Gately v0.6.5.3 publicado

10 de noviembre de 2026

Descargar v0.6.5.3 · GitHub Release

Corrección de seguridad: caché de respuestas

Hasta ahora, un sitio de proxy inverso con la caché de respuestas en memoria activada y una «Duración por defecto» mayor que 0 guardaba en caché las respuestas a solicitudes con cabeceras de credenciales como X-Emby-Token, X-Api-Key y X-Plex-Token, o con parámetros de consulta como api_key, token y access_token; después, otros visitantes que pidieran la misma dirección podían recibir esa respuesta. Además, cuando un sitio tenía activados a la vez el origen cruzado y la caché, la caché guardaba junto con la respuesta las cabeceras de origen cruzado de un origen concreto, y las solicitudes de origen cruzado de otros orígenes fallaban. En esta versión:

• Las solicitudes con cabeceras de credenciales habituales o parámetros de consulta de credenciales no se guardan en caché en ningún modo, igual que Authorization y Cookie;
• Las entradas de caché no guardan las cabeceras de origen cruzado que Gately escribe según el origen del visitante; al acertar en caché se generan de nuevo para cada solicitud. No se guarda en caché cuando el Vary del backend incluye cabeceras de solicitud distintas de Accept-Encoding (y de Origin si el sitio tiene activado el origen cruzado);
• Las solicitudes cuya ruta contiene ;, \, %2F o %5C no pasan por la caché.

Se recomienda actualizar pronto los sitios que usan la caché de respuestas.

Paneles de navegación (#78)

«Web → Paneles de navegación» en el menú lateral gestiona una biblioteca de paneles: reúne por grupos en una sola página los enlaces a los servicios que usas. Después añade en el servicio web un sitio de tipo «Panel de navegación» y elige el panel.

• Cada enlace tiene nombre, grupo, descripción, dirección pública y una dirección de LAN opcional, icono y color; los visitantes de la LAN (direcciones de loopback, privadas o de enlace local, o los rangos de LAN adicionales del panel) usan automáticamente la dirección de LAN, y la página permite cambiar entre ambas;
• Cada enlace admite hasta 8 «Otras formas de acceso», por ejemplo IPv6 directo, frp, travesía STUN o un túnel de Cloudflare;
• 110 iconos integrados (módulos de Gately, aplicaciones habituales, sistemas y dispositivos de red, iconos genéricos), además de emoji, una URL de imagen o una imagen subida;
• Las direcciones admiten {host}, {port}, {1} y variables STUN, y los enlaces pueden crearse con «Añadir desde sitios del servicio web»; la página tiene búsqueda y temas claro y oscuro;
• La página la genera el servidor y solo ejecuta estilos y scripts integrados con un nonce aleatorio; la autenticación del sitio, el control de acceso por IP, el filtro por país y el WAF se aplican como siempre.

LAN o exterior se decide por la dirección directa del visitante: si los visitantes externos llegan a través de un frpc local, cloudflared o un mapeo de puertos de Docker, activa el protocolo PROXY en el listener o configura proxies de confianza. Consulta Servicio web · Paneles de navegación.

Auditoría de visitantes

«Web → Auditoría de visitantes» resume por dirección de visitante el acceso a todos los sitios: primera y última visita, solicitudes y bloqueos por día, distribución de códigos de estado, motivos de bloqueo, y los sitios, rutas, identidades y User-Agent vistos. Las estadísticas cubren hoy, 7 días, 30 días o todo el periodo de retención, con filtros de bloqueadas, autenticados, administradores, bloqueados actualmente y tipo escáner, además de búsqueda; desde el detalle se puede bloquear la dirección o abrir su registro de acceso.

Solo se guardan recuentos agregados por visitante, y de cada URL solo la parte de la ruta; nunca se registran cadenas de consulta, cuerpos de solicitud, cookies ni credenciales. Los datos se guardan comprimidos en el directorio de configuración (fuera de las copias de seguridad de la configuración); los días de retención (30 por defecto) y el límite de visitantes (10000 por defecto) son ajustables, y la función se puede desactivar. Consulta Servicio web · Auditoría de visitantes.

Reproducción de la topología de red

La topología de red añade «Reproducir»: con la grabación activada, cada 5 segundos se guarda una instantánea de toda la topología, solo en memoria, conservando los datos más recientes dentro de un límite de capacidad (8 MB por defecto), de modo que con poco tráfico abarca más tiempo. La línea de tiempo muestra el tráfico como gráfico de área y marca en rojo los periodos en que un listener no pudo arrancar o un backend tuvo errores; puedes arrastrar hasta un punto, avanzar paso a paso, reproducir de 1× a 60× y saltar los periodos inactivos, y durante la reproducción siguen disponibles los siete diseños, los filtros, el enmascarado y el enfoque en la actividad. La grabación está desactivada por defecto, y al desactivarla se borran los datos.

Reglas de caché por ruta (#77)

La caché de respuestas de un sitio de proxy inverso admite reglas por ruta: «No cachear», una duración propia o «Forzar caché» (ignora no-store, no-cache y max-age del backend y sigue respetando private). Las reglas más específicas tienen prioridad; la pestaña «Tráfico» muestra el número de entradas en caché y su tamaño, y permite vaciar toda la caché o la de la ruta de una regla. Las respuestas con caché forzada se comparten entre todos los visitantes, así que úsala solo para contenido que no depende de quién es el visitante.

Terminal web: huellas de host comprobadas según el tipo de clave

Los servidores suelen tener a la vez varias claves de host: ECDSA, RSA y Ed25519. El terminal web ahora guarda el tipo de clave junto con la huella (se muestra como ECDSA SHA256:...) y solo negocia ese tipo de clave; si falta el tipo o no coincide, prueba los demás tipos uno por uno y solo acepta una clave que coincida con la huella guardada. Una huella de cualquier tipo obtenida con herramientas como ssh-keyscan se puede usar directamente, sin el falso aviso «La clave de host cambió». La clave de host se sigue comprobando antes de la autenticación, y no se envía la contraseña si ninguna huella coincide.

Panel de registros

La barra de arrastre bajo el área de registros ajusta su altura (también con las teclas de flecha), un doble clic restaura la altura por defecto y el navegador recuerda la altura; la barra de herramientas añade un botón «Pantalla completa», y Esc sale; mientras lees registros anteriores, los nuevos ya no devuelven la vista al final, y el botón «Ir a lo más reciente» muestra cuántas entradas llegaron entretanto.

Correcciones

• Al acceder por dirección IPv6, {host} en las reglas de redirección y de reescritura de ruta conserva los corchetes; las reglas de reescritura de ruta comprueban los caracteres de {host} igual que las variables de redirección, y un Host con caracteres no válidos recibe un 400.