Gately v0.5.5 est disponible

21 octobre 2026

Cette version a un fil conducteur : « migrer depuis nginx, puis avoir moins de soucis ». Les sites nginx existants s'importent directement, les certificats renouvelés sont envoyés automatiquement vers d'autres hôtes et conteneurs, les clouds personnels et les sites WebDAV peuvent passer derrière le WAF, le contrôle d'accès par IP peut s'appuyer sur des listes d'IP par province mises à jour régulièrement, et l'auto-diagnostic réseau repère à l'avance les sites sans certificat et les conflits frp.

Télécharger la v0.5.5 · GitHub Release

Importer une configuration nginx

La page Services Web propose désormais « Importer nginx ». Exécutez nginx -T sur l'hôte où tourne nginx et collez la sortie complète ; les fichiers inclus par include sont développés comme le fait nginx.

• Un aperçu s'affiche avant l'import : regroupés par port d'écoute, chaque site avec son type, son backend ou son répertoire, son fichier source et son numéro de ligne, ainsi que les points à vérifier, comme l'usage de variables, les location en expression régulière ou les certificats manquants ;
• Sont convertis le proxy inverse (avec les poids, les serveurs de secours et les politiques de répartition de charge des upstream), les répertoires statiques, les redirections, les réponses fixes, les en-têtes de réponse et de requête, la compression, allow / deny, ainsi que, au niveau des location, les backends par chemin, le contrôle d'accès et les redirections ;
• auth_request devient une authentification déléguée, et les configurations Authelia courantes (variables set, redirection de connexion via error_page 401) se convertissent telles quelles ; si elle n'est utilisée que dans certaines location, elle devient « authentifier uniquement les chemins indiqués ». auth_basic devient une authentification basique avec des utilisateurs partagés : aucun site ne se retrouve sans protection après l'import ;
• Les sites d'un même port rejoignent l'écouteur existant et les domaines déjà présents sont ignorés, ce qui permet de répéter l'import. Par défaut, tout est importé désactivé, pour vérifier les sites un par un pendant que nginx tourne en parallèle.

La fonction a été validée sur une vraie configuration de production (77 sites, Authelia, upstream) et le résultat correspond à une migration manuelle. Voir Services Web · Importer une configuration nginx.

Déploiement automatique des certificats

L'éditeur de certificat propose désormais « Déploiement automatique », exécuté après chaque émission, renouvellement ou mise à jour :

• Envoyer vers un hôte SSH : choisissez une connexion SSH existante du Terminal Web ; le certificat est écrit dans un répertoire distant, puis une commande s'exécute, par exemple systemctl reload nginx. La commande peut utiliser $certName, $certDir, $certFile et $keyFile. Les fichiers sont d'abord écrits dans un fichier temporaire puis remplacés, et la clé privée a les permissions 0600 ;
• Redémarrer des conteneurs locaux : quand le certificat change, les conteneurs Docker sélectionnés sont redémarrés l'un après l'autre.

Le déploiement automatique ne fait jamais confiance à un hôte inconnu : la connexion SSH doit d'abord avoir été ouverte une fois depuis le Terminal Web. En cas d'échec, il est retenté toutes les heures et déclenche la nouvelle notification « Certificat : échec du déploiement » ; le bouton « Déployer maintenant » de la carte du certificat le lance immédiatement et affiche le résultat de chaque cible. Voir Certificats SSL.

WAF : gros envois et WebDAV

• Limite d'inspection du corps réglable (12,5 Mo par défaut, jusqu'à 1024 Mo) : au-delà, la requête peut être rejetée, ou seul le début est inspecté et le reste transmis tel quel ;
• Chemins sans inspection du corps : le corps des requêtes vers les points d'envoi n'est pas inspecté, tandis que les en-têtes, l'URL et les paramètres le restent ;
• Compatible WebDAV et envois : autorise PUT, PROPFIND, MKCOL, MOVE, COPY, LOCK et d'autres méthodes, ainsi que les en-têtes Lock-Token, If et Content-Range, et ne restreint plus le type de contenu des envois. Les clouds personnels, WebDAV et gestionnaires de fichiers fonctionnent normalement derrière le WAF, et les attaques par injection, traversée de chemin et autres restent bloquées ;
• Toutes les instances autorisent l'en-tête Expect: 100-continue envoyé par curl et rclone lors de gros envois ; auparavant, OWASP CRS 4 bloquait ce type d'envoi.

Voir Pare-feu WAF.

Listes d'IP abonnées

Dans « Services Web → Paramètres globaux », abonnez-vous à des listes d'IP par URL avec un rafraîchissement régulier, par exemple les plages d'IP par province et ville de metowolf/iplist. Les listes d'autorisation et de blocage des sites et des règles de chemin peuvent référencer plusieurs listes, évaluées avec les plages d'IP saisies à la main. Le contenu téléchargé est mis en cache localement, donc aucun accès réseau n'est nécessaire après un redémarrage, et un contenu illisible laisse la liste précédente en place. Voir Services Web · Listes d'IP abonnées.

Deux nouvelles vérifications dans l'auto-diagnostic réseau

• Certificats des sites HTTPS : liste les domaines sans certificat correspondant ; ces domaines échouent lors de la négociation TLS ;
• Conflits frp : liste les proxys frpc portant le même nom, ainsi que les conflits de nom de proxy, de domaine ou de port distant signalés par frps. Quand plusieurs appareils copient la même configuration frpc, l'appareil connecté en dernier n'arrive pas à s'enregistrer et les sites concernés expirent.

Autres améliorations

• La mise à niveau en ligne accepte les numéros de version en quatre parties comme v0.5.4.1 ; quand les versions ne peuvent pas être comparées (par exemple pour une compilation de développement), elle l'indique clairement au lieu d'afficher « déjà à jour ».
• Les textes explicatifs renvoyés par les API de déploiement de certificats, d'aperçu de l'import nginx et d'autres s'affichent dans la langue de l'interface.

Mise à niveau

• Depuis la v0.5.4, les installations binaires Linux peuvent passer à la v0.5.5 directement depuis la page À propos ; avec Docker, récupérez la nouvelle image et recréez le conteneur ; sur fnOS, installez le nouveau .fpk depuis le Centre d'applications ; sur OpenWrt, installez le nouveau .ipk / .apk.
• Si des clouds personnels ou des sites WebDAV sont déjà derrière le WAF, activez « Compatible WebDAV et envois » dans l'instance WAF concernée après la mise à niveau pour que les envois fonctionnent normalement.

Questions et suggestions sont les bienvenues sur GitHub Issues ou dans le groupe Telegram.