feat: reflect netOrk v0.4.0 features (MFA, config backup, ack warnings)

Moves MFA/TOTP and config backup & versioning from roadmap to shipped
across the NIS2 coverage page, features list, and roadmap, and adds a
homepage screenshot row for the new config snapshot/diff/restore UI.

Co-Authored-By: Claude Sonnet 4.6 <noreply@anthropic.com>

src/i18n/translations.ts

@@ -63,6 +63,10 @@ const en = {
       heading: 'Security visibility per device',
       body: 'Wazuh agent status, CVE counts by severity, and recent alerts — all linked to the device record. One-click agent install if the agent is missing. Graylog syslog forwarding status with auto-fix.',
     },
+    screenshot4: {
+      heading: 'Configuration backup and versioning',
+      body: 'Every poll captures a config snapshot into a local Git repository. The Config tab shows the full snapshot history, a side-by-side diff between any two points in time, and — for OPNsense — a Restore button. Unauthorized changes show up as a device warning.',
+    },
     nis2Label: 'NIS2 · Art. 21',
     nis2Heading: 'Evidence, not paperwork.',
     nis2Body: "NIS2 Art. 21 mandates asset inventory, patch management, access control, and audit trails as baseline technical measures. netOrk doesn't bolt on a compliance layer — these are its day-to-day outputs.",
@@ -141,6 +145,9 @@ const en = {
           'One-click drift fix stream with live SSH output in the browser',
           'UCI-based config push for OpenWRT (VLAN names, SSID settings, radio config)',
           'AP profile system: country code, HT/VHT mode, 802.11r, NTP, syslog, SSH port',
+          'Configuration backup & versioning: every poll snapshots config into a local Git repo, with full history and a side-by-side diff viewer',
+          'One-click config restore for OPNsense from any prior snapshot',
+          'Unauthorized configuration changes are surfaced as a device warning',
         ],
       },
       {
@@ -157,6 +164,7 @@ const en = {
         items: [
           'SNMP health metrics (CPU, memory, interface counters) via get_health_metrics()',
           'Per-device warning system with severity levels (error / warning / info)',
+          'One-click Ack on any warning — clears it immediately and logs the action; config-change warnings accept the current state as the new baseline',
           'Docker container and image status (Proxmox/Linux)',
           'Service status and start/stop/restart (systemd)',
           'VM/container list with OS device cross-linking (Proxmox)',
@@ -183,6 +191,7 @@ const en = {
         title: 'Access Control (RBAC)',
         items: [
           'JWT authentication with remember-me (localStorage) or session-only (sessionStorage)',
+          'Two-factor authentication (MFA/TOTP): authenticator app at login, backup codes, session invalidation on TOTP changes, enforceable per role',
           'RBAC with four built-in roles: viewer / operator / engineer / administrator',
           'Custom roles with any permission combination',
           'Full audit log of all orchestration actions',
@@ -200,9 +209,11 @@ const en = {
         title: 'Compliance & Audit (NIS2)',
         items: [
           'Full audit log of all orchestration actions — who changed what, when (Art. 21 (2h))',
+          'Two-factor authentication (MFA/TOTP), enforceable per role — administrative access control (Art. 21 (2i))',
           'RBAC with four built-in roles and custom permission sets — access control evidence',
           'Per-device patch status and installed package list — patch management baseline (Art. 21 (2e))',
           'Wazuh CVE counts by severity (critical / high / medium) linked to each device record',
+          'Git-backed configuration snapshot history with diff viewer and OPNsense restore — config-level backup & recovery evidence (Art. 21 (2c))',
           'Config drift tracking: desired state vs. polled state — detect unauthorized changes',
           'Security agent coverage report: which devices have Wazuh, Graylog, CrowdSec active',
           'SNMP health metrics as continuous monitoring baseline (Art. 21 (2a))',
@@ -335,6 +346,10 @@ const de: Translations = {
       heading: 'Sicherheitssichtbarkeit pro Gerät',
       body: 'Wazuh-Agent-Status, CVE-Anzahl nach Schweregrad und aktuelle Alerts — alle mit dem Gerätedatensatz verknüpft. Ein-Klick-Agent-Installation falls der Agent fehlt. Graylog-Syslog-Weiterleitungsstatus mit Auto-Fix.',
     },
+    screenshot4: {
+      heading: 'Konfigurationsbackup und -versionierung',
+      body: 'Bei jedem Poll wird ein Konfigurationssnapshot in einem lokalen Git-Repository gespeichert. Der Config-Tab zeigt die vollständige Snapshot-Historie, einen Side-by-Side-Diff zwischen beliebigen Zeitpunkten und — für OPNsense — einen Restore-Button. Nicht autorisierte Änderungen erscheinen als Gerätewarnung.',
+    },
     nis2Label: 'NIS2 · Art. 21',
     nis2Heading: 'Nachweise, keine Papierwüste.',
     nis2Body: 'NIS2 Art. 21 schreibt Geräteinventar, Patch-Management, Zugangskontrolle und Audit-Trails als technische Basismaßnahmen vor. netOrk fügt keine Compliance-Schicht auf — das sind seine normalen Tagesausgaben.',
@@ -413,6 +428,9 @@ const de: Translations = {
           'Ein-Klick-Drift-Fix-Stream mit Live-SSH-Output im Browser',
           'UCI-basierter Config-Push für OpenWRT (VLAN-Namen, SSID-Einstellungen, Radio-Konfiguration)',
           'AP-Profil-System: Ländercode, HT/VHT-Modus, 802.11r, NTP, Syslog, SSH-Port',
+          'Konfigurationsbackup & -versionierung: bei jedem Poll wird ein Snapshot in ein lokales Git-Repository geschrieben — vollständige Historie und Side-by-Side-Diff-Viewer',
+          'Ein-Klick-Konfigurations-Restore für OPNsense aus jedem früheren Snapshot',
+          'Nicht autorisierte Konfigurationsänderungen werden als Gerätewarnung angezeigt',
         ],
       },
       {
@@ -429,6 +447,7 @@ const de: Translations = {
         items: [
           'SNMP-Gesundheitsmetriken (CPU, Speicher, Schnittstellenzähler) via get_health_metrics()',
           'Gerätespezifisches Warnsystem mit Schweregraden (Fehler / Warnung / Info)',
+          'Ein-Klick-Ack für jede Warnung — löscht sie sofort und protokolliert die Aktion; bei Config-Change-Warnungen wird der aktuelle Zustand als neue Baseline akzeptiert',
           'Docker-Container- und Image-Status (Proxmox/Linux)',
           'Service-Status und Start/Stop/Neustart (systemd)',
           'VM/Container-Liste mit OS-Geräteverknüpfung (Proxmox)',
@@ -455,6 +474,7 @@ const de: Translations = {
         title: 'Zugangskontrolle (RBAC)',
         items: [
           'JWT-Authentifizierung mit Remember-Me (localStorage) oder nur Sitzung (sessionStorage)',
+          'Zwei-Faktor-Authentifizierung (MFA/TOTP): Authenticator-App beim Login, Backup-Codes, Session-Invalidierung bei TOTP-Änderungen, pro Rolle erzwingbar',
           'RBAC mit vier integrierten Rollen: Betrachter / Operator / Ingenieur / Administrator',
           'Benutzerdefinierte Rollen mit beliebiger Berechtigungskombination',
           'Vollständiges Audit-Log aller Orchestrierungsaktionen',
@@ -472,9 +492,11 @@ const de: Translations = {
         title: 'Compliance & Audit (NIS2)',
         items: [
           'Vollständiges Audit-Log aller Orchestrierungsaktionen — wer hat was wann geändert (Art. 21 (2h))',
+          'Zwei-Faktor-Authentifizierung (MFA/TOTP), pro Rolle erzwingbar — Zugangskontrolle für administrative Konten (Art. 21 (2i))',
           'RBAC mit vier integrierten Rollen und benutzerdefinierten Berechtigungssätzen — Zugangskontrollnachweis',
           'Patch-Status und installierte Paketliste pro Gerät — Patch-Management-Baseline (Art. 21 (2e))',
           'Wazuh-CVE-Anzahl nach Schweregrad (kritisch / hoch / mittel) verknüpft mit jedem Gerätedatensatz',
+          'Git-basierte Konfigurationssnapshot-Historie mit Diff-Viewer und OPNsense-Restore — Backup- & Recovery-Nachweis auf Konfigurationsebene (Art. 21 (2c))',
           'Konfigurationsdrift-Tracking: Sollzustand vs. abgefragter Zustand — nicht autorisierte Änderungen erkennen',
           'Security-Agent-Abdeckungsbericht: welche Geräte haben Wazuh, Graylog, CrowdSec aktiv',
           'SNMP-Gesundheitsmetriken als kontinuierliche Monitoring-Baseline (Art. 21 (2a))',