feat: Passkey (WebAuthn) login (#1111)

* feat(auth): passkey (WebAuthn) login — server endpoints, schema + admin toggle

Add @simplewebauthn/server registration and primary (discoverable) login ceremonies under /api/auth/passkey, a webauthn_credentials + single-use webauthn_challenges schema (migration), the instance-wide passkey_login toggle (default off) enforced before auth by a guard, and require_mfa satisfaction via a verified passkey. RP ID/origin come only from server config (webauthn_rp_id/origins -> APP_URL), never request headers.

* feat(auth): passkey enrolment, login button + admin settings UI

PasskeysSection in account settings (add/rename/remove with a current-password step-up), a 'Sign in with a passkey' button on the login page, the admin enable + RP-ID/origins controls, and a per-user admin reset action.

* i18n(auth): passkey strings across all locales

Add login/settings/admin passkey keys to en and all 19 translated locales.

shared/src/i18n/nl/admin.ts

@@ -360,5 +360,24 @@ const admin: TranslationStrings = {
   'admin.addons.catalog.journey.name': 'Reisverslag',
   'admin.addons.catalog.journey.description':
     "Reistracking & reisdagboek met check-ins, foto's en dagelijkse verhalen",
+  'admin.passkey.title': 'Inloggen met passkey',
+  'admin.passkey.cardHint':
+    'Laat gebruikers inloggen met passkeys (WebAuthn). Standaard uit.',
+  'admin.passkey.login': 'Inloggen met passkey inschakelen',
+  'admin.passkey.loginHint':
+    'Toon een optie "Inloggen met een passkey" en laat gebruikers passkeys registreren in hun instellingen.',
+  'admin.passkey.notConfigured':
+    'Voor deze installatie wordt nog geen WebAuthn-domein herleid. Stel APP_URL of de Relying Party ID hieronder in — tot dan blijven passkeys verborgen.',
+  'admin.passkey.rpId': 'Relying Party ID (domein)',
+  'admin.passkey.rpIdHint':
+    'Het kale domein waaraan passkeys zijn gebonden, bijv. trek.example.org. Laat leeg om het af te leiden uit APP_URL. Als je dit later wijzigt, worden bestaande passkeys ongeldig.',
+  'admin.passkey.origins': 'Toegestane origins',
+  'admin.passkey.originsHint':
+    'Volledige origins, gescheiden door komma\'s, bijv. https://trek.example.org. Laat leeg om APP_URL te gebruiken.',
+  'admin.passkey.reset': 'Passkeys resetten',
+  'admin.passkey.resetHint':
+    'Verwijder alle passkeys van deze gebruiker (bijv. bij een verloren apparaat). Ze kunnen nog steeds inloggen met hun wachtwoord.',
+  'admin.passkey.resetConfirm': 'Alle passkeys voor {name} verwijderen?',
+  'admin.passkey.resetDone': '{count} passkey(s) verwijderd',
 };
 export default admin;