Merge pull request #2614 from Ayush7614/docs/truth-up-skills-locales

Docs: truth-up packaged skills and UI locales

Author: webbrain-one

docs/architecture.md

@@ -374,6 +374,7 @@ tracks as a successful video or hand ffmpeg work to the user.
 | Read a YouTube transcript, fetch a blocked NYTimes article, or resolve/download supported public media | FreeSkillz.xyz | Ask, Act, Dev | Ask can load the skill but still cannot see its Act-only `download_public_media` tool. |
 | Look up weather or a short forecast | Open-Meteo weather | Ask, Act, Dev | Read-only tools remain subject to their manifest filters. |
 | Find books, ISBNs, authors, or publication data | Open Library | Ask, Act, Dev | Read-only tools remain subject to their manifest filters. |
+| Search or summarize an encyclopedia topic | Wikipedia | Ask, Act, Dev | Read-only Wikipedia REST/Action API tools; results are untrusted. |
 | Upload one non-sensitive file to a short-lived public link | Temporary file share (Litterbox) | Act, Dev | Not shown to Ask; the skill uses existing browser upload tools. |
 
 The runtime enforces catalog membership, mode/tier eligibility, active-skill

docs/fr/localization.md

@@ -13,21 +13,32 @@ src/chrome/src/ui/
 ├── i18n.js                # Cœur : t(), setLocale(), applyDOMTranslations()
 └── locales/
     ├── en.js              # Anglais — canonique, toujours complète
+    ├── ar.js              # Arabe
+    ├── bn.js              # Bengali
+    ├── de.js              # Allemand
     ├── es.js              # Espagnol
+    ├── fa.js              # Persan
     ├── fr.js              # Français
-    ├── tr.js              # Turc
-    ├── zh.js              # Chinois
-    ├── ru.js              # Russe
-    ├── uk.js              # Ukrainien
-    ├── ar.js              # Arabe
+    ├── he.js              # Hébreu
+    ├── hi.js              # Hindi
+    ├── id.js              # Indonésien
     ├── ja.js              # Japonais
     ├── ko.js              # Coréen
-    ├── id.js              # Indonésien
-    ├── th.js              # Thaï
     ├── ms.js              # Malais
-    └── tl.js              # Philippin
+    ├── nl.js              # Néerlandais
+    ├── pl.js              # Polonais
+    ├── pt.js              # Portugais
+    ├── ru.js              # Russe
+    ├── th.js              # Thaï
+    ├── tl.js              # Philippin
+    ├── tr.js              # Turc
+    ├── uk.js              # Ukrainien
+    ├── vi.js              # Vietnamien
+    └── zh.js              # Chinois
 ```
 
+Paramètres → Langue liste les **23** locales de `LANGUAGES` dans `i18n.js`
+(anglais et chinois épinglés en premier ; le reste trié par nom anglais).
 ### Fonctions clés
 
 ```js

docs/fr/privacy-and-data-flow.md

@@ -164,6 +164,18 @@ de l'URL et des arguments d'outil déclarés. Les utilisateurs peuvent supprimer
 cette compétence, ou tout outil de compétence importé par l'utilisateur, depuis
 Paramètres → Compétences pour arrêter complètement ce flux de données.
 
+### Compétences packagées à activer
+
+D'autres compétences packagées sont livrées désactivées jusqu'à ce que
+l'utilisateur les active dans Paramètres → Compétences. Une fois activées et
+chargées pour une exécution, leurs outils HTTPS déclarés peuvent appeler des
+points de terminaison tiers (par exemple Mail.tm, Open-Meteo, Open Library ou
+Wikipédia). Ces appels n'envoient que les arguments d'outil déclarés dans le
+manifeste — pas l'historique de navigation ni le chat non lié — et traitent les
+réponses comme non fiables sauf indication contraire du manifeste. Retirer ou
+désactiver une compétence arrête ce flux. Voir
+[Compétences](skills.md#compétences-intégrées) pour le catalogue packagé.
+
 ---
 
 ## Diagrammes de flux de données

docs/fr/skills.md

@@ -45,24 +45,35 @@ d'outils issus de contenu tiers doivent être marqués
 `resultPolicy: "untrusted"` afin d'être encapsulés comme des données et non
 comme des instructions.
 
+Les outils HTTP de compétence refusent les redirections (y compris les
+redirections opaques du navigateur) : les manifestes doivent utiliser un hôte
+HTTPS final qui ne renvoie pas de 3xx.
+
 Les outils de compétence ne font pas partie de la
 [matrice des outils](agent-tools.md#matrice-des-outils) statique : avant le
 chargement d'une compétence, ou après son retrait, ses outils sont absents.
 
 ## Compétences intégrées
 
-Les deux sont **activées par défaut** et peuvent être retirées dans Paramètres →
-Compétences.
+Les fichiers markdown packagés vivent sous `skills/` et sont enregistrés dans
+`PACKAGED_SKILL_SOURCES` (`agent/skills.js`). Paramètres → Compétences liste
+chaque compétence packagée ; seules les valeurs par défaut ci-dessous sont
+initialisées comme activées.
+
+### Activées par défaut
 
-### FreeSkillz.xyz
+Les deux peuvent être retirées dans Paramètres → Compétences. Une valeur par
+défaut retirée n'est pas restaurée silencieusement.
+
+#### FreeSkillz.xyz
 
 Peut exposer `read_youtube_transcript`, `fetch_nytimes_article`,
 `resolve_public_media` et `download_public_media` via son manifeste. Sur les
 onglets NYTimes / The Athletic, elle est préactivée pour l'exécution en cours
 afin qu'un `pageGate` bloquant structuré puisse router directement vers le repli
 d'article sans identifiants.
 
-### Assistant OTP / code de vérification
+#### Assistant OTP / code de vérification
 
 Ne se charge que pour les demandes pertinentes et ne déclare aucun outil réseau.
 Sur l'onglet de l'exécution active, il privilégie le texte sélectionné ou un
@@ -76,6 +87,22 @@ requête normale envoyée au fournisseur LLM que vous avez configuré. Si
 réponses du modèle sont également stockés localement jusqu'à la suppression de
 ces traces.
 
+### Compétences packagées à activer
+
+Ces compétences sont livrées avec l'extension et apparaissent dans Paramètres →
+Compétences comme disponibles. Elles ne sont pas activées par défaut.
+
+| Compétence | Modes | Outils réseau |
+|---|---|---|
+| E-mail jetable (Mail.tm) | Act, Dev | API HTTPS Mail.tm |
+| Partage de fichier temporaire (Litterbox) | Act, Dev | Outils d'upload du navigateur ; lien public de courte durée |
+| Météo Open-Meteo | Ask, Act, Dev | Géocodage + prévisions HTTPS |
+| Open Library | Ask, Act, Dev | Recherche Open Library HTTPS |
+| Wikipédia | Ask, Act, Dev | Recherche REST + résumé Action API HTTPS |
+
+N'activez une compétence que si vous voulez ses outils et instructions
+disponibles pour `load_skill` sur les exécutions éligibles.
+
 ## Voir aussi
 
 - [Outils de l'agent](agent-tools.md) — niveaux, modes et matrice complète

docs/localization.md

@@ -13,23 +13,32 @@ src/chrome/src/ui/
 ├── i18n.js                # Core: t(), setLocale(), applyDOMTranslations()
 └── locales/
     ├── en.js              # English — canonical, always complete
+    ├── ar.js              # Arabic
+    ├── bn.js              # Bengali
+    ├── de.js              # German
     ├── es.js              # Spanish
+    ├── fa.js              # Persian
     ├── fr.js              # French
-    ├── tr.js              # Turkish
-    ├── zh.js              # Chinese
-    ├── ru.js              # Russian
-    ├── uk.js              # Ukrainian
-    ├── ar.js              # Arabic
+    ├── he.js              # Hebrew
+    ├── hi.js              # Hindi
+    ├── id.js              # Indonesian
     ├── ja.js              # Japanese
     ├── ko.js              # Korean
-    ├── id.js              # Indonesian
-    ├── th.js              # Thai
     ├── ms.js              # Malay
-    ├── tl.js              # Filipino
+    ├── nl.js              # Dutch
     ├── pl.js              # Polish
-    └── he.js              # Hebrew
+    ├── pt.js              # Portuguese
+    ├── ru.js              # Russian
+    ├── th.js              # Thai
+    ├── tl.js              # Filipino
+    ├── tr.js              # Turkish
+    ├── uk.js              # Ukrainian
+    ├── vi.js              # Vietnamese
+    └── zh.js              # Chinese
 ```
 
+Settings → Language lists all **23** locales from `LANGUAGES` in `i18n.js`
+(English and Chinese pinned first; the rest sorted by English name).
 ### Key Functions
 
 ```js

docs/privacy-and-data-flow.md

@@ -321,6 +321,17 @@ retention before reading, treat message content as untrusted, honor Strict
 secret handling, reject ambiguous numeric strings and recovery tokens, and
 prohibit intentionally copying the code into scratchpad or user memory.
 
+### Opt-in packaged skills
+
+Additional packaged skills ship disabled until the user enables them in
+Settings → Skills. When enabled and activated for a run, their declared HTTPS
+skill tools may call third-party endpoints (for example Mail.tm, Open-Meteo,
+Open Library, or Wikipedia). Those calls send only the tool arguments declared
+in the skill manifest — not browsing history or unrelated chat — and treat
+responses as untrusted unless the manifest says otherwise. Removing or
+disabling a skill stops that data flow. See [Skills](skills.md#bundled-skills)
+for the full packaged catalog.
+
 ---
 
 ## Data Flow Diagrams

docs/skills.md

@@ -40,22 +40,32 @@ permission gate before saving files. Tool results derived from third-party
 content should be marked `resultPolicy: "untrusted"` so they are wrapped as
 data, not instructions.
 
+Skill HTTP tools reject redirects (including opaque browser redirects), so
+manifests must use a final HTTPS host that does not 3xx.
+
 Skill tools are not part of the static [tool matrix](agent-tools.md#tool-matrix):
 before a skill is loaded, or after it is removed, its tools are absent.
 
 ## Bundled skills
 
-Both ship **enabled by default** and can be removed from Settings → Skills.
+Packaged skill markdown lives under `skills/` and is registered in
+`PACKAGED_SKILL_SOURCES` (`agent/skills.js`). Settings → Skills lists every
+packaged skill; only the defaults below are seeded enabled.
+
+### Enabled by default
 
-### FreeSkillz.xyz
+Both can be removed from Settings → Skills. A removed default is not silently
+restored.
+
+#### FreeSkillz.xyz
 
 Can expose `read_youtube_transcript`, `fetch_nytimes_article`,
 `resolve_public_media`, and `download_public_media` through its skill manifest.
 On NYTimes / The Athletic tabs it is preactivated for the current run so a
 structured blocking `pageGate` can route directly to the credentialless article
 fallback.
 
-### OTP / verification-code helper
+#### OTP / verification-code helper
 
 Loads only for relevant requests and declares no network tool. On the active run
 tab it prefers selected text or a bounded accessibility-tree subtree, matches
@@ -67,6 +77,22 @@ request to your configured LLM provider. If **Record traces** is enabled, raw
 tool results and model responses are also stored locally until those traces are
 deleted.
 
+### Opt-in packaged skills
+
+These ship in the extension and appear under Settings → Skills as available to
+enable. They are not seeded on by default.
+
+| Skill | Modes | Network tools |
+|---|---|---|
+| Disposable email (Mail.tm) | Act, Dev | Mail.tm HTTPS API |
+| Temporary file share (Litterbox) | Act, Dev | Uses browser upload tools; short-lived public link |
+| Open-Meteo weather | Ask, Act, Dev | Geocoding + forecast HTTPS |
+| Open Library | Ask, Act, Dev | Open Library search HTTPS |
+| Wikipedia | Ask, Act, Dev | Wikipedia REST search + Action API summary HTTPS |
+
+Enable a skill only when you want its tools and instructions available for
+`load_skill` on eligible runs.
+
 ## See also
 
 - [Agent tools](agent-tools.md) — tiers, modes, and the full tool matrix

docs/zh-CN/localization.md

@@ -13,21 +13,32 @@ src/chrome/src/ui/
 ├── i18n.js                # 核心：t()、setLocale()、applyDOMTranslations()
 └── locales/
     ├── en.js              # 英语 — 标准版本，始终完整
+    ├── ar.js              # 阿拉伯语
+    ├── bn.js              # 孟加拉语
+    ├── de.js              # 德语
     ├── es.js              # 西班牙语
+    ├── fa.js              # 波斯语
     ├── fr.js              # 法语
-    ├── tr.js              # 土耳其语
-    ├── zh.js              # 中文
-    ├── ru.js              # 俄语
-    ├── uk.js              # 乌克兰语
-    ├── ar.js              # 阿拉伯语
+    ├── he.js              # 希伯来语
+    ├── hi.js              # 印地语
+    ├── id.js              # 印尼语
     ├── ja.js              # 日语
     ├── ko.js              # 韩语
-    ├── id.js              # 印尼语
-    ├── th.js              # 泰语
     ├── ms.js              # 马来语
-    └── tl.js              # 菲律宾语
+    ├── nl.js              # 荷兰语
+    ├── pl.js              # 波兰语
+    ├── pt.js              # 葡萄牙语
+    ├── ru.js              # 俄语
+    ├── th.js              # 泰语
+    ├── tl.js              # 菲律宾语
+    ├── tr.js              # 土耳其语
+    ├── uk.js              # 乌克兰语
+    ├── vi.js              # 越南语
+    └── zh.js              # 中文
 ```
 
+设置 → 语言会列出 `i18n.js` 中 `LANGUAGES` 的全部 **23** 种语言（英语和中文置顶；
+其余按英文名排序）。
 ### 关键函数
 
 ```js

docs/zh-CN/privacy-and-data-flow.md

@@ -82,6 +82,10 @@
 
 一个内置的"FreeSkillz.xyz"技能（`skills/freeskillz-xyz.md`）在首次运行时被植入设置 → 技能中，默认启用，可以在那里删除。它声明了 `read_youtube_transcript`、`resolve_public_media` 和 `download_public_media` 工具。当模型调用这些工具之一时，WebBrain 仅将当前或模型提供的 URL，以及声明的选项（如转录语言、媒体类型、最大高度或文件名提示）通过 HTTPS 发送到声明的 `https://freeskillz.xyz` 端点——这是由扩展程序开发者运营的第一方服务，与用户配置的 LLM 提供商分开。转录工具仅限于 YouTube/youtu.be URL，而媒体工具仅限于技能清单中声明的公共媒体主机。只读的转录和解析器工具不需要 `/allow-api`；`download_public_media` 仅在执行模式下可用，并且需要下载权限，因为它会创建一个短期的提供商作业，通过浏览器下载 API 保存完成的文件，然后要求提供商删除该作业。这些调用不会发送页面内容、聊天历史或浏览历史（除了 URL 和声明的工具参数）。用户可以从设置 → 技能中删除此技能或任何用户导入的技能工具，以完全停止此数据流。
 
+### 可选打包技能
+
+其他打包技能默认关闭，直到用户在设置 → 技能中启用。启用并在某次运行中激活后，其声明的 HTTPS 技能工具可能调用第三方端点（例如 Mail.tm、Open-Meteo、Open Library 或 Wikipedia）。这些调用仅发送技能清单声明的工具参数——不会发送浏览历史或不相关聊天——并将响应视为不可信（除非清单另有说明）。移除或禁用技能会停止该数据流。完整打包目录见[技能](skills.md#内置技能)。
+
 ---
 
 ## 数据流图

docs/zh-CN/skills.md

@@ -33,21 +33,30 @@ Mid 和 Full 运行会收到一个小型的可用技能目录：ID、名称、
 下运行，并在保存文件前经过常规的下载权限关卡。来自第三方内容的工具结果应标记为
 `resultPolicy: "untrusted"`，以便被包装为数据而非指令。
 
+技能 HTTP 工具会拒绝重定向（包括浏览器的不透明重定向），因此清单必须使用不会返回
+3xx 的最终 HTTPS 主机。
+
 技能工具不属于静态的[工具矩阵](agent-tools.md#工具矩阵)：技能加载前或被移除后，
 其工具并不存在。
 
 ## 内置技能
 
-以下两个技能**默认启用**，都可以在设置 → 技能中移除。
+打包的技能 markdown 位于 `skills/`，并在 `PACKAGED_SKILL_SOURCES`
+（`agent/skills.js`）中注册。设置 → 技能会列出全部打包技能；仅以下默认技能会被
+预先启用。
+
+### 默认启用
 
-### FreeSkillz.xyz
+两者都可以在设置 → 技能中移除。已移除的默认技能不会被静默恢复。
+
+#### FreeSkillz.xyz
 
 可通过其技能清单暴露 `read_youtube_transcript`、`fetch_nytimes_article`、
 `resolve_public_media` 和 `download_public_media`。在 NYTimes / The Athletic 标签页
 上，它会为当前运行预先激活，使结构化的阻塞 `pageGate` 可以直接路由到无凭证的文章
 回退方案。
 
-### OTP / 验证码助手
+#### OTP / 验证码助手
 
 仅在相关请求时加载，且不声明任何网络工具。在活动的运行标签页上，它优先使用选中文本
 或有界的可访问性树子树，匹配最新的相关服务验证码，排除短信/原生应用访问，并遵守
@@ -56,6 +65,20 @@ Mid 和 Full 运行会收到一个小型的可用技能目录：ID、名称、
 使用时，限定范围的页面内容和验证码会包含在发往你所配置 LLM 提供商的正常请求中。
 如果启用了**记录追踪**，原始工具结果和模型响应也会本地存储，直到这些追踪被删除。
 
+### 可选打包技能
+
+这些技能随扩展一起提供，并在设置 → 技能中显示为可启用；默认不会预先打开。
+
+| 技能 | 模式 | 网络工具 |
+|---|---|---|
+| 一次性邮箱（Mail.tm） | Act, Dev | Mail.tm HTTPS API |
+| 临时文件分享（Litterbox） | Act, Dev | 使用浏览器上传工具；短时公开链接 |
+| Open-Meteo 天气 | Ask, Act, Dev | 地理编码 + 预报 HTTPS |
+| Open Library | Ask, Act, Dev | Open Library 搜索 HTTPS |
+| Wikipedia | Ask, Act, Dev | Wikipedia REST 搜索 + Action API 摘要 HTTPS |
+
+仅在你希望其工具与指令可用于符合条件的运行的 `load_skill` 时再启用。
+
 ## 另请参阅
 
 - [智能体工具](agent-tools.md) — 层级、模式和完整工具矩阵