HTTP header improvements (#294)

- Drop Expect-CT

Expect-CT has been redundant since 2018 when Certificate Transparency became mandated and required for all CAs and browsers. This header is only implemented in Chrome and is now deprecated. HTTP header analysers do not check this anymore as this is enforced by default. See https://developer.mozilla.org/en-US/docs/Web/HTTP/Headers/Expect-CT

- Raise HSTS to 2 years and explicitly preload

The longer age for HSTS, the better. Header analysers prefer 2 years over 1 year now as free TLS is very common using Let's Encrypt.
For HSTS to be fully effective, you need to submit your root domain (domain.tld) to https://hstspreload.org. However, a requirement for this is the "preload" directive in Strict-Transport-Security. If you do not have "preload", it will reject your domain.

- Drop X-Download-Options

This is an IE8-era header when Adobe products used to use the IE engine for making outbound web requests to embed webpages in things like Adobe Acrobat (PDFs). Modern apps are using Microsoft Edge WebView2 or Chromium Embedded Framework. No modern browser checks or header analyser check for this.

- Set base-uri to 'none'

This is to specify the domain for relative links (`<base>` HTML tag). pleroma-fe does not use this and it's an incredibly niche tag.

I use all of these myself on my instance by rewriting the headers with zero problems. No breakage observed.

I have not compiled my Elixr changes, but I don't see why they'd break.

Co-authored-by: r3g_5z <june@terezi.dev>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/294
Co-authored-by: @r3g_5z@plem.sapphic.site <june@terezi.dev>
Co-committed-by: @r3g_5z@plem.sapphic.site <june@terezi.dev>

Merge pull request 'Drop XSS auditor' (#292) from r3g_5z/akkoma:drop-xss-auditor into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/292

Drop XSS auditor

It's deprecated, removed in some, by all modern browsers and is known
to create XSS vulnerabilities in itself.

Signed-off-by: r3g_5z <june@terezi.dev>

Add `languages` to cheatsheet

docs: Update list of clients (#284)

In addition to making the page refer to Akkoma instead of Pleroma, I've
also removed clients that were not updated in a year or more and updated
links to websites and the contact links of authors.

Also removed language that suggested these clients are in any way
"officially supported".

Co-authored-by: Francis Dinh <normandy@biribiri.dev>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/284
Co-authored-by: Norm <normandy@biribiri.dev>
Co-committed-by: Norm <normandy@biribiri.dev>

Merge pull request 'Update copyright info' (#285) from norm/akkoma:copyright-stuff into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/285

microblogpub federation fixes (#288)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/288

Update copyright info

- Bump years to 2022 where appropriate
- Add copyright for Akkoma authors
- Remove references to deleted images

Merge pull request 'docs: Update links to list of akkoma instances' (#278) from norm/akkoma:update-akkoma-list-urls into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/278

Be very specific about the double-quotes in strings

Set instance reachable on fetch

docs: Update links to list of akkoma instances

The old links were for Pleroma instances and one of them isn't even active anymore.

and i yoink (#275)

Co-authored-by: Mark Felder <feld@feld.me>
Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/275

Remove references to soykaf

Fixes #271

Add configurable timeline per oban job (#273)

Heavily inspired by https://git.pleroma.social/pleroma/pleroma/-/merge_requests/3777

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/273

Merge pull request 'change default redirectRootNoLogin to /main/public' (#272) from nocebo/akkoma:nocebo-default-public-tl into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/272

change default redirectRootNoLogin to /main/public

close #268

Merge pull request 'Chores for 2022.11' (#266) from 2022-11-stable into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/266

Chores for 2022.11

fix requirements

Add media sources to connect-src if media proxy is enabled

Merge branch 'develop' of akkoma.dev:AkkomaGang/akkoma into develop

strip \r and \r from content-disposition filenames

add manual deploy for docs

Merge pull request 'Fix typo in README' (#262) from eloy/akkoma:develop into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/262

Fix typo in README

update requirements.txt

Merge remote-tracking branch 'origin/translations' into develop

Update documentation builder

add requested_by changelog entry

Update translation files

Updated by "Squash Git commits" hook in Weblate.

Translation: Pleroma fe/Akkoma Backend (Errors)
Translate-URL: http://translate.akkoma.dev/projects/akkoma/akkoma-backend-errors/

Translated using Weblate (Spanish)

Currently translated at 21.6% (23 of 106 strings)

Co-authored-by: mint <they@mint.lgbt>
Translate-URL: http://translate.akkoma.dev/projects/akkoma/akkoma-backend-errors/es/
Translation: Pleroma fe/Akkoma Backend (Errors)

Include requested_by in relationship (#260)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/260

reference "stable" in all URLs

Remove unused pattern

fix count of poll voters

make metdata check a debug log

Add fallback for reports that don't have attached activities

Don't mess with the cache on metadata update

automatically trim loading *. prefixes on domain blocks

Update finch

Add rollbacks for associated_object_id

Add "differences" in readme

Fix regex usage in MRF (#254)

fixes #235
fixes #228

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/254

Add enabled check on /translation/languages

Changelog

Scrape instance nodeinfo (#251)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/251

Fix instance name in email test

Merge pull request 'Fix typo in CSP Report-To header name' (#250) from tcit/akkoma:fix-typo-in-csp-report-to-header-name into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/250

Fix typo in CSP Report-To header name

The header name was Report-To, not Reply-To.

In any case, that's now being changed to the Reporting-Endpoints HTTP
Response Header.
https://w3c.github.io/reporting/#header
https://github.com/w3c/reporting/issues/177

CanIUse says the Report-To header is still supported by current Chrome
and friends.
https://caniuse.com/mdn-http_headers_report-to

It doesn't have any data for the Reporting-Endpoints HTTP header, but
this article says Chrome 96 supports it.
https://web.dev/reporting-api/

(Even though that's come out one year ago, that's not compatible with
Network Error Logging which's still using the Report-To version of the
API)

Signed-off-by: Thomas Citharel <tcit@tcit.fr>

Add default favicon

Fixes pleroma-fe#185

Merge pull request 'Change default instance name to "Akkoma"' (#248) from norm/akkoma:default-instance-name into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/248

Change default instance name to "Akkoma"

This was left at "Pleroma" for some reason.

Merge pull request 'Push.Impl: support edits' (#244) from norm/akkoma:push-support-edits into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/244

Merge pull request 'fix flaky test_user_relationship_test.exs:81' (#240) from ilja/akkoma:fix_flaky_test_user_relationship_test.exs_81 into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/240

Merge pull request 'fix flaky test filter_controller_test.exs:200' (#239) from ilja/akkoma:fix_flaky_filter_controller_test.exs_200 into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/239

Merge pull request 'fix flaky participation_test.exs' (#238) from ilja/akkoma:fix_erratic_participation_test into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/238

fix_flaky_transfer_task_test.exs (#237)

There were async calls happening, so they weren't always finished when assert happened.

I also fixed some bugs in the erratic tests that were introduced when removing :shout.:shout is a key where restart is needed, and was changed in the test to use :rate_limit (which also requires a restart). But there was a bug in the syntax that didn't get caught because the test was tagged as erratic and therefor didn't fail. Here I fixed it.

During compilation, we had a warning `:logger is used by the current application but the current application does not depend on :logger` which is now fixed as well (see commit message for complete stacktrace).

Co-authored-by: Ilja <ilja@ilja.space>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/237
Co-authored-by: ilja <akkoma.dev@ilja.space>
Co-committed-by: ilja <akkoma.dev@ilja.space>

Fix rate_limiter_test.exs test "it restricts based on config values" (#233)

Fixes one of the 'erratic' tests

It used a timer to sleep.
But time also goes on when doing other things, so depending on hardware, the timings could be off.
I slightly changed the tests so we still test what we functionally want.
Instead of waiting until the cache expires I now have a function to expire the test and use that.

That means we're not testing any more if the cache really expires after a certain amount of time,
but that's the responsability of the dependency imo, so shouldn't be a problem.

I also changed `Pleroma.Web.Endpoint, :http, :ip` in the tests to `127.0.0.1`
Currently it was set to 8.8.8.8, but I see no reason for that and, while I assume that no calls
are made to it, it may come over as weird or suspicious to people.

Co-authored-by: Ilja <ilja@ilja.space>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/233
Co-authored-by: ilja <akkoma.dev@ilja.space>
Co-committed-by: ilja <akkoma.dev@ilja.space>

Fix tests in ldap registration

Fix LDAP user registration (#229)

Simple fix for LDAP user registration. I'm not sure what changed but I managed to get Akkoma running in a debug session and figured out it was missing a match for an extra value at the end. I don't know Elixir all that well so I'm not sure if this was the correct way to do it... but it works. :)

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/229
Co-authored-by: nullobsi <me@nullob.si>
Co-committed-by: nullobsi <me@nullob.si>

Reword stop gifs

Add StopGifs to description

Push.Impl: support edits

Signed-off-by: marcin mikołajczak <git@mkljczk.pl>

fix flaky test_user_relationship_test.exs:81

The problem was double. On the one hand, the function didn't actually return what was in the DB.
On the other hand the test was flaky because it used NaiveDateTime.utc_now() so test could fail or pass depending on a difference of microseconds.

Both are fixed now.

fix flaky test filter_controller_test.exs:200

fix flaky participation_test.exs

It was tested if the updated_at after marking as "read" was equal as the updated_at at insertion, but that seems wrong.
Firstly, if a record is updated, you expect the updated_at to also update.
Secondly, the insert and update happen almost at the same time, so it's flaky regardless.

Here I make sure it has a much older updated_at during insert so we can clealy see the effect after update.
I also check that the updated_at is actually updated because I expect that this is the expected behaviour and it's also the current behaviour.

document local_bubble

Remove unused DATA arg

Unilateral remove from followers (#232)

from https://git.pleroma.social/pleroma/pleroma/-/merge_requests/3647/

Co-authored-by: marcin mikołajczak <git@mkljczk.pl>
Co-authored-by: Tusooa Zhu <tusooa@kazv.moe>
Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/232

Add docker migration guide

add DB restart to docker file

Docker builds (#231)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/231

bump version

Merge pull request 'Check that the signature matches the creator' (#230) from domain-blocks into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/230

Merge pull request 'SQL optimisations' (#227) from i-hate-sql into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/227

Check that the signature matches the creator

Ensure deletes are handled after everything else

optimise notifications query

format

Use inner lateral join to not get dropped in :total

Extract deactivated users query to a join

Backend settings sync (#226)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/226

Merge pull request 'include requirement to enable HTTP tunnel in tor' (#224) from tor-docs into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/224

include requirement to enable HTTP tunnel in tor

Merge pull request 'ensure we use the same OTP for all releases' (#223) from update-otp-version into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/223

ensure we use the same OTP for all releases

Add installation note about flavour, support special cases (#222)

Fixes #210

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/222

Fix false error in meilisearch index (#221)

the schema changed

https://docs.meilisearch.com/reference/api/documents.html#add-or-update-documents

this wasn't breaking anything, it would just report errors that were actually successes

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/221

Merge pull request 'Move remote user interaction changelog entry to correct version' (#219) from norm/akkoma:changelog-remote-user-interaction into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/219

Make backups require its own scope (#218)

Pulled from https://git.pleroma.social/pleroma/pleroma/-/merge_requests/3721.

This makes backups require its own scope (`read:backups`) instead of the `read:accounts` scope.

Co-authored-by: Tusooa Zhu <tusooa@kazv.moe>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/218
Co-authored-by: Norm <normandy@biribiri.dev>
Co-committed-by: Norm <normandy@biribiri.dev>

Merge pull request 'Update soapbox-fe base url' (#220) from lou_de_sel/akkoma:lou_de_sel-patch-1 into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/220

Update soapbox base url

At some point 'soapbox-pub/soapbox-fe' was moved to 'soapbox-pub/soapbox' and the build url is now updated.

Move remote user interaction changelog entry to correct version

That feature was added in 2022.09, not 2022.08.

ensure queue_target can't be silly low

Ensure rollback succeeds

Merge pull request 'User: search: exclude deactivated users from user search' (#214) from norm/akkoma:exclude-deactivated-search into develop

Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/214

Ensure migrations succeed (#216)

Co-authored-by: FloatingGhost <hannah@coffee-and-dreams.uk>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/216

User: search: exclude deactivated users from user search

This way we don't pollute search results with deactivated and deleted users

Update styles.json path in frontend config doc (#212)

Co-authored-by: Francis Dinh <normandy@biribiri.dev>
Reviewed-on: https://akkoma.dev/AkkomaGang/akkoma/pulls/212
Co-authored-by: Norm <normandy@biribiri.dev>
Co-committed-by: Norm <normandy@biribiri.dev>