diff --git a/messages/es-ES.json b/messages/es-ES.json
index 4afe794a5..a48552ed7 100644
--- a/messages/es-ES.json
+++ b/messages/es-ES.json
@@ -604,6 +604,10 @@
     "licenseNoUserLimit": "No hay límite en el número de usuarios para este host.",
     "licenseUsersUsedMax": "{usedUsers} de {maxUsers} usuarios usados",
     "licenseUsersUsed": "{count, plural, =0 {# usuarios} one {# usuario} other {# usuarios}}",
+    "licenseUsageMachines": "Clientes de la máquina",
+    "licenseNoMachineLimit": "No hay límite en el número de clientes de máquina para este host.",
+    "licenseMachinesUsedMax": "{usedMachines} de {maxMachines} clientes de máquina usados",
+    "licenseMachinesUsed": "{count, plural, =0 {# clientes de máquina} one {# cliente de máquina} other {# clientes de máquina}}",
     "licenseUnlimited": "Ilimitado",
     "licenseTierLabel": "Categoría",
     "licensePurchaseDescription": "Elige cuántos sitios quieres {selectedMode, select, license {compra una licencia para. Siempre puedes añadir más sitios más tarde.} other {añadir a tu licencia existente.}}",
@@ -801,7 +805,7 @@
     "loadBalancingStrategy_wrr_description": "Distribuir solicitudes uniformemente entre los objetivos en rotación.",
     "loadBalancingStrategy_p2c": "Poder de Dos Opciones",
     "loadBalancingStrategy_p2c_description": "Escoge dos objetivos al azar y envía la solicitud al que tenga menos conexiones activas.",
-    "loadBalancingStrategy_hrw": "Hash de IP del Cliente",
+    "loadBalancingStrategy_hrw": "Mayor peso aleatorio",
     "loadBalancingStrategy_hrw_description": "Hashea la IP del cliente para que el mismo cliente sea dirigido constantemente al mismo objetivo.",
     "loadBalancingStrategy_leasttime": "Menor Tiempo de Respuesta",
     "loadBalancingStrategy_leasttime_description": "Envía solicitudes al objetivo con el tiempo de respuesta más rápido y menos conexiones activas.",
@@ -829,6 +833,8 @@
     "save": "Guardar",
     "proxyAdditional": "Ajustes adicionales del proxy",
     "proxyAdditionalDescription": "Configurar cómo maneja el recurso la configuración del proxy",
+    "proxyForwardIdentityHeaders": "Encabezados de identidad enviados al proxy",
+    "proxyForwardIdentityHeadersDescription": "Enviar la identidad del usuario autenticado al backend en los encabezados Remote-User, Remote-Email, Remote-Name, Remote-Role y Remote-User-Id. Desactivar para backends que rechazan solicitudes con encabezados no reconocidos.",
     "proxyCustomHeader": "Cabecera de host personalizada",
     "proxyCustomHeaderDescription": "La cabecera del host a establecer cuando se realizan peticiones de reemplazo. Deje en blanco para usar el valor predeterminado.",
     "proxyAdditionalSubmit": "Guardar ajustes de proxy",
@@ -933,6 +939,9 @@
     "policyAuthHeaderAuthTitle": "Autenticación Básica del Encabezado",
     "policyAuthHeaderAuthDescription": "Valida un nombre y valor de encabezado HTTP personalizado en cada petición",
     "policyAuthHeaderAuthSummary": "Encabezado configurado",
+    "policyAuthMtlsTitle": "Certificado de cliente (mTLS)",
+    "policyAuthMtlsDescription": "Requiere un certificado de cliente firmado por una CA de confianza durante el intercambio TLS",
+    "policyAuthMtlsSummary": "{count} certificados CA de confianza",
     "policyAuthHeaderName": "Usuario",
     "policyAuthHeaderValue": "Contraseña",
     "policyAuthSetPasscode": "Establecer Código de Acceso",
@@ -1500,10 +1509,15 @@
     "actionDeleteOrgDomain": "Eliminar dominio",
     "actionGetDNSRecords": "Obtener registros DNS",
     "actionRestartOrgDomain": "Reiniciar dominio",
+    "actionListCustomDnsRecords": "Listar registros DNS personalizados",
+    "actionCreateCustomDnsRecord": "Crear registro DNS personalizado",
+    "actionUpdateCustomDnsRecord": "Actualizar registro DNS personalizado",
+    "actionDeleteCustomDnsRecord": "Eliminar registro DNS personalizado",
     "actionCreateSite": "Crear sitio",
     "actionDeleteSite": "Eliminar sitio",
     "actionGetSite": "Obtener sitio",
     "actionListSites": "Listar sitios",
+    "actionReGenerateSecret": "Regenerar credenciales",
     "actionCreateAiProvider": "Crear Proveedor de IA",
     "actionDeleteAiProvider": "Eliminar Proveedor de IA",
     "actionGetAiProvider": "Obtener Proveedor de IA",
@@ -3727,6 +3741,27 @@
     "TTL": "TTL",
     "howToAddRecords": "Cómo añadir registros",
     "dnsRecord": "Registros DNS",
+    "customDnsRecords": "Registros DNS personalizados",
+    "customDnsRecordsAdd": "Agregar registro",
+    "customDnsRecordsSearch": "Buscar registros...",
+    "customDnsRecordsUnverifiedTitle": "Los registros aún no están siendo servidos",
+    "customDnsRecordsUnverifiedDescription": "Este dominio no ha sido verificado. Puede agregar registros ahora, pero los servidores de nombres de Pangolin no los servirán hasta que los servidores de nombres del dominio apunten a Pangolin y la verificación se complete.",
+    "customDnsRecordCreate": "Agregar registro DNS",
+    "customDnsRecordEdit": "Editar registro DNS",
+    "customDnsRecordFormDescription": "Este registro se servirá para {domain}. Los cambios pueden tardar unos minutos en propagarse.",
+    "customDnsRecordNameDescription": "Use @ para la raíz del dominio o * como la primera etiqueta para un comodín.",
+    "customDnsRecordValueDescription": "Ingrese un valor por línea, por ejemplo, ambos servidores de nombres de un registro NS.",
+    "customDnsRecordPriority": "Prioridad",
+    "customDnsRecordWeight": "Peso",
+    "customDnsRecordPort": "Puerto",
+    "customDnsRecordCreated": "Registro DNS creado",
+    "customDnsRecordUpdated": "Registro DNS actualizado",
+    "customDnsRecordSaveError": "Error al guardar el registro DNS",
+    "customDnsRecordDeleted": "Registro DNS eliminado",
+    "customDnsRecordDeleteError": "Error al eliminar el registro DNS",
+    "customDnsRecordDeleteTitle": "Eliminar registro DNS",
+    "customDnsRecordDeleteQuestion": "¿Está seguro de que desea eliminar el registro {type} para {name}? Dejará de resolverse una vez que expiren las respuestas en caché.",
+    "customDnsRecordDeleteConfirm": "Eliminar registro",
     "required": "Requerido",
     "domainSettingsUpdated": "Configuración de dominio actualizada correctamente",
     "orgOrDomainIdMissing": "Falta el ID de organización o dominio",
@@ -3938,7 +3973,7 @@
     "backToHome": "Volver a inicio",
     "needToSignInToOrg": "¿Necesita usar el proveedor de identidad de su organización?",
     "mtls": "mTLS",
-    "mtlsCaCertificates": "Certificados de CA de confianza",
+    "mtlsCaCertificates": "Establecer certificados de cliente",
     "mtlsCaCertificatesDescription": "Los clientes deben presentar un certificado firmado por una de estas autoridades de certificación para conectarse. Sube solo certificados públicos de CA, nunca una clave privada.",
     "mtlsCertificateName": "Nombre (opcional)",
     "mtlsCertificateNamePlaceholder": "CA del dispositivo corporativo",
@@ -3955,6 +3990,10 @@
     "mtlsCertificateErrorRemoveDescription": "El certificado no pudo ser eliminado.",
     "mtlsLastCertificateRemoved": "mTLS fue desactivado porque se eliminó el último certificado CA.",
     "mtlsNoCertificates": "Aún no se han agregado certificados CA",
+    "mtlsPendingCertificate": "Certificado CA {number}",
+    "mtlsCertificateInvalidPem": "No se encontró un certificado codificado PEM. Se esperaba un bloque que comenzara con -----BEGIN CERTIFICATE-----.",
+    "mtlsCertificatePrivateKey": "Esto parece una clave privada, no un certificado. Suba solo el certificado público del CA.",
+    "mtlsCertificateDuplicate": "Este certificado CA ya ha sido añadido.",
     "mtlsRemoveCertificate": "Eliminar certificado CA",
     "mtlsExpired": "Caducado",
     "mtlsExpiresSoon": "Caducará pronto",