Gately v0.6.1.1 publicado

30 de octubre de 2026

Descargar v0.6.1.1 · GitHub Release

Bloqueo del sondeo de rutas web

La prevención de intrusiones tiene una nueva fuente de reglas, Sondeo de rutas web, que cuenta directamente las solicitudes que atiende el servicio web, sin leer registros:

• Puede limitarse a una o varias escuchas, o dejarse vacía para todas; las reglas de ruta admiten comodines (* también coincide con /, sin distinguir mayúsculas) o expresiones regulares que empiezan por ~, y escrituras como //.env o /a/../.env también coinciden mediante la ruta normalizada;
• Por defecto solo cuentan 404 y 444, así que las solicitudes a páginas que existen no cuentan; puede cambiarse a «Cualquier código de estado» (junto con reglas de ruta) o a «Solo dominios desconocidos»;
• Tres plantillas: Rutas señuelo web (/.env, /.git, wp-login.php, phpinfo.php, phpMyAdmin y otras, bloqueo al primer acceso), Escaneo de dominios desconocidos (5 veces en 1 minuto) y Sondeo web 404 (10 veces en 1 minuto);
• El número de intentos, la ventana, la duración del bloqueo, la lista blanca, el bloqueo progresivo y la sincronización con nftables se comparten con las demás reglas, y un bloqueo activado en cualquier escucha se aplica a todos los servicios.

«Bloqueo de sondeos» en la tarjeta de una escucha del servicio web preselecciona esa escucha y aplica la plantilla de señuelos; pega rutas de solicitud en el editor para probar las reglas. Consulta Prevención de intrusiones · Sondeo de rutas web.

Página Usuarios de autenticación

El grupo Web de la barra lateral tiene una nueva página Usuarios de autenticación que reúne los usuarios compartidos, el dominio de inicio de sesión único, el cambio de contraseña por el usuario y el proveedor de identidad OIDC, y lista los sitios por escucha con un filtro y seleccionar todo para elegir en bloque qué sitios aceptan usuarios compartidos: al marcar un sitio sin autenticación también se activa la autenticación web; un sitio que solo se autentica con usuarios compartidos no se puede desmarcar ahí, para que nunca quede público por error; los sitios con autenticación delegada no se pueden marcar. Todos los cambios se guardan juntos, y si alguna comprobación falla no se guarda nada. La API es GET/PUT /api/webservice/users.

Cambio de contraseña por el usuario

Con Cambio de contraseña por el usuario activado en la página Usuarios de autenticación, los usuarios compartidos (incluidos los que inician sesión en aplicaciones mediante el proveedor OIDC integrado) pueden cambiar su contraseña en /__gately_auth/password (/__gately_oidc/password en el dominio del emisor) tras introducir la actual y un código de verificación, y sus sesiones en todos los sitios terminan. Los usuarios compartidos de archivos tienen su propio interruptor en la página Usuarios compartidos de archivos y usan la misma página; se conserva el almacenamiento en texto plano o bcrypt, y WebDAV, FTP y SMB usan la nueva contraseña de inmediato. Los fallos cuentan para el mismo límite de intentos y bloqueo automático que el inicio de sesión, y cada cuenta puede cambiar su contraseña una vez por minuto. Consulta Servicios web · Cambio de contraseña por el usuario.

Cerrar la conexión al denegar

La pestaña Seguridad del sitio tiene una nueva opción, Al denegar: con Cerrar conexión, las solicitudes rechazadas por un bloqueo, el control de acceso por IP (incluidas las reglas de ruta) o el filtro de países no reciben ninguna respuesta y se registran como 444, de modo que tus propias IP pasan y el resto se corta. La limitación de tasa y los bloqueos del WAF no cambian. La documentación también indica los límites del cierre: los saludos TCP y TLS ya se han completado, HTTP/2 y HTTP/3 solo restablecen la solicitud, y ocultar un puerto a los escáneres requiere un bloqueo de la prevención de intrusiones.

Rutas de los túneles de Cloudflare

Con un token de API de Cloudflare opcional en un túnel con token, el botón Rutas de su tarjeta lee y escribe la configuración remota del túnel: nombre de host, expresión regular de ruta y servicio, además de Omitir la verificación TLS del origen y la cabecera Host hacia el origen, que cloudflared en ejecución aplica sin reiniciar. Al guardar se comprueba la versión de la configuración para conservar los cambios hechos en otro lugar, y pueden crearse registros CNAME con proxy para los nombres de host; los registros existentes se mantienen intactos y se listan. Consulta Cloudflare Tunnel · Rutas.

Filtro Excluir en los registros

El visor de registros tiene un nuevo cuadro Excluir: se ocultan las entradas que contienen cualquiera de sus términos, junto con las palabras clave. La API de registros acepta el parámetro correspondiente exclude.

Correcciones y mejoras

• Guardar fallaba cuando los puertos señuelo o la detección de escaneos usaban un bloqueo permanente (#41);
• Rutas: se elimina una / final suelta en la dirección de un servicio (cloudflared rechaza servicios con ruta); los túneles gestionados con un archivo de configuración local piden confirmación antes de guardar; un CNAME al túnel sin proxy se informa como conflicto; las zonas se buscan solo en la cuenta del túnel;
• El diálogo de ajustes globales del servicio web ya no envía los ajustes de usuarios compartidos y OIDC, así que no puede sobrescribir cambios recién guardados en la página Usuarios de autenticación;
• El sondeo de rutas compara la ruta que pidió el visitante (las reglas de reescritura ya no afectan al recuento), y el registro de acceso también la anota; las rutas muy largas se comparan por su inicio y su final, y los motivos de bloqueo escapan los saltos de línea y otros caracteres de control;
• Cuando falla el guardado de un cambio de contraseña por el usuario, la página muestra un mensaje genérico y los detalles van al registro;
• Algunas descripciones de la API de varios párrafos mezclaban chino con el texto traducido.

Notas de actualización

• Docker: descargue la nueva imagen y vuelva a crear el contenedor. OpenWrt: instale el nuevo .apk / .ipk sobre el anterior. fnOS: instale manualmente el nuevo .fpk en el Centro de aplicaciones. El resto de instalaciones puede actualizarse en línea desde «Ajustes del sistema».
• Una regla de sondeo de rutas guardada que cuenta «Cualquier código de estado» sin reglas de ruta y sin «Solo dominios desconocidos» se rechazará la próxima vez que se edite y guarde; añada reglas de ruta.