ActivityPub – WordPress plugin | WordPress.org
https://wordpress.org/plugins/activitypub/#developers
9.3.1 – 2026-09-02
Security
- Links to remote profiles in the Followers and Following blocks are now limited to regular web addresses when paging through the list.
- Replies cached on posts in the blog profile’s reader feed are no longer readable by logged-out visitors through the WordPress REST API.
- Signatures on incoming requests are now checked against the address the request was actually sent to.
9.3.0 – 2026-09-02
Security
- Block markup in posts from remote accounts is now removed before the post is saved.
- Follow, reply and reaction links advertised by other Fediverse servers now have to be regular web addresses.
- Followers, cached remote profiles, and reader posts are no longer readable by logged-out visitors through the WordPress REST API, and the setting that hides your follower list is now honoured everywhere.
- Inline styles are now removed from posts and profiles that come from remote accounts.
- Posts from remote accounts are now shown in the Social Web reader exactly as the site stored them.
- Replies from remote accounts are now filtered before they are saved when an administrator imports them through search.
Added
- Add a notification setting to turn off emails about likes, reposts, and quotes without silencing real comments and replies.
- Add the Fediverse and ActivityPub logos to the block editor’s icon library on WordPress 7.1 and newer.
- Federate podcast episodes published with Jetpack, including their audio file and cover art.
Changed
- Enable RFC 9421 HTTP Message Signatures by default.
Fixed
- Apps connected through the ActivityPub API now use the standard ActivityPub API permission names. Fetching remote content through your site is treated as reading rather than posting, so an app needs read permission for it.
- Apps now see the real error when a post they open through your site is missing, instead of a generic failure.
- Comment author names are no longer altered on comments that did not come from the fediverse.
- Fixed a crash that could fill the error log when another server edited a reply to a post that is no longer shared to the Fediverse.
- Fixed an error that could break embeds of Fediverse posts whose author was sent in an unexpected format.
- Fixed an error that could occur when looking up a profile on another Fediverse server that sends back an unexpected response.
- Fixed backslashes disappearing from titles and content in posts from remote accounts.
- Fixed responses to ActivityPub addresses written with different capitalisation not being cached correctly.
- Fixed the Application actor not being found when its address was written with different capitalisation.
- Fixed the Mastodon importer creating duplicate posts when an archive was imported a second time.
- Fixed titles, summaries, captions and display names from remote accounts being stored with stray markup.
- Imported Mastodon media descriptions now have unsafe HTML removed before they are saved.
- Imported Mastodon replies now have unsafe HTML removed before they are saved as comments.
- Improve how blocked accounts are matched.
- Improve permission checks for third-party apps connected through the ActivityPub API.
- Improve validation of incoming activities from other servers.
- Screen readers now announce errors in the follow, reply and reaction dialogs.
- Text inside hidden page elements, like invisible dialog pop-ups, no longer shows up in posts shared to the Fediverse.
- The blog profile can be found again from other Fediverse servers on sites that also run Polylang.
Google翻訳
9.3.1 – 2026-09-02
Security
- 「フォロワー」および「フォロー中」のブロックにおいて、リストをページ送りする際、リモートプロファイルへのリンクは通常のウェブアドレスのみに制限されるようになりました。
- ブログプロファイルのリーダーフィード上の投稿にキャッシュされた返信は、WordPress REST API を介して、ログアウト状態の訪問者が閲覧できないようになりました。
- 受信リクエストの署名は、リクエストが実際に送信されたアドレスと照合して検証されるようになりました。
9.3.0 – 2026-09-02
Security
- リモートアカウントからの投稿に含まれるブロック（block）マークアップは、投稿が保存される前に削除されるようになりました。
- 他のFediverseサーバーから提示されるフォロー、返信、リアクションのリンクは、通常のWebアドレスである必要があります。
- WordPress REST API経由で、ログアウト状態の訪問者がフォロワー、キャッシュされたリモートプロフィール、リーダー上の投稿を閲覧することはできなくなりました。また、フォロワーリストを非表示にする設定がすべての箇所で適用されるようになりました。
- リモートアカウントからの投稿やプロフィールに含まれるインラインスタイルは削除されるようになりました。
- リモートアカウントからの投稿は、Social Webリーダーにおいて、サイトに保存されたそのままの形式で表示されるようになりました。
- 管理者が検索機能を通じてリモートアカウントからの返信をインポートする際、それらの返信は保存前にフィルタリングされるようになりました。
Added
- 「いいね」、リポスト、引用に関するメール通知を、通常のコメントや返信の通知を停止することなくオフにできる設定を追加しました。
- WordPress 7.1以降において、ブロックエディターのアイコンライブラリにFediverseとActivityPubのロゴを追加しました。
- Jetpackで公開されたポッドキャストのエピソード（音声ファイルやカバーアートを含む）をフェデレーション（連合）に対応させました。
Changed
- RFC 9421 HTTP Message Signaturesをデフォルトで有効にしました。
Fixed
- ActivityPub API経由で接続されたアプリは、標準のActivityPub API権限名を使用するようになりました。サイト経由でリモートのコンテンツを取得する動作は「投稿」ではなく「読み取り」として扱われるため、アプリには読み取り権限が必要となります。
- サイト経由で開いた投稿が存在しない場合、アプリは単なる一般的なエラーではなく、具体的なエラー内容を認識できるようになりました。
- Fediverse以外から送信されたコメントについて、投稿者の名前が変更されないようになりました。
- Fediverseへの共有が停止された投稿に対する返信を別のサーバーが編集した際、エラーログが大量のエラーで埋め尽くされる原因となっていたクラッシュを修正しました。
- 投稿者の情報が予期しない形式で送信されたFediverse投稿の埋め込みが正常に表示されなくなるエラーを修正しました。
- 予期しない応答を返す別のFediverseサーバー上のプロフィールを検索する際に発生しうるエラーを修正しました。
- リモートアカウントからの投稿において、タイトルや本文からバックスラッシュが消えてしまう問題を修正しました。
- 大文字・小文字の表記が異なるActivityPubアドレスへの応答が正しくキャッシュされない問題を修正しました。
- アドレスの大文字・小文字の表記が異なる場合に、Applicationアクターが見つからない問題を修正しました。
- アーカイブを2回目にインポートした際、Mastodonインポーターが重複した投稿を作成してしまう問題を修正しました。
- リモートアカウントからのタイトル、概要、キャプション、表示名が、不要なマークアップを含んだ状態で保存される問題を修正しました。
- インポートされたMastodonのメディア説明文は、保存前に安全でないHTMLが削除されるようになりました。
- インポートされたMastodonの返信は、コメントとして保存される前に安全でないHTMLが削除されるようになりました。
- ブロックされたアカウントの照合処理を改善しました。
- ActivityPub API経由で接続するサードパーティ製アプリの権限チェックを改善しました。
- 他のサーバーから送信されるアクティビティの検証処理を改善しました。
- フォロー、返信、リアクションの各ダイアログでエラーが発生した際、スクリーンリーダーがそれを読み上げるようになりました。
- 非表示のダイアログポップアップなど、ページ上の隠れた要素に含まれるテキストが、Fediverseへ共有される投稿に表示されないようになりました。
- Polylangを併用しているサイトにおいて、他のFediverseサーバーからブログのプロフィールを再び検索・発見できるようになりました。
コメント