Gately v0.6.6.4 publicado

14 de noviembre de 2026

Descargar v0.6.6.4 · GitHub Release

Seguridad del inicio de sesión de administración

• Reglas de contraseña: las contraseñas nuevas tienen de 10 a 72 bytes. Se rechazan las contraseñas débiles comunes (incluidas sus variantes habituales), las que contienen gately o el nombre de usuario, los caracteres consecutivos o repetidos y las contraseñas con muy pocos tipos de caracteres (regla relajada a partir de 16 caracteres). La fortaleza se muestra en directo mientras se escribe.
• Cambio obligatorio: tras iniciar sesión con la contraseña predeterminada o una contraseña débil aparece un diálogo de cambio de contraseña que no se puede cerrar, y el servidor rechaza las demás operaciones de escritura hasta que se cambie. Una contraseña débil existente se detecta en el siguiente inicio de sesión con contraseña.
• Bloqueo progresivo: cuando el mismo origen se bloquea repetidamente, la duración del bloqueo se duplica cada vez, hasta un máximo de 24 horas.
• Presupuesto de fallos de direcciones desconocidas: cuando el total de fallos de inicio de sesión con contraseña desde direcciones que nunca han iniciado sesión correctamente alcanza el límite en 10 minutos (20 por defecto, ajustable o desactivable en los ajustes del sistema), los inicios de sesión con contraseña desde direcciones desconocidas devuelven temporalmente 429 y se envía una notificación. Las direcciones habituales y los inicios de sesión con Passkey no se ven afectados.
• Desactivar el inicio de sesión con contraseña: con una Passkey registrada se puede desactivar el inicio de sesión con contraseña y usar solo Passkeys o inicio de sesión de terceros; gately reset-password lo vuelve a activar.
• Puntuación de seguridad: la parte superior de «Ajustes del sistema → Cuenta y seguridad» muestra la puntuación de seguridad del panel, con la nota de cada una de las siete comprobaciones y un enlace al ajuste correspondiente.

Consulta Modelo de seguridad y compromiso de privacidad.

Lista de denegación prioritaria (#95)

El control de acceso por IP añade una «Lista de denegación prioritaria»: introduce direcciones y rangos a mano o referencia listas de IP suscritas (por ejemplo, fuentes de inteligencia sobre IP maliciosas). Los orígenes que coinciden se rechazan siempre. La lista se evalúa antes que la lista blanca y la lista negra, se aplica sea cual sea el modo de control de acceso y las reglas de ruta no pueden anularla, así que la denegación va siempre primero. Pueden usarla los sitios web, el reenvío de puertos, el enrutamiento por protocolo, el reenvío integrado de STUN y las instancias de frps (comprobación de inicio de sesión de frpc). Una lista suscrita actualizada se aplica de inmediato, y una lista referenciada no se puede eliminar. Consulta Servicios web.

Servicios web

• Admisión por llamada y permiso tras iniciar sesión: un sitio puede exigir que el origen tenga una autorización válida de una regla de port knocking para poder acceder. Un sitio también puede servir de entrada de autorización: cuando el visitante supera la autenticación del sitio, se registra una autorización para su IP de origen (IPv6 por /64 de forma predeterminada), y los sitios, reenvíos de puertos y el cortafuegos del sistema que referencian la regla lo dejan pasar al instante. La página de entrada /__gately_knock muestra y revoca las autorizaciones, y mediante detección de doble pila autoriza tanto IPv4 como IPv6. Cerrar sesión, eliminar el usuario o cambiar la contraseña revoca la autorización automáticamente. Si una regla de llamada no activa el bloqueo en el cortafuegos, sus puertos pueden quedar vacíos y la regla se usa solo para autorizaciones por inicio de sesión web.
• Omitir autenticación con sesión de administración: los administradores con sesión iniciada en la administración de Gately ya no necesitan la autenticación básica o web del sitio en los sitios que tienen esta opción activada. Bajo el mismo dominio padre funciona a través del dominio de SSO; si el sitio y la administración están bajo dominios padre distintos, rellena la «URL de entrada de la administración» y el intercambio se hace mediante una redirección con un ticket de un solo uso. La credencial está vinculada a la sesión de administración, deja de valer de inmediato al cerrar sesión, al cerrar sesión en todos los dispositivos o al cambiar la contraseña, y nunca se reenvía al backend.
• Inicio de sesión con Passkey para usuarios compartidos: al activarlo, los usuarios compartidos pueden registrar una Passkey en la página /__gately_auth/passkey del sitio y después iniciar sesión con un clic en la página de inicio de sesión, sin escribir contraseña ni código de un solo uso. Solo se ofrece en el dominio exacto del sitio y en el dominio del emisor OIDC. Cuando un administrador cambia la contraseña o el secreto TOTP de un usuario, también se eliminan sus Passkeys.
• Backends HTTP/2 sin cifrar: la opción de sitio «HTTP/2 sin cifrar (h2c) para backends http://» está pensada para servicios gRPC que solo escuchan en un puerto sin cifrar (como NetBird management/signal). El streaming de gRPC y los trailers se transmiten sin cambios; las solicitudes WebSocket en el mismo puerto pasan automáticamente a HTTP/1.1.

Prevención de intrusiones

Cuando los puertos señuelo y la detección de escaneo de puertos a nivel de kernel bloquean un origen, el motivo del bloqueo, los registros y las notificaciones incluyen el puerto afectado. Si el kernel o nftables no pueden registrar el puerto, este paso se omite automáticamente y las demás reglas siguen funcionando. Consulta Prevención de intrusiones.

Otras mejoras

• Al desplazarse dentro de un diálogo, cuadro de confirmación o panel lateral abierto, la página de debajo ya no se mueve; los terminales y editores dentro de las capas superpuestas siguen desplazándose con normalidad.
• Los espacios entre tarjetas y listas agrupadas, barras de ordenación y pestañas son ahora uniformes.

Notas de actualización

• Docker: descarga la nueva imagen y recrea el contenedor; OpenWrt: instala el nuevo .apk / .ipk sobre el anterior; fnOS: instala el nuevo .fpk en el Centro de aplicaciones; las demás instalaciones pueden actualizarse en línea desde los ajustes del sistema.
• Si la contraseña de administrador es demasiado débil, el siguiente inicio de sesión con contraseña tras la actualización pedirá cambiarla; después, la puntuación de seguridad aparece en «Ajustes del sistema → Cuenta y seguridad».
• El presupuesto de fallos de direcciones desconocidas está activado por defecto (20 fallos / 10 minutos) y solo afecta a direcciones que nunca han iniciado sesión correctamente.