4.9.8 changelog and secpoll update.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #15894 from miodvallat/honk_if_you_like_to_rectify

scrub harder in zone rectify

Merge pull request #15957 from RvdE/patch-1

Add missing #if statements to dnsdist-lua.cc

Add missing #if statements to dnsdist-lua.cc

This adds some missing #if statements to support building without OpenSSL.

Signed-off-by: RvdE <tremere@cainites.net>

Merge pull request #15939 from rgacogne/ddist-increase-leeway-for-timeout-response-test

dnsdist: Increase the time granted for the "timeout then restart" test

Merge pull request #15866 from miodvallat/elastic_search

Provide a default searchRecords implementation

Merge pull request #15947 from miodvallat/lazy_caching

auth: cache the result of some metadata lookups during packet processing

Clarify the implications of not providing dns_get_all_domains.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Cache the result of some metadata lookup.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Give backends the ability to perform extra actions during zone rectify.

Use this is the LMDB backend to purge possibly orphaned (dangling) NSEC3
records created by 4.x servers.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Provide a default searchRecords implementation.

This is the LMDB searchRecords being promoted to backend-agnostic, as it
only depends on list() and getAllDomains() to work (and get(), obviously).

A new capability, CAP_SEARCH, is added to advertize these requirements are
fulfilled; search will return failure if they are not.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #15944 from miodvallat/EDOM

lmdb: be more careful when looking into the domains table

Merge pull request #15922 from miodvallat/cheap_tricks

miscellaneous boring cleanups

Merge pull request #15948 from miodvallat/random-bakery

auth: random edns cookies

Merge pull request #14927 from Cybertinus/patch-1

Update pdnsutil.bash_completion.d

Merge pull request #15949 from omoerbeek/rec-tidy-20250709

rec: assorted tidy

Typo in comment

Merge pull request #15950 from omoerbeek/rec-reorder-cacheentry

rec: reorder fields of record cache entry by size (saves 8 bytes per entry on 64-bit systems)

Typo in comment

Co-authored-by: Doug Freed <dwfreed@mtu.edu>
Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Process review comments from Miod

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Allow edns-cookie-secret to be set to "random".

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

rec: asssorted tidy

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

rec: reorder fields of record cache entry by size (saves 8 bytes per entry on 64-bit systems)

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Appease clang-tidy

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Be more careful when looking into the domains table.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #15928 from miodvallat/slebalwar

Make keyUnconv a bit less inefficient

Merge pull request #15603 from zeha/svcb-generic

SVCB: allow parsing keys in generic format without value

SVCB: allow parsing generic key without value

Merge pull request #15881 from rgacogne/ddist-opcode-mnemonic

dnsdist: Support mnemonics for the Opcode selector

Merge pull request #15938 from omoerbeek/rec-pregen-librs

rec: put lib.rs into tarball

Merge pull request #15936 from omoerbeek/prep-5.1.7-5.2.5

rec: Prep for 5.1.7 and 5.2.5

dnsdist: Increase the time granted for the "timeout then restart" test

This test fails from time to time in our CI. After investigation, it
turns out that sometimes the response comes just a few milliseconds
after the 3 seconds timeout has expired:

```
Got answer from 127.0.0.1:14191, relayed to 127.0.0.1:36139 (UDP), took 3.00105e+06 us
```

So let's use a slightly larger timeout of 4 seconds. It will not add
any delay if the response is received faster than that and will hopefully
reduce the number of spurious failures.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15937 from rgacogne/ddist-no-rust-quiche-ci-least

ci: Don't install Rust or Quiche when testing DNSdist 'least'

rec: put lib.rs into tarball

Plus some rearrangement is more like the dnsdist one

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Prep for 5.1.7 and 5.2.5

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dns: Get rid of the ugly special case for OpCode 3

As suggested by Miod.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Support mnemonics for the Opcode selector

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15904 from rgacogne/ddist-fix-systemd-unit-meson

dnsdist: Fix systemd template unit and restricted network families when building with meson

Merge pull request #15923 from rgacogne/ddist-add-test-netmask-exclusion

dnsdist: Test netmask exclusions via YAML

Merge pull request #15919 from rgacogne/ddist-upgrade-quiche

dnsdist: Upgrade Cloudflare's Quiche to 0.24.4

Merge pull request #15914 from rgacogne/ddist-fix-quickstart-qps

dnsdist: Fix invalid "qps" in Quickstart Guide

Merge pull request #15915 from omoerbeek/rust-build-env

rec and dnsdist: properly set up env vars for rust build

ci: Don't install Rust or Quiche when testing DNSdist 'least'

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Do not use countLabels() in chopOff() loop conditions.

Instead, compute it once outside of the loop in a local variable and
decrement that variable.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

More use of hasLabels

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Address clang-tidy complains.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Simplify some DNSName label processing.

Instead of checking countLabels() against zero, introduce a faster
hasLabels() which does not need to actually count them.

Also replace getRawLabels()[n] with getRawLabel(n), the only difference
being that getRawLabel() will raise an exception if n is out of bounds,
instead of returning garbage.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Use ERCode symbolic names instead of their numerical values.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Factor logic checking for a zone metadata being equal to "1".

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Declare global const DNSName variables for frequently-used names

(such as the TSIG key algorithms)

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Build the DNSName in order in keyUnconv.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

dnsdist: Test netmask exclusions via YAML

Follow-up to #15822.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15890 from rgacogne/lua-wrapper-std-optional

LuaWrapper: Add support for `std::optional`

Merge pull request #15916 from rgacogne/ddist-rings-update-atomic-outside-lock

dnsdist: Update rings' atomic counter without holding the lock

Merge pull request #15917 from rgacogne/ddist-early-return-empty-chains

dnsdist: Return early when a rule chain is empty

Merge pull request #15918 from rgacogne/ddist-cache-update-atomic-outside-lock

dnsdist: Update a cache's atomic counter without holding the lock

dnsdist: Upgrade Cloudflare's Quiche to 0.24.4

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Update a cache's atomic counter without holding the lock

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Return early when a rule chain is empty

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Update rings' atomic counter without holding the lock

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

rec and dnsdist: properly set up env vars

env.append() appends to an existing value

Should fix the error in #15896, but the reported location of cargo
still might be wrong.

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #15902 from rgacogne/ddist-fix-qtype-rate

dnsdist: Fix QType rate dynamic block with YAML

dnsdist: Fix invalid "qps" in Quickstart Guide

As noted by Holger Hoffstätte, the quickstart guide has an outdated
YAML configuration sample which is no longer valid. `qps` has been
renamed to `queries_per_second` well before the release candidates.

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15899 from miodvallat/betamax

auth 5.0.0ß1 changelog + secpoll

dnsdist: Fix restricted network families when building with meson

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Fix systemd template unit when building with meson

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15893 from omoerbeek/rec-rpz-custom-cname-chain

rec: try harder to follow cname chain on RPZ hit with custom CNAME record

dnsdist: Apply Miod's suggestions (thanks!)

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Changelog and secpoll update for 5.0.0-beta1.

Signed-off-by: Miod Vallat <miod.vallat@powerdns.com>

Merge pull request #15900 from omoerbeek/rec-prep-5.3.0-beta1

rec: prep for rec-5.3.0-beta1

dnsdist: Fix QType rate dynamic block with YAML

The YAML configuration for the the "QType rate" dynamic block was
totally broken, trying to configure a rcode rate rule instead of a
qtype rate one.
Thanks to HellSpawn for reporting this the issue!

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

test-luawrapper: Appease the clang-tidy gods

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Typos in comments

Co-authored-by: Remi Gacogne <github@coredump.fr>
Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

rec: prep for rec-5.3.0-beta1

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Use unmodified flag for post policy

rec: if a RPZ hit has a custom CNAME record, we should try harder to follow it

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

LuaWrapper: Add support for `std::optional`

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15888 from omoerbeek/rec-ottrace-align

rec: add a reserved/alignment byte in EDNS record

rec: add a reserved/alignment byte in EDNS record

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #15887 from omoerbeek/rec-version-edns-traceid

rec: add version to edns record for OpenTelemetry data

Better code for setting and getting traceids and spanids from EDNS

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #15885 from rgacogne/ddist200-eol

dnsdist: Update EOL statements now that 2.0.0 has been released

secpoll: Mark EOL DNSdist versions as such

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsdist: Update EOL statements now that 2.0.0 has been released

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15882 from rgacogne/ddist200-changelog-secpoll

dnsdist: Update ChangeLog and security polling zone for 2.0.0

Add a 1 byte version number to edns option OTTRACEIDS

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

dnsdist: Update ChangeLog and security polling zone for 2.0.0

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15883 from omoerbeek/recp-prep-20260722

rec: Prep for rec 20250721 releases

Fix spell checking

Fix spell check issues

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #15859 from aerique/feature/update-repo-test-script

Update repo test script.

Prep for rec 20250721 releases

Signed-off-by: Otto Moerbeek <otto.moerbeek@open-xchange.com>

Merge pull request #15824 from rgacogne/ddist-test-built-in-console-client

dnsdist: Test the built-in console client in our regression tests

Merge pull request #15872 from rgacogne/ddist-only-parse-z-once

dnsdist: Only parse EDNS Z once

Merge pull request #15869 from rgacogne/get21z-speedup

dnsdist: Small speedup for `getEDNSUDPPayloadSizeAndZ()`

Merge pull request #15867 from miodvallat/interesting_times

Provide record timestamps in the API

dnsdist: Only parse EDNS Z once

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

dnsparser: Add a comment explaining that the OPT RR has to be in additional

Signed-off-by: Remi Gacogne <remi.gacogne@powerdns.com>

Merge pull request #15871 from rgacogne/ddist-pool-unordered-map

dnsdist: Use an unordered map for pools

Merge pull request #15870 from rgacogne/ddist-only-create-dnsresponse-when-needed

dnsdist: Avoid constructing a DNSResponse object when not really needed