Testsuite: Avoid requesting TLS cert-status requests from GnuTLS test utility unless wanted

Testsuite: pass GnuTLS despite OCSP whining

Docs: add notes on library version limitations on OCSP stapling.  Bug 1664

GnuTLS: avoid using OCSP on buggy library versions.  Bug 1664

Testsuite: Add testcase for OCSP-nonaware client, to supporting server.  Bug 1664

The logfile here is for (I hope) the passing case, though the fixed GnuTLS library
is not yet available.  Also due to the bug, client-gnutls is not usable for the
test; client-openssl must be used - meaning that a GnuTLS-only system cannot run
the testcase:

  OCSP-GnuTLS/5650 OCSP stapling, server
  ** Command 15 ("client-ssl", starting at line 98)
  ** Return code 127 (expected 0)

Docs: Add a note about the maximum spam bar length

Docs: Clarify the "any output" phrase

Add ref from logging chapter to slow_lookup_log main config option

Compiler quietening

Docs: add detail on keys for lookups

Clean docs for next release

Doc: parallel builds (make -j) work

Docs: emphasize that the smtp_connection log selector applies to inbound

Add check on tls_auth pseudo-command.  Bug 1659

Compile with DISABLE_PRDR set

Multiple typo fixes.

Bump LOCAL_SCAN_ABI_VERSION.

In 4.86 the size of struct recipient_item changed when EXPERIMENTAL_DSN
was made default. This broke the local scan ABI (rebuild required).
See <http://bugs.debian.org/790616>.

Change note

Docs: add note on string lists

Fix error message for router headers_remove expansion failure
Associated with Bug 1533

Doc: Fix typo

Doc: Update dns_trust_aa documentation

Docs: mark up with changebars

Fix support of $spam_ variables at delivery time.  Bug 1647

This change is forced on us by the documentation claiming clearly
the support is there, though the code does not and never has.
The doc change that introduced the claim is 7d9f747b5ef8

Testsuite: fix operator precedence in dns_extract_auth_name()

Testsuite: Add a first test for dns_trust_aa

Testsuite: fakens may return AUTHORITY records

If an entry in db.<zone> is prefixed with "AA ", fakens
will put a valid NS record into the AUTHORITY section of the
returned packet. This will be used by dns_trust_aa checks.

Before importing a certificate, free any previous one.  Bug 1648
Second try

Extract NS/SOA in dns_extract_auth_name() more precisly.

Fix and extend the checks in dns_is_secure()

Change note

Before importing a certificate, free any previous one.  Bug 1648

Because the SSL libraries do not use Exim's heap management
this was a memory-leak in "exim -bp".

Docs: add warning on list-sep in headerss_remove

Docs typo

Fix build script.  Bug 1646

Add docs and massage coding standards for dns_trust_aa

Add dns_trust_aa

This new global option allows to trust the AA bit for
specific domains the same way we'd trust the AD bit.

Docs: clarify notes on .ifdef   Bug 1155

Docs: clarify notes on Events

DSN: fix null deref when bounce is due to conn-timeout.  Bug 1630

Clarify that preceding 10ca4f was provided by Wolfgang Breyha

Massaged by JH

Add tls_eccurve  main config option.  Bug 1397

Patch from Suse, massaged by JH

minor tidying

Doc fix: server_secret expansions should fail

The `cyrusless_sasl` authenticator example failed to explicitly fail if
no result was found from the lookup.  Using `server_secret`, we should
_always_ fail instead of expanding to an empty string.

Doc-fix only.

Testsuite: additional EC encryptions seen

Testsuite: Increase test delays and retry rule times
to allow slow hosts more reliable testing

Testsuite: less agressive PID-hiding

Testsuite: quietening

Revert "Show the DNSSEC status (ad=) always in -bt/-bv output"

This reverts commit e7a1b6ff65f1bebbc290f2a4fd7554fde00ae2f6.
It's not production grade, since the wording (ad vs. trusted)
is not final yet.

Testsuite: avoid IPv6 to avoid "no route to host" log lines

Tighter guard for POLLRDHUP

Truncate delay when peer closes connection.  Bug 348

This is now possible on Linux, at least.

Testsuite: avoid IPv6 interfaces to avoid extra debug stderr lines

Content scan: Use ETIMEDOUT not ETIME, as having better portability.  Bug 1640

PRDR: enable server-side in the default config

Logging: add log_selector items in the default config.  Bug 1333

Doc: Add DKIM info in main sections.  Bug 1607

DSN: fix null deref when bounce is due to conn-timeout.  Bug 1630

Spamd: add missing initialiser.  Rspamd mode was incorrectly sometimes seen.

Reported-by: Andreas Metzler

Guard routing against a null-deref.  Bug 1639

release tooling: unbreak website build when not verbose

release tooling: let make cmd be overriden

Also let tar flag actually take an argument

Copyright year updates (things touched in 2015)

Update current year in docs and banner copyright in src/src/globals.c

Rest of changes from:

    vi $(git whatchanged --since=2015-01-01 | grep '^:100' | sed -n 's/^[^M]*M//p' | sort -u | fgrep -v test/)

Note that there are a lot of changes made because of const propagation;
I opted to include the copyright year updates in that, but we could be
doing a better job with who gets the copyright credit for these changes.

Changes visible with:

    git diff $(git rev-list -n1 --before="2015-01-01" master)

TLS authenticator

refactor build script

Adjust my maintainership status to reflect reality

OpenSSL: guard X509_check_host against LibreSSL

LibreSSL's fork does not have this new function; as well as adding a
`LIBRESSL_VERSION_NUMBER` value, that project bumped the OpenSSL version
number in such a way as to conflict with our existing version checks.

* Add a guard.
* Add commentary, suggesting how to avoid getting into twistier knots
  with API divergence.

Reported by Jasper Wallace, who provided a slightly different patch.

Fixes bug 1635

Testsuite: Add $USER to env if missing

Expand docs re. logs dir, and make eximon logs dir match exim's.  Bug 1324

Note MAIL commands in -bS batch, to avoid smtp_no_mail logline.  Bug 1346

Fix some typos in EDITME

TLS: Enable ECDHE on OpenSSL, just the NIST P-256 curve.  Bug 1397

Original by Phil Pennock; tweaked by JH.

New ${env {NAME}} expansion.  Bug 1604

Testsuite: move test.again.dns and test.fail.dns handling to fakens

tidying

DANE: do not fail/defer message due to TLSA lookup but dane is only requested

Fix DANE for multiple-MX when all TLSA lookup defer.  Bug 1634

Testsuite: Check debug message if we requested AD but got AA

Testsuite: Add support for authoritive answer to fakens

Add DNS debug aid if we requested AD but got AA

If the resolver we ask is authoritive (AA) for some domain,
we never ever get the AD (authentic data) bit in the answer.

Add DNS debug aid if we requsted AD but got AA

If the resolver we ask is authoritive (AA) for some domain,
we never ever get the AD (authentic data) bit in the answer.

Change HELO-verify forward case from byname to bydns and add DNSSEC tracking

Change host_lookup re-forward from byname to bydns; checking DNSSEC

struct dnssec_domains

Testsuite: avoid tryng to run in net 10.

Testsuite: Add ad= to even more outputs

Show the DNSSEC status (ad=) always in -bt/-bv output

Fix truncated dns-lookup return record handling

Testsuite: move manyhome.test,ex handling from exim to fakens

Remove word "rejected" from ACL-discard log lines.  Bug 1632

Testsuite: Munge the output to fit the ad=… lines

tidying

Callout: additional debug on cache operations

Testsuite: reverted: Output of path to fakens

This partially reverts 5f3d09836.

Testsuite: missing output file

Testsuite: Check dnssec_{request,require}_domains for dnslookup

Testsuite: locate fakens relative to the config_main_directory

This makes the test configs more intuitive, because the
spool_directory=SPOOL/spool does not need to be there anymore,
except we really need a spool directory.

Output dnssec status in -bt/-bv mode

Currently this feature is enabled only if running_in_test_harness,
because I don't want to break anything else.

Diagnostic debug message if fakens is not found

Do not use the A lookup following an AAAA for setting the FQDN.  Bug 1588

Normally benign, it bites when the pair was led to by a CNAME;
modern usage is to not canoicalize the domain to a cname target
(and we were inconsistent anyway for A-only vs AAAA+A).