Docs: SPF no longer Experimental

OpenSSL: fix OCSP stapling under DANE

OpenSSL: better debug info for OCSP

DKIM: permit dkim_private_key to override dkim_strict on signing.  Bug 2220

Logging: disable the verbose DKIM verification line by default; add a tag to <= lines.
New log_selector controls "dkim" and "dkim_verbose".

SPF: promote from Experimental to mainline status

Docs: remove extraneous options from variables index

tidying

Testsuite:  Better platform portability by searching for Postgres server binaries

Testsuite: SPF testcases.  Bug 1789

coding standards

Docs: remove mention of the ClamAV "STREAM" method

Content scan:  Remove support for the 7-year deprecated ClamAV "STREAM" method

Content scan:  Disable "aveserver", "kavdaemon" and "mksd" in the template makefile.  Bugs 1143, 1594

Feature macros, show-supported and build-time selection for malware interfaces

refactor show-supported coding

tidying

Enable header_syntax verify in the example config

MIME ACL: fix SMTP response for non-accept result of the ACL.  Bug 2214.

As far as I can see this was broken back in 2013, f4c1088 for 4.82

Fix issue with continued-connections when the DNS shifts unreliably

Fix crash associated with dnsdb lookup done from DKIM ACL.  Bug 2215

Broken-by: cc55f4208e

Use common routine for building tagstring for dns-fail cache

Debug: enhance output from smtp transport entry

DKIM: tighter checking while parsing signature headers.  Bug 2217

Check ARGV before subscripting it

Testtsuite: output changes resulting

Testsuite: better portability of postgresq test vs. postgresql versions

Lookups: fix pgsql multiple-row, single-column return

Report & fix from James <list@xdrv.co.uk>; additional tidying and testcase by JGH

Broken-by: acec9514b1

Testsuite: shift pgsql tests to the standard-run set

Testsuite: convert posgreql testing to standalone

Delivery: remove restriction on dirname length on having to create directories.  Bug 2213

DANE/GnuTLS: split verification of mixed sets of TLSA records by usage

This is because we cannot do the required CA-anchor and names checks for TA-mode
and not for EE-mode, without knowing which usage TLSA was used.

Constification

Fix const issue in nisplus lookup

Fix build of nisplus lookup

exim: regularize exim -bI:help output

exiwhat: use RM_COMMAND

DANE/GnuTLS: filter TLSA records for usability

DANE/GnuTLS: ignore traditional CA anchor validation in DANE-EE mode

Not quite right for a mixed TA+EE set of TLSA records, but better than always-enforcing

ACL: Disallow '/' characters in queue names specified for "queue="

Merge branch '4.next'

Docs: clean for next release

Fix nossl build

DANE: support under GnuTLS.  Bug 1523

GnuTLS version 3.0.0 onwards; still Experimental

Testsuite: move CRL testcases away from using SHA1-signed certs

Testsuite: output changes arising

Testsuite: regenerate certs tree

Testsuite: restore generation of OCSP status for EC certs

Broken-by: 854586e149

Testsuite: do not bother with cert hostnames when testing OCSP

Testsuite: restore lost dns config for DKIM extra-txt-records testcase

Broken-by: 854586e149

Testsuite output changes arising

Broken-by: 854586e149

DANE: fix type-2xx TLSA under older OpenSSL versions  Bug 2198
OpenSSL 1.0.1t is known bad.  1.0.2 and 1.1.0 are apparently ok.

Testsuite: testcase for Bug 2198

CHUNKING: flush input stream after message-fatal error detection.  Bug 2201

Testsuite: regen TLSA records, to match cert tree

Testsuite: regen TLSA records, to match cert tree

openssl guidance: install shared libraries too

tidying

Add compile-time guard against BDB library version 6

Fix non-OCSP OpenSSL build

Issue found by: Frank Elsner

Docs: amend warning on on lack of multiple-OCSP-proof support

GnuTLS: multiple server certs, OCSP stapling.  Bug 2092

Testsuite: regen certs trees, now with OCSP response for one EC cert

Docs: clarify smtp transport tls_verify_certificates option

DKIM: Ignore non-DKIM TXT records in DNS response. Bug 2207

Fix initialiser in smtp transport

Broken-by: 838d897c8e

Docs: add notes on lack of multiple-OCSP-proof support

This would be wanted for server OCSP stapling in a dual RSA/ECDSA certificate installation

Change log update

Chunking: do not treat the first lonely dot special. CVE-2017-16944, Bug 2201

Logging: fix log line for local_scan() rejection

DKIM: fix tolerating spaces round tag values

Fix filename length check in mime-handling

tidying

Fix initialiser in smtp transport

Broken-by: 838d897c8e

Docs: add notes on lack of multiple-OCSP-proof support

This would be wanted for server OCSP stapling in a dual RSA/ECDSA certificate installation

Debug: fix coding in dnssec reporting.  Bug 2205

TLS: avoid calling smtp_auth_acl on client cert when no tls authenticator is configured

TLS: Fix excessive calling of smtp_auth_acl under AUTH_TLS.  Bug 2203

Change log update

Chunking: do not treat the first lonely dot special. CVE-2017-16944, Bug 2201

Logging: fix log line for local_scan() rejection

DKIM: fix tolerating spaces round tag values

Fix filename length check in mime-handling

tidying

tidying

Replace the store_release() internal interface, which was excessively unsafe.
The new store_newblock() includes the required safety checck, plus the alocate
and data-copy operations.

Merge branch 'master' into 4.next

Change note for 445d03d4ea

Avoid release of store if there have been later allocations.  Bug 2199

Add comment on GnuTLS library debugging facility

Testsuite: more pre-run configuration checks

tidying

Testsuite: delays for debug output ordering (again)

OpenSSL: avoid using now-deprecated routines on newer versions

Testsuite: OpenSSL/LibreSSL version output variances

Testsuite: OpenSSL/LibreSSL version output variances

Testsuite: OpenSSL/LibreSSL version output variances

Testsuite: better debug output from "server" script-runner

Testsuite: delays for debug output ordering

OpenBSD seems to prioritize the child of a fork; Linux & FreeBSD the parent

Testsuite: force RSA auth for testcase loading dual certs

More recent OpenSSL versions (1.1.0) reasonably prefer ECDSA when available,
where older (1.0.2) preferred RSA