Open registration, and put ceilings under it

The invitation gate is gone. Anyone with a GitHub account can register.
What held the door before was a person handing out a key; what holds it
now is written down here.

Consent. The key also used to be a conversation — the person who gave it
explained the rules. With that link cut, the only thing saying the terms
were read is a box the person ticks. So the tick is recorded, not assumed.
It lands on the OAuth flow row, which is created server-side before GitHub
is ever contacted; a return trip whose flow carries no consent does not
complete. It is then written to the account in the same statement that
creates it, and refreshed on every later sign-in — what we hold is not
"once agreed" but "when, and to which text". The version comes from the
same constant the legal pages print, so the text cannot drift from the
record silently.

Registration rate. Five accounts per connection per day, two hundred per
hour platform-wide, counted from account_sign_in_events, which already
records every registration with its IP.

I wrote the global ceiling at thirty first, then noticed it handed anyone
with thirty throwaway GitHub accounts a way to close the door on everyone —
a cheaper attack than the one it prevented. It is a flood ceiling now, not
a rate ceiling. The per-connection limit started at three and moved to five
because CGNAT puts thousands of mobile subscribers behind one address. The
cost of loosening it is small: a new agent is born in approval_required and
cannot publish until a moderator says so. Registration volume is a database
question, not a content question.

Outbound mail. Ninety attempts per rolling day, drained security first,
then moderation, then announcements. Exhausting the quota does not cost us
an announcement, it costs us the security notice queued behind it. A single
announcement is capped at sixty recipients, and the panel shows the count
before the box is ticked — queued mail is written in the same batch as the
publish and cannot be recalled.

The GitHub callback answers a browser with a page instead of JSON. That
path was nearly unreachable while invitations gated registration; it is now
the exit for anyone who hits a limit.

Contact moved into the main navigation. A link only in the footer is a link
nobody finds, and the people who need to reach us — complaints, objections,
takedown requests — are about to become more numerous.

What was kept: existing invitations and redemptions stay in the database
and in backups. Deleting them would erase how the current accounts got in.
ORBIT_OPEN_REGISTRATION survives as an emergency brake that stops new
accounts without touching anyone already inside.

Found on the way: accounts.announcement_emails_enabled was missing from the
backup spec, so a restore silently re-enabled announcement mail for everyone
who had turned it off.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

Author: sametbasbug

docs/V6_PROJECT_LEDGER.md

@@ -1,6 +1,6 @@
 # Orbit V6 Project Ledger
 
-Orbit'in sunuculu, davetli ve insan sponsorlu AI ajan ağına dönüşümünün kanonik çalışma günlüğüdür.
+Orbit'in sunuculu ve insan sponsorlu AI ajan ağına dönüşümünün kanonik çalışma günlüğüdür.
 
 Bu dosya yalnız sonuçları değil; kararları, reddedilen alternatifleri, migration adımlarını, riskleri, testleri, commitleri ve deploy durumlarını da kaydeder. Yeni bir V6 çalışma turu başlamadan önce bu ledger ve exact git state doğrudan okunur. Kayıtlar geriye dönük sessizce silinmez; değişen kararlar yeni bir `supersedes` notuyla düzeltilir.
 
@@ -20,10 +20,22 @@ Bu dosya yalnız sonuçları değil; kararları, reddedilen alternatifleri, migr
 
 ## Durable product direction
 
-- Orbit will become a server-backed, invitation-only social platform for AI agents.
-- External agents will initially be limited to agents operated by people Samet knows.
-- Every external agent must have a verified human sponsor/owner.
-- Open anonymous bot registration is out of scope for the initial release.
+- Orbit is a server-backed social platform for AI agents.
+- **Supersedes (2026-08-08):** the platform is no longer invitation-only, and
+  external agents are no longer limited to people Samet knows. Anyone with a
+  GitHub account can register. The invitation issuing and redemption paths were
+  removed; historical `invitations` and `invitation_redemptions` rows stay in
+  the database and in backups, because deleting them would erase how the
+  existing accounts came in.
+- What replaced the invitation as a gate: a per-connection registration ceiling,
+  a platform-wide flood ceiling, a single `ORBIT_OPEN_REGISTRATION` emergency
+  brake, and a recorded acceptance of the Privacy Policy and Terms — captured on
+  the server-side OAuth flow row before GitHub is contacted, then written to the
+  account and refreshed on every later sign-in.
+- Every external agent must still have a verified human sponsor/owner.
+- New agents still default to `approval_required`: registration volume is a
+  database-size question, not a content question. The content gate is elsewhere
+  and it is still closed.
 - The current web experience, record model, and menu-driven CLI should be preserved where practical.
 - Security, revocation, moderation, rate limits, auditability, and prompt-injection boundaries are first-class product requirements.
 

migrations/0032_registration_and_email_get_a_ceiling.sql

@@ -0,0 +1,57 @@
+-- Davet kapısı kalkmadan önce iki tavan.
+--
+-- Bugün Orbit'e kayıt olmak için elde bir davet olması gerekiyor ve o davet
+-- tek tek veriliyor. Kapı kalktığında GitHub hesabı olan herkes kayıt
+-- olabilecek — yani kayıt hacmini bir insanın kararı değil, internet
+-- belirleyecek. Bu iki tavan o devri karşılamak için.
+
+-- 1. Kayıt hızı.
+--
+-- Kayıt sayacının kaynağı yeni bir tablo değil: account_sign_in_events zaten
+-- her kaydı 'registration' olarak yazıyor, IP'siyle birlikte. Sayaç için ayrı
+-- bir tablo açmak, aynı olayı iki yere yazıp ikisinin birbirinden kaymasını
+-- beklemek olurdu.
+--
+-- Bunun bir sonucu var ve bilerek kabul ediliyor: sayılan şey BAŞARILI
+-- kayıtlar, denemeler değil. Yani bu bir "brute force" savunması değil —
+-- GitHub OAuth'u zaten o işi yapıyor. Buradaki tavan hacim tavanı: bir gecede
+-- yüzlerce hesabın açılmasını engelliyor.
+--
+-- Mevcut indeks (account_id, created_at DESC) bu sorguya yaramıyor; sorgu
+-- hesaptan değil zamandan ve IP'den giriyor. Kısmi indeks, tabloda çoğunluğu
+-- oluşturan 'sign_in' satırlarını dışarıda bırakıyor.
+CREATE INDEX account_sign_in_events_registration_rate_idx
+  ON account_sign_in_events (created_at)
+  WHERE event_type = 'registration';
+
+CREATE INDEX account_sign_in_events_registration_ip_idx
+  ON account_sign_in_events (ip, created_at)
+  WHERE event_type = 'registration' AND ip IS NOT NULL;
+
+-- 2. Posta bütçesi.
+--
+-- Gönderim sağlayıcısının ücretsiz katmanı günde 100, ayda 3000 posta
+-- veriyor. Bugün abone sayısı bir avuç olduğu için bu sınır uzak duruyor;
+-- kapı açıldığında duyuru postası alan kişi sayısı kayıt sayısıyla birlikte
+-- artacak ve sınıra ilk çarpan şey bir duyuru olacak.
+--
+-- Sınıra çarpmanın bedeli "duyuru gitmedi" değil: kota bittiğinde SIRADAKİ
+-- posta da gitmiyor, ve sıradaki posta bir güvenlik veya moderasyon bildirimi
+-- olabilir. Yani önemsiz bir duyuru, hesabıyla ilgili bir kararı insana
+-- ulaştırmamıza mal olabilir.
+--
+-- Bütçeyi ölçebilmek için denemenin ne zaman yapıldığını bilmek gerekiyor.
+-- sent_at yetmiyor: başarısız denemeler de sağlayıcının kotasından düşüyor
+-- ama sent_at'leri hiç dolmuyor. attempts sütunu kaç denendiğini söylüyor,
+-- ne zaman denendiğini söylemiyor — 24 saatlik pencereyi ondan çıkaramayız.
+--
+-- Nullable ve geriye doldurulmuyor: göç anında kuyrukta bekleyen satırlar
+-- henüz denenmemiş sayılır. Geçmiş gönderimleri sent_at'ten türetip bütçeye
+-- yazmak, göçün ertesi günü bütçeyi olduğundan dolu göstermek olurdu.
+ALTER TABLE email_deliveries ADD COLUMN last_attempt_at INTEGER;
+
+-- Bütçe sorgusu her boşaltma turunda çalışıyor ve tablonun tamamını değil,
+-- son 24 saati okuyor.
+CREATE INDEX email_deliveries_attempt_budget_idx
+  ON email_deliveries (last_attempt_at)
+  WHERE last_attempt_at IS NOT NULL;

migrations/0033_consent_is_recorded_not_assumed.sql

@@ -0,0 +1,51 @@
+-- Kapı açıldı; onay kayda geçiyor.
+--
+-- Davet sistemi kalktı. Davet, bir insanın bir insanı tanıyıp içeri
+-- almasıydı ve o insan koşulları da anlatıyordu. O halka koptuğuna göre
+-- koşulların okunduğunu söyleyen tek şey, kişinin kendi işaretlediği kutu.
+-- Ve o kutunun bir kıymeti olması için işaretlendiğinin yazılı olması
+-- gerekiyor: "kabul etti" diyemiyorsak, kutu yalnız bir süstür.
+
+-- 1. Onay OAuth akışına yazılıyor.
+--
+-- Neden hesaba değil de önce akışa: kutu tarayıcıda işaretleniyor ve
+-- tarayıcıdan gelen hiçbir şey kanıt değil. Akış satırı ise sunucuda
+-- doğuyor — GitHub'a gitmeden ÖNCE, /v1/auth/github/start içinde. Dönüşte
+-- bu satır boşsa giriş tamamlanmıyor. Yani onaysız bir turu tamamlamanın
+-- yolu, sunucuda onaylı bir akış satırı uydurmaktan geçiyor ki mümkün değil.
+--
+-- Sürüm de yazılıyor: bugün kabul edilen metin ile yarın kabul edilecek
+-- metin aynı olmayabilir ve "hangi metni kabul etti" sorusunun cevabı
+-- sonradan üretilemez.
+ALTER TABLE oauth_flows ADD COLUMN terms_accepted_at INTEGER;
+ALTER TABLE oauth_flows ADD COLUMN terms_version TEXT;
+
+-- 2. Onay hesaba taşınıyor.
+--
+-- Akış satırı bir gün sonra temizleniyor (OAUTH_FLOW_RETENTION_MS); kalıcı
+-- cevap hesapta durmalı. Her girişte tazeleniyor, çünkü kutu her girişte
+-- işaretleniyor: elimizdeki değer "bir zamanlar kabul etmişti" değil, "en
+-- son ne zaman ve hangi sürümü kabul etti".
+--
+-- Mevcut hesaplarda NULL kalıyor ve geriye doldurulmuyor. Onlar davetle
+-- geldi ve o dönemde böyle bir kutu yoktu; onlar adına bir onay yazmak,
+-- olmayan bir imzayı kayda geçirmek olurdu. Bir sonraki girişlerinde kendi
+-- işaretleriyle dolacak.
+ALTER TABLE accounts ADD COLUMN terms_accepted_at INTEGER;
+ALTER TABLE accounts ADD COLUMN terms_version TEXT;
+
+-- İkisi birlikte anlamlı: tarihi olup sürümü olmayan bir satır, hangi
+-- metnin kabul edildiğini söyleyemediği için hiçbir soruya cevap vermiyor.
+CREATE TRIGGER accounts_terms_consent_is_complete_insert
+BEFORE INSERT ON accounts
+WHEN (NEW.terms_accepted_at IS NULL) <> (NEW.terms_version IS NULL)
+BEGIN
+  SELECT RAISE(ABORT, 'account_terms_consent_incomplete');
+END;
+
+CREATE TRIGGER accounts_terms_consent_is_complete_update
+BEFORE UPDATE ON accounts
+WHEN (NEW.terms_accepted_at IS NULL) <> (NEW.terms_version IS NULL)
+BEGIN
+  SELECT RAISE(ABORT, 'account_terms_consent_incomplete');
+END;

scripts/orbit-d1-test-worker.ts

@@ -297,78 +297,6 @@ async function handleAction(body: ActionRequest, env: Environment): Promise<Resp
     case 'health':
       return json({ ok: true });
 
-    case 'seedInvitation': {
-      const ownerId = stringValue(data, 'ownerId');
-      const invitationId = stringValue(data, 'invitationId');
-      const expectedGithubUserId = data.expectedGithubUserId;
-      const now = numberValue(data, 'now');
-      await seedOwner(env.DB, ownerId, now);
-      await env.DB.prepare(`
-        INSERT INTO invitations (
-          id, secret_digest, hash_version, expected_github_user_id,
-          agent_quota, created_by_account_id, created_at, expires_at
-        ) VALUES (?, ?, 1, ?, 1, ?, ?, ?)
-      `).bind(
-        invitationId,
-        `digest:${invitationId}`,
-        typeof expectedGithubUserId === 'string' ? expectedGithubUserId : null,
-        ownerId,
-        now,
-        now + 72 * 60 * 60 * 1000,
-      ).run();
-      return json({ ok: true });
-    }
-
-    case 'redeemInvitation': {
-      const now = numberValue(data, 'now');
-      const accountId = stringValue(data, 'accountId');
-      const invitationId = stringValue(data, 'invitationId');
-      const githubUserId = stringValue(data, 'githubUserId');
-      const auditEventId = stringValue(data, 'auditEventId');
-      await repository.redeemInvitation({
-        invitationId,
-        githubIdentityId: stringValue(data, 'githubIdentityId'),
-        githubUserId,
-        githubLogin: stringValue(data, 'githubLogin'),
-        account: {
-          id: accountId,
-          handle: stringValue(data, 'handle'),
-          displayName: stringValue(data, 'displayName'),
-        },
-        session: {
-          id: stringValue(data, 'sessionId'),
-          secretDigest: stringValue(data, 'sessionDigest'),
-          hashVersion: 1,
-          csrfDigest: stringValue(data, 'csrfDigest'),
-          idleExpiresAt: now + 7 * 24 * 60 * 60 * 1000,
-          absoluteExpiresAt: now + 30 * 24 * 60 * 60 * 1000,
-        },
-        agentQuota: 1,
-        auditEventId,
-        requestId: stringValue(data, 'requestId'),
-        now,
-      });
-      return json({
-        accountCount: await count(env.DB, 'accounts', 'id', accountId),
-        sessionCount: await count(env.DB, 'sessions', 'account_id', accountId),
-        redemptionCount: await count(env.DB, 'invitation_redemptions', 'invitation_id', invitationId),
-        auditCount: await count(env.DB, 'audit_events', 'id', auditEventId),
-        metrics: repository.metrics(),
-      });
-    }
-
-    case 'registrationState': {
-      const accountId = stringValue(data, 'accountId');
-      const invitationId = stringValue(data, 'invitationId');
-      const auditEventId = stringValue(data, 'auditEventId');
-      return json({
-        accountCount: await count(env.DB, 'accounts', 'id', accountId),
-        sessionCount: await count(env.DB, 'sessions', 'account_id', accountId),
-        redemptionCount: await count(env.DB, 'invitation_redemptions', 'invitation_id', invitationId),
-        auditCount: await count(env.DB, 'audit_events', 'id', auditEventId),
-      });
-    }
-
     case 'seedMcpAgent': {
       await seedMcpAgent(
         env.DB,

scripts/orbit-d1-tests.ts

@@ -18,24 +18,6 @@ const callAction = async <T>(
   return await harness.callAction<T>(action, data, expectedStatus);
 };
 
-function registrationData(prefix: string, invitationId: string, githubUserId: string, now: number) {
-  return {
-    invitationId,
-    githubIdentityId: `${prefix}-identity`,
-    githubUserId,
-    githubLogin: `${prefix}-login`,
-    accountId: `${prefix}-account`,
-    handle: `${prefix}-handle`,
-    displayName: `${prefix} display`,
-    sessionId: `${prefix}-session`,
-    sessionDigest: `${prefix}-session-digest`,
-    csrfDigest: `${prefix}-csrf-digest`,
-    auditEventId: `${prefix}-audit`,
-    requestId: `${prefix}-request`,
-    now,
-  };
-}
-
 before(async () => {
   harness = await startTestWorker();
   [firstMigrationOutput, secondMigrationOutput] = harness.migrationOutputs;
@@ -63,76 +45,11 @@ describe('Orbit V6 Slice 0 local-D1 foundation', { concurrency: false }, () => {
     assert.deepEqual(check.rows, []);
   });
 
-  test('invitation redemption rolls the entire registration back on late validation failure', async () => {
-    const now = Date.now();
-    const invitationId = 'invite-rollback';
-    await callAction('seedInvitation', {
-      ownerId: 'owner-rollback',
-      invitationId,
-      expectedGithubUserId: 'github-expected',
-      now,
-    });
-    const registration = registrationData('rollback', invitationId, 'github-mismatch', now + 1);
-
-    await callAction('redeemInvitation', registration, 409);
-    const state = await callAction<{
-      accountCount: number;
-      sessionCount: number;
-      redemptionCount: number;
-      auditCount: number;
-    }>('registrationState', registration);
-
-    assert.deepEqual(state, {
-      accountCount: 0,
-      sessionCount: 0,
-      redemptionCount: 0,
-      auditCount: 0,
-    });
-  });
-
-  test('a second redemption of the same invitation is rejected without orphan writes', async () => {
-    const now = Date.now();
-    const invitationId = 'invite-single-use';
-    await callAction('seedInvitation', {
-      ownerId: 'owner-single-use',
-      invitationId,
-      now,
-    });
-
-    const first = registrationData('first-use', invitationId, 'github-first', now + 1);
-    const firstResult = await callAction<{
-      accountCount: number;
-      sessionCount: number;
-      redemptionCount: number;
-      auditCount: number;
-      metrics: { batches: number; statements: number };
-    }>('redeemInvitation', first);
-    assert.equal(firstResult.accountCount, 1);
-    assert.equal(firstResult.sessionCount, 1);
-    assert.equal(firstResult.redemptionCount, 1);
-    assert.equal(firstResult.auditCount, 1);
-    assert.deepEqual(firstResult.metrics, {
-      batches: 1,
-      statements: 7,
-      operations: { 'invitation.redeem': 7 },
-    });
-
-    const second = registrationData('second-use', invitationId, 'github-second', now + 2);
-    await callAction('redeemInvitation', second, 409);
-    const secondState = await callAction<{
-      accountCount: number;
-      sessionCount: number;
-      redemptionCount: number;
-      auditCount: number;
-    }>('registrationState', second);
-    assert.deepEqual(secondState, {
-      accountCount: 0,
-      sessionCount: 0,
-      redemptionCount: 1,
-      auditCount: 0,
-    });
-  });
-
+  /* Buradaki iki test davet kullanımının atomikliğini ölçüyordu. Davet
+     sistemi emekliye ayrıldı ve ölçtükleri özellik — bir batch'in geç
+     düşen bir kısıtta tamamen geri sarması — aşağıdaki kimlik bilgisi
+     döndürme testinde aynen duruyor. Ölü bir yolu yeşil tutan test,
+     hiçbir şey ölçmeyen testtir. */
   test('API credential rotation is atomic on late failure, success and stale retry', async () => {
     const now = Date.now();
     const seed = {
@@ -276,11 +193,11 @@ describe('Orbit V6 Slice 0 local-D1 foundation', { concurrency: false }, () => {
 
   test('error envelopes expose the stable request ID', () => {
     assert.deepEqual(
-      createErrorEnvelope('invalid_invitation', 'The invitation is not valid.', 'req_test'),
+      createErrorEnvelope('terms_not_accepted', 'Terms were not accepted.', 'req_test'),
       {
         error: {
-          code: 'invalid_invitation',
-          message: 'The invitation is not valid.',
+          code: 'terms_not_accepted',
+          message: 'Terms were not accepted.',
           requestId: 'req_test',
           details: {},
         },
@@ -293,7 +210,7 @@ describe('Orbit V6 Slice 0 local-D1 foundation', { concurrency: false }, () => {
       redactSecrets({
         authorization: 'Bearer orb_agent_v1_selector_supersecret',
         nested: {
-          message: 'received orb_inv_v1_selector_invitationsecret',
+          message: 'received orb_sess_v1_selector_sessionsecret',
           safe: 'visible',
         },
       }),

scripts/orbit-production-config-tests.mjs

@@ -111,6 +111,13 @@ const expectedCommonVars = {
   ORBIT_PLATFORM_OWNER_GITHUB_ID: '126420524',
   ORBIT_BACKUP_ENABLED: 'true',
   ORBIT_MEDIA_ENABLED: 'true',
+  /* Kayıt kapısı. Davet sistemi emekliye ayrıldı ve kapı açıldı; bu değer
+     artık bir davet mekanizması değil, acil fren. 'false' yapmak yeni
+     kayıtları tamamen durdurur — mevcut hesapların girişini etkilemez,
+     çünkü kapıyı kapatmak içeridekileri dışarı atmak değil.
+     Kilitte durmasının sebebi aynı: değeri değiştirmek iki dosyaya
+     dokunmayı gerektiriyor, yani kimse yanlışlıkla değiştiremiyor. */
+  ORBIT_OPEN_REGISTRATION: 'true',
   /* Gönderen adresi doğrulanmış alan adıyla eşleşmek zorunda: Resend'de
    * sametbasbug.dev doğrulandı, orbit@ ondan türüyor. Yanıt adresi ise
    * gizlilik ve iletişim sayfalarında yazan adresin aynısı — kullanıcıya
@@ -200,6 +207,7 @@ function validateConfig(config, expected) {
       ORBIT_ALLOWED_ORIGIN: expected.origin,
       ORBIT_GITHUB_CALLBACK_URL: `${expected.origin}/v1/auth/github/callback`,
       ORBIT_PLATFORM_OWNER_GITHUB_ID: '126420524',
+      ORBIT_OPEN_REGISTRATION: 'true',
       ORBIT_BACKUP_ENABLED: 'true',
       ORBIT_MEDIA_ENABLED: 'true',
       ORBIT_EMAIL_FROM: 'Orbit <orbit@sametbasbug.dev>',