ActivityPub

Muutosloki

9.3.1 – 2026-09-02

Tietoturva

• Links to remote profiles in the Followers and Following blocks are now limited to regular web addresses when paging through the list.
• Replies cached on posts in the blog profile’s reader feed are no longer readable by logged-out visitors through the WordPress REST API.
• Signatures on incoming requests are now checked against the address the request was actually sent to.

9.3.0 – 2026-09-02

Tietoturva

• Block markup in posts from remote accounts is now removed before the post is saved.
• Follow, reply and reaction links advertised by other Fediverse servers now have to be regular web addresses.
• Followers, cached remote profiles, and reader posts are no longer readable by logged-out visitors through the WordPress REST API, and the setting that hides your follower list is now honoured everywhere.
• Inline styles are now removed from posts and profiles that come from remote accounts.
• Posts from remote accounts are now shown in the Social Web reader exactly as the site stored them.
• Replies from remote accounts are now filtered before they are saved when an administrator imports them through search.

Lisätty

• Add a notification setting to turn off emails about likes, reposts, and quotes without silencing real comments and replies.
• Add the Fediverse and ActivityPub logos to the block editor’s icon library on WordPress 7.1 and newer.
• Federate podcast episodes published with Jetpack, including their audio file and cover art.

Muuttunut

• Enable RFC 9421 HTTP Message Signatures by default.

Kiinteä

• Apps connected through the ActivityPub API now use the standard ActivityPub API permission names. Fetching remote content through your site is treated as reading rather than posting, so an app needs read permission for it.
• Apps now see the real error when a post they open through your site is missing, instead of a generic failure.
• Comment author names are no longer altered on comments that did not come from the fediverse.
• Fixed a crash that could fill the error log when another server edited a reply to a post that is no longer shared to the Fediverse.
• Fixed an error that could break embeds of Fediverse posts whose author was sent in an unexpected format.
• Fixed an error that could occur when looking up a profile on another Fediverse server that sends back an unexpected response.
• Fixed backslashes disappearing from titles and content in posts from remote accounts.
• Fixed responses to ActivityPub addresses written with different capitalisation not being cached correctly.
• Fixed the Application actor not being found when its address was written with different capitalisation.
• Fixed the Mastodon importer creating duplicate posts when an archive was imported a second time.
• Fixed titles, summaries, captions and display names from remote accounts being stored with stray markup.
• Imported Mastodon media descriptions now have unsafe HTML removed before they are saved.
• Imported Mastodon replies now have unsafe HTML removed before they are saved as comments.
• Improve how blocked accounts are matched.
• Improve permission checks for third-party apps connected through the ActivityPub API.
• Improve validation of incoming activities from other servers.
• Screen readers now announce errors in the follow, reply and reaction dialogs.
• Text inside hidden page elements, like invisible dialog pop-ups, no longer shows up in posts shared to the Fediverse.
• The blog profile can be found again from other Fediverse servers on sites that also run Polylang.

9.2.2 – 2026-08-11

Kiinteä

• Korjattu avatarien ja emojien välimuistiin tallentumisen epäonnistuminen satunnaisesti ja siihen liittyvät tiedostovaroitukset.
• Korjatut poistot Mastodonilta ja muilta palvelimilta, jotka eivät poistaneet vastaavaa kommenttia sivustoltasi.
• Korjattu jotkin tyylit, jotka eivät latautuneet Fediversen hallintanäytöillä ja Seuraajat- ja Seuraajat-lohkoissa.
• Korjattu editorin varoitus tallentamattomista muutoksista heti vanhemmalla päivämäärällä varustetun viestin tallentamisen jälkeen.

9.2.1 – 2026-08-03

Kiinteä

• Korjattu kaksoiskappaleet ja epäonnistuneet kumoamistoiminnot muilta WordPress-sivustoilta vastaanotetuille aktiviteeteille.
• Korjattu viestien ja profiilien puuttuminen Mastodonista ja muista Fediverse-ohjelmistoista, mikä tapahtui, kun pyyntö pyysi ActivityPub-tietoja, mutta hyväksyi myös HTML:n matalan prioriteetin varavaihtoehtona.
• Korjattu etäprofiileja ja seuraajia ei löytynyt, jos heidän osoitteensa sisältää epätavallisia merkkejä.
• Parannettu tehostetun sisällön tarkistuksia, jotta se hyväksytään vain sen julkaisseelta palvelimelta.
• Parantaa upotettujen linkkien URL-osoitteiden koodinvaihtoa liitetyssä sisällössä.
• Paranna järjestelmänvalvojille tarkoitettujen toimintojen käyttöoikeuksien tarkistuksia.
• Paranna saapuvien liitettyjen toimintojen validointia siten, että allekirjoitusavain ja viitatut objektit sidotaan lähettäjään.

9.2.0 – 2026-07-31

Muuttunut

• ActivityPub-vastauksia näytetään nyt vain niille asiakkaille, jotka pyytävät ActivityPub-tietoja, eikä mitään muuta. Tämä pitää tiedot poissa tavallisille verkkosivuille tarkoitetuista sivuvälimuisteista.
• Vain ActivityPub-käyttöoikeuden omaavat käyttäjät voivat hankkia ja käyttää OAuth-käyttöoikeustunnuksia.

Poistettu

• Poista WP REST Cache -laajennuksen tuki.

Kiinteä

• Piilota Seuraajat- ja Seurataan-lohkojen otsikko, kun sen teksti tyhjennetään Reaktiot-lohkon tekstin mukaisesti.
• Valtuutetun noudon aikana ActivityPub-vastauksia ei enää tallenna sivuvälimuisteihin, kuten LiteSpeed ​​tai Surge.

9.1.0 – 2026-07-22

Tietoturva

• Varmista, että yhdistämäsi sovellukset voivat toimia vain niille myönnettyjen käyttöoikeuksien rajoissa eivätkä tehdä laajempia muutoksia sivustoosi.
• Varmista, että etäprofiilit ja -sisältö toimitetaan heidän ilmoittamastaan ​​osoitteesta ennen niiden tallentamista.
• Korjattu tietoturvaongelma, jossa etätoimijan profiililinkki saattoi suorittaa komentosarjoja hallinta-alueella.
• Älä jätä saapuvaa seurantapyyntöä huomiotta, jos pyynnön tekijä viittaa eri tiliin kuin lähettäneeseen.

Lisätty

• Lisää suodatin, joka sallii liittämisen yksityisissä tai sisäisissä verkoissa oleviin palvelimiin.
• Lisää toimijan automaattisen täydennyksen päätepiste, jotta Fediverse-sovellukset voivat tarjota ennakkoon kirjoitettavaa hakua henkilöitä mainittaessa.
• Yhdistä Podlove Podcast Publisher -jaksojen yhteenvedot.

Muuttunut

• Paranna sosiaalisen median hallintanäytön latautumisen luotettavuutta.
• Paranna palvelinten välisissä pyynnöissä käytettävän sovellustoimijan sisäistä käsittelyä.

Kiinteä

• Varmista, että vain seuraamasi tili voi hylätä seuraamisen.
• Korjattu oikean välimuistin esityksen käyttäminen Surge-määrityksissä
• Korjattu joidenkin Fediverse-palveluiden seurantapyyntöjen jääminen odottamaan niiden hyväksymisen jälkeen.
• Korjattu joidenkin tilien tykkäysten tallentuminen useina kaksoiskommentteina.
• Korjattu viestien poisto Fediversestä, kun niitä muokataan myöhempään julkaisupäivään ajoitettuna.
• Korjaa toistuvat tykkäykset tai uudelleenjulkaisut, jotka aiheuttavat uusia kommentteja sen jälkeen, kun alkuperäinen viesti merkittiin roskapostiksi tai siirrettiin roskakoriin.
• Korjaa aloituspakkausten tuontien epäonnistuminen Fediverse-palvelimilla, jotka vaativat allekirjoitettuja pyyntöjä.
• Korjaa etäprofiilien ajoitettu päivitys niin, että ne todellakin noutavat tiedot uudelleen etäpalvelimelta. Aiemmin kommentoijien vanhentuneet avatarit ja esittelyt eivät koskaan päivittyneet, ennen kuin he lähettivät uuden aktiviteetin sivustollesi.
• Korjaa useita kyselyparametreja (kuten avatareja, kuvia, profiililinkkejä ja podcast-mediaa) sisältävät URL-osoitteet, jotka vioittuvat Fediverseen lähetetyssä sisällössä.
• Estä muiden kuin toimijoiden objektien (kuten muistiinpanojen) välimuistiin tallentaminen etäprofiileina.
• Päivitä välimuistissa olevat etäprofiilit ajoitettujen päivitysten aikana, jotta vältyt kaksoiskappaleiden luomiselta.
• Näytä Fediverse-esikatselu ajoitetuille julkaisuille tavallisen julkaisuesikatselun sijaan.
• Lopeta etäpalvelimien vastausten tallentaminen tietokantaan, kun ne pyydettiin ilman välimuistia.

9.0.2 – 2026-06-29

Kiinteä

• Paranna muilta palvelimilta vastaanotetun sisällön käsittelyä.

9.0.1 – 2026-06-15

Lisätty

• Lisää usein kysyttyjen kysymysten oppaita, jotka auttavat ratkaisemaan odottavia seurantapyyntöjä ja Fediversen kommenttien näkymättä jäämistä.

Kiinteä

• Ilmoita seuraajillesi uudesta asetuksestasi, kun aloituspakkauksen käytäntöasetus muuttuu, jotta muut palvelimet eivät enää toimi vanhentuneen asetuksen perusteella.
• Julkaise aloituspakkauksen suostumuskäytäntö vain omissa blogi- ja kirjoittajaprofiileissasi, älä enää järjestelmän tai kolmansien osapuolten profiileissa.
• Aloituspakkauksen suostumus toimii nyt myös blogiprofiilissa, ei vain yksittäisten kirjoittajien kohdalla.

9.0.0 – 2026-06-10

Tietoturva

• Pakota allekirjoitusavaimen isäntätarkistus saapuville liitetyille toiminnoille riippumatta siitä, miten avaimen tunniste on muotoiltu.
• Korjaa reaaliaikainen aktiviteettivirta niin, että se palauttaa vain pyytävän käyttäjän omat aktiviteetit.
• Vahvista sivuston kunnon yhteystarkistusta, jotta sitä ei voida käyttää vaarallisiin verkko-osoitteisiin pääsemiseen.
• Jaa kommenttivastauksia Fediversessä vain, jos viesti, johon ne kuuluvat, on itsekin liitetty, joten vastaukset yksityisiin tai ei-liitettyihin viesteihin pysyvät yksityisinä.
• Estä etäpalvelinta selvittämästä, mitkä seuraajistasi kuuluvat kolmannen osapuolen palvelimelle, jota se ei hallitse.
• Estä sisäänkirjautuneita käyttäjiä näkemästä toisen käyttäjän yksityisiä lähtevien viestien kansion toimintoja.
• Estä etäpalvelimia muokkaamasta tai poistamasta liitettyjä profiileja, viestejä ja vuorovaikutuksia, joita ne eivät omista.
• Rajoita etäseurantahaun nopeutta estääksesi sen väärinkäytön lähtevien pyyntöjen laukaisemiseksi.
• Estä OAuth-tunnuksen introspektion päätepistettä paljastamasta toisen käyttäjän tunnuksen tietoja sisäänkirjautuneille käyttäjille.
• Estä lainausvaltuutusleimaa paljastamasta viestin muita metatietoja.

Lisätty

• Lisää Jakelutapa-asetus hallitaksesi sitä, kuinka nopeasti julkaisut toimitetaan seuraajille.
• Lisää asetus, jolla suostut sisällyttämiseen aloituspaketteihin (joita kutsutaan myös aloituspaketeiksi tai esittelykokoelmiksi). Oletusarvoisesti pois päältä. Löydät sen kohdasta Asetukset, AktiviteettienPub, Aktiviteetit.
• C2S-asiakkaat voivat nyt pyytää kanonisia SWICG ActivityPub API -vaikutusaluenimiä, kuten activitypub:read:all ja activitypub:write:all, ja OAuth-etsintämetatiedot mainostavat niitä.
• C2S-tunnusvastaukset sisältävät nyt activitypub_actor_id-tunnisteen, jotta SWICG ActivityPub API Basic Profile -profiilia noudattavat asiakkaat voivat löytää todennetun toimijan.
• Luo kuville sumennettu väriesikatselu (blurhash), jotta muut fediverse-sovellukset voivat näyttää paikkamerkin kuviesi latautumisen aikana.
• Lainausilmoitussähköpostit sisältävät nyt linkin lainattuun viestiin, joten voit tarkastella sitä ja vastata siihen nopeammin.
• Varoita editorissa ennen kuin teet Fediversessä jo jaetusta julkaisusta luonnoksen, yksityisen tai salasanasuojatun, koska seuraajien kopiot poistetaan.

Muuttunut

• Lisää `blurhash`-termi lähtevään JSON-LD-tiedostoon @context, jotta `blurhash`-ominaisuuden sisältävät liitteet ovat täysin oikeita JSON-LD-tiedostoja ja vastaavat Mastodonin omaa kontekstimuotoa.
• Luonnos-, odottava-, yksityis-, roskakori- tai salasanasuojattuun tilaan siirretyt yhdistetyt viestit lähettävät nyt seuraajille poistomerkinnän (aiemmin ne lähettivät paikkamerkinnän ”muokkaus”-päivityksenä tai olivat hiljaisia).
• OAuth-nopeusrajoitusvastaukset sisältävät nyt Retry-After-otsikon, jotta asiakkaat tietävät, kuinka kauan odottaa ennen uudelleenyritystä.
• Päivitetty koontiversion riippuvuus puhtaaksi julkaisuksi nyt, kun kiinteä versio on saatavilla.

Poistettu

• Poistettu funktioita, metodeja ja Follower-luokka, jotka olivat vanhentuneita versioissa 7.0–7.4.

Kiinteä

• Korjaa vakava virhe, kun vastaanotat uuden seuraajan Stream-laajennuksen ollessa aktiivinen.
• Korjattu seurantapyynnön merkintä hyväksytyksi, vaikka vahvistus tuli eri tililtä kuin seurattavalta tililtä.
• Korjattu Fediverse-asetusten kaksinkertainen näkyminen ja näkyvyysmuutosten tallentuminen lohkoeditorissa, kun Classic Editor -laajennus on myös aktiivinen.
• Korjaa johdantovideon lataamisen epäonnistuminen Aloitusopas-näytössä.
• Seuraajan synkronointi Mastodonin kanssa ei enää epäonnistu, ja kyselymerkkijonoilla varustetut allekirjoitetut pyynnöt tarkistetaan nyt oikein.
• Vahvista Blurhash-kooderia: ohita dekoodauskuvat, tasoita läpinäkyvyys valkoiseksi, jotta läpinäkyvät logot eivät enää tuota lähes mustia paikkamerkkejä, ja lykkää cron-koodausta, kunnes liitteen metatiedot on tallennettu.
• Media- ja tekstilohkoon sijoitetut kuvat ja videot sisällytetään nyt, kun julkaisu jaetaan Fediverseen.
• Muiden alustojen pyynnöt julkaisujesi esittelystä käsitellään nyt oikein sen sijaan, että ne jätettäisiin huomiotta.
• RSS- ja Atom-syötteissä näkyy nyt yksinkertainen @käyttäjänimi-maininta vastauslohkon koko upotuskortin tilalla, joka näkyy oikein vain, kun lisäosan käyttöliittymän CSS on ladattu.
• Estää vanhentumisilmoituksen näkymisen virhelokiin, kun NodeInfo-laajennus on myös aktiivinen.

Katso koko muutosloki osoitteessa GitHub.