Gately v0.6.1.1 publié

30 octobre 2026

Télécharger v0.6.1.1 · GitHub Release

Bannir le sondage de chemins web

La prévention d’intrusion a une nouvelle source de règle, Sondage de chemins web, qui compte directement les requêtes traitées par le service web, sans lire de journal :

• Elle peut être limitée à un ou plusieurs écouteurs, vide signifiant tous ; les règles de chemin acceptent des jokers (* correspond aussi à /, sans tenir compte de la casse) ou des expressions régulières commençant par ~, et des écritures comme //.env ou /a/../.env correspondent aussi via le chemin normalisé ;
• Par défaut seuls 404 et 444 comptent, les requêtes vers des pages existantes ne comptent donc pas ; vous pouvez passer à « Tout code d’état » (avec des règles de chemin) ou à « Domaines inconnus uniquement » ;
• Trois modèles intégrés : Chemins leurres web (/.env, /.git, wp-login.php, phpinfo.php, phpMyAdmin et d’autres, banni dès la première requête), Scans de domaines inconnus (5 fois en 1 minute) et Sondage web 404 (10 fois en 1 minute) ;
• Le nombre, la fenêtre, la durée de bannissement, la liste blanche, le bannissement progressif et la synchronisation nftables sont communs aux autres règles, et un bannissement déclenché sur n’importe quel écouteur s’applique à tous les services.

« Bannir les sondages » sur la carte d’un écouteur du service web présélectionne cet écouteur et applique le modèle de leurres ; collez des chemins de requête dans l’éditeur pour tester les règles. Voir Prévention d’intrusion · Sondage de chemins web.

Page Utilisateurs d’auth

Le groupe Web de la barre latérale a une nouvelle page Utilisateurs d’auth qui réunit les utilisateurs partagés, le domaine d’authentification unique, le changement de mot de passe en libre-service et le fournisseur d’identité OIDC, et liste les sites par écouteur avec un filtre et une sélection globale pour choisir en masse les sites qui acceptent les utilisateurs partagés : cocher un site sans authentification active aussi l’auth Web ; un site qui ne s’authentifie qu’avec les utilisateurs partagés ne peut pas être décoché ici, pour qu’il ne devienne jamais public par erreur ; les sites en authentification déléguée ne peuvent pas être cochés. Toutes les modifications s’appliquent ensemble à l’enregistrement, et rien n’est enregistré si une vérification échoue. L’API est GET/PUT /api/webservice/users.

Changement de mot de passe en libre-service

Avec Changement de mot de passe en libre-service activé sur la page Utilisateurs d’auth, les utilisateurs partagés (y compris ceux qui se connectent aux applications via le fournisseur OIDC intégré) peuvent changer leur mot de passe sur /__gately_auth/password (/__gately_oidc/password sur le domaine de l’émetteur) après avoir saisi le mot de passe actuel et un code de vérification, et leurs sessions sur tous les sites prennent fin. Les utilisateurs partagés de fichiers ont leur propre interrupteur sur la page Utilisateurs partagés de fichiers et utilisent la même page ; le stockage en clair ou bcrypt est conservé, et WebDAV, FTP et SMB utilisent aussitôt le nouveau mot de passe. Les échecs comptent dans la même limitation et le même bannissement automatique que la connexion, et chaque compte peut changer son mot de passe une fois par minute. Voir Services Web · Changement de mot de passe en libre-service.

Fermer la connexion en cas de refus

L’onglet Sécurité du site a une nouvelle option En cas de refus : avec Fermer la connexion, les requêtes rejetées par un bannissement, le contrôle d’accès par IP (règles de chemin comprises) ou le filtre par pays ne reçoivent aucune réponse et sont journalisées en 444, ce qui laisse passer vos propres IP et coupe toutes les autres. La limitation de débit et les blocages du WAF ne changent pas. La documentation indique aussi les limites de la fermeture : les poignées de main TCP et TLS sont déjà terminées, HTTP/2 et HTTP/3 ne réinitialisent que la requête, et cacher un port aux scanners demande un bannissement de la prévention d’intrusion.

Routes des tunnels Cloudflare

Avec un jeton d’API Cloudflare facultatif sur un tunnel à jeton, le bouton Routes de sa carte lit et écrit la configuration distante du tunnel : nom d’hôte, expression régulière de chemin et service, ainsi qu’Ignorer la vérification TLS de l’origine et l’en-tête Host vers l’origine, pris en compte par cloudflared en cours d’exécution sans redémarrage. L’enregistrement vérifie la version de la configuration pour conserver les modifications faites ailleurs, et peut créer des enregistrements CNAME proxifiés pour les noms d’hôte ; les enregistrements existants restent intacts et sont listés. Voir Tunnel Cloudflare · Routes.

Filtre Exclure dans les journaux

La visionneuse de journaux a un nouveau champ Exclure : les entrées contenant l’un de ses termes sont masquées, en plus des mots-clés. L’API des journaux accepte le paramètre correspondant exclude.

Corrections et améliorations

• L’enregistrement échouait quand les ports leurres ou la détection de scan utilisaient un bannissement permanent (#41) ;
• Routes : un / final isolé sur l’adresse d’un service est retiré (cloudflared rejette les services avec un chemin) ; les tunnels gérés par un fichier de configuration local demandent une confirmation avant l’enregistrement ; un CNAME vers le tunnel sans proxy est signalé comme conflit ; les zones sont recherchées uniquement dans le compte du tunnel ;
• La boîte de dialogue des paramètres globaux du service web n’envoie plus les réglages des utilisateurs partagés et d’OIDC, et ne peut donc plus écraser des modifications tout juste enregistrées sur la page Utilisateurs d’auth ;
• Le sondage de chemins compare le chemin demandé par le visiteur (les règles de réécriture n’influent plus sur le comptage), et le journal d’accès l’enregistre aussi ; les chemins très longs sont comparés par leur début et leur fin, et les motifs de bannissement échappent les retours à la ligne et autres caractères de contrôle ;
• Quand l’enregistrement d’un changement de mot de passe en libre-service échoue, la page affiche un message générique et le détail va dans le journal ;
• Certaines descriptions d’API en plusieurs paragraphes mêlaient le chinois au texte traduit.

Notes de mise à niveau

• Docker : récupérez la nouvelle image et recréez le conteneur. OpenWrt : installez le nouveau .apk / .ipk par-dessus l’ancien. fnOS : installez manuellement le nouveau .fpk dans le Centre d’applications. Les autres installations peuvent être mises à niveau en ligne dans « Paramètres système ».
• Une règle de sondage de chemins enregistrée qui compte « Tout code d’état » sans règle de chemin et sans « Domaines inconnus uniquement » sera refusée à sa prochaine modification ; ajoutez des règles de chemin.