Gately v0.5.0 est disponible

19 octobre 2026

Gately se place à la frontière de votre réseau et détient vos identifiants DNS et les clés privées de vos certificats ; pouvoir observer ce qu'il fait a donc toujours été le premier principe. La v0.5.0 étend ce principe du code source ouvert à un fonctionnement traçable : qui a modifié quoi et quand, comment la configuration a évolué, et si le binaire que vous avez téléchargé provient vraiment de la compilation officielle.

Télécharger la v0.5.0 · GitHub Release

Traçabilité : journal d'audit et historique de configuration

• Journal d'audit : les connexions, chaque modification de configuration, les téléchargements de sauvegardes ou de clés privées et les sessions de terminal sont enregistrés avec l'utilisateur, l'IP source, la méthode et le chemin. Les corps de requête et les secrets ne sont jamais stockés.
• Historique de configuration avec restauration en un clic : la version précédente est enregistrée chaque fois qu'un fichier de configuration est écrasé (30 versions conservées par fichier). Comparez ligne par ligne et restaurez ; la restauration elle-même peut être annulée.
• Adresse réelle du client : quand l'interface d'administration se trouve derrière nginx, haproxy ou les Services Web de Gately sur le même hôte, les adresses transmises ne sont acceptées que depuis les proxys locaux ; l'accès limité au réseau local, la limitation des tentatives de connexion et le journal d'audit voient ainsi le vrai visiteur.

Voir Audit et historique de configuration.

Connexion plus sûre

• Connexion par passkey : utilisez votre empreinte digitale, votre visage ou le code PIN de l'appareil à la place d'un mot de passe. Seule la clé publique est stockée, et aucun code d'authentification n'est nécessaire.
• Comptes en lecture seule : donnez à votre famille ou à vos collègues un compte en consultation seule, qui ne peut ni modifier les réglages, ni télécharger de sauvegardes, ni lire les secrets.
• Versions signées : les binaires et les images Docker sont fournis avec des signatures cosign, une attestation de provenance de build et un SBOM, pour vérifier qu'ils proviennent de la CI officielle. Voir Vérifier les versions.

Nouvelles fonctions

• ACME HTTP-01 : émettez des certificats même sans fournisseur DNS pris en charge.
• HTTP/3 (QUIC) pour les écouteurs des Services Web, activable d'un seul interrupteur.
• Protocole PROXY depuis la redirection de ports : conservez l'adresse réelle du client à travers les relais haproxy et nginx. Voir Redirection de ports.
• Sept nouveaux fournisseurs DDNS : Amazon Route 53, OVHcloud, Gandi, NS1, Bunny DNS, Namecheap et DynDNS2 (No-IP, Dynu, …).
• Sept nouveaux canaux de notification : ntfy, Gotify, Pushover, Discord, Slack, ServerChan et PushPlus, ainsi que des modèles de règles intégrés comme « Défaillances critiques », « Expiration des certificats » et « Sécurité et connexions ».

Exploitation simplifiée

• Point de terminaison Prometheus global /api/metrics : expiration des certificats, état de synchronisation DDNS, trafic de la redirection de ports, et état des sites et des serveurs amont en une seule collecte, avec un tableau de bord Grafana. Voir Supervision.
• Auto-diagnostic réseau : IPv4 / IPv6 publiques, NAT de niveau opérateur (CGNAT), horloge, ports 80 / 443, résolution DDNS et expiration des certificats en un clic.
• Guide de premier démarrage : changez le mot de passe, configurez l'authentification à deux facteurs ou une passkey, lancez l'auto-diagnostic, importez depuis Lucky et configurez les notifications sur une seule page.
• Déploiement : GATELY_INITIAL_PASSWORD définit le mot de passe initial, le répertoire de configuration déclarative -apply convient au GitOps, et des modèles de service systemd et OpenWrt sont fournis. Voir Installation.

Notes de mise à niveau

• Docker : récupérez la nouvelle image et recréez le conteneur. Binaire : remplacez l'exécutable et redémarrez.
• Quand une règle de redirection de ports envoie le protocole PROXY, la cible (par exemple haproxy avec accept-proxy) doit l'accepter. Avant de revenir à une v0.4.x, retirez d'abord le réglage PROXY sur la cible.
• La confiance accordée aux proxys locaux est activée par défaut et peut être désactivée dans Paramètres → Contrôle d'accès.
• Avec la prise en charge de QUIC, le binaire unique pèse désormais environ 32 Mo.

Questions et idées sont les bienvenues sur GitHub Issues ou dans le groupe Telegram.