicka kod igen",
+    "resending": "Skickar igen...",
+    "resent": "Verifieringskod skickad igen!",
+    "backToLogin": "Tillbaka till inloggning"
+  },
+  "register": {
+    "title": "Skapa konto",
+    "subtitle": "Skapa ett nytt konto på denna PDS",
+    "handle": "Användarnamn",
+    "handlePlaceholder": "dittnamn",
+    "handleHint": "Ditt fullständiga användarnamn blir: @{handle}",
+    "handleDotWarning": "Egna domännamn kan konfigureras efter att kontot skapats i Inställningar.",
+    "password": "Lösenord",
+    "passwordPlaceholder": "Minst 8 tecken",
+    "confirmPassword": "Bekräfta lösenord",
+    "confirmPasswordPlaceholder": "Bekräfta ditt lösenord",
+    "identityType": "Identitetstyp",
+    "identityHint": "Välj hur din decentraliserade identitet ska hanteras.",
+    "didPlc": "did:plc",
+    "didPlcRecommended": "(Rekommenderas)",
+    "didPlcHint": "Portabel identitet hanterad av PLC Directory",
+    "didWeb": "did:web",
+    "didWebHint": "Identitet lagrad på denna PDS (läs varningen nedan)",
+    "didWebBYOD": "did:web (egen domän)",
+    "didWebBYODHint": "Använd din egen domän",
+    "didWebWarningTitle": "Viktigt: Förstå avvägningarna",
+    "didWebWarning1": "Permanent koppling till denna PDS:",
+    "didWebWarning1Detail": "Din identitet blir {did}. Även om du flyttar till en annan PDS senare måste denna server fortsätta att vara värd för ditt DID-dokument.",
+    "didWebWarning2": "Ingen återställningsmekanism:",
+    "didWebWarning2Detail": "Till skillnad från did:plc har did:web inga rotationsnycklar. Om denna PDS går offline permanent kan din identitet inte återställas.",
+    "didWebWarning3": "Vi förbinder oss till dig:",
+    "didWebWarning3Detail": "Om du flyttar härifrån kommer vi att fortsätta tillhandahålla ett minimalt DID-dokument som pekar på din nya PDS. Din identitet förblir funktionell.",
+    "didWebWarning4": "Rekommendation:",
+    "didWebWarning4Detail": "Välj did:plc om du inte har en specifik anledning att föredra did:web.",
+    "externalDid": "Din did:web",
+    "externalDidPlaceholder": "did:web:dindomän.se",
+    "externalDidHint": "Din domän måste tillhandahålla ett giltigt DID-dokument på /.well-known/did.json som pekar på denna PDS",
+    "contactMethod": "Kontaktmetod",
+    "contactMethodHint": "Välj hur du vill verifiera ditt konto och ta emot notiser. Du behöver bara en.",
+    "verificationMethod": "Verifieringsmetod",
+    "email": "E-post",
+    "emailAddress": "E-postadress",
+    "emailPlaceholder": "du@exempel.se",
+    "discord": "Discord",
+    "discordId": "Discord användar-ID",
+    "discordIdPlaceholder": "Ditt Discord användar-ID",
+    "discordIdHint": "Ditt numeriska Discord användar-ID (aktivera Utvecklarläge för att hitta det)",
+    "telegram": "Telegram",
+    "telegramUsername": "Telegram-användarnamn",
+    "telegramUsernamePlaceholder": "@dittanvändarnamn",
+    "signal": "Signal",
+    "signalNumber": "Signal-telefonnummer",
+    "signalNumberPlaceholder": "+46701234567",
+    "signalNumberHint": "Inkludera landskod (t.ex. +46 för Sverige)",
+    "inviteCode": "Inbjudningskod",
+    "inviteCodePlaceholder": "Ange din inbjudningskod",
+    "inviteCodeRequired": "krävs",
+    "createButton": "Skapa konto",
+    "creating": "Skapar konto...",
+    "alreadyHaveAccount": "Har du redan ett konto?",
+    "signIn": "Logga in",
+    "wantPasswordless": "Vill du ha lösenordsfri säkerhet?",
+    "createPasskeyAccount": "Skapa ett nyckelbaserat konto",
+    "validation": {
+      "handleRequired": "Användarnamn krävs",
+      "handleNoDots": "Användarnamn kan inte innehålla punkter. Du kan konfigurera ett eget domännamn efter att kontot skapats.",
+      "passwordRequired": "Lösenord krävs",
+      "passwordLength": "Lösenordet måste vara minst 8 tecken",
+      "passwordsMismatch": "Lösenorden matchar inte",
+      "inviteCodeRequired": "Inbjudningskod krävs",
+      "externalDidRequired": "Extern did:web krävs",
+      "externalDidFormat": "Extern DID måste börja med did:web:",
+      "emailRequired": "E-post krävs för e-postverifiering",
+      "discordIdRequired": "Discord-ID krävs för Discord-verifiering",
+      "telegramRequired": "Telegram-användarnamn krävs för Telegram-verifiering",
+      "signalRequired": "Telefonnummer krävs för Signal-verifiering"
+    }
+  },
+  "dashboard": {
+    "title": "Kontrollpanel",
+    "switchAccount": "Byt konto",
+    "addAnotherAccount": "Lägg till ett annat konto",
+    "signOut": "Logga ut @{handle}",
+    "deactivatedTitle": "Konto inaktiverat",
+    "deactivatedMessage": "Ditt konto är för närvarande inaktiverat. Detta sker vanligtvis under kontoflyttning. Vissa funktioner kan vara begränsade tills ditt konto återaktiveras.",
+    "accountOverview": "Kontoöversikt",
+    "handle": "Användarnamn",
+    "did": "DID",
+    "primaryContact": "Primär kontakt",
+    "admin": "Administratör",
+    "deactivated": "Inaktiverat",
+    "verified": "Verifierad",
+    "unverified": "Ej verifierad",
+    "navAppPasswords": "Applösenord",
+    "navAppPasswordsDesc": "Hantera lösenord för tredjepartsappar",
+    "navSessions": "Aktiva sessioner",
+    "navSessionsDesc": "Visa och hantera dina inloggningssessioner",
+    "navInviteCodes": "Inbjudningskoder",
+    "navInviteCodesDesc": "Visa och skapa inbjudningskoder",
+    "navSettings": "Kontoinställningar",
+    "navSettingsDesc": "E-post, lösenord, användarnamn och mer",
+    "navSecurity": "Säkerhet",
+    "navSecurityDesc": "Tvåfaktorsautentisering",
+    "navComms": "Kommunikationsinställningar",
+    "navCommsDesc": "Discord, Telegram, Signal-kanaler",
+    "navRepo": "Dataförvarsutforskare",
+    "navRepoDesc": "Bläddra och hantera råa AT Protocol-poster",
+    "navAdmin": "Adminpanel",
+    "navAdminDesc": "Serverstatistik och administratörsoperationer"
+  },
+  "settings": {
+    "title": "Kontoinställningar",
+    "language": "Språk",
+    "languageDescription": "Välj ditt föredragna språk",
+    "changeEmail": "Ändra e-post",
+    "currentEmail": "Nuvarande: {email}",
+    "newEmail": "Ny e-post",
+    "newEmailPlaceholder": "ny@exempel.se",
+    "changeEmailButton": "Ändra e-post",
+    "requesting": "Begär...",
+    "verificationCode": "Verifieringskod",
+    "verificationCodePlaceholder": "Ange kod från e-post",
+    "confirmEmailChange": "Bekräfta e-poständring",
+    "updating": "Uppdaterar...",
+    "changeHandle": "Ändra användarnamn",
+    "currentHandle": "Nuvarande: @{handle}",
+    "pdsHandle": "PDS-användarnamn",
+    "customDomain": "Egen domän",
+    "customDomainDescription": "Använd din egen domän som användarnamn. Du måste verifiera domänägande först.",
+    "setupInstructions": "Installationsanvisningar",
+    "setupMethodsIntro": "Välj en av dessa verifieringsmetoder:",
+    "dnsMethod": "Alternativ 1: DNS TXT-post (Rekommenderas)",
+    "dnsMethodDesc": "Lägg till denna TXT-post till din domän:",
+    "httpMethod": "Alternativ 2: HTTP Well-Known-fil",
+    "httpMethodDesc": "Tillhandahåll din DID på denna URL:",
+    "httpMethodContent": "Filen ska endast innehålla:",
+    "yourDomain": "Din domän",
+    "yourDomainPlaceholder": "exempel.se",
+    "verifyAndUpdate": "Verifiera och uppdatera användarnamn",
+    "verifying": "Verifierar...",
+    "newHandle": "Nytt användarnamn",
+    "newHandlePlaceholder": "dittanvändarnamn",
+    "changeHandleButton": "Ändra användarnamn",
+    "changePassword": "Ändra lösenord",
+    "currentPassword": "Nuvarande lösenord",
+    "currentPasswordPlaceholder": "Ange nuvarande lösenord",
+    "newPassword": "Nytt lösenord",
+    "newPasswordPlaceholder": "Minst 8 tecken",
+    "confirmNewPassword": "Bekräfta nytt lösenord",
+    "confirmNewPasswordPlaceholder": "Bekräfta nytt lösenord",
+    "changePasswordButton": "Ändra lösenord",
+    "changing": "Ändrar...",
+    "exportData": "Exportera data",
+    "exportDataDescription": "Ladda ner hela ditt arkiv som en CAR-fil (Content Addressable Archive). Detta inkluderar alla dina inlägg, gillanden, följningar och annan data.",
+    "downloadRepo": "Ladda ner arkiv",
+    "exporting": "Exporterar...",
+    "deleteAccount": "Radera konto",
+    "deleteWarning": "Denna åtgärd är oåterkallelig. All din data kommer att raderas permanent.",
+    "requestDeletion": "Begär kontoradering",
+    "confirmationCode": "Bekräftelsekod (från e-post)",
+    "confirmationCodePlaceholder": "Ange bekräftelsekod",
+    "yourPassword": "Ditt lösenord",
+    "yourPasswordPlaceholder": "Ange ditt lösenord",
+    "permanentlyDelete": "Radera konto permanent",
+    "deleting": "Raderar...",
+    "messages": {
+      "emailCodeSent": "Verifieringskod skickad till din nuvarande e-post",
+      "emailUpdated": "E-post uppdaterad",
+      "handleUpdated": "Användarnamn uppdaterat",
+      "passwordChanged": "Lösenord ändrat",
+      "passwordsMismatch": "Lösenorden matchar inte",
+      "passwordLength": "Lösenordet måste vara minst 8 tecken",
+      "deletionCodeSent": "Bekräftelse för radering skickad till din e-post",
+      "repoExported": "Arkiv exporterat",
+      "confirmDelete": "Är du helt säker på att du vill radera ditt konto? Detta kan inte ångras."
+    }
+  },
+  "appPasswords": {
+    "title": "Applösenord",
+    "description": "Applösenord låter dig logga in i tredjepartsappar utan att ge dem ditt huvudlösenord. Varje applösenord kan återkallas individuellt.",
+    "createNew": "Skapa nytt applösenord",
+    "appNamePlaceholder": "Appnamn (t.ex. Graysky, Skeets)",
+    "created": "Applösenord skapat",
+    "createdMessage": "Kopiera detta lösenord nu. Du kommer inte att kunna se det igen.",
+    "yourPasswords": "Dina applösenord",
+    "noPasswords": "Inga applösenord ännu",
+    "revoke": "Återkalla",
+    "revoking": "Återkallar...",
+    "creating": "Skapar...",
+    "revokeConfirm": "Återkalla applösenord \"{name}\"? Appar som använder detta lösenord kommer inte längre att kunna komma åt ditt konto."
+  },
+  "sessions": {
+    "title": "Aktiva sessioner",
+    "loadingSessions": "Laddar sessioner...",
+    "noSessions": "Inga aktiva sessioner hittades.",
+    "current": "Nuvarande",
+    "oauth": "OAuth",
+    "session": "Session",
+    "signOut": "Logga ut",
+    "revoke": "Återkalla",
+    "revokeAll": "Återkalla alla andra sessioner",
+    "revokeCurrentConfirm": "Detta loggar ut dig från denna session. Fortsätt?",
+    "revokeConfirm": "Återkalla denna session?",
+    "revokeAllConfirm": "Detta kommer att återkalla {count} andra sessioner. Fortsätt?",
+    "noOtherSessions": "Inga andra sessioner att återkalla",
+    "failedToLoad": "Kunde inte ladda sessioner",
+    "failedToRevoke": "Kunde inte återkalla session",
+    "failedToRevokeAll": "Kunde inte återkalla sessioner",
+    "created": "Skapad:",
+    "expires": "Upphör:",
+    "daysAgo": "{count} dagar sedan",
+    "hoursAgo": "{count} timmar sedan",
+    "minutesAgo": "{count} minuter sedan",
+    "justNow": "Just nu"
+  },
+  "inviteCodes": {
+    "title": "Inbjudningskoder",
+    "description": "Inbjudningskoder låter dig bjuda in vänner. Varje kod kan användas en gång.",
+    "createNew": "Skapa ny inbjudningskod",
+    "uses": "Användningar",
+    "usesPlaceholder": "Antal användningar (1-100)",
+    "yourCodes": "Dina inbjudningskoder",
+    "noCodes": "Inga inbjudningskoder ännu",
+    "available": "Tillgänglig",
+    "used": "Använd av @{handle}",
+    "disabled": "Inaktiverad",
+    "usedBy": "Använd av",
+    "creating": "Skapar...",
+    "disableConfirm": "Inaktivera denna inbjudningskod? Den kan inte längre användas.",
+    "created": "Inbjudningskod skapad",
+    "copy": "Kopiera",
+    "createdOn": "Skapad {date}"
+  },
+  "security": {
+    "title": "Säkerhet",
+    "passkeys": "Nycklar",
+    "passkeysDescription": "Nycklar ger säker, lösenordsfri autentisering med din enhets inbyggda säkerhet (fingeravtryck, ansikte eller PIN).",
+    "addPasskey": "Lägg till nyckel",
+    "adding": "Lägger till...",
+    "noPasskeys": "Inga nycklar registrerade",
+    "passkeyName": "Nyckelnamn",
+    "passkeyNamePlaceholder": "t.ex. MacBook Pro, iPhone",
+    "register": "Registrera",
+    "registering": "Registrerar...",
+    "rename": "Byt namn",
+    "renaming": "Byter namn...",
+    "deletePasskey": "Radera",
+    "deletePasskeyConfirm": "Radera nyckel \"{name}\"? Du kommer inte att kunna använda den för att logga in längre.",
+    "totp": "Autentiseringsapp (TOTP)",
+    "totpDescription": "Använd en autentiseringsapp som Google Authenticator, Authy eller 1Password för tvåfaktorsautentisering.",
+    "totpEnabled": "TOTP är aktiverat",
+    "totpDisabled": "TOTP är inte aktiverat",
+    "enableTotp": "Aktivera TOTP",
+    "disableTotp": "Inaktivera TOTP",
+    "disabling": "Inaktiverar...",
+    "totpSetup": "Konfigurera autentiseringsapp",
+    "totpSetupInstructions": "Skanna denna QR-kod med din autentiseringsapp och ange sedan den 6-siffriga koden för att verifiera.",
+    "totpCode": "Verifieringskod",
+    "totpCodePlaceholder": "Ange 6-siffrig kod",
+    "verifyAndEnable": "Verifiera och aktivera",
+    "backupCodes": "Reservkoder",
+    "backupCodesDescription": "Använd dessa koder för att logga in om du förlorar tillgång till din autentiseringsapp. Varje kod kan endast användas en gång.",
+    "regenerateBackupCodes": "Generera nya reservkoder",
+    "regenerating": "Genererar...",
+    "regenerateConfirm": "Generera nya reservkoder? Dina nuvarande koder kommer inte längre att fungera.",
+    "legacyLogin": "Föråldrad inloggning",
+    "legacyLoginDescription": "Tillåt inloggning med användarnamn/lösenord direkt (föråldrat läge). När detta är inaktiverat måste du använda OAuth med MFA.",
+    "legacyLoginOn": "Föråldrad inloggning är aktiverad",
+    "legacyLoginOff": "Föråldrad inloggning är inaktiverad",
+    "enableLegacyLogin": "Aktivera föråldrad inloggning",
+    "disableLegacyLogin": "Inaktivera föråldrad inloggning",
+    "legacyLoginWarning": "Varning: Att aktivera föråldrad inloggning kringgår MFA för direkta lösenordsinloggningar. Aktivera endast om det behövs för appkompatibilitet.",
+    "totpPasswordWarning": "Med TOTP aktiverat blockeras lösenordsändringar från Bluesky-appen (eller andra föråldrade appar). För att ändra ditt lösenord har du två alternativ:",
+    "totpPasswordOption1Label": "Ändra det här:",
+    "totpPasswordOption1Text": "Använd denna webbplats",
+    "totpPasswordOption1Link": "Inställningssida",
+    "totpPasswordOption1Suffix": "där du kan verifiera med din autentiseringsapp.",
+    "totpPasswordOption2Label": "Verifiera din session först:",
+    "totpPasswordOption2Text": "Använd",
+    "totpPasswordOption2Link": "återautentiseringsalternativet",
+    "totpPasswordOption2Suffix": "för att verifiera din Bluesky-session med TOTP, sedan fungerar lösenordsändringar tillfälligt.",
+    "legacyAppsTitle": "Vad är föråldrade appar?",
+    "legacyAppsDescription": "Vissa appar (som den officiella Bluesky-appen) använder föråldrad autentisering som endast kräver ditt lösenord. När du har MFA aktiverat kringgår dessa appar din andra faktor. Att inaktivera föråldrad inloggning tvingar alla appar att använda OAuth, som korrekt tillämpar MFA.",
+    "password": "Lösenord",
+    "passwordStatus": "Du har ett lösenord inställt",
+    "noPassword": "Inget lösenord inställt (endast nyckelkonto)",
+    "setPassword": "Ställ in lösenord",
+    "removePassword": "Ta bort lösenord",
+    "removePasswordConfirm": "Ta bort ditt lösenord? Du måste använda nycklar för att logga in.",
+    "removing": "Tar bort...",
+    "loading": "Laddar...",
+    "loadingPasskeys": "Laddar nycklar...",
+    "cancel": "Avbryt",
+    "save": "Spara",
+    "back": "Tillbaka",
+    "next": "Nästa: Verifiera kod",
+    "copyToClipboard": "Kopiera till urklipp",
+    "savedMyCodes": "Jag har sparat mina koder",
+    "cantScan": "Kan du inte skanna? Ange manuellt",
+    "unnamedPasskey": "Namnlös nyckel",
+    "added": "Tillagd",
+    "lastUsed": "Senast använd",
+    "passwordDescription": "Hantera ditt kontolösenord. Om du har nycklar konfigurerade kan du valfritt ta bort ditt lösenord för en helt lösenordsfri upplevelse.",
+    "disableTotpWarning": "Detta gör ditt konto mindre säkert.",
+    "removePasswordWarning": "Detta gör ditt konto till endast nyckelkonto. Du kan endast logga in med dina registrerade nycklar. Om du förlorar tillgång till alla dina nycklar kan du återställa ditt konto via din notifieringskanal.",
+    "beforeProceeding": "Innan du fortsätter:",
+    "beforeProceedingItem1": "Se till att du har minst en pålitlig nyckel registrerad",
+    "beforeProceedingItem2": "Överväg att registrera nycklar på flera enheter",
+    "beforeProceedingItem3": "Se till att din återställningsnotifieringskanal är uppdaterad",
+    "addPasskeyFirst": "Lägg till minst en nyckel innan du kan ta bort ditt lösenord.",
+    "passkeyOnlyHint": "Du loggar in med endast nycklar. Om du förlorar tillgång till dina nycklar kan du återställa ditt konto med länken \"Tappat bort nyckeln?\" på inloggningssidan.",
+    "trustedDevices": "Betrodda enheter",
+    "trustedDevicesDescription": "Hantera enheter som kan hoppa över tvåfaktorsautentisering vid inloggning. Förtroende beviljas i 30 dagar och förlängs automatiskt när du använder enheten.",
+    "manageTrustedDevices": "Hantera betrodda enheter",
+    "appCompatibility": "Appkompatibilitet",
+    "enterPassword": "Ange ditt lösenord",
+    "legacyLoginEnabled": "Föråldrad appinloggning aktiverad",
+    "legacyLoginDisabled": "Föråldrad appinloggning inaktiverad - endast OAuth-appar kan logga in",
+    "failedToUpdatePreference": "Kunde inte uppdatera inställning",
+    "passwordRemoved": "Lösenord borttaget. Ditt konto är nu endast nyckelkonto.",
+    "failedToRemovePassword": "Kunde inte ta bort lösenord",
+    "failedToLoadTotpStatus": "Kunde inte ladda TOTP-status",
+    "totpEnabledSuccess": "Tvåfaktorsautentisering aktiverad",
+    "totpDisabledSuccess": "Tvåfaktorsautentisering inaktiverad",
+    "backupCodesCopied": "Reservkoder kopierade till urklipp",
+    "failedToLoadPasskeys": "Kunde inte ladda nycklar",
+    "passkeysNotSupported": "Nycklar stöds inte i denna webbläsare",
+    "passkeyCreationCancelled": "Nyckelskapande avbröts",
+    "passkeyAddedSuccess": "Nyckel tillagd",
+    "passkeyDeleted": "Nyckel raderad",
+    "passkeyRenamed": "Nyckel omdöpt"
+  },
+  "comms": {
+    "title": "Kommunikationsinställningar",
+    "description": "Välj hur du vill ta emot viktiga meddelanden som lösenordsåterställningar, säkerhetsvarningar och kontouppdateringar.",
+    "preferredChannel": "Föredragen kanal",
+    "preferredChannelDescription": "Välj ditt föredragna sätt att ta emot meddelanden. Du måste konfigurera en kanal innan du kan välja den.",
+    "channelConfiguration": "Kanalkonfiguration",
+    "emailVia": "Ta emot meddelanden via e-post",
+    "discordVia": "Ta emot meddelanden via Discord DM",
+    "telegramVia": "Ta emot meddelanden via Telegram",
+    "signalVia": "Ta emot meddelanden via Signal",
+    "configureToEnable": "Konfigurera nedan för att aktivera",
+    "emailManagedInSettings": "Din e-post hanteras i Kontoinställningar",
+    "discordIdHint": "Ditt Discord användar-ID (inte användarnamn). Aktivera Utvecklarläge i Discord för att kopiera det.",
+    "telegramHint": "Ditt Telegram-användarnamn utan @-symbolen",
+    "signalHint": "Ditt Signal-telefonnummer med landskod",
+    "primary": "Primär",
+    "verified": "Verifierad",
+    "notVerified": "Ej verifierad",
+    "verifyButton": "Verifiera",
+    "verifyCodePlaceholder": "Ange verifieringskod",
+    "submit": "Skicka",
+    "saving": "Sparar...",
+    "savePreferences": "Spara inställningar",
+    "preferencesSaved": "Kommunikationsinställningar sparade",
+    "verifiedSuccess": "{channel} verifierad",
+    "messageHistory": "Meddelandehistorik",
+    "historyDescription": "Visa senaste meddelanden skickade till ditt konto.",
+    "loadHistory": "Ladda historik",
+    "hideHistory": "Dölj historik",
+    "noMessages": "Inga meddelanden hittades.",
+    "sent": "skickad",
+    "failed": "misslyckades"
+  },
+  "repoExplorer": {
+    "title": "Dataförvarsutforskare",
+    "description": "Bläddra och hantera dina råa AT Protocol-poster.",
+    "collections": "Samlingar",
+    "noCollections": "Inga samlingar hittades",
+    "records": "Poster",
+    "noRecords": "Inga poster i denna samling",
+    "recordDetails": "Postdetaljer",
+    "rkey": "Postnyckel",
+    "cid": "CID",
+    "value": "Värde",
+    "deleteRecord": "Radera post",
+    "deleteConfirm": "Radera post {rkey}? Detta kan inte ångras.",
+    "unknownError": "Ett okänt fel uppstod",
+    "invalidJson": "Ogiltig JSON",
+    "collectionRequired": "Samling krävs",
+    "recordCreated": "Post skapad: {uri}",
+    "recordUpdated": "Post uppdaterad",
+    "recordDeleted": "Post raderad",
+    "newRecord": "Ny post",
+    "createRecord": "Skapa post",
+    "filterCollections": "Filtrera samlingar...",
+    "filterRecords": "Filtrera poster...",
+    "noCollectionsYet": "Inga samlingar ännu. Skapa din första post för att komma igång.",
+    "loadMore": "Ladda fler",
+    "recordJson": "Post-JSON",
+    "saving": "Sparar...",
+    "updateRecord": "Uppdatera post",
+    "collectionNsid": "Samling (NSID)",
+    "recordKeyOptional": "Postnyckel (valfri)",
+    "autoGenerated": "Genereras automatiskt om tom (TID)",
+    "autoGeneratedHint": "Lämna tom för att automatiskt generera en TID-baserad nyckel",
+    "creating": "Skapar...",
+    "demoPostText": "Hej från min PDS! Detta är mitt första inlägg.",
+    "demoDisplayName": "Ditt visningsnamn",
+    "demoBio": "En kort presentation om dig själv."
+  },
+  "admin": {
+    "title": "Adminpanel",
+    "serverStats": "Serverstatistik",
+    "users": "Användare",
+    "repos": "Dataförvar",
+    "records": "Poster",
+    "blobStorage": "Bloblagring",
+    "refreshStats": "Uppdatera statistik",
+    "userManagement": "Användarhantering",
+    "searchPlaceholder": "Sök på användarnamn (valfritt)",
+    "searchUsers": "Sök användare",
+    "noUsers": "Inga användare hittades",
+    "handle": "Användarnamn",
+    "email": "E-post",
+    "status": "Status",
+    "created": "Skapad",
+    "loadMore": "Ladda fler",
+    "inviteCodes": "Inbjudningskoder",
+    "loadInviteCodes": "Ladda inbjudningskoder",
+    "refresh": "Uppdatera",
+    "noInvites": "Inga inbjudningskoder hittades",
+    "code": "Kod",
+    "available": "Tillgänglig",
+    "uses": "Användningar",
+    "actions": "Åtgärder",
+    "disable": "Inaktivera",
+    "disableInviteConfirm": "Inaktivera inbjudningskod {code}?",
+    "active": "Aktiv",
+    "exhausted": "Förbrukad",
+    "disabled": "Inaktiverad",
+    "userDetails": "Användardetaljer",
+    "did": "DID",
+    "invites": "Inbjudningar",
+    "enabled": "Aktiverad",
+    "enableInvites": "Aktivera inbjudningar",
+    "disableInvites": "Inaktivera inbjudningar",
+    "deleteAccount": "Radera konto",
+    "deleteConfirm": "Radera konto @{handle}? Detta kan inte ångras.",
+    "verified": "Verifierad",
+    "unverified": "Ej verifierad",
+    "deactivated": "Inaktiverad"
+  },
+  "oauth": {
+    "login": {
+      "title": "Logga in",
+      "subtitle": "Logga in för att fortsätta till applikationen",
+      "signingIn": "Loggar in...",
+      "authenticating": "Autentiserar...",
+      "checkingPasskey": "Kontrollerar nyckel...",
+      "signInWithPasskey": "Logga in med nyckel",
+      "passkeyNotSetUp": "Nyckel inte konfigurerad",
+      "orUsePassword": "eller använd lösenord",
+      "password": "Lösenord",
+      "rememberDevice": "Kom ihåg denna enhet",
+      "passkeyHintChecking": "Kontrollerar nyckelstatus...",
+      "passkeyHintAvailable": "Logga in med din nyckel",
+      "passkeyHintNotAvailable": "Inga nycklar registrerade för detta konto"
+    },
+    "consent": {
+      "title": "Auktorisera applikation",
+      "appWantsAccess": "{app} vill ha tillgång till ditt konto",
+      "permissions": "Denna applikation kommer att kunna:",
+      "readProfile": "Läsa din profilinformation",
+      "readPosts": "Läsa dina inlägg och innehåll",
+      "writePosts": "Skapa och radera inlägg för din räkning",
+      "readNotifications": "Läsa dina notiser",
+      "fullAccess": "Full tillgång till ditt konto",
+      "authorize": "Auktorisera",
+      "deny": "Neka",
+      "authorizing": "Auktoriserar...",
+      "rememberChoice": "Kom ihåg detta val",
+      "signingInAs": "Loggar in som:",
+      "permissionsRequested": "Begärda behörigheter",
+      "required": "Krävs",
+      "rememberChoiceLabel": "Kom ihåg mitt val för denna applikation"
+    },
+    "accounts": {
+      "title": "Välj konto",
+      "subtitle": "Välj ett konto för att fortsätta",
+      "useAnother": "Använd ett annat konto"
+    },
+    "twoFactor": {
+      "title": "Tvåfaktorsautentisering",
+      "subtitle": "Ytterligare verifiering krävs",
+      "usePasskey": "Använd nyckel",
+      "useTotp": "Använd autentiseringsapp",
+      "verifying": "Verifierar..."
+    },
+    "twoFactorCode": {
+      "title": "Tvåfaktorsautentisering",
+      "subtitle": "En verifieringskod har skickats till din {channel}. Ange koden nedan för att fortsätta.",
+      "codeLabel": "Verifieringskod",
+      "codePlaceholder": "Ange 6-siffrig kod",
+      "verify": "Verifiera",
+      "verifying": "Verifierar...",
+      "errors": {
+        "missingRequestUri": "Saknar request_uri-parameter",
+        "verificationFailed": "Verifiering misslyckades",
+        "connectionFailed": "Kunde inte ansluta till servern",
+        "unexpectedResponse": "Oväntat svar från servern"
+      }
+    },
+    "totp": {
+      "title": "Ange autentiseringskod",
+      "subtitle": "Ange den 6-siffriga koden från din autentiseringsapp",
+      "codePlaceholder": "Ange 6-siffrig kod",
+      "verify": "Verifiera",
+      "verifying": "Verifierar...",
+      "useBackupCode": "Använd reservkod istället",
+      "backupCodePlaceholder": "Ange reservkod",
+      "trustDevice": "Lita på denna enhet i 30 dagar",
+      "hintBackupCode": "Använder reservkod",
+      "hintTotpCode": "Använder autentiseringskod",
+      "hintDefault": "6 siffror för autentiserare, 8 tecken för reservkod"
+    },
+    "passkey": {
+      "title": "Nyckelverifiering",
+      "subtitle": "Använd din nyckel för att verifiera din identitet",
+      "waiting": "Väntar på nyckel...",
+      "useTotp": "Använd autentiseringsapp istället"
+    },
+    "error": {
+      "title": "Auktoriseringsfel",
+      "genericError": "Ett fel uppstod under auktorisering.",
+      "tryAgain": "Försök igen",
+      "backToApp": "Tillbaka till applikationen"
+    }
+  },
+  "verify": {
+    "title": "Verifiera ditt konto",
+    "subtitle": "Vi har skickat en verifieringskod till din {channel}. Ange den nedan för att slutföra registreringen.",
+    "codePlaceholder": "Ange 6-siffrig kod",
+    "codeLabel": "Verifieringskod",
+    "verifyButton": "Verifiera konto",
+    "verifying": "Verifierar...",
+    "resendCode": "Skicka kod igen",
+    "resending": "Skickar igen...",
+    "codeResent": "Verifieringskod skickad igen!",
+    "backToLogin": "Tillbaka till inloggning",
+    "verifyingAccount": "Verifierar konto: @{handle}",
+    "startOver": "Börja om med ett annat konto",
+    "noPending": "Ingen väntande verifiering hittades.",
+    "noPendingInfo": "Om du nyligen skapade ett konto och behöver verifiera det kan du behöva skapa ett nytt konto. Om du redan verifierat ditt konto kan du logga in.",
+    "createAccount": "Skapa konto",
+    "signIn": "Logga in"
+  },
+  "resetPassword": {
+    "title": "Återställ lösenord",
+    "forgotTitle": "Glömt lösenord",
+    "subtitle": "Ange koden du fick och välj ett nytt lösenord.",
+    "forgotSubtitle": "Ange ditt användarnamn eller e-post så skickar vi dig en kod för att återställa ditt lösenord.",
+    "handleOrEmail": "Användarnamn eller e-post",
+    "emailPlaceholder": "användarnamn eller du@exempel.se",
+    "sendCode": "Skicka återställningskod",
+    "sending": "Skickar...",
+    "codeSent": "Återställningskod skickad! Kontrollera din föredragna notifieringskanal.",
+    "enterCode": "Ange koden från din e-post och ditt nya lösenord.",
+    "code": "Återställningskod",
+    "codePlaceholder": "Ange återställningskod",
+    "newPassword": "Nytt lösenord",
+    "newPasswordPlaceholder": "Minst 8 tecken",
+    "confirmPassword": "Bekräfta lösenord",
+    "confirmPasswordPlaceholder": "Bekräfta nytt lösenord",
+    "resetButton": "Återställ lösenord",
+    "resetting": "Återställer...",
+    "success": "Lösenord återställt!",
+    "backToLogin": "Tillbaka till inloggning",
+    "requestNewCode": "Begär ny kod",
+    "passwordsMismatch": "Lösenorden matchar inte",
+    "passwordLength": "Lösenordet måste vara minst 8 tecken"
+  },
+  "recoverPasskey": {
+    "title": "Återställ ditt konto",
+    "invalidLinkTitle": "Ogiltig återställningslänk",
+    "invalidLinkMessage": "Denna återställningslänk är ogiltig eller har skadats. Begär ett nytt återställningsmeddelande.",
+    "goToLogin": "Gå till inloggning",
+    "successTitle": "Lösenord inställt!",
+    "successMessage": "Ditt tillfälliga lösenord har ställts in. Du kan nu logga in med detta lösenord.",
+    "successNextSteps": "Efter inloggning rekommenderar vi att du lägger till en ny nyckel i dina säkerhetsinställningar för att återställa endast nyckelautentisering.",
+    "signIn": "Logga in",
+    "subtitle": "Ställ in ett tillfälligt lösenord för att återfå tillgång till ditt endast nyckelkonto.",
+    "newPassword": "Nytt lösenord",
+    "newPasswordPlaceholder": "Minst 8 tecken",
+    "confirmPassword": "Bekräfta lösenord",
+    "confirmPasswordPlaceholder": "Bekräfta ditt lösenord",
+    "whatHappensNext": "Vad händer härnäst?",
+    "whatHappensNextDetail": "Efter att du ställt in detta lösenord kan du logga in och lägga till en ny nyckel i dina säkerhetsinställningar. När du har en ny nyckel kan du valfritt ta bort det tillfälliga lösenordet.",
+    "setPassword": "Ställ in lösenord",
+    "settingPassword": "Ställer in lösenord...",
+    "validation": {
+      "passwordRequired": "Nytt lösenord krävs",
+      "passwordLength": "Lösenordet måste vara minst 8 tecken",
+      "passwordsMismatch": "Lösenorden matchar inte"
+    },
+    "errors": {
+      "invalidLink": "Ogiltig återställningslänk. Begär en ny.",
+      "expired": "Denna återställningslänk har gått ut. Begär en ny."
+    }
+  },
+  "requestPasskeyRecovery": {
+    "title": "Återställ nyckelkonto",
+    "subtitle": "Förlorat tillgång till din nyckel? Ange ditt användarnamn eller e-post så skickar vi dig en återställningslänk.",
+    "successTitle": "Återställningslänk skickad",
+    "successMessage": "Om ditt konto finns och är ett endast nyckelkonto får du en återställningslänk på din föredragna notifieringskanal.",
+    "successInfo": "Länken upphör om 1 timme. Kontrollera din e-post, Discord, Telegram eller Signal beroende på dina kontoinställningar.",
+    "handleOrEmail": "Användarnamn eller e-post",
+    "emailPlaceholder": "användarnamn eller du@exempel.se",
+    "howItWorks": "Så fungerar det",
+    "howItWorksDetail": "Vi skickar en säker länk till din registrerade notifieringskanal. Klicka på länken för att ställa in ett tillfälligt lösenord. Sedan kan du logga in och lägga till en ny nyckel.",
+    "sendRecoveryLink": "Skicka återställningslänk",
+    "sending": "Skickar...",
+    "backToLogin": "Tillbaka till inloggning"
+  },
+  "registerPasskey": {
+    "title": "Skapa nyckelkonto",
+    "subtitle": "Skapa ett lösenordsfritt konto med en nyckel.",
+    "handle": "Användarnamn",
+    "handlePlaceholder": "dittnamn",
+    "handleHint": "Ditt fullständiga användarnamn blir: @{handle}",
+    "email": "E-postadress",
+    "emailPlaceholder": "du@exempel.se",
+    "inviteCode": "Inbjudningskod",
+    "inviteCodePlaceholder": "Ange din inbjudningskod",
+    "createButton": "Skapa konto",
+    "creating": "Skapar...",
+    "alreadyHaveAccount": "Har du redan ett konto?",
+    "signIn": "Logga in",
+    "wantPassword": "Vill du använda ett lösenord?",
+    "createPasswordAccount": "Skapa ett lösenordskonto"
+  },
+  "trustedDevices": {
+    "title": "Betrodda enheter",
+    "backToSecurity": "← Säkerhetsinställningar",
+    "description": "Betrodda enheter kan hoppa över tvåfaktorsautentisering vid inloggning. Förtroende beviljas i 30 dagar och förlängs automatiskt när du använder enheten.",
+    "noDevices": "Inga betrodda enheter ännu.",
+    "noDevicesHint": "När du loggar in med tvåfaktorsautentisering aktiverat kan du välja att lita på enheten i 30 dagar.",
+    "lastSeen": "Senast sedd:",
+    "trustedSince": "Betrodd sedan:",
+    "trustExpires": "Förtroende upphör:",
+    "expired": "Upphört",
+    "tomorrow": "I morgon",
+    "inDays": "Om {days} dagar",
+    "revoke": "Återkalla förtroende",
+    "revokeConfirm": "Är du säker på att du vill återkalla förtroendet för denna enhet? Du måste ange din 2FA-kod nästa gång du loggar in från denna enhet.",
+    "deviceRevoked": "Enhetsförtroende återkallat",
+    "deviceRenamed": "Enhet omdöpt",
+    "deviceNamePlaceholder": "Enhetsnamn",
+    "browser": "Webbläsare:",
+    "unknownDevice": "Okänd enhet"
+  },
+  "reauth": {
+    "title": "Återautentisering krävs",
+    "subtitle": "Verifiera din identitet för att fortsätta.",
+    "usePassword": "Använd lösenord",
+    "usePasskey": "Använd nyckel",
+    "useTotp": "Använd autentiserare",
+    "passwordPlaceholder": "Ange ditt lösenord",
+    "totpPlaceholder": "Ange 6-siffrig kod",
+    "verify": "Verifiera",
+    "verifying": "Verifierar...",
+    "cancel": "Avbryt"
+  }
+}
diff --git a/frontend/src/locales/zh.json b/frontend/src/locales/zh.json
index d3c79e4..d505b2e 100644
--- a/frontend/src/locales/zh.json
+++ b/frontend/src/locales/zh.json
@@ -306,6 +306,8 @@
     "legacyLoginDescription": "允许使用用户名/密码直接登录（传统模式）。禁用后必须使用 OAuth + 双重验证。",
     "legacyLoginOn": "传统登录已启用",
     "legacyLoginOff": "传统登录已禁用",
+    "enableLegacyLogin": "启用传统登录",
+    "disableLegacyLogin": "禁用传统登录",
     "legacyLoginWarning": "警告：启用传统登录会绕过双重身份验证。仅在需要兼容旧版应用时启用。",
     "totpPasswordWarning": "启用 TOTP 后，将无法从 Bluesky 应用（或其他旧版应用）更改密码。要更改密码，您有两个选择：",
     "totpPasswordOption1Label": "在这里更改：",
diff --git a/frontend/src/routes/Admin.svelte b/frontend/src/routes/Admin.svelte
index ed37000..9493872 100644
--- a/frontend/src/routes/Admin.svelte
+++ b/frontend/src/routes/Admin.svelte
@@ -350,8 +350,8 @@
     {/if}
   </div>
   {#if selectedUser}
-    <div class="modal-overlay" onclick={closeUserDetail} role="presentation">
-      <div class="modal" onclick={(e) => e.stopPropagation()} role="dialog" aria-modal="true">
+    <div class="modal-overlay" onclick={closeUserDetail} onkeydown={(e) => e.key === 'Escape' && closeUserDetail()} role="presentation">
+      <div class="modal" onclick={(e) => e.stopPropagation()} onkeydown={(e) => e.stopPropagation()} role="dialog" aria-modal="true" tabindex="-1">
         <div class="modal-header">
           <h2>User Details</h2>
           <button class="close-btn" onclick={closeUserDetail}>&times;</button>
diff --git a/frontend/src/routes/OAuthPasskey.svelte b/frontend/src/routes/OAuthPasskey.svelte
index 1c5d0ab..1d45586 100644
--- a/frontend/src/routes/OAuthPasskey.svelte
+++ b/frontend/src/routes/OAuthPasskey.svelte
@@ -294,10 +294,4 @@
     opacity: 0.6;
     cursor: not-allowed;
   }
-
-  .help-text {
-    font-size: 0.875rem;
-    color: var(--text-muted);
-    margin: 0;
-  }
 </style>
diff --git a/frontend/src/routes/Security.svelte b/frontend/src/routes/Security.svelte
index a4c1e0f..2435023 100644
--- a/frontend/src/routes/Security.svelte
+++ b/frontend/src/routes/Security.svelte
@@ -1,5 +1,5 @@
 <script lang="ts">
-  import { getAuthState } from '../lib/auth.svelte'
+  import { getAuthState, getValidToken } from '../lib/auth.svelte'
   import { navigate } from '../lib/router.svelte'
   import { api, ApiError } from '../lib/api'
   import ReauthModal from '../components/ReauthModal.svelte'
@@ -128,7 +128,12 @@
     if (!auth.session) return
     removePasswordLoading = true
     try {
-      await api.removePassword(auth.session.accessJwt)
+      const token = await getValidToken()
+      if (!token) {
+        showMessage('error', 'Session expired. Please log in again.')
+        return
+      }
+      await api.removePassword(token)
       hasPassword = false
       showRemovePasswordForm = false
       showMessage('success', $_('security.passwordRemoved'))
@@ -747,6 +752,7 @@
               class="toggle-button {allowLegacyLogin ? 'on' : 'off'}"
               onclick={handleToggleLegacyLogin}
               disabled={legacyLoginUpdating}
+              aria-label={allowLegacyLogin ? $_('security.disableLegacyLogin') : $_('security.enableLegacyLogin')}
             >
               <span class="toggle-slider"></span>
             </button>
diff --git a/src/api/server/password.rs b/src/api/server/password.rs
index a0c672d..642e2de 100644
--- a/src/api/server/password.rs
+++ b/src/api/server/password.rs
@@ -471,7 +471,7 @@ pub async fn remove_password(State(state): State<AppState>, auth: BearerAuth) ->
             .await;
     }
 
-    if crate::api::server::reauth::check_reauth_required(&state.db, &auth.0.did).await {
+    if crate::api::server::reauth::check_reauth_required_cached(&state.db, &state.cache, &auth.0.did).await {
         return crate::api::server::reauth::reauth_required_response(&state.db, &auth.0.did).await;
     }
 
diff --git a/src/api/server/reauth.rs b/src/api/server/reauth.rs
index 2fa36fe..76e2ea7 100644
--- a/src/api/server/reauth.rs
+++ b/src/api/server/reauth.rs
@@ -128,7 +128,7 @@ pub async fn reauth_password(
         }
     }
 
-    match update_last_reauth(&state.db, &auth.0.did).await {
+    match update_last_reauth_cached(&state.db, &state.cache, &auth.0.did).await {
         Ok(reauthed_at) => {
             info!(did = %auth.0.did, "Re-auth successful via password");
             Json(ReauthResponse { reauthed_at }).into_response()
@@ -186,7 +186,7 @@ pub async fn reauth_totp(
             .into_response();
     }
 
-    match update_last_reauth(&state.db, &auth.0.did).await {
+    match update_last_reauth_cached(&state.db, &state.cache, &auth.0.did).await {
         Ok(reauthed_at) => {
             info!(did = %auth.0.did, "Re-auth successful via TOTP");
             Json(ReauthResponse { reauthed_at }).into_response()
@@ -394,7 +394,7 @@ pub async fn reauth_passkey_finish(
 
     let _ = crate::auth::webauthn::delete_authentication_state(&state.db, &auth.0.did).await;
 
-    match update_last_reauth(&state.db, &auth.0.did).await {
+    match update_last_reauth_cached(&state.db, &state.cache, &auth.0.did).await {
         Ok(reauthed_at) => {
             info!(did = %auth.0.did, "Re-auth successful via passkey");
             Json(ReauthResponse { reauthed_at }).into_response()
@@ -410,7 +410,11 @@ pub async fn reauth_passkey_finish(
     }
 }
 
-async fn update_last_reauth(db: &PgPool, did: &str) -> Result<DateTime<Utc>, sqlx::Error> {
+pub async fn update_last_reauth_cached(
+    db: &PgPool,
+    cache: &std::sync::Arc<dyn crate::cache::Cache>,
+    did: &str,
+) -> Result<DateTime<Utc>, sqlx::Error> {
     let now = Utc::now();
     sqlx::query!(
         "UPDATE session_tokens SET last_reauth_at = $1, mfa_verified = TRUE WHERE did = $2",
@@ -419,6 +423,14 @@ async fn update_last_reauth(db: &PgPool, did: &str) -> Result<DateTime<Utc>, sql
     )
     .execute(db)
     .await?;
+    let cache_key = format!("reauth:{}", did);
+    let _ = cache
+        .set(
+            &cache_key,
+            &now.timestamp().to_string(),
+            std::time::Duration::from_secs(REAUTH_WINDOW_SECONDS as u64),
+        )
+        .await;
     Ok(now)
 }
 
@@ -476,6 +488,36 @@ pub async fn check_reauth_required(db: &PgPool, did: &str) -> bool {
     }
 }
 
+pub async fn check_reauth_required_cached(
+    db: &PgPool,
+    cache: &std::sync::Arc<dyn crate::cache::Cache>,
+    did: &str,
+) -> bool {
+    let cache_key = format!("reauth:{}", did);
+    if let Some(timestamp_str) = cache.get(&cache_key).await {
+        if let Ok(timestamp) = timestamp_str.parse::<i64>() {
+            let reauth_time = chrono::DateTime::from_timestamp(timestamp, 0);
+            if let Some(t) = reauth_time {
+                let elapsed = Utc::now().signed_duration_since(t);
+                if elapsed.num_seconds() <= REAUTH_WINDOW_SECONDS {
+                    return false;
+                }
+            }
+        }
+    }
+    let session = sqlx::query!(
+        "SELECT last_reauth_at FROM session_tokens WHERE did = $1 ORDER BY created_at DESC LIMIT 1",
+        did
+    )
+    .fetch_optional(db)
+    .await;
+
+    match session {
+        Ok(Some(row)) => is_reauth_required(row.last_reauth_at),
+        _ => true,
+    }
+}
+
 #[derive(Serialize)]
 #[serde(rename_all = "camelCase")]
 pub struct ReauthRequiredError {
diff --git a/src/api/server/service_auth.rs b/src/api/server/service_auth.rs
index c9a4837..f0906cc 100644
--- a/src/api/server/service_auth.rs
+++ b/src/api/server/service_auth.rs
@@ -8,7 +8,7 @@ use axum::{
 };
 use serde::{Deserialize, Serialize};
 use serde_json::json;
-use tracing::error;
+use tracing::{error, info, warn};
 
 const HOUR_SECS: i64 = 3600;
 const MINUTE_SECS: i64 = 60;
@@ -49,24 +49,125 @@ pub async fn get_service_auth(
     headers: axum::http::HeaderMap,
     Query(params): Query<GetServiceAuthParams>,
 ) -> Response {
-    let token = match crate::auth::extract_bearer_token_from_header(
-        headers.get("Authorization").and_then(|h| h.to_str().ok()),
-    ) {
-        Some(t) => t,
-        None => return ApiError::AuthenticationRequired.into_response(),
+    let auth_header = headers.get("Authorization").and_then(|h| h.to_str().ok());
+    let dpop_proof = headers.get("DPoP").and_then(|h| h.to_str().ok());
+    info!(
+        has_auth_header = auth_header.is_some(),
+        has_dpop_proof = dpop_proof.is_some(),
+        aud = %params.aud,
+        lxm = ?params.lxm,
+        "getServiceAuth called"
+    );
+    let auth_header = match auth_header {
+        Some(h) => h.trim(),
+        None => {
+            warn!("getServiceAuth: no Authorization header");
+            return ApiError::AuthenticationRequired.into_response();
+        }
     };
-    let auth_user =
+
+    let (token, is_dpop) = if auth_header.len() >= 7 && auth_header[..7].eq_ignore_ascii_case("bearer ") {
+        (auth_header[7..].trim().to_string(), false)
+    } else if auth_header.len() >= 5 && auth_header[..5].eq_ignore_ascii_case("dpop ") {
+        (auth_header[5..].trim().to_string(), true)
+    } else {
+        warn!(auth_scheme = ?auth_header.split_whitespace().next(), "getServiceAuth: invalid auth scheme");
+        return ApiError::AuthenticationRequired.into_response();
+    };
+
+    let auth_user = if is_dpop {
+        match crate::oauth::verify::verify_oauth_access_token(
+            &state.db,
+            &token,
+            dpop_proof,
+            "GET",
+            &format!("/xrpc/com.atproto.server.getServiceAuth?aud={}&lxm={}",
+                     params.aud,
+                     params.lxm.as_deref().unwrap_or("")),
+        ).await {
+            Ok(result) => crate::auth::AuthenticatedUser {
+                did: result.did,
+                is_oauth: true,
+                is_admin: false,
+                scope: result.scope,
+                key_bytes: None,
+            },
+            Err(crate::oauth::OAuthError::UseDpopNonce(nonce)) => {
+                return (
+                    StatusCode::UNAUTHORIZED,
+                    [("DPoP-Nonce", nonce)],
+                    Json(json!({
+                        "error": "use_dpop_nonce",
+                        "message": "DPoP nonce required"
+                    })),
+                ).into_response();
+            }
+            Err(e) => {
+                warn!(error = ?e, "getServiceAuth DPoP auth validation failed");
+                return (
+                    StatusCode::UNAUTHORIZED,
+                    Json(json!({
+                        "error": "AuthenticationFailed",
+                        "message": format!("{:?}", e)
+                    })),
+                ).into_response();
+            }
+        }
+    } else {
         match crate::auth::validate_bearer_token_for_service_auth(&state.db, &token).await {
             Ok(user) => user,
-            Err(e) => return ApiError::from(e).into_response(),
-        };
+            Err(e) => {
+                warn!(error = ?e, "getServiceAuth auth validation failed");
+                return ApiError::from(e).into_response();
+            }
+        }
+    };
+    info!(
+        did = %auth_user.did,
+        is_oauth = auth_user.is_oauth,
+        has_key = auth_user.key_bytes.is_some(),
+        "getServiceAuth auth validated"
+    );
     let key_bytes = match &auth_user.key_bytes {
         Some(kb) => kb.clone(),
         None => {
-            return ApiError::AuthenticationFailedMsg(
-                "OAuth tokens cannot create service auth".into(),
+            warn!(did = %auth_user.did, "getServiceAuth: OAuth token has no key_bytes, fetching from DB");
+            match sqlx::query_as::<_, (Vec<u8>, Option<i32>)>(
+                "SELECT k.key_bytes, k.encryption_version
+                 FROM users u
+                 JOIN user_keys k ON u.id = k.user_id
+                 WHERE u.did = $1"
             )
-            .into_response();
+            .bind(&auth_user.did)
+            .fetch_optional(&state.db)
+            .await
+            {
+                Ok(Some((key_bytes_enc, encryption_version))) => {
+                    match crate::config::decrypt_key(&key_bytes_enc, encryption_version) {
+                        Ok(key) => key,
+                        Err(e) => {
+                            error!(error = ?e, "Failed to decrypt user key for service auth");
+                            return ApiError::AuthenticationFailedMsg(
+                                "Failed to get signing key".into(),
+                            )
+                            .into_response();
+                        }
+                    }
+                }
+                Ok(None) => {
+                    return ApiError::AuthenticationFailedMsg(
+                        "User has no signing key".into(),
+                    )
+                    .into_response();
+                }
+                Err(e) => {
+                    error!(error = ?e, "DB error fetching user key");
+                    return ApiError::AuthenticationFailedMsg(
+                        "Failed to get signing key".into(),
+                    )
+                    .into_response();
+                }
+            }
         }
     };
 
diff --git a/src/api/server/session.rs b/src/api/server/session.rs
index 9890c40..652b7a8 100644
--- a/src/api/server/session.rs
+++ b/src/api/server/session.rs
@@ -1209,7 +1209,7 @@ pub async fn update_legacy_login_preference(
     }
 }
 
-const VALID_LOCALES: &[&str] = &["en", "zh", "ja", "ko"];
+use crate::comms::locale::VALID_LOCALES;
 
 #[derive(Deserialize)]
 #[serde(rename_all = "camelCase")]
diff --git a/src/comms/locale.rs b/src/comms/locale.rs
index 1b172c4..7e80bd3 100644
--- a/src/comms/locale.rs
+++ b/src/comms/locale.rs
@@ -1,5 +1,5 @@
 pub const DEFAULT_LOCALE: &str = "en";
-pub const VALID_LOCALES: &[&str] = &["en", "zh", "ja", "ko"];
+pub const VALID_LOCALES: &[&str] = &["en", "zh", "ja", "ko", "sv", "fi"];
 
 pub fn validate_locale(locale: &str) -> &str {
     if VALID_LOCALES.contains(&locale) {
@@ -37,6 +37,8 @@ pub fn get_strings(locale: &str) -> &'static NotificationStrings {
         "zh" => &STRINGS_ZH,
         "ja" => &STRINGS_JA,
         "ko" => &STRINGS_KO,
+        "sv" => &STRINGS_SV,
+        "fi" => &STRINGS_FI,
         _ => &STRINGS_EN,
     }
 }
@@ -133,6 +135,52 @@ static STRINGS_KO: NotificationStrings = NotificationStrings {
     legacy_login_body: "안녕하세요 @{handle}님,\n\nTOTP 인증을 지원하지 않는 레거시 앱(예: Bluesky)을 사용한 로그인이 감지되었습니다.\n\n세부 정보:\n- 시간: {timestamp}\n- IP 주소: {ip}\n\n이 로그인에서 TOTP 보호가 우회되었습니다. 이 세션은 민감한 작업에 대한 권한이 제한됩니다.\n\n본인이 아닌 경우:\n1. 즉시 비밀번호를 변경하세요\n2. 활성 세션을 검토하세요\n3. 보안 설정에서 레거시 앱 로그인 비활성화를 고려하세요\n\n{hostname} 드림",
 };
 
+static STRINGS_SV: NotificationStrings = NotificationStrings {
+    welcome_subject: "Välkommen till {hostname}",
+    welcome_body: "Välkommen till {hostname}!\n\nDitt användarnamn är: @{handle}\n\nTack för att du gick med.",
+    email_verification_subject: "Verifiera din e-post - {hostname}",
+    email_verification_body: "Hej @{handle},\n\nDin e-postverifieringskod är: {code}\n\nDenna kod upphör om 10 minuter.\n\nOm du inte begärde detta kan du ignorera detta meddelande.",
+    password_reset_subject: "Lösenordsåterställning - {hostname}",
+    password_reset_body: "Hej @{handle},\n\nDin kod för lösenordsåterställning är: {code}\n\nDenna kod upphör om 10 minuter.\n\nOm du inte begärde detta kan du ignorera detta meddelande.",
+    email_update_subject: "Bekräfta din nya e-post - {hostname}",
+    email_update_body: "Hej @{handle},\n\nDin bekräftelsekod för e-postuppdatering är: {code}\n\nDenna kod upphör om 10 minuter.\n\nOm du inte begärde detta kan du ignorera detta meddelande.",
+    account_deletion_subject: "Begäran om kontoradering - {hostname}",
+    account_deletion_body: "Hej @{handle},\n\nDin bekräftelsekod för kontoradering är: {code}\n\nDenna kod upphör om 10 minuter.\n\nOm du inte begärde detta, skydda ditt konto omedelbart.",
+    plc_operation_subject: "{hostname} - PLC-operationstoken",
+    plc_operation_body: "Hej @{handle},\n\nDu begärde att signera en PLC-operation för ditt konto.\n\nDin verifieringstoken är: {token}\n\nDenna token upphör om 10 minuter.\n\nOm du inte begärde detta kan du säkert ignorera detta meddelande.",
+    two_factor_code_subject: "Inloggningsverifiering - {hostname}",
+    two_factor_code_body: "Hej @{handle},\n\nDin inloggningsverifieringskod är: {code}\n\nDenna kod upphör om 10 minuter.\n\nOm du inte begärde detta, skydda ditt konto omedelbart.",
+    passkey_recovery_subject: "Kontoåterställning - {hostname}",
+    passkey_recovery_body: "Hej @{handle},\n\nDu begärde att återställa ditt endast nyckelkonto.\n\nKlicka på länken nedan för att ställa in ett tillfälligt lösenord och återfå åtkomst:\n{url}\n\nDenna länk upphör om 1 timme.\n\nOm du inte begärde detta kan du ignorera detta meddelande. Ditt konto förblir säkert.",
+    signup_verification_subject: "Verifiera ditt konto - {hostname}",
+    signup_verification_body: "Välkommen! Din kontoverifieringskod är: {code}\n\nDenna kod upphör om 30 minuter.\n\nAnge denna kod för att slutföra din registrering på {hostname}.",
+    legacy_login_subject: "Säkerhetsvarning: Äldre inloggning upptäckt - {hostname}",
+    legacy_login_body: "Hej @{handle},\n\nEn inloggning till ditt konto upptäcktes med en äldre app (som Bluesky) som inte stöder TOTP-verifiering.\n\nDetaljer:\n- Tid: {timestamp}\n- IP-adress: {ip}\n\nDitt TOTP-skydd kringgicks för denna inloggning. Sessionen har begränsade behörigheter för känsliga operationer.\n\nOm detta inte var du:\n1. Ändra ditt lösenord omedelbart\n2. Granska dina aktiva sessioner\n3. Överväg att inaktivera äldre appinloggningar i dina säkerhetsinställningar\n\nVar försiktig,\n{hostname}",
+};
+
+static STRINGS_FI: NotificationStrings = NotificationStrings {
+    welcome_subject: "Tervetuloa palveluun {hostname}",
+    welcome_body: "Tervetuloa palveluun {hostname}!\n\nKäyttäjänimesi on: @{handle}\n\nKiitos liittymisestä.",
+    email_verification_subject: "Vahvista sähköpostisi - {hostname}",
+    email_verification_body: "Hei @{handle},\n\nSähköpostin vahvistuskoodisi on: {code}\n\nTämä koodi vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, voit jättää tämän viestin huomiotta.",
+    password_reset_subject: "Salasanan palautus - {hostname}",
+    password_reset_body: "Hei @{handle},\n\nSalasanan palautuskoodisi on: {code}\n\nTämä koodi vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, voit jättää tämän viestin huomiotta.",
+    email_update_subject: "Vahvista uusi sähköpostiosoitteesi - {hostname}",
+    email_update_body: "Hei @{handle},\n\nSähköpostin päivityksen vahvistuskoodisi on: {code}\n\nTämä koodi vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, voit jättää tämän viestin huomiotta.",
+    account_deletion_subject: "Tilin poistopyyntö - {hostname}",
+    account_deletion_body: "Hei @{handle},\n\nTilin poiston vahvistuskoodisi on: {code}\n\nTämä koodi vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, suojaa tilisi välittömästi.",
+    plc_operation_subject: "{hostname} - PLC-toimintotunniste",
+    plc_operation_body: "Hei @{handle},\n\nPyysit allekirjoittamaan PLC-toiminnon tilillesi.\n\nVahvistustunnisteesi on: {token}\n\nTämä tunniste vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, voit turvallisesti jättää tämän viestin huomiotta.",
+    two_factor_code_subject: "Kirjautumisen vahvistus - {hostname}",
+    two_factor_code_body: "Hei @{handle},\n\nKirjautumisen vahvistuskoodisi on: {code}\n\nTämä koodi vanhenee 10 minuutissa.\n\nJos et pyytänyt tätä, suojaa tilisi välittömästi.",
+    passkey_recovery_subject: "Tilin palautus - {hostname}",
+    passkey_recovery_body: "Hei @{handle},\n\nPyysit palauttamaan vain pääsyavaintilisi.\n\nKlikkaa alla olevaa linkkiä asettaaksesi väliaikaisen salasanan ja saadaksesi pääsyn takaisin:\n{url}\n\nTämä linkki vanhenee tunnissa.\n\nJos et pyytänyt tätä, voit jättää tämän viestin huomiotta. Tilisi pysyy turvassa.",
+    signup_verification_subject: "Vahvista tilisi - {hostname}",
+    signup_verification_body: "Tervetuloa! Tilin vahvistuskoodisi on: {code}\n\nTämä koodi vanhenee 30 minuutissa.\n\nSyötä tämä koodi viimeistelläksesi rekisteröintisi palveluun {hostname}.",
+    legacy_login_subject: "Turvallisuushälytys: Vanha kirjautuminen havaittu - {hostname}",
+    legacy_login_body: "Hei @{handle},\n\nTilillesi havaittiin kirjautuminen vanhalla sovelluksella (kuten Bluesky), joka ei tue TOTP-vahvistusta.\n\nTiedot:\n- Aika: {timestamp}\n- IP-osoite: {ip}\n\nTOTP-suojauksesi ohitettiin tässä kirjautumisessa. Istunnolla on rajoitetut oikeudet arkaluontoisiin toimintoihin.\n\nJos tämä et ollut sinä:\n1. Vaihda salasanasi välittömästi\n2. Tarkista aktiiviset istuntosi\n3. Harkitse vanhojen sovellusten kirjautumisen poistamista käytöstä turvallisuusasetuksissa\n\nOle varovainen,\n{hostname}",
+};
+
 pub fn format_message(template: &str, vars: &[(&str, &str)]) -> String {
     let mut result = template.to_string();
     for (key, value) in vars {
diff --git a/src/comms/mod.rs b/src/comms/mod.rs
index b28a1fe..2ebe6bb 100644
--- a/src/comms/mod.rs
+++ b/src/comms/mod.rs
@@ -1,4 +1,4 @@
-mod locale;
+pub mod locale;
 mod sender;
 mod service;
 mod types;
diff --git a/src/oauth/endpoints/token/grants.rs b/src/oauth/endpoints/token/grants.rs
index ed2d34e..d2195fa 100644
--- a/src/oauth/endpoints/token/grants.rs
+++ b/src/oauth/endpoints/token/grants.rs
@@ -169,7 +169,16 @@ pub async fn handle_refresh_token_grant(
     let refresh_token_str = request
         .refresh_token
         .ok_or_else(|| OAuthError::InvalidRequest("refresh_token is required".to_string()))?;
+    tracing::info!(
+        refresh_token_prefix = %&refresh_token_str[..std::cmp::min(16, refresh_token_str.len())],
+        has_dpop = dpop_proof.is_some(),
+        "Refresh token grant requested"
+    );
     if let Some(token_id) = db::check_refresh_token_used(&state.db, &refresh_token_str).await? {
+        tracing::warn!(
+            refresh_token_prefix = %&refresh_token_str[..std::cmp::min(16, refresh_token_str.len())],
+            "Refresh token reuse detected, revoking token family"
+        );
         db::delete_token_family(&state.db, token_id).await?;
         return Err(OAuthError::InvalidGrant(
             "Refresh token reuse detected, token family revoked".to_string(),
@@ -177,8 +186,19 @@ pub async fn handle_refresh_token_grant(
     }
     let (db_id, token_data) = db::get_token_by_refresh_token(&state.db, &refresh_token_str)
         .await?
-        .ok_or_else(|| OAuthError::InvalidGrant("Invalid refresh token".to_string()))?;
+        .ok_or_else(|| {
+            tracing::warn!(
+                refresh_token_prefix = %&refresh_token_str[..std::cmp::min(16, refresh_token_str.len())],
+                "Refresh token not found in database"
+            );
+            OAuthError::InvalidGrant("Invalid refresh token".to_string())
+        })?;
     if token_data.expires_at < Utc::now() {
+        tracing::warn!(
+            did = %token_data.did,
+            expired_at = %token_data.expires_at,
+            "Refresh token has expired"
+        );
         db::delete_token_family(&state.db, db_id).await?;
         return Err(OAuthError::InvalidGrant(
             "Refresh token has expired".to_string(),
@@ -227,6 +247,11 @@ pub async fn handle_refresh_token_grant(
         new_expires_at,
     )
     .await?;
+    tracing::info!(
+        did = %token_data.did,
+        new_expires_at = %new_expires_at,
+        "Refresh token rotated successfully"
+    );
     let access_token = create_access_token(
         &new_token_id.0,
         &token_data.did,