imagery: improve tiler caching and keepalive

podman: revert to using default slirp4netns mtu

tests: move imagery-tiler to only test on debian

podman on ubuntu 22.04 unresolved race condition start up bugs.
The version in debian 12 is reliable. In production the container starts
up successfully after a few tries, but this behaviour breaks tests.

Signed-off-by: Grant Slater <github@firefishy.com>

dev: sort users list

dev: activate ligfietser

nominatim: disallow details requests without referer

Install libbrotli-dev on the dev server

Update bundle

Try and detaint messages.openstreetmap.org deliveries

Validate local parts for messages.openstreetmap.org to untaint them

networking: ensure nftables script checks input

Ensure the nftables script does not prematurely exit on any invalid input.
eg: If unblocking a set of IPs skip any not currently blocked instead of premature exit.

Signed-off-by: Grant Slater <github@firefishy.com>

apache: increase mod_evasive page_count to reduce iD false positives

Fix fail2ban evasive filter

networking: add flush command to nftables script

podman: fix typo in param

podman: increase default pid limit.

Workaround 2048 pid limit. Extremely low, causing issues with titiler.
Ideally should be set using a paramater.

Signed-off-by: Grant Slater <github@firefishy.com>

Add alert for node exporter text file scrape errors

imagery: use https for tiler

imagery: add ngi-aerial code

Revet accidental commit

community: security bump version

Disable exim paniclog watcher

Fix exim daemon options for Ubuntu

Drop attempt at SPF checking

Accept any mail that passes an osmfoundation.org SPF check

Reject incoming mail which fails SPF checks

Add munin web redirects to prometheus

Scrub last munin traces

Signed-off-by: Grant Slater <github@firefishy.com>

Remove munin-server GHA test

Remove munin server role

Remove munin

Fixed: https://github.com/openstreetmap/operations/issues/501
Signed-off-by: Grant Slater <github@firefishy.com>

hardware: do not fail if node[:hardware][:pci] is undefined (tests)

git: use extended combined_extended

Restore comment

apache: remove unneeded combined_extended hack for 20.04

Tidy up mod_evasive configuration

wordpress: use combined_extended logging

mediawiki: add back missing param

mediawiki: disable Extension:LocalisationUpdate

mediawiki: add RewriteCond for server-info

apache: set our correct defaults for mod_evasive

apache: relax mod_evasive further

apache: parameterise mod_evasive

nominatim: migrate versions before installing the software

Avoids disruptions where the migration is needed for the frontend
to function properly (e.g. when creating new indexes).

overpass: remove last traces of timer for area processor

Adjust trigger for evasive jail

Restrict fail2ban to evasive blocks instead of all 403 errors

Relax evasive limits some more

Make evasive configuration work

Pass bantime and findtime to jail config correctly

Reduce look back for forbidden request jail

Relax site count limit for evasive

Relax page count limit for evasive

Actively disable mod_evasive when necessary

Disable mod_evasive for prometheus

Use fail2ban to block IPs getting repeated HTTP forbidden responses

Enable mod_evasive for all apache instances except render servers

Drop unused attribute

Add an alert for mysql connection errors

Increase mysql connection limit for the wiki

Remove ifupdown to stop it trying to manage the network

mailman: automate year match code

apache: fix combined_extended compatibility with Ubuntu 20.04

apache: use new combined_extended log format instead of combined

Remove gorwen DNS and DHCP

wiki: Delay abusive scrapers

Increase size of php-fpm pool for the main wiki

Drop separate secure logs for mediawiki instances

Define an extended log format for apachae requests

Adds the request time and SSL details to the standard combined format.

mediawiki: add apache request duration logging

wiki: remove outdated file

Try 307 redirect instead of 308

Drop cleanup code

Delete mediawiki link refresh service and timer

Disable mediawiki link refresh job on all wikis

Drop role for gorwen

Drop user_tokens table

osqa: block login access and conditional posts

planet: always set cors header

Always set CORS header to ensure the header is also set on redirects.

Fixes: https://github.com/openstreetmap/operations/issues/1038
Signed-off-by: Grant Slater <github@firefishy.com>

Use 308 redirect to keep IDN POST parameters

With many thanks to @MegaphoneJon for the precious help!

Enable hardware watchdog support on more machines

Enable hardware watchdog on HP machines

overpass: update to newest version

Also avoid failing import script when systemd scripts not yet enabled.

Add overpass-query role to grisu

Disable registration of OAuth 1 clients

Add Yandex to imagery blacklist

nominatim: disable luajit

Something is potentially buggy with luajit and causes data loss.

Update chef client to 18.4.2

Disable OAuth 1.0 support

Merge remote-tracking branch 'github/pull/649'

build(deps): bump cookstyle from 7.32.2 to 7.32.8

Bumps [cookstyle](https://github.com/chef/cookstyle) from 7.32.2 to 7.32.8.
- [Release notes](https://github.com/chef/cookstyle/releases)
- [Changelog](https://github.com/chef/cookstyle/blob/main/CHANGELOG.md)
- [Commits](https://github.com/chef/cookstyle/compare/v7.32.2...v7.32.8)

---
updated-dependencies:
- dependency-name: cookstyle
  dependency-type: direct:production
  update-type: version-update:semver-patch
...

Signed-off-by: dependabot[bot] <support@github.com>

Civicrm extension update

Civicrm core version bump

Enable rate limiting for dev cgimap instances

Add a test instance for the login/signup rework

Extend search period and ban time for trackpoint jail

Add fail2ban block for repeated timeouts on the trackpoints API call

Fix active query alerts

Drop duplicate replication lag alert

Add alerts for high numbers of active queries on the main database