Gately v0.6.3.5 publié

3 novembre 2026

Télécharger v0.6.3.5 · GitHub Release

Correctifs de sécurité

• Les comptes en lecture seule et les jetons d’API en lecture seule pouvaient voir, dans l’API d’état de Tailscale et dans les journaux du module, le lien d’une connexion en attente ; quiconque obtenait ce lien pouvait enregistrer cette passerelle dans son propre tailnet. Les liens de connexion ne sont désormais renvoyés qu’aux identités ayant le droit d’écriture sur Tailscale, et les journaux ne conservent que la partie hôte du lien (le nouveau module NetBird traite de la même façon les liens de connexion et les codes d’appareil). (GHSA-xq69-cppr-8497)
• Dans le Terminal Web, « Tester la connexion » doit aussi passer le contrôle du contrat d’utilisation et de la vérification en deux étapes lorsqu’il teste une connexion enregistrée, reprend des secrets enregistrés ou fait référence à un préréglage d’identifiants : ces requêtes envoient le mot de passe enregistré à l’hôte indiqué dans la requête.

Réseau NetBird (#69)

Le nouveau module NetBird gère le client officiel et s’utilise comme le module Tailscale :

• Gately peut exécuter lui-même netbird service run (l’état est conservé dans le répertoire de configuration) ou prendre en charge un service NetBird déjà installé sur le système ;
• connexion par clé de configuration ou par lien de connexion / code d’appareil, avec réglage de l’adresse d’un serveur de gestion auto-hébergé, du nom d’hôte, des routes, du DNS, de « Bloquer l’entrant », du « Réseau en espace utilisateur » avec « Accès aux services locaux », et d’un proxy SOCKS5 ;
• en mode géré, Gately s’occupe de la connexion, se reconnecte automatiquement après un redémarrage du démon et relance les échecs avec un délai croissant de 10 secondes à 5 minutes ;
• l’« Installation en ligne » de la page télécharge, met à jour, restaure et désinstalle NetBird, et « Rétablir les valeurs par défaut » déconnecte et efface l’état de connexion.

Voir Réseaux et tunnels · NetBird.

Vérification automatique des mises à jour et alertes de sécurité (#68)

• Par défaut, Gately interroge anonymement toutes les 12 heures la liste des versions et les avis de sécurité sur GitHub (via le « Proxy de mise à jour » ; il lit sans rien envoyer), ce que l’on peut désactiver dans la page À propos ou dans les Paramètres ;
• quand une nouvelle version sort, la console l’annonce en haut de page, avec la possibilité de voir les changements ou d’ignorer cette version ; si la version en cours est touchée par un problème de sécurité publié, un bandeau rouge indique les identifiants des avis, leur gravité et les versions corrigées ;
• les nouvelles versions et les problèmes de sécurité émettent les événements system.update / system.security, et le Centre de notifications gagne un modèle de règle « Mises à jour » ; les cartes d’installation en ligne de frp, cloudflared, Tailscale, NetBird et File Browser gagnent « Rechercher les mises à jour », et la vérification planifiée de Docker envoie aussi une notification lorsqu’elle trouve une nouvelle image.

Voir Installation · Vérification automatique des mises à jour et alertes de sécurité.

Copier des éléments (#65)

Toutes les listes peuvent créer une copie à partir d’un élément existant : la boîte d’édition s’ouvre avec l’original comme modèle et « (copie) » ajouté au nom, tandis que les mots de passe et secrets sont repris de l’original côté serveur, sans que le texte clair passe par le navigateur. Une copie de certificat est émise ou relue à nouveau et ses cibles de déploiement sont désactivées par défaut pour ne pas écraser les fichiers du certificat d’origine ; une copie de site Web peut être placée sur un autre écouteur, et une copie d’écouteur peut inclure ou non ses sites. L’API est le générique POST <chemin>/{key}/copy.

Déplacer des sites Web (#63)

• Le champ « Écouteur » de la boîte d’édition d’un site se modifie désormais aussi en édition, et l’enregistrement déplace le site vers le nouvel écouteur ;
• le mode « Tri et lot » gagne « Déplacer vers un écouteur », qui permet de cocher des sites sur plusieurs écouteurs et d’en déplacer plusieurs à la fois ;
• faire glisser un site sur un site ou un groupe d’un autre écouteur le déplace aussi.

Le déplacement est refusé si l’écouteur cible a déjà le même domaine ; les règles d’alerte de la surveillance des performances et les compteurs d’utilisation des liens de partage suivent le site, et les sessions de connexion sont propres à chaque écouteur et site, si bien que les visiteurs doivent se reconnecter après un déplacement. Déplacer un site qui exige une connexion de HTTPS vers HTTP en clair affiche un avertissement de risque.

Notifications et proxys (#67)

• Le Centre de notifications gagne des « Paramètres de notification » avec un proxy global de notification (aucun / utiliser le proxy global de mise à jour / personnalisé), et chaque canal peut choisir le sien ; http://, https://, socks5:// et socks5h:// sont pris en charge, et l’e-mail passant par un proxy effectue STARTTLS / SSL à l’intérieur du tunnel ;
• les Webhooks DDNS / STUN, les requêtes HTTP des tâches planifiées, les listes d’IP abonnées et le téléchargement des bases GeoIP peuvent aussi utiliser un proxy ;
• les mots de passe des proxys sont masqués dans les cartes et les messages d’erreur.

Autres améliorations

• Les en-têtes de page et les barres d’outils des listes restent visibles au défilement : l’en-tête du module reste collé en haut et seule la barre d’actions subsiste une fois le titre défilé ; les barres d’outils des cartes se collent sous l’en-tête ; dans les boîtes de dialogue, le titre, la barre d’onglets et les boutons du bas restent fixes et le formulaire défile entre eux (#64) ;
• les tâches Docker en arrière-plan comme pull, push, build, vérification des mises à jour, Compose et mises à niveau groupées peuvent être interrompues, Compose recevant d’abord un signal d’interruption pour se terminer proprement (#67) ;
• dans la topologie réseau, les sites, backends et IP actives ouvrent directement leurs journaux d’accès, et les sites, backends et écouteurs se modifient sur place dans la page de topologie ; les lignes de site des Services Web gagnent un bouton « Journaux » (#67) ;
• l’image est aussi publiée sur Docker Hub sous vanjayak/gately, la même image multi-architecture que sur GHCR, avec la même signature cosign (#67) ;
• la boîte de création d’un jeton d’API gagne un exemple d’appel à /api/openapi.json (#67) ;
• les bannissements manuels des Services Web et « Fermer et bannir » gagnent l’option « Permanent » ;
• « Masquer les sources bannies » masque aussi les requêtes qui ont déclenché le bannissement d’une source encore bannie ;
• les comptes en lecture seule ne voient plus Journal d’audit, Historique de configuration, Jetons d’API et Paramètres dans la barre latérale ; ouvrir directement ces pages ramène à la Vue d’ensemble, et l’interface n’appelle plus les API d’administration.

Corrections et renforcements

• La création groupée d’éléments est désormais validée sous verrou, ce qui corrige une course de données entre les nouveaux écouteurs des Services Web et les listes d’IP ;
• les déplacements de sites successifs s’exécutent dans l’ordre, si bien que les règles d’alerte de la surveillance des performances ne restent pas attachées à un site disparu ;
• les bannissements manuels refusent les adresses de bouclage, non spécifiées et de proxy de confiance (les bannissements manuels de la Prévention d’intrusion refusent les adresses de bouclage et non spécifiées), et une durée de bannissement très grande ne déborde plus en bannissement permanent ;
• la vérification planifiée de Docker conserve ses enregistrements de notification pendant les échecs de vérification ou l’arrêt du conteneur, de sorte qu’une même nouvelle image n’est pas notifiée deux fois ;
• NetBird et Tailscale ne modifient plus les permissions d’un répertoire d’état personnalisé existant lorsqu’ils gèrent le démon ; un avertissement s’affiche quand le SOCKS5 en espace utilisateur de NetBird antérieur à 0.75 écoute toujours sur 0.0.0.0, et l’interface prévient quand l’écoute SOCKS5 se trouve sur une adresse joignable au-delà de cette machine ;
• consulter depuis la topologie les journaux d’accès d’un site par défaut nommé filtre sur ce site ; les sites par défaut sans nom ne proposent plus d’entrée qui mélangerait les journaux de tous les sites ;
• le bouton d’effacement du filtre de source des journaux d’exécution fonctionne de nouveau ; les comptes en lecture seule ne provoquent plus de requêtes 403 en actualisant les pages d’administration ;
• les mots de passe de proxy contenant @, / ou : non encodés sont aussi entièrement masqués.

Notes de mise à niveau

• Docker : récupérez la nouvelle image et recréez le conteneur ; quand le socket Docker est monté, Gately peut aussi se mettre à niveau lui-même depuis sa page Docker. OpenWrt : installez le nouveau .apk / .ipk par-dessus l’ancien. fnOS : installez manuellement le nouveau .fpk dans le Centre d’applications. Les autres déploiements peuvent se mettre à niveau en ligne dans les Paramètres.
• Après la mise à niveau, la vérification automatique des mises à jour est activée par défaut ; désactivez-la dans la page À propos si vous n’en avez pas besoin.