Las solicitudes salientes ahora verifican los certificados TLS
- Todas las solicitudes HTTPS que el sitio envía hacia fuera — servidor de skins, geolocalización por IP, pasarela de SMS, servidor de correo, inicio de sesión con QQ y los botones de prueba del panel — se enviaban con la comprobación de certificados desactivada, así que cualquiera en el camino podía responder con un certificado autofirmado y quedarse con la solicitud entera. Ahora todas verifican como es debido, contra un paquete de certificados raíz que se distribuye con el sitio (el de Mozilla, 121 raíces).
- Lo del correo era lo más grave: sin comprobación, alguien en el camino podía hacerse con la contraseña del buzón y con el texto completo de todos los mensajes. El certificado del buzón de 126 es válido, así que el envío no se ve afectado.
- Hay un coste: cuando el certificado remoto sí está roto, la solicitud ahora falla con un error en lugar de conectarse en silencio. Los botones de prueba del panel distinguen ese caso aparte como «no superó la validación del certificado». Y si algún día desaparece el paquete, el código sigue negándose a volver a la comprobación desactivada: simplemente falla de forma más clara.
- De paso, corregido un defecto antiguo: las entradas v1.9.6 y mod 1.6.0 del registro mostraban literalmente «title» como título — nunca tuvieron más que el cuerpo del texto, y la página renderiza un título sin condiciones, así que la clave ausente recaía en el último segmento de su propio nombre. Ya tienen título