Ausgehende Anfragen prüfen jetzt TLS-Zertifikate
- Jede ausgehende HTTPS-Anfrage der Website — Skin-Server, IP-Standortbestimmung, SMS-Gateway, Mailserver, QQ-Anmeldung und die Testschaltflächen des Admin-Bereichs — wurde bisher mit abgeschalteter Zertifikatsprüfung gesendet, sodass jeder auf dem Weg mit einem selbstsignierten Zertifikat antworten und die Anfrage übernehmen konnte. Jetzt prüfen alle ordnungsgemäß gegen ein mit der Website ausgeliefertes Root-Zertifikatspaket (das von Mozilla, 121 Root-Zertifikate).
- Am wichtigsten war die Mailverbindung: Bei abgeschalteter Prüfung konnte jemand auf dem Weg das Postfachpasswort und den vollständigen Text jeder Nachricht abgreifen. Das Zertifikat des 126-Postfachs ist gültig, der Versand ist also nicht betroffen.
- Es hat einen Preis: Ist ein entferntes Zertifikat wirklich defekt, schlägt die Anfrage jetzt mit einem Fehler fehl, statt sich still zu verbinden. Die Testschaltflächen des Admin-Bereichs weisen diesen Fall gesondert als „Zertifikatsprüfung fehlgeschlagen" aus. Und sollte das Paket jemals fehlen, weigert sich der Code weiterhin, zur abgeschalteten Prüfung zurückzukehren — er scheitert dann einfach deutlicher.
- Nebenbei ein alter Schönheitsfehler behoben: Die Einträge v1.9.6 und mod 1.6.0 im Änderungsprotokoll zeigten als Überschrift wörtlich „title" — sie hatten nie mehr als den Fließtext, und die Seite rendert eine Überschrift bedingungslos, sodass der fehlende Schlüssel auf das letzte Namenssegment zurückfiel. Die Überschriften sind jetzt da