Gately v0.5.8 est disponible

25 octobre 2026

Cette version permet à Gately de servir de fournisseur d'identité OIDC, ajoute le partage de fichiers SMB (#15), ajoute des filtres à tous les journaux (#16) et permet de changer l'ordre des groupes de règles du WAF (#17).

Télécharger v0.5.8 · GitHub Release · Documentation de l'authentification unique OIDC

Authentification unique OIDC

Le Service Web intègre un fournisseur d'identité OpenID Connect. Gitea, OpenList, Grafana et les autres applications compatibles avec la connexion OIDC peuvent connecter directement les utilisateurs partagés et savoir qui s'est connecté, ce qui remplace la fonction OIDC d'Authelia.

• Il suffit de saisir l'URL de l'émetteur et d'ajouter des clients dans « Service Web → Paramètres globaux → Fournisseur d'identité OIDC » ; le domaine de l'émetteur n'a besoin d'aucun site ;
• Les utilisateurs partagés gagnent un e-mail, un nom affiché et des groupes facultatifs, fournis aux applications sous forme de claims email, name et groups, pour qu'elles créent les comptes automatiquement et accordent les droits d'administration par groupe ;
• Chaque client peut être limité à certains utilisateurs ou groupes ; PKCE, les jetons d'actualisation et prompt=none / prompt=login sont pris en charge, et les clients publics (applications monopage, applications mobiles) doivent utiliser PKCE ;
• La connexion reprend la page de connexion et la vérification en deux étapes TOTP de l'authentification Web ; quand l'émetteur se trouve dans le domaine SSO, une connexion à n'importe quel site suffit pour entrer dans les applications ;
• Changer le mot de passe ou le TOTP, supprimer l'utilisateur ou le retirer de la liste autorisée invalide aussitôt les jetons déjà émis ; sub est l'ID fixe de l'utilisateur partagé et reste le même après un renommage ;
• La documentation fournit des exemples de configuration pour Gitea, OpenList et Grafana, tous vérifiés sur les vraies applications.

Service SMB

Les Services de fichiers gagnent le Service SMB, qui partage des répertoires locaux avec l'Explorateur Windows, le Finder de macOS, Linux et les clients SMB des téléphones et téléviseurs :

• SMB 2.0.2 à 3.1.1, authentification et signature NTLMv2, avec chiffrement SMB 3 obligatoire en option ;
• Les utilisateurs se configurent comme pour FTP et WebDAV ; chaque utilisateur ne voit que ses propres partages, et chaque répertoire peut être en lecture seule ;
• La page liste l'adresse de connexion de chaque partage, et l'annonce Bonjour permet au Finder de découvrir directement le service ;
• Disponible uniquement sous Linux et macOS. Windows ne se connecte qu'au port 445 ; si le Samba fourni avec le NAS l'occupe déjà, choisissez un autre port.

Filtrage des journaux

Journaux système et la carte de journaux de chaque module se filtrent par niveau, source, mot-clé (avec expressions et mots exclus), IP ou plage du client et période ; le Service Web filtre aussi par site, domaine et code d'état. Le filtrage s'effectue côté serveur, et « Charger les journaux plus anciens » continue la recherche dans les fichiers de journaux écrits sur disque. Les journaux d'accès du Service Web et les journaux de détections du WAF enregistrent l'IP du client, le domaine, le code d'état et l'ID de règle ; un clic sur une étiquette d'une entrée filtre sur cette valeur. L'API des journaux accepte les mêmes paramètres de filtre.

Service Web et WAF

• Les en-têtes de requête et de réponse des sites s'éditent ligne par ligne, avec des noms et des valeurs à choisir parmi les entrées courantes (HSTS, CSP, X-Frame-Options, etc.) ; un clic ajoute les en-têtes de sécurité courants, et le format comme les erreurs fréquentes sont vérifiés à la saisie ; le Content-Type des sites à texte fixe se choisit parmi les types courants ;
• Les en-têtes de requête dont le nom ou la valeur contient des caractères interdits sont refusés à l'enregistrement ; auparavant, une telle configuration faisait renvoyer 502 à tout le site ;
• Une nouvelle explication à côté des Options du proxy inverse décrit le rôle de chacune des six options et quand l'utiliser ;
• Les groupes de règles du WAF peuvent monter et descendre. Les règles d'autorisation (allow, ctl:, etc.) se placent au-dessus d'OWASP CRS, et les directives de suppression comme SecRuleRemoveById se placent sous CRS ; l'interface et la documentation l'expliquent.

Corrections

• Renommer un utilisateur FTP ou WebDAV sans ressaisir le mot de passe faisait échouer l'enregistrement.

Notes de mise à jour

• Comment mettre à jour : les installations par binaire Linux se mettent à jour depuis la page À propos ; avec Docker, récupérez la nouvelle image et recréez le conteneur ; sur fnOS, installez le nouveau .fpk depuis le centre d'applications ; sur OpenWrt, installez le nouveau .ipk / .apk.
• Le format de configuration est rétrocompatible, vous pouvez donc mettre à jour directement. Les utilisateurs partagés reçoivent un ID fixe au premier démarrage, réécrit dans le fichier de configuration.
• Le formulaire de connexion de l'authentification Web refuse les envois provenant d'autres sites ; la connexion normale fonctionne comme avant.