Gately v0.6.0.3 publié

28 octobre 2026

Il s’agit d’une mise à jour corrective de la série v0.6.0, sans nouvelle fonctionnalité. La mise à niveau est recommandée aux utilisateurs d’une chaîne « Gately public → tunnel → Gately local ».

Télécharger v0.6.0.3 · GitHub Release

HTTPS transmis par des sources PROXY de confiance

Quand un Gately public terminait TLS et transmettait du HTTP en clair avec un en-tête PROXY v2 à un Gately local via un tunnel tcp frp, le Gately local voyait l’adresse publique du visiteur et ne faisait confiance à X-Forwarded-Proto: https que depuis la machine locale et les réseaux privés ; il traitait donc ces requêtes comme du HTTP en clair : le fournisseur d’identité OIDC avec un émetteur https redirigeait ou rejetait les requêtes de connexion, d’autorisation et de jeton, et les cookies de session de l’authentification web, des utilisateurs partagés, de l’authentification unique et des liens de partage n’avaient pas Secure.

X-Forwarded-Proto: https sur les connexions provenant d’une « Source PROXY de confiance » est désormais pris en compte et utilisé de façon cohérente pour :

• la vérification HTTPS de l’émetteur OIDC et l’attribut Secure de tous les cookies de session ;
• l’adresse de retour de la connexion tierce et le schéma transmis aux services d’authentification déléguée ;
• les ports qui redirigent le HTTP en clair vers HTTPS ne redirigent plus ces requêtes, ce qui évite une boucle ;
• les sites de proxy inverse avec « Ajouter X-Forwarded-* » envoient X-Forwarded-Proto: https au backend, pour que les applications génèrent des liens https corrects.

La configuration est décrite dans les documentations Fournisseur d’identité OIDC et Service web : sur le site public, activez « Ajouter X-Forwarded-* » et « Envoyer PROXY v2 au backend » ; sur l’écouteur du Gately local, acceptez le protocole PROXY et ajoutez l’adresse source locale du tunnel aux sources PROXY de confiance. L’en-tête reste ignoré pour les sources non fiables et les visiteurs publics.

Port occupé au redémarrage d’un écouteur

Lorsqu’un écouteur du Service web, le service WebDAV ou l’écouteur temporaire HTTP-01 était arrêté ou redémarré juste après son démarrage, l’ancien port pouvait encore être occupé et la nouvelle écoute échouait parfois avec « address already in use » (par exemple en enregistrant deux fois de suite les paramètres de l’écouteur). L’écouteur est désormais fermé de façon synchrone à l’arrêt, le redémarrage fonctionne immédiatement.

Notes de mise à niveau

• Docker : récupérez la nouvelle image et recréez le conteneur. OpenWrt : installez le nouveau .apk / .ipk par-dessus l’ancien. fnOS : installez le nouveau .fpk dans le Centre d’applications. Les autres installations peuvent être mises à niveau en ligne dans les Paramètres.