update 1.2.2.2 beta

web/app/[locale]/docs/backup-restore/destinations/pbs/page.tsx

@@ -169,7 +169,29 @@ export default async function PbsDestinationPage({
       </h3>
 
       <p className="mb-4 text-gray-800 leading-relaxed">
-        {t.rich("encryption.keyfileBody", { code })}
+        {t.rich("encryption.keyfileBody", { code, em })}
+      </p>
+
+      <h3 className="text-lg font-semibold mt-6 mb-3 text-gray-900">
+        {t("encryption.modesTitle")}
+      </h3>
+
+      <p className="mb-4 text-gray-800 leading-relaxed">
+        {t.rich("encryption.modesIntro", { em })}
+      </p>
+
+      <h4 className="text-base font-semibold mt-4 mb-2 text-gray-900">
+        {t("encryption.modesPerHostTitle")}
+      </h4>
+      <p className="mb-4 text-gray-800 leading-relaxed">
+        {t.rich("encryption.modesPerHostBody", { code, em })}
+      </p>
+
+      <h4 className="text-base font-semibold mt-4 mb-2 text-gray-900">
+        {t("encryption.modesSharedTitle")}
+      </h4>
+      <p className="mb-4 text-gray-800 leading-relaxed">
+        {t.rich("encryption.modesSharedBody", { code, em })}
       </p>
 
       <h3 className="text-lg font-semibold mt-6 mb-3 text-gray-900">

web/messages/en/docs/backup-restore/destinations/pbs.json

@@ -52,7 +52,13 @@
     "heading": "Client-side encryption",
     "intro": "PBS client-side keyfile encryption encrypts chunks on the source host before upload. ProxMenux enables the feature with one added constraint: a recovery passphrase is mandatory when encryption is enabled. The passphrase does not protect the local keyfile; it protects the escrow copy of the keyfile that ProxMenux uploads to PBS for disaster recovery.",
     "keyfileTitle": "Keyfile",
-    "keyfileBody": "On first use, <code>proxmox-backup-client key create --kdf none</code> generates the keyfile at <code>/usr/local/share/proxmenux/pbs-key.conf</code> (<code>chmod 600</code>). Subsequent backups reuse it after a single confirmation dialog. If key creation fails, the backup is cancelled and the tool's error output is shown in a dialog.",
+    "keyfileBody": "Both the CLI wizard and the Monitor Web modal expose the encryption setup as a three-way choice: <em>generate a new keyfile</em>, <em>import an existing one</em>, or <em>skip</em>. <em>Generate</em> runs <code>proxmox-backup-client key create --kdf none</code> and writes the keyfile at <code>/usr/local/share/proxmenux/pbs-key.conf</code> (<code>chmod 600</code>). <em>Import</em> takes a keyfile the operator already has (typically the one used on other hosts) and installs it at the same path after validating it with <code>proxmox-backup-client key info</code>. Subsequent backups on the same host reuse whichever keyfile is installed after a single confirmation dialog. If any step fails, the backup is cancelled and the tool's error output is shown in a dialog.",
+    "modesTitle": "Per-host or shared keyfile",
+    "modesIntro": "Both operating models are supported and neither is enforced — the choice belongs to the operator based on how their fleet is organised.",
+    "modesPerHostTitle": "Per-host keyfile (default)",
+    "modesPerHostBody": "Each host generates its own keyfile the first time it enables PBS encryption. Isolation is maximum: compromising the keyfile of one host does not expose the backups of any other. Each host has its own paired recovery blob on PBS, restorable with the recovery passphrase of that host. Recommended for production fleets and for environments where hosts have different owners or compliance boundaries.",
+    "modesSharedTitle": "Shared keyfile (import on every host)",
+    "modesSharedBody": "One master keyfile generated once and installed on every host via the <em>Import</em> option. Management is simpler: a single secret to safeguard, a single recovery blob works for every host, and any host can decrypt the archives of any other (useful for consolidation, cross-host restore drills, or centralised backup verification). The trade-off is that a leak of the shared keyfile exposes every host at once. Recommended for homelabs and for fleets where all hosts have the same owner and trust boundary.",
     "recoveryTitle": "Recovery passphrase and escrow blob",
     "recoveryBody": "After the keyfile is created, ProxMenux prompts twice for a recovery passphrase (with match validation) and runs <code>openssl</code> to produce <code>pbs-key.recovery.enc</code> — the keyfile encrypted with the passphrase. A copy is written to <code>/root/pbs-key.recovery-HOSTNAME-YYYYMMDD.enc</code> for offsite storage. Cancelling the passphrase dialog wipes the freshly-created keyfile.",
     "blobUploadTitle": "Paired backup group on PBS",

web/messages/es/docs/backup-restore/destinations/pbs.json

@@ -52,7 +52,13 @@
     "heading": "Cifrado del lado del cliente",
     "intro": "El cifrado por keyfile del lado del cliente de PBS cifra los chunks en el host de origen antes de la subida. ProxMenux habilita esta funcionalidad con una restricción añadida: la passphrase de recuperación es obligatoria cuando se activa el cifrado. La passphrase no protege el keyfile local; protege la copia de escrow del keyfile que ProxMenux sube a PBS para recuperación ante desastre.",
     "keyfileTitle": "Keyfile",
-    "keyfileBody": "En el primer uso, <code>proxmox-backup-client key create --kdf none</code> genera el keyfile en <code>/usr/local/share/proxmenux/pbs-key.conf</code> (<code>chmod 600</code>). Las copias posteriores lo reutilizan tras un único diálogo de confirmación. Si la creación del keyfile falla, la copia se cancela y la salida de error de la herramienta se muestra en un diálogo.",
+    "keyfileBody": "Tanto el wizard de la CLI como el modal Web del Monitor exponen la configuración de cifrado como una elección de tres opciones: <em>generar un keyfile nuevo</em>, <em>importar uno existente</em> u <em>omitir</em>. <em>Generar</em> ejecuta <code>proxmox-backup-client key create --kdf none</code> y escribe el keyfile en <code>/usr/local/share/proxmenux/pbs-key.conf</code> (<code>chmod 600</code>). <em>Importar</em> toma un keyfile que el usuario ya tiene (habitualmente el mismo que usa en sus otros hosts) y lo instala en la misma ruta tras validarlo con <code>proxmox-backup-client key info</code>. Las copias posteriores en el mismo host reutilizan cualquier keyfile instalado tras un único diálogo de confirmación. Si algún paso falla, la copia se cancela y la salida de error de la herramienta se muestra en un diálogo.",
+    "modesTitle": "Keyfile por host o compartido",
+    "modesIntro": "Ambos modelos operativos están soportados y ninguno se impone — la decisión pertenece al usuario según cómo esté organizada su flota.",
+    "modesPerHostTitle": "Keyfile por host (por defecto)",
+    "modesPerHostBody": "Cada host genera su propio keyfile la primera vez que activa el cifrado PBS. El aislamiento es máximo: comprometer el keyfile de un host no expone las copias de ningún otro. Cada host tiene su propio blob de recuperación emparejado en PBS, restaurable con la passphrase de recuperación de ese host. Recomendado para flotas de producción y para entornos donde los hosts tienen propietarios o límites de compliance distintos.",
+    "modesSharedTitle": "Keyfile compartido (importar en cada host)",
+    "modesSharedBody": "Un keyfile maestro generado una vez e instalado en cada host mediante la opción <em>Importar</em>. La gestión es más simple: un único secreto que proteger, un único blob de recuperación sirve para todos los hosts, y cualquier host puede desencriptar los archives de cualquier otro (útil para consolidación, simulacros de restore cruzado o verificación centralizada de backups). El trade-off es que una filtración del keyfile compartido expone todos los hosts a la vez. Recomendado para homelabs y para flotas donde todos los hosts tienen el mismo propietario y límite de confianza.",
     "recoveryTitle": "Passphrase de recuperación y blob de escrow",
     "recoveryBody": "Tras crear el keyfile, ProxMenux pregunta dos veces por una passphrase de recuperación (con validación de coincidencia) y ejecuta <code>openssl</code> para producir <code>pbs-key.recovery.enc</code> — el keyfile cifrado con la passphrase. Se escribe una copia en <code>/root/pbs-key.recovery-HOSTNAME-YYYYMMDD.enc</code> para almacenamiento offsite. Cancelar el diálogo de la passphrase borra el keyfile recién creado.",
     "blobUploadTitle": "Grupo emparejado en PBS",