Publicado Gately v0.5.5

21 de octubre de 2026

Esta versión gira en torno a «migrar desde nginx y despreocuparse después»: los sitios de nginx existentes se importan directamente, los certificados renovados llegan solos a otros hosts y contenedores, las nubes personales y los sitios WebDAV pueden ir detrás del WAF, el control de acceso por IP puede usar listas de IP por provincia que se actualizan periódicamente, y el autodiagnóstico de red detecta de antemano los sitios sin certificado y los conflictos de frp.

Descargar v0.5.5 · GitHub Release

Importar configuración de nginx

La página Servicios web tiene un nuevo botón «Importar nginx». Ejecuta nginx -T en el host donde está nginx y pega la salida completa; los archivos incluidos con include se expanden igual que lo hace nginx.

• Antes de importar se muestra una vista previa: agrupados por puerto de escucha, cada sitio con su tipo, backend o directorio, archivo de origen y número de línea, además de lo que conviene revisar, como el uso de variables, location con expresiones regulares o certificados que faltan;
• Se convierten el proxy inverso (con pesos, servidores de respaldo y políticas de balanceo de upstream), los directorios estáticos, las redirecciones, las respuestas fijas, las cabeceras de respuesta y de solicitud, la compresión, allow / deny, y en cada location los backends por ruta, el control de acceso y las redirecciones;
• auth_request se convierte en autenticación delegada, y las configuraciones habituales de Authelia (variables con set y redirección al inicio de sesión con error_page 401) se convierten tal cual; si solo se usa en algunas location, se convierte en «autenticar solo las rutas indicadas». auth_basic se convierte en autenticación básica con usuarios compartidos, así que tras la importación no queda ningún sitio sin protección;
• Los sitios del mismo puerto se añaden al listener existente y los dominios que ya existen se omiten, por lo que la importación se puede repetir. Por defecto todo se importa desactivado, lo que permite revisarlo sitio a sitio mientras nginx sigue funcionando en paralelo.

La función se ha validado con una configuración de producción real (77 sitios, Authelia, upstream) y el resultado coincide con una migración manual. Consulta Servicios web · Importar configuración de nginx.

Despliegue automático de certificados

El editor de certificados incluye ahora «Despliegue automático», que se ejecuta cada vez que el certificado se emite, se renueva o se actualiza:

• Subir a host SSH: elige una conexión SSH ya existente en el Terminal web; el certificado se escribe en un directorio remoto y después se ejecuta un comando, por ejemplo systemctl reload nginx. El comando puede usar $certName, $certDir, $certFile y $keyFile. Los archivos se escriben primero en un archivo temporal y luego se sustituyen, y la clave privada queda con permisos 0600;
• Reiniciar contenedores locales: cuando cambia el certificado, se reinician uno tras otro los contenedores Docker seleccionados.

El despliegue automático nunca confía en hosts desconocidos, así que la conexión SSH debe abrirse antes una vez desde el Terminal web. Si falla, se reintenta cada hora y se emite la nueva notificación «Certificado: despliegue fallido»; el botón «Desplegar ahora» de la tarjeta del certificado lo ejecuta de inmediato y muestra el resultado de cada destino. Consulta Certificados SSL.

WAF: subidas grandes y WebDAV

• Límite de inspección del cuerpo ajustable (12,5 MB por defecto, hasta 1024 MB): al superarlo puedes rechazar la solicitud o inspeccionar solo la primera parte y reenviar el resto sin cambios;
• Rutas sin inspección del cuerpo: en los endpoints de subida no se inspecciona el cuerpo de la solicitud, mientras que las cabeceras, la URL y los parámetros se siguen inspeccionando;
• Compatible con WebDAV y subidas: permite PUT, PROPFIND, MKCOL, MOVE, COPY, LOCK y otros métodos, además de las cabeceras Lock-Token, If y Content-Range, y deja de restringir el tipo de contenido de las subidas. Las nubes personales, WebDAV y los gestores de archivos funcionan con normalidad detrás del WAF, y los ataques de inyección, path traversal y similares se siguen bloqueando;
• Todas las instancias permiten la cabecera Expect: 100-continue que envían curl y rclone al subir archivos grandes; antes, OWASP CRS 4 bloqueaba este tipo de subidas.

Consulta Cortafuegos WAF.

Listas de IP suscritas

En «Servicios web → Ajustes globales» puedes suscribirte a listas de IP por URL y actualizarlas periódicamente, por ejemplo los rangos de IP por provincia y ciudad de metowolf/iplist. Las listas de permitidos y de bloqueados de los sitios y de las reglas de ruta pueden usar varias listas junto con los rangos de IP escritos a mano. El contenido descargado se guarda en caché local, así que tras un reinicio no hace falta conexión, y si el contenido no se puede interpretar se conserva la lista anterior. Consulta Servicios web · Listas de IP suscritas.

Dos comprobaciones nuevas en el autodiagnóstico de red

• Certificados de sitios HTTPS: lista los dominios sin un certificado que coincida; esos dominios fallan durante el handshake TLS;
• Conflictos de frp: lista los proxies de frpc con nombres repetidos y los conflictos de nombre de proxy, dominio o puerto remoto que informa frps. Cuando varios dispositivos copian la misma configuración de frpc, el que se conecta después no consigue registrarse y los sitios afectados agotan el tiempo de espera.

Otras mejoras

• La actualización en línea admite números de versión de cuatro partes como v0.5.4.1; cuando las versiones no se pueden comparar (por ejemplo, en compilaciones de desarrollo) lo indica claramente en lugar de mostrar «ya tienes la última versión».
• Los textos explicativos que devuelven las API de despliegue de certificados, de vista previa de la importación de nginx y otras se muestran en el idioma de la interfaz.

Actualización

• Desde v0.5.4, las instalaciones binarias en Linux pueden actualizarse a v0.5.5 directamente desde la página Acerca de; con Docker, descarga la nueva imagen y recrea el contenedor; en fnOS, instala el nuevo .fpk desde el Centro de aplicaciones; en OpenWrt, instala el nuevo .ipk / .apk.
• Si ya tienes nubes personales o sitios WebDAV detrás del WAF, tras actualizar activa «Compatible con WebDAV y subidas» en la instancia de WAF correspondiente y las subidas funcionarán con normalidad.

Las preguntas o sugerencias son bienvenidas en GitHub Issues o en el grupo de Telegram.