As requisições de saída agora verificam os certificados TLS
- Todas as requisições HTTPS que o site faz para fora — host de skins, geolocalização por IP, gateway de SMS, servidor de e-mail, login pelo QQ e os botões de teste do painel — eram enviadas com a verificação de certificado desligada, então qualquer pessoa no caminho podia responder com um certificado autoassinado e tomar a requisição inteira. Agora todas verificam de verdade, contra um pacote de certificados raiz que acompanha o site (o da Mozilla, 121 raízes).
- A parte do e-mail era a mais crítica: sem a verificação, alguém no caminho podia recolher a senha da caixa de correio e o texto completo de todas as mensagens. O certificado da caixa do 126 é válido, então o envio não é afetado.
- Há um custo: quando o certificado remoto está realmente quebrado, a requisição agora falha com um erro em vez de conectar em silêncio. Os botões de teste do painel destacam esse caso separadamente como «não passou na validação do certificado». E se o pacote algum dia sumir, o código continua se recusando a voltar para a verificação desligada: ele simplesmente falha de forma mais clara.
- De passagem, corrigido um defeito antigo: as entradas v1.9.6 e mod 1.6.0 do registro mostravam literalmente "title" como título — nunca tiveram nada além do corpo do texto, e a página renderiza um título incondicionalmente, então a chave ausente recaía no último segmento do próprio nome. Agora têm título