Gately v0.6.5.3 est disponible

10 novembre 2026

Télécharger v0.6.5.3 · GitHub Release

Correctif de sécurité : cache de réponses

Jusqu’ici, un site de proxy inverse avec le cache de réponses en mémoire activé et une « Durée par défaut » supérieure à 0 mettait en cache les réponses aux requêtes portant des en-têtes d’identifiants comme X-Emby-Token, X-Api-Key et X-Plex-Token, ou des paramètres de requête comme api_key, token et access_token ; d’autres visiteurs demandant ensuite la même adresse pouvaient recevoir cette réponse. De plus, quand un site avait à la fois CORS et le cache activés, le cache conservait avec la réponse les en-têtes CORS écrits pour une origine donnée, et les requêtes cross-origin des autres origines échouaient. Dans cette version :

• Les requêtes portant des en-têtes d’identifiants courants ou des paramètres de requête d’identifiants ne sont jamais mises en cache, quel que soit le mode, comme Authorization et Cookie ;
• Les entrées du cache ne conservent pas les en-têtes CORS que Gately écrit selon l’origine du visiteur ; ils sont régénérés pour chaque requête lors d’un succès de cache. Les réponses ne sont pas mises en cache quand le Vary du backend contient des en-têtes de requête autres que Accept-Encoding (et Origin quand le site a CORS activé) ;
• Les requêtes dont le chemin contient ;, \, %2F ou %5C contournent le cache.

Il est conseillé de mettre à jour rapidement les sites qui utilisent le cache de réponses.

Panneaux de navigation (#78)

« Web → Panneaux de navigation » dans le menu de gauche gère une bibliothèque de panneaux : elle regroupe sur une seule page, par groupe, les liens vers les services que vous utilisez. Ajoutez ensuite dans le service Web un site de type « Panneau de navigation » et choisissez le panneau.

• Chaque lien a un nom, un groupe, une description, une adresse publique et une adresse LAN facultative, une icône et une couleur ; les visiteurs du LAN (adresses de bouclage, privées ou lien-local, ou plages LAN supplémentaires du panneau) utilisent automatiquement l’adresse LAN, et la page permet de basculer entre les deux ;
• Chaque lien peut recevoir jusqu’à 8 « Autres modes d’accès », par exemple IPv6 direct, frp, traversée STUN ou tunnel Cloudflare ;
• 110 icônes intégrées (modules de Gately, applications courantes, systèmes et équipements réseau, icônes génériques), ou un emoji, une URL d’image ou une image téléversée ;
• Les adresses acceptent {host}, {port}, {1} et les variables STUN, et les liens peuvent être créés via « Ajouter depuis les sites du service Web » ; la page propose une recherche et des thèmes clair et sombre ;
• La page est générée par le serveur et n’exécute que des styles et scripts intégrés munis d’un nonce aléatoire ; l’authentification du site, le contrôle d’accès IP, le filtrage par pays et le WAF s’appliquent comme d’habitude.

LAN ou externe se détermine d’après l’adresse directe du visiteur : si les visiteurs externes arrivent par un frpc local, cloudflared ou une redirection de port Docker, activez le protocole PROXY sur l’écouteur ou configurez des proxys de confiance. Voir Service web · Panneaux de navigation.

Audit des visiteurs

« Web → Audit des visiteurs » résume par adresse de visiteur l’accès à tous les sites : première et dernière visite, requêtes et blocages par jour, répartition des codes d’état, motifs de blocage, ainsi que les sites, chemins, identités et User-Agent observés. Les statistiques portent sur aujourd’hui, 7 jours, 30 jours ou toute la durée de conservation, avec des filtres bloquées, authentifiés, administrateurs, bannis et type scanner, plus une recherche ; le détail permet de bannir l’adresse ou d’ouvrir directement son journal d’accès.

Seuls des compteurs agrégés par visiteur sont conservés, et seule la partie chemin de chaque URL ; les chaînes de requête, corps de requête, cookies et identifiants ne sont jamais enregistrés. Les données sont compressées et stockées dans le répertoire de configuration (hors sauvegardes de configuration) ; la durée de conservation (30 jours par défaut) et le nombre maximal de visiteurs (10000 par défaut) sont réglables, et la fonction peut être désactivée. Voir Service web · Audit des visiteurs.

Relecture de la topologie réseau

La topologie réseau gagne une « Relecture » : une fois l’enregistrement activé, un instantané de toute la topologie est enregistré toutes les 5 secondes, en mémoire uniquement, en gardant les données les plus récentes dans une limite de capacité (8 Mo par défaut) ; avec peu de trafic, la période couverte est donc plus longue. La frise chronologique affiche le trafic en graphique de surface et marque en rouge les périodes où un écouteur n’a pas démarré ou un backend a eu des erreurs ; vous pouvez faire glisser jusqu’à un instant, avancer pas à pas, lire de 1× à 60× et sauter les périodes inactives, et les sept dispositions, les filtres, le masquage et le focus sur l’activité restent disponibles pendant la relecture. L’enregistrement est désactivé par défaut, et le désactiver efface les données.

Règles de cache par chemin (#77)

Le cache de réponses d’un site de proxy inverse accepte des règles par chemin : « Pas de cache », une durée propre ou « Cache forcé » (ignore no-store, no-cache et max-age du backend, respecte toujours private). Les règles les plus spécifiques priment ; l’onglet « Trafic » affiche le nombre d’entrées en cache et leur taille, et permet de vider tout le cache ou celui du chemin d’une règle. Les réponses en cache forcé sont partagées par tous les visiteurs : réservez-le aux contenus qui ne dépendent pas de l’identité du visiteur.

Terminal Web : empreintes d’hôte vérifiées selon le type de clé

Les serveurs ont généralement plusieurs clés d’hôte à la fois : ECDSA, RSA et Ed25519. Le terminal Web enregistre désormais le type de clé avec l’empreinte (affichée comme ECDSA SHA256:...) et ne négocie que ce type de clé ; quand le type manque ou ne correspond pas, il essaie les autres types un par un et n’accepte qu’une clé correspondant à l’empreinte enregistrée. Une empreinte de n’importe quel type obtenue avec des outils comme ssh-keyscan s’utilise directement, sans fausse alerte « La clé d’hôte a changé ». La clé d’hôte est toujours vérifiée avant l’authentification, et aucun mot de passe n’est envoyé si aucune empreinte ne correspond.

Panneau des journaux

La barre de glissement sous la zone des journaux règle sa hauteur (les touches fléchées fonctionnent aussi), un double clic rétablit la valeur par défaut et le navigateur mémorise la hauteur ; la barre d’outils gagne un bouton « Plein écran », et Échap en sort ; pendant que vous consultez des entrées plus anciennes, les nouveaux journaux ne ramènent plus la vue en bas, et le bouton « Aller au plus récent » indique combien d’entrées sont arrivées entre-temps.

Corrections

• Lors d’un accès par adresse IPv6, {host} dans les règles de redirection et de réécriture de chemin conserve ses crochets ; les règles de réécriture de chemin vérifient les caractères de {host} comme les variables de redirection, et un Host contenant des caractères invalides reçoit une 400.