Gately v0.6.5 est disponible

6 novembre 2026

Télécharger v0.6.5 · GitHub Release

Délais du backend, délais des visiteurs et nouvelle tentative automatique

• L’onglet Trafic des sites en reverse proxy reçoit les Délais du backend : connexion, négociation TLS et en-têtes de réponse, par défaut 10 secondes, 10 secondes et sans limite. Un dépassement du délai des en-têtes de réponse renvoie 504 et n’affecte ensuite ni les téléchargements ni les connexions longues comme WebSocket et SSE.
• Quand un backend est injoignable (connexion refusée, hôte inaccessible ou délai de connexion dépassé), la même requête passe aussitôt au backend suivant, avec au plus 3 backends essayés par requête ; la requête n’a pas encore été envoyée à ce moment-là, ce qui est donc sûr aussi pour POST et les autres requêtes.
• Les Délais des visiteurs limitent l’inactivité pendant la lecture du corps de la requête et l’écriture de la réponse, 60 secondes par défaut, pour couper les visiteurs qui envoient ou lisent de façon extrêmement lente ; un dépassement lors de la lecture du corps renvoie 408.
• L’import nginx convertit proxy_connect_timeout et proxy_read_timeout en délais de connexion et d’en-têtes de réponse du site.

Voir Délais du backend et Délais des visiteurs.

Transmettre l’identité au backend

Les réglages séparés « Transmettre le nom d’utilisateur » et « Transmettre l’e-mail » deviennent une seule liste Transmettre l’identité, où chaque ligne écrit un champ de l’utilisateur connecté dans un en-tête de requête : nom d’utilisateur, e-mail, nom affiché ou groupes. Les applications qui utilisent l’e-mail comme compte, comme Firefly III, peuvent lire Remote-Email directement. Les copies de ces en-têtes envoyées par les visiteurs, y compris les variantes avec des tirets bas à la place des tirets, sont supprimées avant l’authentification et ne peuvent pas être falsifiées ; les visiteurs ne peuvent pas non plus les faire retirer via l’en-tête Connection. Les réglages existants sont convertis lors de la mise à jour. Voir Transmettre l’identité.

Ouverture automatique des ports du pare-feu

Les écouteurs des Services Web et les règles de Redirection de ports et de Routage par protocole reçoivent l’interrupteur Ouvrir le port dans le pare-feu, qui autorise dans le pare-feu local (nftables, iptables ou ip6tables) uniquement les ports réellement en écoute, avec IPv6 et plages de ports, en regroupant les ports consécutifs dans une seule règle ; les écouteurs avec HTTP/3 ouvrent aussi le port UDP de même numéro, et les écouteurs sur des adresses de bouclage n’ont besoin de rien. Les règles sont retirées quand l’écouteur s’arrête ou est supprimé. Voir Ouvrir le port dans le pare-feu.

Journaux d'exécution

• Les journaux d’accès des Services Web sont découpés par jour et compressés, avec une durée de conservation en jours et une taille totale maximale, ce qui permet de continuer à chercher dans le trafic passé ; Charger les journaux plus anciens consulte aussi les archives.
• La barre d’outils des journaux reçoit Exporter, qui télécharge toutes les entrées correspondant aux filtres actuels, y compris l’historique des fichiers journaux et des archives, en CSV (UTF-8 avec BOM pour Excel, protégé contre l’injection de formules) ou en JSON Lines ; les exports des comptes en lecture seule masquent les mots de passe et jetons des adresses comme l’affichage.
• Paramètres → Réseau et exécution reçoit Répertoire des journaux, pour placer les journaux d’exécution dans un autre répertoire, par exemple sur un disque externe.
• Le filtre Source liste toutes les sources ; les journaux des écouteurs IPv4 et IPv6 de même nom ne sont plus mélangés, et la fenêtre Journaux d’un site n’affiche que les visiteurs de son propre écouteur.
• Les journaux sont écrits sur disque dès que 256 Ko sont en attente, si bien que les sites très sollicités ne perdent plus d’entrées du journal d’accès ; sur téléphone, la visionneuse s’ouvre de nouveau sur l’entrée la plus récente.

Voir Journaux d'exécution.

Prévention d'intrusion : mode strict IPv6

La détection des scans de ports reçoit le Mode strict IPv6 : les sources IPv6 ne peuvent se connecter qu’aux ports ouverts (ports en écoute plus ports ouverts supplémentaires), et la première connexion à tout autre port bannit leur /64 ; IPv4 conserve le seuil. Un port qui cesse d’écouter un instant reste considéré comme ouvert pendant 30 secondes, et la plage de ports passifs du service FTP compte automatiquement comme ouverte. Voir Prévention d'intrusion.

Ressources des processus gérés

La Vue d'ensemble reçoit une carte Processus gérés, et la page Performances affiche le CPU et la mémoire de chaque programme externe géré par Gately (frpc / frps, tailscaled, NetBird, cloudflared, File Browser), avec des courbes continues à travers les redémarrages. Voir Performances.

Autres améliorations et corrections

• Liens des sites : quand un écouteur n’est joignable que via le Routage par protocole ou la Redirection de ports, les liens du site utilisent le port d’entrée de la règle, par exemple 4433 pour un écouteur sur 4435 alimenté par une règle SNI sur 4433 ; un port d’accès défini à la main reste prioritaire.
• La topologie réseau reçoit Actifs uniquement, qui n’affiche que les sites et backends ayant des requêtes ou des IP actives au cours des 60 dernières secondes ; les nœuds actifs ne sont plus repliés dans « N de plus ».
• Autodiagnostic réseau : un dépassement de délai occasionnel du DNS local ne signale plus comme non résolu un enregistrement DDNS correctement résolu ; un DNS public sert à revérifier.
• DDNS : les synchronisations annulées par l’arrêt ou le redémarrage d’une tâche n’enregistrent plus d’erreurs et ne marquent plus les enregistrements comme en échec.
• Les échecs de négociation TLS causés par des scanners sont journalisés au niveau debug et n’inondent plus le journal d’exécution ; les sites de redirection dont la cible utilise des variables comme {host} répondent 400 aux requêtes sans en-tête Host.
• La Prévention d'intrusion écrit sa table de bannissements dans un format compact, et les bannissements qui expirent simplement ne déclenchent plus de réécriture.
• Les réglages de reverse proxy importés conservent le réglage HTTP/3 des écouteurs.
• La page de connexion n’affiche plus le compte par défaut ni l’indication de réinitialisation du mot de passe.
• Terminal Web : l’éditeur du gestionnaire de fichiers s’ouvre de nouveau après avoir été fermé avec X ou Échap ; sur téléphone, Copier en mode sélection fonctionne après avoir fait glisser la sélection au-delà du haut de l’écran.
• Interface : les lignes de sites ne compriment plus les domaines dans une colonne étroite sur tablettes et petits portables ; les adresses d’écoute IPv6 s’affichent sous la forme http://[::1]:18951.