NEWS: entry about minimal python version

.gitlab-ci.yml: python:check-code: allow failure

For now, it's not worth changing working code just to satisfy the linter.
The updated rules will apply to new code and help guide future refactoring.

pyproject.toml: ruff: simplify config for python 3.9+

pyproject.toml: mypy: simplify with strict configuration

doc/dev: update about minimal python version

.gitlab-ci.yml: python: remove python3.8

pyproject.toml: bump python3.9

setup.py update

.python-version: update

Merge !1885: lib/rules: increase the ruledb mapsize

lib/rules: increase the ruledb mapsize

When this LMDB gets full as a result of very many rules, it prints:
  [rules ] LMDB error: MDB_MAP_FULL: Environment mapsize limit reached

(cherry picked from commit 58fa3ad916a7ae5c89e2d9f1e3fc610bab408bcd)

lib/rules: fix error logging with absolute path to ruledb

Otherwise it was logging about /some/workdir//var/lib/knot-resolver/

(cherry picked from commit 823aa7f7376c016faa9d9095e8a98954e15a32ca)

Merge branch 'tests-python-move' into 'master'

tests: move python package tests into proper directory

See merge request knot/knot-resolver!1884

tests/python: remove __init__.py

Moved global validation context to individual modules.

scripts/poe-tasks: adjust python package test location

tests: move python package tests into proper directory

remove .vscode settings

It was probably added by mistake.

Merge branch 'pkg-arch-improvements' into 'master'

pkg: arch: update and cleanup

See merge request knot/knot-resolver!1858

pkg: arch: updates and cleanup

Merge branch 'unused-tags' into 'master'

datamodel: fix "unused tags" error when repeating a tag in views

See merge request knot/knot-resolver!1883

datamodel: fix "unused tags" error when repeating a tag in views

The missing stringification caused repeated tags to get repeated
in the result of _get_views_tags() and therefore
the extra occurrences remained in the `unused_tags` list.

Merge branch 'release-6.4.2' into 'master'

Release 6.4.2

See merge request knot/knot-resolver!1882

release 6.4.2

Merge !1880: deal with LMDB 1.0.0 switching format

NEWS item for LMDB 1.0.0

lib/cache/cdb_lmdb: deal with LMDB 1.0.0 switching format

For v5 it was easier: 7362e1c3

Merge !1876: lib/rules: log more info for a MDB_BAD_VALSIZE case

lib/rules: log more info for a MDB_BAD_VALSIZE case

Issue 956: it's not difficult to run into this limit, e.g. by using
blocking style with hosts-like files pointing names to 127.0.0.1.
Now it additionally explains a little, e.g.:
  [rules ] records too big (512 B) for 1.0.0.127.in-addr.arpa. PTR

Merge !1877: support insecure DoH (alpha)

add NEWS + docs around doh2-insecure

nit: count doh2-insecure when deciding if auto-listen on localhost

lib/proto: bump the size of kr_proto_set

Uh, just now we step over the size.
There's only 8 valid options still
(or less, depending on use case)
so we could fit into a single byte,
but having two bytes here seems cheap and easy now.

Merge master into naked-http

Merge !1878: serve_stale: avoid SIGSEGV from a LuaJIT bug

Fixes #957

serve_stale: avoid SIGSEGV from a LuaJIT bug

The debugging and fix was really submitted by
David Komárek from Whalebone.io

Merge !1873: avoid secure.nic.cz URLs

avoid secure.nic.cz URLs

They've been HTTP 301 for quite a long time now.
These legacy aliases still work, but let's not rely on that anymore.

Merge !1869: lib/cache: fix excessive logging regression

lib/cache: fix excessive logging regression

Regressed in 29b55ceb426efaa and annoyingly logging e.g.:
> [cache ] [35589.02] stash failed, ret = 1

Example QNAME to trigger this: foo.bar.cloudflare.net

Merge !1870: fix nits discovered by scan.coverity.com

daemon/quic: assert quic_params are initiated prior to creating a new quic connection table

daemon/session2: improve readability of the terminal loop in session2_new

daemon/io: close dup_fd only if dup() succeeded

covers the path where fdopen failed while stdout was NULL

daemon/quic: initialize *cid variables

daemon/quic nit: explicitly assert !AF_UNIX

scan.coverity.com noticed this with ID 643169

daemon/quic nit: restrict length of cid

The ngtcp2_cid_init() docs say that we must not pass more.
Fortunately, these cases were unreachable from current code.

scan.coverity.com noticed this with ID 651670

Merge !1863: ci: pkg: update list of supported Ubuntu versions

.gitlab-ci.yml: pkg: remove Ubuntu 20.04

.gitlab-ci.yml: pkg: remove Ubuntu 25.10 (EOL)

.gitlab-ci.yml: pkg: add Ubuntu 26.10

Merge branch 'release-6.4.1' into 'master'

Release 6.4.1

See merge request knot/knot-resolver!1865

release 6.4.1

lib/rules: correctly match DoQ protocol

Reported by r00tth3w0r1d@gmail.com as KRES-DOQ-04

The confusion stems from (my) original plans
to represent DoQ here as (fl.tls && !fl.tcp && !fl.http)
but ftobias ended up adding fl.quic.

add NEWS items for these security issues

restrict RRSIGs claiming wildcard reach out of the zone [QZKF-005]

This issue was reported by Qifan Zhang from Palo Alto Networks.

Nit: this assignments of `ret` aren't important,
but they might be a bit useful when debugging.

lib/dnssec.c: guard NSEC's next name against zone bailiwick [QZKF-001]

This issue was reported by Qifan Zhang from Palo Alto Networks.

daemon/quic: various smaller changes, improvements and fixes aggregated into a single commit

list of changes:
- lower default concurrent stream limit 1024 to 16
- rename quic_idle_timeout to quic_handle_timeout
- use PTO for closing/draining state timeouts
- move kr_quic_table_rem2 to quic_common.c
- set_tls_error for tls alerts (in conn close messages with error type
  TRANSPORT)
- add some function documentation to quic_*.h
- improve/fix error messages in conn close packets
- fix and simplify tls alert transport when conn close is sent
- fix cid handling
- call uv_close on the timers in sub-sessions
- add QUIC_SEND_NONE for read errors which forbid/do not need a reply
- quic_bye for closing conns which are in states <= CLOSING (i.e. conn
  that can still send)
- unite handshake timer with ngtcp2 driver timer loop
- add a custom state for failed handshake - QUIC_STATE_HS_ABORT
- handle cid removal from the table for conns which fail before their
  ngtcp2_conn is created
- kr_quic_table_sweep is no longer used, termination handled complately
  by timers
- failed attempt to create ngtcp2_conn now causes the conn session to be
  destroyed immediately

daemon/quic: move ngtcp2_conn_extend_max_streams_bidi to session data deinit

This prevents superfluous resource consumption since the concurent stream limits are raised once the stream is actually terminated and all it's memory is freed.

daemon/session2: pass events to parent sessions and create convenience function for parent session retrieval

for transport.type = SESSION2_TRANSPORT_PARENT sessions pass events along to parent sessions. This is useful for DoQ (which is the only protolayer group using sub-sessions) as it allows us to cleanup references to sub-sessions that are about to be closed

daemon/quic: rewrite timer system, let terminal tasks traverse the entire DoQ group to assure gracefull termination

the timer system was incorrectly oblivious to some ngtcp2 states, this revrite amends missing functionality improving performance stability and correctness. Terminal events now reach all layers, this most importantly solves issues with dangling qr_tasks.

daemon/quic: remove assert and handle partial query data with FIN safely

receiving only part of the data that is promised by the size prefix before receiving stream FIN is an DoQ application error, handle it as such and terminate the connection

daemon/doq: improve recv function

receiving split size prefix was not handled correctly

Merge !1854: /local-data/addresses*: make multiple addresses work

Fixes #808 and #954

lib/rules: fix kr_rule_local_data_merge()

This fixes using multiple RRs in an RRset in some interfaces, e.g.
/local-data/addresses* but not /local-data/{records,rpz}

lib/cache/cdb: add it_del()

lib/cache/cdb: support iterating inside an RW transaction

lib/cache/cdb: add txn_open_rw()

This was extracted from jezek-test commit:
  lib/rules: make kr_rule_local_subtree() safer wrt. transactions

While we don't use this so far, picking will reduce conflicts
e.g. when moving changes between the branches.

Merge !1847: update IANA's certificate for root trust anchor bootstrapping

update IANA's certificate for root trust anchor bootstrapping

The file now contains both old and new certificate, as downloaded from:
https://data.iana.org/root-anchors/icannbundle.pem
The switch of signatures themselves is planned for 2028.

Merge !1861: tests/packaging/dependencies.py: replace deprecated pkg_resources

Closes #955 and #942

.gitlab-ci.yml: python: use virtualenv <20.30 when running python 3.8

Use a virtualenv release that still supports seeding Python 3.8 environments.

tests/packaging/dependencies.py: replace pkg_resources

Replace deprecated pkg_resources with importlib.metadata and packaging.

Merge branch 'ci-dockerhub-fix' into 'master'

ci: docker:dockerhub: avoid SIGPIPE when determining latest tag

See merge request knot/knot-resolver!1859

.gitlab-ci.yml: docker:dockerhub: avoid SIGPIPE

Replaced the piped 'git tag | head' command with 'git for-each-ref'
to avoid intermittent exit code 141 failures in CI.

Merge branch 'docker-debian-13' into 'master'

docker: upgrade to Debian 13

See merge request knot/knot-resolver!1856

Dockerfile: upgrade to Debian 13

Remove unused ENV vars.

Merge !1855: tests/integration/deckard: unblock val_nsec3_optout_unsec_cache.rpl

tests/integration/deckard: unblock val_nsec3_optout_unsec_cache.rpl

Merge branch 'release-6.4.0' into 'master'

Release 6.4.0

See merge request knot/knot-resolver!1852

AUTHORS: update

release 6.4.0

Merge !1851: ci: pkg: add openSUSE Leap 16

.gitlab-ci.yml: pkg: add openSUSE Leap 16

Unfortunately, supervisor is currently not available in the official Leap 16 repositories.

Merge !1849: ci: pkg: add Fedora Rawhide

.gitlab-ci.yml: pkg: add Fedora Rawhide

Merge !1850: ci: lint:coverity: allow failure

.gitlab-ci.yml: lint:coverity: allow failure

The Coverity scan is currently down.

Merge !1848: ci: pkg: add openSUSE Tumbleweed

pkg: rpm: requires python3-jinja2

.gitlab-ci: pkg: add openSUSE Tumbleweed

Leap 15.6 has not been added yet, as it requires further modifications to the RPM .spec file.

Merge !1840: fix DNS64 with CNAMEs

Fixes #797

iterate: fix DNS64 on CNAMEs

It's a bit embarassing that the issue has lasted this long.
Overall the DNS64 module is slightly hacky/prototype-ish.

dns64 tests: also test CNAMEs

Unfortunately, the test still isn't able to catch the issue
which we have there now, so this addition might be pointless.
The problem is that the code answers correctly when satisfied locally
(from local-data or cache).

Merge branch 'scripts-makefile-docker' into 'master'

scripts/Makefile.docker: changed LABEL to knot-resolver

See merge request knot/knot-resolver!1846

scripts/Makefile.docker: changed LABEL to knot-resolver

Merge !1843: ci: dockerhub automatic deploy from scheduled pipeline

scripts/Makefile.docker: synced with KnotDNS makefile

.gitlab-ci.yml: docker:dockerhub: only auto-deploy on latest tag

.gitlab-ci.yml: docker:dockerhub: allow automatic deploy from schedule

.gitlab-ci.yml: docker:dockerhub: added tag with date-stamp

.gitlab-ci.yml: docker:build:cross-platform: unique builder for every build