docs & more debug

[users/jgh/exim.git] / doc / doc-docbook / spec.xfpt
diff --git a/doc/doc-docbook/spec.xfpt b/doc/doc-docbook/spec.xfpt

index 25abda9e54389f36692f5d01f48390eaa17b9240..a05ad66500c41b18652aac93a40d759523347763 100644 (file)
--- a/doc/doc-docbook/spec.xfpt
+++ b/doc/doc-docbook/spec.xfpt
@@ -52,7 +52,7 @@
  .set I   "&nbsp;&nbsp;&nbsp;&nbsp;"
  
  .macro copyyear
  .set I   "&nbsp;&nbsp;&nbsp;&nbsp;"
  
  .macro copyyear
-2019
+2020
  .endmacro
  
  . /////////////////////////////////////////////////////////////////////////////
  .endmacro
  
  . /////////////////////////////////////////////////////////////////////////////
@@ -3871,6 +3871,14 @@ This option is not intended for use by external callers. It is used internally
  by Exim in conjunction with the &%-MC%& option. It signifies that the
  remote host supports the ESMTP &_DSN_& extension.
  
  by Exim in conjunction with the &%-MC%& option. It signifies that the
  remote host supports the ESMTP &_DSN_& extension.
  
+.new
+.vitem &%-MCd%&
+.oindex "&%-MCd%&"
+This option is not intended for use by external callers. It is used internally
+by Exim in conjunction with the &%-d%& option
+to pass on an information string on the purpose of the process.
+.wen
+
  .vitem &%-MCG%&&~<&'queue&~name'&>
  .oindex "&%-MCG%&"
  This option is not intended for use by external callers. It is used internally
  .vitem &%-MCG%&&~<&'queue&~name'&>
  .oindex "&%-MCG%&"
  This option is not intended for use by external callers. It is used internally
@@ -6373,7 +6381,7 @@ All other options are defaulted.
  .code
  local_delivery:
    driver = appendfile
  .code
  local_delivery:
    driver = appendfile
-  file = /var/mail/$local_part_verified
+  file = /var/mail/$local_part_data
    delivery_date_add
    envelope_to_add
    return_path_add
    delivery_date_add
    envelope_to_add
    return_path_add
@@ -6386,7 +6394,7 @@ traditional BSD mailbox format.
  .new
  We prefer to avoid using &$local_part$& directly to define the mailbox filename,
  as it is provided by a potential bad actor.
  .new
  We prefer to avoid using &$local_part$& directly to define the mailbox filename,
  as it is provided by a potential bad actor.
-Instead we use &$local_part_verified$&,
+Instead we use &$local_part_data$&,
  the result of looking up &$local_part$& in the user database
  (done by using &%check_local_user%& in the the router).
  .wen
  the result of looking up &$local_part$& in the user database
  (done by using &%check_local_user%& in the the router).
  .wen
@@ -6667,6 +6675,10 @@ Two different types of data lookup are implemented:
  The &'single-key'& type requires the specification of a file in which to look,
  and a single key to search for. The key must be a non-empty string for the
  lookup to succeed. The lookup type determines how the file is searched.
  The &'single-key'& type requires the specification of a file in which to look,
  and a single key to search for. The key must be a non-empty string for the
  lookup to succeed. The lookup type determines how the file is searched.
+.new
+.cindex "tainted data" "single-key lookups"
+The file string may not be tainted
+.wen
  .next
  .cindex "query-style lookup" "definition of"
  The &'query-style'& type accepts a generalized database query. No particular
  .next
  .cindex "query-style lookup" "definition of"
  The &'query-style'& type accepts a generalized database query. No particular
@@ -6758,11 +6770,42 @@ by default, but has an option to omit them (see section &<<SECTdbmbuild>>&).
  .next
  .cindex "lookup" "dsearch"
  .cindex "dsearch lookup type"
  .next
  .cindex "lookup" "dsearch"
  .cindex "dsearch lookup type"
-&(dsearch)&: The given file must be a directory; this is searched for an entry
-whose name is the key by calling the &[lstat()]& function. The key may not
-contain any forward slash characters. If &[lstat()]& succeeds, the result of
-the lookup is the name of the entry, which may be a file, directory,
-symbolic link, or any other kind of directory entry. An example of how this
+&(dsearch)&: The given file must be an
+.new
+absolute
+.wen
+directory path; this is searched for an entry
+whose name is the key by calling the &[lstat()]& function.
+The key may not
+contain any forward slash characters.
+If &[lstat()]& succeeds then so does the lookup.
+.new
+.cindex "tainted data" "dsearch result"
+The result is regarded as untainted.
+
+Options for the lookup can be given by appending them after the word "dsearch",
+separated by a comma.  Options, if present, are a comma-separated list having
+each element starting with a tag name and an equals.
+
+Two options are supported, for the return value and for filtering match
+candidates.
+The "ret" option requests an alternate result value of
+the entire path for the entry. Example:
+.code
+${lookup {passwd} dsearch,ret=full {/etc}}
+.endd
+The default result is just the requested entry.
+The "filter" option requests that only directory entries of a given type
+are matched. The match value is one of "file", "dir" or "subdir" (the latter
+not matching "." or ".."). Example:
+.code
+${lookup {passwd} dsearch,filter=file {/etc}}
+.endd
+The default matching is for any entry type, including directories
+and symlinks.
+.wen
+
+An example of how this
  lookup can be used to support virtual domains is given in section
  &<<SECTvirtualdomains>>&.
  .next
  lookup can be used to support virtual domains is given in section
  &<<SECTvirtualdomains>>&.
  .next
@@ -6810,7 +6853,7 @@ If a selector is numeric, it must apply to a JSON array; the (zero-based)
  nunbered array element is selected.
  Otherwise it must apply to a JSON object; the named element is selected.
  The final resulting element can be a simple JSON type or a JSON object
  nunbered array element is selected.
  Otherwise it must apply to a JSON object; the named element is selected.
  The final resulting element can be a simple JSON type or a JSON object
-or array; for the latter two a string-representation os the JSON
+or array; for the latter two a string-representation of the JSON
  is returned.
  For elements of type string, the returned value is de-quoted.
  .next
  is returned.
  For elements of type string, the returned value is de-quoted.
  .next
@@ -6934,9 +6977,10 @@ be followed by optional colons.
  lookup types support only literal keys.
  
  .next
  lookup types support only literal keys.
  
  .next
+.cindex "spf lookup type"
  .cindex "lookup" "spf"
  .cindex "lookup" "spf"
-If Exim is built with SPF support, manual lookups can be done
-(as opposed to the standard ACL condition method.
+&(spf)&: If Exim is built with SPF support, manual lookups can be done
+(as opposed to the standard ACL condition method).
  For details see section &<<SECSPF>>&.
  .endlist ilist
  
  For details see section &<<SECSPF>>&.
  .endlist ilist
  
@@ -7007,7 +7051,11 @@ passed to a Redis database. See section &<<SECTsql>>&.
  .next
  .cindex "sqlite lookup type"
  .cindex "lookup" "sqlite"
  .next
  .cindex "sqlite lookup type"
  .cindex "lookup" "sqlite"
-&(sqlite)&: The format of the query is a filename followed by an SQL statement
+&(sqlite)&: The format of the query is
+new
+an optional filename
+.wen
+followed by an SQL statement
  that is passed to an SQLite database. See section &<<SECTsqlite>>&.
  
  .next
  that is passed to an SQLite database. See section &<<SECTsqlite>>&.
  
  .next
@@ -7914,6 +7962,11 @@ If any MySQL, PostgreSQL, Oracle, InterBase or Redis lookups are used, the
  or &%redis_servers%&
  option (as appropriate) must be set to a colon-separated list of server
  information.
  or &%redis_servers%&
  option (as appropriate) must be set to a colon-separated list of server
  information.
+.oindex &%mysql_servers%&
+.oindex &%pgsql_servers%&
+.oindex &%oracle_servers%&
+.oindex &%ibase_servers%&
+.oindex &%redis_servers%&
  (For MySQL and PostgreSQL, the global option need not be set if all
  queries contain their own server information &-- see section
  &<<SECTspeserque>>&.)
  (For MySQL and PostgreSQL, the global option need not be set if all
  queries contain their own server information &-- see section
  &<<SECTspeserque>>&.)
@@ -7964,12 +8017,14 @@ The &%quote_redis%& expansion operator
  escapes whitespace and backslash characters with a backslash.
  
  .section "Specifying the server in the query" "SECTspeserque"
  escapes whitespace and backslash characters with a backslash.
  
  .section "Specifying the server in the query" "SECTspeserque"
+.new
  For MySQL, PostgreSQL and Redis lookups (but not currently for Oracle and InterBase),
  it is possible to specify a list of servers with an individual query. This is
  For MySQL, PostgreSQL and Redis lookups (but not currently for Oracle and InterBase),
  it is possible to specify a list of servers with an individual query. This is
-done by starting the query with
+done by appending a comma-separated option to the query type:
  .display
  .display
-&`servers=`&&'server1:server2:server3:...'&&`;`&
  .endd
  .endd
+&`,servers=`&&'server1:server2:server3:...'&
+.wen
  Each item in the list may take one of two forms:
  .olist
  If it contains no slashes it is assumed to be just a host name. The appropriate
  Each item in the list may take one of two forms:
  .olist
  If it contains no slashes it is assumed to be just a host name. The appropriate
@@ -7994,14 +8049,25 @@ mysql_servers = slave1/db/name/pw:\
  .endd
  In an updating lookup, you could then write:
  .code
  .endd
  In an updating lookup, you could then write:
  .code
-${lookup mysql{servers=master; UPDATE ...} }
+${lookup mysql,servers=master {UPDATE ...} }
  .endd
  That query would then be sent only to the master server. If, on the other hand,
  the master is not to be used for reading, and so is not present in the global
  option, you can still update it by a query of this form:
  .code
  .endd
  That query would then be sent only to the master server. If, on the other hand,
  the master is not to be used for reading, and so is not present in the global
  option, you can still update it by a query of this form:
  .code
-${lookup pgsql{servers=master/db/name/pw; UPDATE ...} }
+${lookup pgsql,servers=master/db/name/pw {UPDATE ...} }
+.endd
+
+.new
+An older syntax places the servers speciification before the qury,
+semicolon separated:
+.code
+${lookup mysql{servers=master; UPDATE ...} }
  .endd
  .endd
+The new version avoids potential issues with tainted
+arguments in the query, for explicit expansion.
+&*Note*&: server specifications in list-style lookups are still problematic.
+.wen
  
  
  .section "Special MySQL features" "SECID73"
  
  
  .section "Special MySQL features" "SECID73"
@@ -8051,19 +8117,35 @@ affected.
  .cindex "sqlite lookup type"
  SQLite is different to the other SQL lookups because a filename is required in
  addition to the SQL query. An SQLite database is a single file, and there is no
  .cindex "sqlite lookup type"
  SQLite is different to the other SQL lookups because a filename is required in
  addition to the SQL query. An SQLite database is a single file, and there is no
-daemon as in the other SQL databases. The interface to Exim requires the name
-of the file, as an absolute path, to be given at the start of the query. It is
-separated from the query by white space. This means that the path name cannot
-contain white space. Here is a lookup expansion example:
+daemon as in the other SQL databases.
+
+.new
+.oindex &%sqlite_dbfile%&
+The preferred way of specifying the file is by using the
+&%sqlite_dbfile%& option, set to
+an absolute path.
+.wen
+A deprecated method is available, prefixing the query with the filename
+separated by white space.
+This means that the path name cannot contain white space.
+.cindex "tainted data" "sqlite file"
+It also means that the query cannot use any tainted values, as that taints
+the entire query including the filename - resulting in a refusal to open
+the file.
+
+.new
+Here is a lookup expansion example:
  .code
  .code
-${lookup sqlite {/some/thing/sqlitedb \
-  select name from aliases where id='userx';}}
+sqlite_dbfile = /some/thing/sqlitedb
+...
+${lookup sqlite {select name from aliases where id='userx';}}
  .endd
  In a list, the syntax is similar. For example:
  .code
  .endd
  In a list, the syntax is similar. For example:
  .code
-domainlist relay_to_domains = sqlite;/some/thing/sqlitedb \
+domainlist relay_to_domains = sqlite;\
     select * from relays where ip='$sender_host_address';
  .endd
     select * from relays where ip='$sender_host_address';
  .endd
+.wen
  The only character affected by the &%quote_sqlite%& operator is a single
  quote, which it doubles.
  
  The only character affected by the &%quote_sqlite%& operator is a single
  quote, which it doubles.
  
@@ -8253,6 +8335,35 @@ in the previous section. You could also use the &(wildlsearch)& or
  
  
  
  
  
  
+.new
+.section "Results of list checking" SECTlistresults
+The primary result of doing a list check is a truth value.
+In some contexts additional information is stored
+about the list element that matched:
+.vlist
+.vitem hosts
+A &%hosts%& ACL condition
+will store a result in the &$host_data$& variable.
+.vitem local_parts
+A &%local_parts%& router option or &%local_parts%& ACL condition
+will store a result in the &$local_part_data$& variable.
+.vitem domains
+A &%domains%& router option or &%domains%& ACL condition
+.vitem senders
+A &%senders%& router option or &%senders%& ACL condition
+will store a result in the &$sender_data$& variable.
+.vitem recipients
+A &%recipients%& ACL condition
+will store a result in the &$recipient_data$& variable.
+.endlist
+
+The detail of the additional information depends on the
+type of match and is given below as the &*value*& information.
+.wen
+
+
+
+
  .section "Named lists" "SECTnamedlists"
  .cindex "named lists"
  .cindex "list" "named"
  .section "Named lists" "SECTnamedlists"
  .cindex "named lists"
  .cindex "list" "named"
@@ -8415,6 +8526,12 @@ If a pattern consists of a single @ character, it matches the local host name,
  as set by the &%primary_hostname%& option (or defaulted). This makes it
  possible to use the same configuration file on several different hosts that
  differ only in their names.
  as set by the &%primary_hostname%& option (or defaulted). This makes it
  possible to use the same configuration file on several different hosts that
  differ only in their names.
+
+.new
+The value for a match will be the primary host name/
+.wen
+
+
  .next
  .cindex "@[] in a domain list"
  .cindex "domain list" "matching local IP interfaces"
  .next
  .cindex "@[] in a domain list"
  .cindex "domain list" "matching local IP interfaces"
@@ -8425,6 +8542,12 @@ only if that IP address is recognized as local for email routing purposes. The
  &%local_interfaces%& and &%extra_local_interfaces%& options can be used to
  control which of a host's several IP addresses are treated as local.
  In today's Internet, the use of domain literals is controversial.
  &%local_interfaces%& and &%extra_local_interfaces%& options can be used to
  control which of a host's several IP addresses are treated as local.
  In today's Internet, the use of domain literals is controversial.
+
+.new
+The value for a match will be the &`@[]`& string.
+.wen
+
+
  .next
  .cindex "@mx_any"
  .cindex "@mx_primary"
  .next
  .cindex "@mx_any"
  .cindex "@mx_primary"
@@ -8473,6 +8596,11 @@ involved, it is easiest to change the delimiter for the main list as well:
  domains = <? @mx_any/ignore=<;127.0.0.1;::1 ? \
            an.other.domain ? ...
  .endd
  domains = <? @mx_any/ignore=<;127.0.0.1;::1 ? \
            an.other.domain ? ...
  .endd
+.new
+The value for a match will be the list element string (starting &`@mx_`&).
+.wen
+
+
  .next
  .cindex "asterisk" "in domain list"
  .cindex "domain list" "asterisk in"
  .next
  .cindex "asterisk" "in domain list"
  .cindex "domain list" "asterisk in"
@@ -8485,6 +8613,10 @@ matching works only in terms of dot-separated components. For example, a domain
  list item such as &`*key.ex`& matches &'donkey.ex'& as well as
  &'cipher.key.ex'&.
  
  list item such as &`*key.ex`& matches &'donkey.ex'& as well as
  &'cipher.key.ex'&.
  
+.new
+The value for a match will be the list element string (starting with the asterisk).
+.wen
+
  .next
  .cindex "regular expressions" "in domain list"
  .cindex "domain list" "matching regular expression"
  .next
  .cindex "regular expressions" "in domain list"
  .cindex "domain list" "matching regular expression"
@@ -8501,6 +8633,13 @@ must escape any backslash and dollar characters in the regular expression, or
  use the special &`\N`& sequence (see chapter &<<CHAPexpand>>&) to specify that
  it is not to be expanded (unless you really do want to build a regular
  expression by expansion, of course).
  use the special &`\N`& sequence (see chapter &<<CHAPexpand>>&) to specify that
  it is not to be expanded (unless you really do want to build a regular
  expression by expansion, of course).
+
+.new
+The value for a match will be the list element string (starting with the circumflex).
+.wen
+
+
+
  .next
  .cindex "lookup" "in domain list"
  .cindex "domain list" "matching by lookup"
  .next
  .cindex "lookup" "in domain list"
  .cindex "domain list" "matching by lookup"
@@ -8512,12 +8651,15 @@ must be a filename in a suitable format for the lookup type. For example, for
  domains = cdb;/etc/mail/local_domains.cdb
  .endd
  The appropriate type of lookup is done on the file using the domain name as the
  domains = cdb;/etc/mail/local_domains.cdb
  .endd
  The appropriate type of lookup is done on the file using the domain name as the
-key. In most cases, the data that is looked up is not used; Exim is interested
+key. In most cases, the value resulting from the lookup is not used; Exim is interested
  only in whether or not the key is present in the file. However, when a lookup
  is used for the &%domains%& option on a router
  only in whether or not the key is present in the file. However, when a lookup
  is used for the &%domains%& option on a router
-or a &%domains%& condition in an ACL statement, the data is preserved in the
+or a &%domains%& condition in an ACL statement, the value is preserved in the
  &$domain_data$& variable and can be referred to in other router options or
  other statements in the same ACL.
  &$domain_data$& variable and can be referred to in other router options or
  other statements in the same ACL.
+.cindex "tainted data" "de-tainting"
+The value will be untainted.
+
  
  .next
  Any of the single-key lookup type names may be preceded by
  
  .next
  Any of the single-key lookup type names may be preceded by
@@ -8536,6 +8678,7 @@ original lookup fails. This is not a useful feature when using a domain list to
  select particular domains (because any domain would match), but it might have
  value if the result of the lookup is being used via the &$domain_data$&
  expansion variable.
  select particular domains (because any domain would match), but it might have
  value if the result of the lookup is being used via the &$domain_data$&
  expansion variable.
+
  .next
  If the pattern starts with the name of a query-style lookup type followed by a
  semicolon (for example, &"nisplus;"& or &"ldap;"&), the remainder of the
  .next
  If the pattern starts with the name of a query-style lookup type followed by a
  semicolon (for example, &"nisplus;"& or &"ldap;"&), the remainder of the
@@ -8545,17 +8688,37 @@ chapter &<<CHAPfdlookup>>&. For example:
  hold_domains = mysql;select domain from holdlist \
    where domain = '${quote_mysql:$domain}';
  .endd
  hold_domains = mysql;select domain from holdlist \
    where domain = '${quote_mysql:$domain}';
  .endd
-In most cases, the data that is looked up is not used (so for an SQL query, for
+In most cases, the value resulting from the lookup is not used (so for an SQL query, for
  example, it doesn't matter what field you select). Exim is interested only in
  whether or not the query succeeds. However, when a lookup is used for the
  example, it doesn't matter what field you select). Exim is interested only in
  whether or not the query succeeds. However, when a lookup is used for the
-&%domains%& option on a router, the data is preserved in the &$domain_data$&
+&%domains%& option on a router, the value is preserved in the &$domain_data$&
  variable and can be referred to in other options.
  variable and can be referred to in other options.
+.cindex "tainted data" "de-tainting"
+The value will be untainted.
+
+.next
+.new
+If the pattern starts with the name of a lookup type
+of either kind (single-key or query-style) it may be
+followed by a comma and options,
+The options are lookup-type specific and consist of a comma-separated list.
+Each item starts with a tag and and equals "=".
+.wen
+
  .next
  .cindex "domain list" "matching literal domain name"
  If none of the above cases apply, a caseless textual comparison is made
  between the pattern and the domain.
  .next
  .cindex "domain list" "matching literal domain name"
  If none of the above cases apply, a caseless textual comparison is made
  between the pattern and the domain.
+
+The value for a match will be the list element string.
+.cindex "tainted data" "de-tainting"
+Note that this is commonly untainted
+(depending on the way the list was created).
+This is a useful way of obtaining an untainted equivalent to
+the domain, for later operations.
  .endlist
  
  .endlist
  
+
  Here is an example that uses several different kinds of pattern:
  .code
  domainlist funny_domains = \
  Here is an example that uses several different kinds of pattern:
  .code
  domainlist funny_domains = \
@@ -10196,21 +10359,37 @@ ${readsocket{/socket/name}{request string}{3s}}
  .endd
  
  The third argument is a list of options, of which the first element is the timeout
  .endd
  
  The third argument is a list of options, of which the first element is the timeout
-and must be present if the argument is given.
+and must be present if any options are given.
  Further elements are options of form &'name=value'&.
  Further elements are options of form &'name=value'&.
-Two option types is currently recognised: shutdown and tls.
-The first defines whether (the default)
-or not a shutdown is done on the connection after sending the request.
-Example, to not do so (preferred, eg. by some webservers):
+Example:
  .code
  ${readsocket{/socket/name}{request string}{3s:shutdown=no}}
  .endd
  .code
  ${readsocket{/socket/name}{request string}{3s:shutdown=no}}
  .endd
-The second, tls, controls the use of TLS on the connection.  Example:
-.code
-${readsocket{/socket/name}{request string}{3s:tls=yes}}
-.endd
-The default is to not use TLS.
+
+.new
+The following option names are recognised:
+.ilist
+&*cache*&
+Defines if the result data can be cached for use by a later identical
+request in the same process.
+Values are &"yes"& or &"no"& (the default).
+If not, all cached results for this connection specification
+will be invalidated.
+
+.next
+&*shutdown*&
+Defines whether or not a write-shutdown is done on the connection after
+sending the request. Values are &"yes"& (the default) or &"no"&
+(preferred, eg. by some webservers).
+
+.next
+&*tls*&
+Controls the use of TLS on the connection.
+Values are &"yes"& or &"no"& (the default).
  If it is enabled, a shutdown as descripbed above is never done.
  If it is enabled, a shutdown as descripbed above is never done.
+.endlist
+.wen
+
  
  A fourth argument allows you to change any newlines that are in the data
  that is read, in the same way as for &%readfile%& (see above). This example
  
  A fourth argument allows you to change any newlines that are in the data
  that is read, in the same way as for &%readfile%& (see above). This example
@@ -12236,7 +12415,9 @@ the complete argument of the ETRN command (see section &<<SECTETRN>>&).
  .cindex "tainted data"
  If the origin of the data is an incoming message,
  the result of expanding this variable is tainted.
  .cindex "tainted data"
  If the origin of the data is an incoming message,
  the result of expanding this variable is tainted.
-See also &$domain_verified$&.
+When un untainted version is needed, one should be obtained from
+looking up the value in a local (therefore trusted) database.
+Often &$domain_data$& is usable in this role.
  .wen
  
  
  .wen
  
  
@@ -12443,29 +12624,15 @@ Consider carefully the implications of using it unvalidated as a name
  for file access.
  This presents issues for users' &_.forward_& and filter files.
  For traditional full user accounts, use &%check_local_users%& and the
  for file access.
  This presents issues for users' &_.forward_& and filter files.
  For traditional full user accounts, use &%check_local_users%& and the
-&$local_part_verified$& variable rather than this one.
+&$local_part_data$& variable rather than this one.
  For virtual users, store a suitable pathname component in the database
  which is used for account name validation, and use that retrieved value
  rather than this variable.
  For virtual users, store a suitable pathname component in the database
  which is used for account name validation, and use that retrieved value
  rather than this variable.
+Often &$local_part_data$& is usable in this role.
  If needed, use a router &%address_data%& or &%set%& option for
  the retrieved data.
  .wen
  
  If needed, use a router &%address_data%& or &%set%& option for
  the retrieved data.
  .wen
  
-.vindex "&$local_part_prefix$&"
-.vindex "&$local_part_prefix_v$&"
-.vindex "&$local_part_suffix$&"
-.vindex "&$local_part_suffix_v$&"
-.cindex affix variables
-If a local part prefix or suffix has been recognized, it is not included in the
-value of &$local_part$& during routing and subsequent delivery. The values of
-any prefix or suffix are in &$local_part_prefix$& and
-&$local_part_suffix$&, respectively.
-.new
-If the affix specification included a wildcard then the portion of
-the affix matched by the wildcard is in
-&$local_part_prefix_v$& or &$local_part_suffix_v$& as appropriate.
-.wen
-
  When a message is being delivered to a file, pipe, or autoreply transport as a
  result of aliasing or forwarding, &$local_part$& is set to the local part of
  the parent address, not to the filename or command (see &$address_file$& and
  When a message is being delivered to a file, pipe, or autoreply transport as a
  result of aliasing or forwarding, &$local_part$& is set to the local part of
  the parent address, not to the filename or command (see &$address_file$& and
@@ -12506,44 +12673,33 @@ router as &$local_part_data$&. In addition, if the driver routes the address
  to a transport, the value is available in that transport. If the transport is
  handling multiple addresses, the value from the first address is used.
  
  to a transport, the value is available in that transport. If the transport is
  handling multiple addresses, the value from the first address is used.
  
+.new
+The &%check_local_user%& router option also sets this variable.
+.wen
+
  &$local_part_data$& is also set when the &%local_parts%& condition in an ACL
  matches a local part by means of a lookup. The data read by the lookup is
  available during the rest of the ACL statement. In all other situations, this
  variable expands to nothing.
  
  &$local_part_data$& is also set when the &%local_parts%& condition in an ACL
  matches a local part by means of a lookup. The data read by the lookup is
  available during the rest of the ACL statement. In all other situations, this
  variable expands to nothing.
  
-.vitem &$local_part_prefix$&
-.vindex "&$local_part_prefix$&"
+.vindex &$local_part_prefix$& &&&
+       &$local_part_prefix_v$& &&&
+       &$local_part_suffix$& &&&
+       &$local_part_suffix_v$&
  .cindex affix variables
  .cindex affix variables
-When an address is being routed or delivered, and a
-specific prefix for the local part was recognized, it is available in this
-variable, having been removed from &$local_part$&.
-
-.new
-.vitem &$local_part_prefix_v$&
-.vindex "&$local_part_prefix_v$&"
-When &$local_part_prefix$& is valid and the prefix match used a wildcard,
-the portion matching the wildcard is available in this variable.
-.wen
-
-.vitem &$local_part_suffix$&
-.vindex "&$local_part_suffix$&"
-When an address is being routed or delivered, and a
-specific suffix for the local part was recognized, it is available in this
-variable, having been removed from &$local_part$&.
-
+If a local part prefix or suffix has been recognized, it is not included in the
+value of &$local_part$& during routing and subsequent delivery. The values of
+any prefix or suffix are in &$local_part_prefix$& and
+&$local_part_suffix$&, respectively.
  .new
  .new
-.vitem &$local_part_suffix_v$&
-.vindex "&$local_part_suffix_v$&"
-When &$local_part_suffix$& is valid and the suffix match used a wildcard,
-the portion matching the wildcard is available in this variable.
-.wen
+.cindex "tainted data"
+If the specification did not include a wildcard then
+the affix variable value is not tainted.
  
  
-.new
-.vitem &$local_part_verified$&
-.vindex "&$local_part_verified$&"
-If the router generic option &%check_local_part%& has run successfully,
-this variable has the user database version of &$local_part$&.
-Such values are not tainted and hence usable for building file names.
+If the affix specification included a wildcard then the portion of
+the affix matched by the wildcard is in
+&$local_part_prefix_v$& or &$local_part_suffix_v$& as appropriate,
+and both the whole and varying values are tainted.
  .wen
  
  .vitem &$local_scan_data$&
  .wen
  
  .vitem &$local_scan_data$&
@@ -13201,6 +13357,18 @@ library, by setting:
  dns_dnssec_ok = 1
  .endd
  
  dns_dnssec_ok = 1
  .endd
  
+.new
+In addition, on Linux with glibc 2.31 or newer the resolver library will
+default to stripping out a successful validation status.
+This will break a previously working Exim installation.
+Provided that you do trust the resolver (ie, is on localhost) you can tell
+glibc to pass through any successful validation with a new option in
+&_/etc/resolv.conf_&:
+.code
+options trust-ad
+.endd
+.wen
+
  Exim does not perform DNSSEC validation itself, instead leaving that to a
  validating resolver (e.g. unbound, or bind with suitable configuration).
  
  Exim does not perform DNSSEC validation itself, instead leaving that to a
  validating resolver (e.g. unbound, or bind with suitable configuration).
  
@@ -14309,6 +14477,7 @@ listed in more than one group.
  .row &%daemon_startup_sleep%&        "time to sleep between tries"
  .row &%extra_local_interfaces%&      "not necessarily listened on"
  .row &%local_interfaces%&            "on which to listen, with optional ports"
  .row &%daemon_startup_sleep%&        "time to sleep between tries"
  .row &%extra_local_interfaces%&      "not necessarily listened on"
  .row &%local_interfaces%&            "on which to listen, with optional ports"
+.row &%notifier_socket%&             "override compiled-in value"
  .row &%pid_file_path%&               "override compiled-in value"
  .row &%queue_run_max%&               "maximum simultaneous queue runners"
  .endtable
  .row &%pid_file_path%&               "override compiled-in value"
  .row &%queue_run_max%&               "maximum simultaneous queue runners"
  .endtable
@@ -14472,6 +14641,7 @@ See also the &'Policy controls'& section above.
  .table2
  .row &%dkim_verify_hashes%&          "DKIM hash methods accepted for signatures"
  .row &%dkim_verify_keytypes%&        "DKIM key types accepted for signatures"
  .table2
  .row &%dkim_verify_hashes%&          "DKIM hash methods accepted for signatures"
  .row &%dkim_verify_keytypes%&        "DKIM key types accepted for signatures"
+.row &%dkim_verify_min_keysizes%&    "DKIM key sizes accepted for signatures"
  .row &%dkim_verify_signers%&         "DKIM domains for which DKIM ACL is run"
  .row &%host_lookup%&                 "host name looked up for these hosts"
  .row &%host_lookup_order%&           "order of DNS and local name lookups"
  .row &%dkim_verify_signers%&         "DKIM domains for which DKIM ACL is run"
  .row &%host_lookup%&                 "host name looked up for these hosts"
  .row &%host_lookup_order%&           "order of DNS and local name lookups"
@@ -14894,12 +15064,18 @@ just the command name, it is not a complete command line. If an argument is
  required, it must come from the &%-oA%& command line option.
  
  
  required, it must come from the &%-oA%& command line option.
  
  
-.option bounce_message_file main string unset
+.option bounce_message_file main string&!! unset
  .cindex "bounce message" "customizing"
  .cindex "customizing" "bounce message"
  This option defines a template file containing paragraphs of text to be used
  for constructing bounce messages.  Details of the file's contents are given in
  .cindex "bounce message" "customizing"
  .cindex "customizing" "bounce message"
  This option defines a template file containing paragraphs of text to be used
  for constructing bounce messages.  Details of the file's contents are given in
-chapter &<<CHAPemsgcust>>&. See also &%warn_message_file%&.
+chapter &<<CHAPemsgcust>>&.
+.new
+.cindex bounce_message_file "tainted data"
+The option is expanded to give the file path, which must be
+absolute and untainted.
+.wen
+See also &%warn_message_file%&.
  
  
  .option bounce_message_text main string unset
  
  
  .option bounce_message_text main string unset
@@ -15246,6 +15422,16 @@ This option gives a list of key types which are acceptable in signatures,
  and an order of processing.
  Signatures with algorithms not in the list will be ignored.
  
  and an order of processing.
  Signatures with algorithms not in the list will be ignored.
  
+
+.new
+.option dkim_verify_min_keysizes main "string list" "rsa=1024 ed25519=250"
+This option gives a list of key sizes which are acceptable in signatures.
+The list is keyed by the algorithm type for the key; the values are in bits.
+Signatures with keys smaller than given by this option will fail verification.
+
+The default enforces the RFC 8301 minimum key size for RSA signatures.
+.wen
+
  .option dkim_verify_minimal main boolean false
  If set to true, verification of signatures will terminate after the
  first success.
  .option dkim_verify_minimal main boolean false
  If set to true, verification of signatures will terminate after the
  first success.
@@ -15328,6 +15514,18 @@ default. A value of 0 coerces DNSSEC off, a value of 1 coerces DNSSEC on.
  
  If the resolver library does not support DNSSEC then this option has no effect.
  
  
  If the resolver library does not support DNSSEC then this option has no effect.
  
+.new
+On Linux with glibc 2.31 or newer this is insufficient, the resolver library
+will default to stripping out a successful validation status.
+This will break a previously working Exim installation.
+Provided that you do trust the resolver (ie, is on localhost) you can tell
+glibc to pass through any successful validation with a new option in
+&_/etc/resolv.conf_&:
+.code
+options trust-ad
+.endd
+.wen
+
  
  .option dns_ipv4_lookup main "domain list&!!" unset
  .cindex "IPv6" "DNS lookup for AAAA records"
  
  .option dns_ipv4_lookup main "domain list&!!" unset
  .cindex "IPv6" "DNS lookup for AAAA records"
@@ -16382,6 +16580,24 @@ harm. This option overrides the &%pipe_as_creator%& option of the &(pipe)&
  transport driver.
  
  
  transport driver.
  
  
+.new
+.option notifier_socket main string "$spool_directory/exim_daemon_notify"
+This option gives the name for a unix-domain socket on which the daemon
+listens for work and information-requests.
+Only installations running multiple daemons sharing a spool directory
+should need to modify the default.
+
+The option is expanded before use.
+If the platform supports Linux-style abstract socket names, the result
+is used with a nul byte prefixed.
+Otherwise, it should be a full path name and use a directory accessible
+to Exim.
+
+If the Exim command line uses a &%-oX%& option and does not use &%-oP%&
+then a notifier socket is not created.
+.wen
+
+
  .option openssl_options main "string list" "+no_sslv2 +no_sslv3 +single_dh_use +no_ticket +no_renegotiation"
  .cindex "OpenSSL "compatibility options"
  This option allows an administrator to adjust the SSL options applied
  .option openssl_options main "string list" "+no_sslv2 +no_sslv3 +single_dh_use +no_ticket +no_renegotiation"
  .cindex "OpenSSL "compatibility options"
  This option allows an administrator to adjust the SSL options applied
@@ -16847,7 +17063,7 @@ received_header_text = Received: \
          ${if def:sender_helo_name {(helo=$sender_helo_name)\n\t}}}}\
    by $primary_hostname \
    ${if def:received_protocol {with $received_protocol }}\
          ${if def:sender_helo_name {(helo=$sender_helo_name)\n\t}}}}\
    by $primary_hostname \
    ${if def:received_protocol {with $received_protocol }}\
-  ${if def:tls_ver           { ($tls_ver)}}\
+  ${if def:tls_in_ver        { ($tls_in_ver)}}\
    ${if def:tls_in_cipher_std { tls $tls_in_cipher_std\n\t}}\
    (Exim $version_number)\n\t\
    ${if def:sender_address \
    ${if def:tls_in_cipher_std { tls $tls_in_cipher_std\n\t}}\
    (Exim $version_number)\n\t\
    ${if def:sender_address \
@@ -16856,7 +17072,8 @@ received_header_text = Received: \
    ${if def:received_for {\n\tfor $received_for}}
  .endd
  
    ${if def:received_for {\n\tfor $received_for}}
  .endd
  
-The reference to the TLS cipher is omitted when Exim is built without TLS
+The references to the TLS version and cipher are
+omitted when Exim is built without TLS
  support. The use of conditional expansions ensures that this works for both
  locally generated messages and messages received from remote hosts, giving
  header lines such as the following:
  support. The use of conditional expansions ensures that this works for both
  locally generated messages and messages received from remote hosts, giving
  header lines such as the following:
@@ -18204,14 +18421,20 @@ regular expression by a parenthesized subpattern. The default value for
  See &%uucp_from_pattern%& above.
  
  
  See &%uucp_from_pattern%& above.
  
  
-.option warn_message_file main string unset
+.option warn_message_file main string&!! unset
  .cindex "warning of delay" "customizing the message"
  .cindex "customizing" "warning message"
  This option defines a template file containing paragraphs of text to be used
  for constructing the warning message which is sent by Exim when a message has
  been in the queue for a specified amount of time, as specified by
  &%delay_warning%&. Details of the file's contents are given in chapter
  .cindex "warning of delay" "customizing the message"
  .cindex "customizing" "warning message"
  This option defines a template file containing paragraphs of text to be used
  for constructing the warning message which is sent by Exim when a message has
  been in the queue for a specified amount of time, as specified by
  &%delay_warning%&. Details of the file's contents are given in chapter
-&<<CHAPemsgcust>>&. See also &%bounce_message_file%&.
+&<<CHAPemsgcust>>&.
+.new
+.cindex warn_message_file "tainted data"
+The option is expanded to give the file path, which must be
+absolute and untainted.
+.wen
+See also &%bounce_message_file%&.
  
  
  .option write_rejectlog main boolean true
  
  
  .option write_rejectlog main boolean true
@@ -19022,7 +19245,7 @@ but the user is specified symbolically, the gid associated with the uid is
  used. For example:
  .code
  require_files = mail:/some/file
  used. For example:
  .code
  require_files = mail:/some/file
-require_files = $local_part:$home/.procmailrc
+require_files = $local_part_data:$home/.procmailrc
  .endd
  If a user or group name in a &%require_files%& list does not exist, the
  &%require_files%& condition fails.
  .endd
  If a user or group name in a &%require_files%& list does not exist, the
  &%require_files%& condition fails.
@@ -21653,7 +21876,7 @@ local_users:
  # This transport overrides the group
  group_delivery:
    driver = appendfile
  # This transport overrides the group
  group_delivery:
    driver = appendfile
-  file = /var/spool/mail/$local_part
+  file = /var/spool/mail/$local_part_data
    group = mail
  .endd
  If &%user%& is set for a transport, its value overrides what is set in the
    group = mail
  .endd
  If &%user%& is set for a transport, its value overrides what is set in the
@@ -22488,7 +22711,7 @@ is used as a result of a &"keep"& action in the filter. This example shows one
  way of handling this requirement:
  .code
  file = ${if eq{$address_file}{inbox} \
  way of handling this requirement:
  .code
  file = ${if eq{$address_file}{inbox} \
-            {/var/mail/$local_part} \
+            {/var/mail/$local_part_data} \
              {${if eq{${substr_0_1:$address_file}}{/} \
                    {$address_file} \
                    {$home/mail/$address_file} \
              {${if eq{${substr_0_1:$address_file}}{/} \
                    {$address_file} \
                    {$home/mail/$address_file} \
@@ -22669,8 +22892,8 @@ The string value is expanded for each delivery, and must yield an absolute
  path. The most common settings of this option are variations on one of these
  examples:
  .code
  path. The most common settings of this option are variations on one of these
  examples:
  .code
-file = /var/spool/mail/$local_part
-file = /home/$local_part/inbox
+file = /var/spool/mail/$local_part_data
+file = /home/$local_part_data/inbox
  file = $home/inbox
  .endd
  .cindex "&""sticky""& bit"
  file = $home/inbox
  .endd
  .cindex "&""sticky""& bit"
@@ -23426,7 +23649,7 @@ and directories in a maildir mailbox, including subdirectories for maildir++
  folders. Consider this example:
  .code
  maildir_format = true
  folders. Consider this example:
  .code
  maildir_format = true
-directory = /var/mail/$local_part\
+directory = /var/mail/$local_part_data\
             ${if eq{$local_part_suffix}{}{}\
             {/.${substr_1:$local_part_suffix}}}
  maildirfolder_create_regex = /\.[^/]+$
             ${if eq{$local_part_suffix}{}{}\
             {/.${substr_1:$local_part_suffix}}}
  maildirfolder_create_regex = /\.[^/]+$
@@ -24416,14 +24639,14 @@ configuration for &%procmail%&:
  # transport
  procmail_pipe:
    driver = pipe
  # transport
  procmail_pipe:
    driver = pipe
-  command = /usr/local/bin/procmail -d $local_part
+  command = /usr/local/bin/procmail -d $local_part_data
    return_path_add
    delivery_date_add
    envelope_to_add
    check_string = "From "
    escape_string = ">From "
    umask = 077
    return_path_add
    delivery_date_add
    envelope_to_add
    check_string = "From "
    escape_string = ">From "
    umask = 077
-  user = $local_part
+  user = $local_part_data
    group = mail
  
  # router
    group = mail
  
  # router
@@ -34978,7 +35201,7 @@ central_filter:
    check_local_user
    driver = redirect
    domains = +local_domains
    check_local_user
    driver = redirect
    domains = +local_domains
-  file = /central/filters/$local_part
+  file = /central/filters/$local_part_data
    no_verify
    allow_filter
    allow_freeze
    no_verify
    allow_filter
    allow_freeze
@@ -36493,10 +36716,10 @@ lists in a separate domain from normal mail. For example:
  lists:
    driver = redirect
    domains = lists.example
  lists:
    driver = redirect
    domains = lists.example
-  file = /usr/lists/$local_part
+  file = ${lookup {$local_part} dsearch,ret=full {/usr/lists}}
    forbid_pipe
    forbid_file
    forbid_pipe
    forbid_file
-  errors_to = $local_part-request@lists.example
+  errors_to = ${quote_local_part:$local_part-request}@lists.example
    no_more
  .endd
  This router is skipped for domains other than &'lists.example'&. For addresses
    no_more
  .endd
  This router is skipped for domains other than &'lists.example'&. For addresses
@@ -36584,7 +36807,8 @@ lists_request:
    driver = redirect
    domains = lists.example
    local_part_suffix = -request
    driver = redirect
    domains = lists.example
    local_part_suffix = -request
-  file = /usr/lists/$local_part$local_part_suffix
+  local_parts = ${lookup {$local_part} dsearch,filter=file {/usr/lists}}
+  file = /usr/lists/${local_part_data}-request
    no_more
  
  lists_post:
    no_more
  
  lists_post:
@@ -36592,10 +36816,10 @@ lists_post:
    domains = lists.example
    senders = ${if exists {/usr/lists/$local_part}\
               {lsearch;/usr/lists/$local_part}{*}}
    domains = lists.example
    senders = ${if exists {/usr/lists/$local_part}\
               {lsearch;/usr/lists/$local_part}{*}}
-  file = /usr/lists/$local_part
+  file = ${lookup {$local_part} dsearch,ret=full {/usr/lists}}
    forbid_pipe
    forbid_file
    forbid_pipe
    forbid_file
-  errors_to = $local_part-request@lists.example
+  errors_to = ${quote_local_part:$local_part-request}@lists.example
    no_more
  
  lists_closed:
    no_more
  
  lists_closed:
@@ -36653,7 +36877,7 @@ verp_smtp:
    max_rcpt = 1
    return_path = \
      ${if match {$return_path}{^(.+?)-request@your.dom.example\$}\
    max_rcpt = 1
    return_path = \
      ${if match {$return_path}{^(.+?)-request@your.dom.example\$}\
-      {$1-request+$local_part=$domain@your.dom.example}fail}
+      {${quote_local_part:$1-request+$local_part=$domain}@your.dom.example}fail}
  .endd
  This has the effect of rewriting the return path (envelope sender) on outgoing
  SMTP messages, if the local part of the original return path ends in
  .endd
  This has the effect of rewriting the return path (envelope sender) on outgoing
  SMTP messages, if the local part of the original return path ends in
@@ -36704,7 +36928,7 @@ verp_dnslookup:
    transport = remote_smtp
    errors_to = \
      ${if match {$return_path}{^(.+?)-request@your.dom.example\$}}
    transport = remote_smtp
    errors_to = \
      ${if match {$return_path}{^(.+?)-request@your.dom.example\$}}
-     {$1-request+$local_part=$domain@your.dom.example}fail}
+     {${quote_local_part:$1-request+$local_part=$domain}@your.dom.example}fail}
    no_more
  .endd
  Before you start sending out messages with VERPed return paths, you must also
    no_more
  .endd
  Before you start sending out messages with VERPed return paths, you must also
@@ -36752,12 +36976,18 @@ to a router of this form:
  virtual:
    driver = redirect
    domains = dsearch;/etc/mail/virtual
  virtual:
    driver = redirect
    domains = dsearch;/etc/mail/virtual
-  data = ${lookup{$local_part}lsearch{/etc/mail/virtual/$domain}}
+  data = ${lookup{$local_part}lsearch{/etc/mail/virtual/$domain_data}}
    no_more
  .endd
    no_more
  .endd
+.new
  The &%domains%& option specifies that the router is to be skipped, unless there
  is a file in the &_/etc/mail/virtual_& directory whose name is the same as the
  The &%domains%& option specifies that the router is to be skipped, unless there
  is a file in the &_/etc/mail/virtual_& directory whose name is the same as the
-domain that is being processed. When the router runs, it looks up the local
+domain that is being processed.
+The &(dsearch)& lookup used results in an untainted version of &$domain$&
+being placed into the &$domain_data$& variable.
+.wen
+
+When the router runs, it looks up the local
  part in the file to find a new address (or list of addresses). The &%no_more%&
  setting ensures that if the lookup fails (leading to &%data%& being an empty
  string), Exim gives up on the address without trying any subsequent routers.
  part in the file to find a new address (or list of addresses). The &%no_more%&
  setting ensures that if the lookup fails (leading to &%data%& being an empty
  string), Exim gives up on the address without trying any subsequent routers.
@@ -36786,7 +37016,7 @@ follows:
  .code
  my_mailboxes:
    driver = appendfile
  .code
  my_mailboxes:
    driver = appendfile
-  file = /var/mail/$domain/$local_part
+  file = /var/mail/$domain/$local_part_data
    user = mail
  .endd
  This uses a directory of mailboxes for each domain. The &%user%& setting is
    user = mail
  .endd
  This uses a directory of mailboxes for each domain. The &%user%& setting is
@@ -36841,9 +37071,9 @@ another MTA:
  userforward:
    driver = redirect
    check_local_user
  userforward:
    driver = redirect
    check_local_user
-  file = $home/.forward$local_part_suffix
    local_part_suffix = -*
    local_part_suffix_optional
    local_part_suffix = -*
    local_part_suffix_optional
+  file = ${lookup {.forward$local_part_suffix} dsearch,ret=full {$home} {$value}fail}
    allow_filter
  .endd
  If there is no suffix, &_.forward_& is used; if the suffix is &'-special'&, for
    allow_filter
  .endd
  If there is no suffix, &_.forward_& is used; if the suffix is &'-special'&, for
@@ -40312,7 +40542,7 @@ only supports signing with the same canonicalization method for both headers and
  .option dkim_strict smtp string&!! unset
  This  option  defines  how  Exim  behaves  when  signing a message that
  should be signed fails for some reason.  When the expansion evaluates to
  .option dkim_strict smtp string&!! unset
  This  option  defines  how  Exim  behaves  when  signing a message that
  should be signed fails for some reason.  When the expansion evaluates to
-either "1" or "true", Exim will defer. Otherwise Exim will send the message
+either &"1"& or &"true"&, Exim will defer. Otherwise Exim will send the message
  unsigned. You can use the &%$dkim_domain%& and &%$dkim_selector%& expansion
  variables here.
  
  unsigned. You can use the &%$dkim_domain%& and &%$dkim_selector%& expansion
  variables here.
  
@@ -40324,16 +40554,19 @@ in the message signature.
  When unspecified, the header names listed in RFC4871 will be used,
  whether or not each header is present in the message.
  The default list is available for the expansion in the macro
  When unspecified, the header names listed in RFC4871 will be used,
  whether or not each header is present in the message.
  The default list is available for the expansion in the macro
-"_DKIM_SIGN_HEADERS".
+&"_DKIM_SIGN_HEADERS"&
+.new
+and an oversigning variant is in &"_DKIM_OVERSIGN_HEADERS"&.
+.wen
  
  If a name is repeated, multiple headers by that name (or the absence thereof)
  will be signed.  The textually later headers in the headers part of the
  message are signed first, if there are multiples.
  
  
  If a name is repeated, multiple headers by that name (or the absence thereof)
  will be signed.  The textually later headers in the headers part of the
  message are signed first, if there are multiples.
  
-A name can be prefixed with either an '=' or a '+' character.
-If an '=' prefix is used, all headers that are present with this name
+A name can be prefixed with either an &"="& or a &"+"& character.
+If an &"="& prefix is used, all headers that are present with this name
  will be signed.
  will be signed.
-If a '+' prefix if used, all headers that are present with this name
+If a &"+"& prefix if used, all headers that are present with this name
  will be signed, and one signature added for a missing header with the
  name will be appended.
  
  will be signed, and one signature added for a missing header with the
  name will be appended.
  
@@ -40575,6 +40808,10 @@ Notes from the key record (tag n=).
  
  .vitem &%$dkim_key_length%&
  Number of bits in the key.
  
  .vitem &%$dkim_key_length%&
  Number of bits in the key.
+.new
+Valid only once the key is loaded, which is at the time the header signature
+is verified, which is after the body hash is.
+.wen
  
  Note that RFC 8301 says:
  .code
  
  Note that RFC 8301 says:
  .code
@@ -40582,9 +40819,8 @@ Verifiers MUST NOT consider signatures using RSA keys of
  less than 1024 bits as valid signatures.
  .endd
  
  less than 1024 bits as valid signatures.
  .endd
  
-To enforce this you must have a DKIM ACL which checks this variable
-and overwrites the &$dkim_verify_status$& variable as discussed above.
-As EC keys are much smaller, the check should only do this for RSA keys.
+This is enforced by the default setting for the &%dkim_verify_min_keysizes%&
+option.
  
  .endlist
  
  
  .endlist