Update HSTS to publish a max-age=0 to disable it

Silence remaining jshint warnings

Don't try and modify policy if we don't have one

Update Potlatch 2 to 2.4-46-gea38865 build

Fix some jshint warnings

Improve the content security policy

Remove inline javascript from page header

Remove inline javascript from id views

Correct name of zoom argument for Potlatch 2

Fixes #1471

Remove inline javascript from potlatch2 view

Remove inline javascript from potlatch view

Merge remote-tracking branch 'openstreetmap/pull/1469'

Remove inline javascript from user views

Added new I18N string: notifier.friend_notification.hi

Included greeting string in changeset_comment_notification email

Revert "Update iD frame parameters if the parent URL changes"

This reverts commit a6fa8cc273017c2673d6d76dae7f5ac811c2027d.

Update iD frame parameters if the parent URL changes

Fixes #1468

Remove fake qqq locale

Localisation updates from https://translatewiki.net.

Merge remote-tracking branch 'openstreetmap/pull/1467'

Externalize message about missing OAuth capabilities/permissions and make it less technical

Add support for Content-Security-Policy

Currently this is report only, and disabled unless a report URL has
been set in the application configuration.

Remove explicit context menu width

Firefox and Chromium at least seem to autosize correctly based
on the actual text in use for a given locale.

Rename 'clickable' to 'interactive' per leaflet 1.x change

Update to iD v2.1.3

Revert to nokogumbo 1.4.9

https://github.com/rubys/nokogumbo/issues/50

Update to rails 4.2.8

Blacklist VWorld imagery

Fixes #1464

User factories for browse, oauth_clients and site controller tests.

Merge remote-tracking branch 'openstreetmap/pull/1436'

Remove fake qqq locale

Localisation updates from https://translatewiki.net.

User factory associations for all factories.

Remove a few unnecessary attributes from moderator users

Make all factory-generated users 'normal'

The use of create(:normal_user) makes the tests needlessly harder to
understand and reason about, particularly when we start using
associations in the factories.

Fix rubocop warning

Merge remote-tracking branch 'openstreetmap/pull/1458'

Index oauth_tokens and client_applications by user_id

Merge remote-tracking branch 'openstreetmap/pull/1457'

Convert notes_controller tests to user factories.

Revert changes where the user is a query parameter

Refactor api_controller tests to avoid users fixtures.

Refactor amf_controller tests to avoid users fixtures

In all honesty I wouldn't be surprised if there are some semi-hidden
dependencies on the user fixtures here, given the number of magic numbers
all over the place. But this commit takes care of the explicit
dependencies for now.

Pass the user object, rather than the id, for sessions.

This simplifies the code slightly.

Merge remote-tracking branch 'openstreetmap/pull/1449'

Enable context menu on mouse down with no shift pressed

Merge remote-tracking branch 'openstreetmap/pull/1451'

Add a couple of notes to the vagrant instructions

Use created at for RSS format with note#show

This matches other formats and is also what the tests expect.

Remove fake qqq locale

Localisation updates from https://translatewiki.net.

Refactor diary entry tests to use User factory

Use simple string matches for user_blocks_helper tests

Testing against the translations is not something we do anywhere
else is and is dangerously close to testing the helper against
itself which is a bit pointless.

Use the factory to create user blocks

Merge remote-tracking branch 'openstreetmap/pull/1445'

Make rupocop happy and correct placement of include

Improve wording and add test

Fix shift key handling in contextmenu

Small improvement to block status display

Merge branch 'contextmenu'

Fix rubocop warnings

Merge remote-tracking branch 'openstreetmap/pull/1443'

Make test for a "zero hour" block more robust

Apparently some fool things the colon is part of the protocol

Actually use user_block

Add functionality to return a specific message for zero hour blocks

Preserve protocol in standard links

Preserve protocol in short links

Initialise locale before looking up user blocked error

Implement the OWG credit policy for hosting partners.

See https://operations.osmfoundation.org/policies/hosting/

Merge remote-tracking branch 'openstreetmap/pull/1439'

Add line segment to each steps of GraphHopper routing

Fix latLng from GraphHopper engine

latLng is an array and not a latLng object

Remove fake qqq locale

Localisation updates from https://translatewiki.net.

Fixed quote style to please rubocop

Allow a POST with no arguments to trace#edit to fetch the form

Remove U+200C unicode "zero width non-joiner" from html.dir

Remove fake qqq locale

Localisation updates from https://translatewiki.net.

merging master into html-mail-fixes

Allow context menu to add notes without panning the map

Update Leaflet.contextmenu to the 1.2.1 release

Make context menu entries translateable

Improve context menu initialisation to avoid namespace pollution

Merge remote-tracking branch 'openstreetmap/pull/1030' into next

A better way to contrain the width of the message box whilst also allowing it to shrink on narrow displays

Setting a hard "width" it very compatible, but won't squeeze on narrow screens. Setting max-width works well, except in Outlook and Hotmail. We resort to old skool table tricks: a table with width=100%, with 3 columns, only oneof which, the middle one, had content, and a fixed with. This works.

Two more "nowrap" instructions removed to accommodate narrower displays

Remove nowrap on footer text, to accommodate narrow screens

Set font on title

Remove invalid YML

Closes #1434

Make the mails squeezable on narrow screens

Only add traces for POST requests

Only create diary entries for POST requests

Test that GET on message#new can't send a message

Fixed alignment & underlining bugs in Outlook / WinMail

Render message properly on error

Only send messages for POST requests

Remove fake qqq locale

Localisation updates from https://translatewiki.net.