Gately v0.6.6.4 est disponible

14 novembre 2026

Télécharger v0.6.6.4 · GitHub Release

Sécurité de la connexion à l'administration

• Règles de mot de passe : les nouveaux mots de passe font de 10 à 72 octets. Sont refusés les mots de passe faibles courants (y compris leurs variantes courantes), ceux qui contiennent gately ou le nom d'utilisateur, les caractères consécutifs ou répétés et les mots de passe comportant trop peu de types de caractères (règle assouplie à partir de 16 caractères). La robustesse s'affiche en direct pendant la saisie.
• Changement imposé : après une connexion avec le mot de passe par défaut ou un mot de passe faible, une boîte de dialogue de changement de mot de passe impossible à fermer s'affiche, et le serveur refuse les autres opérations d'écriture tant que le mot de passe n'est pas changé. Un mot de passe faible existant est détecté à la prochaine connexion par mot de passe.
• Verrouillage progressif : quand une même source est verrouillée à plusieurs reprises, la durée de verrouillage double à chaque fois, jusqu'à 24 heures.
• Budget d'échecs des adresses inconnues : lorsque le total des échecs de connexion par mot de passe depuis des adresses qui ne se sont jamais connectées avec succès atteint la limite en 10 minutes (20 par défaut, réglable ou désactivable dans les paramètres système), les connexions par mot de passe depuis des adresses inconnues renvoient temporairement 429 et une notification est envoyée. Les adresses habituelles et les connexions par Passkey ne sont pas concernées.
• Désactiver la connexion par mot de passe : une fois une Passkey enregistrée, la connexion par mot de passe peut être désactivée pour n'utiliser que les Passkeys ou la connexion tierce ; gately reset-password la réactive.
• Score de sécurité : le haut de « Paramètres système → Compte et sécurité » affiche le score de sécurité de l'interface d'administration, avec pour chacun des sept contrôles sa note et un lien vers le réglage concerné.

Voir Modèle de sécurité et engagement de confidentialité.

Liste de refus prioritaire (#95)

Le contrôle d'accès par IP gagne une « Liste de refus prioritaire » : saisissez des adresses et des plages à la main, ou référencez des listes d'IP abonnées (par exemple des flux de renseignement sur les IP malveillantes). Les sources correspondantes sont toujours refusées. La liste est évaluée avant la liste blanche et la liste noire, s'applique quel que soit le mode de contrôle d'accès et ne peut pas être contournée par les règles de chemin : le refus passe toujours en premier. Les sites Web, les redirections de ports, le routage par protocole, la redirection STUN intégrée et les instances frps (contrôle de connexion frpc) peuvent tous l'utiliser. Une liste abonnée actualisée s'applique immédiatement, et une liste référencée ne peut pas être supprimée. Voir Services Web.

Services Web

• Admission par frappe et autorisation après connexion : un site peut exiger que la source détienne une autorisation valide d'une règle de port knocking pour être accessible. Un site peut aussi servir de point d'entrée d'autorisation : une fois que le visiteur a passé l'authentification du site, une autorisation est enregistrée pour son IP source (IPv6 par /64 par défaut), et les sites, redirections de ports et le pare-feu système qui référencent la règle la laissent passer aussitôt. La page d'entrée /__gately_knock affiche et révoque les autorisations, et une détection double pile autorise à la fois IPv4 et IPv6. La déconnexion, la suppression de l'utilisateur ou un changement de mot de passe révoque l'autorisation automatiquement. Lorsqu'une règle de frappe n'active pas le blocage par le pare-feu, ses ports peuvent rester vides et la règle ne sert qu'aux autorisations par connexion Web.
• Ignorer l'authentification avec session d'administration : les administrateurs connectés à l'administration de Gately n'ont plus besoin de l'authentification basique ou Web du site sur les sites où cette option est activée. Sous un même domaine parent, cela passe par le domaine SSO ; quand le site et l'administration relèvent de domaines parents différents, renseignez l'« URL d'entrée de l'administration » et la poignée de main passe par une redirection avec ticket à usage unique. L'identifiant est lié à la session d'administration, cesse immédiatement de fonctionner à la déconnexion, à la déconnexion de tous les appareils ou à un changement de mot de passe, et n'est jamais transmis au backend.
• Connexion par Passkey des utilisateurs partagés : une fois activée, les utilisateurs partagés peuvent enregistrer une Passkey sur la page /__gately_auth/passkey du site, puis se connecter en un clic depuis la page de connexion, sans saisir de mot de passe ni de code à usage unique. Elle n'est proposée que sur le domaine exact du site et sur le domaine de l'émetteur OIDC. Quand un administrateur modifie le mot de passe ou le secret TOTP d'un utilisateur, les Passkeys de cet utilisateur sont également supprimées.
• Backends HTTP/2 en clair : l'option de site « HTTP/2 en clair (h2c) pour les backends http:// » est destinée aux services gRPC qui n'écoutent que sur un port en clair (comme NetBird management/signal). Le streaming gRPC et les trailers sont transmis tels quels ; les requêtes WebSocket sur le même port passent automatiquement en HTTP/1.1.

Prévention d'intrusion

Lorsque les ports leurres et la détection de balayage de ports au niveau du noyau bannissent une source, le motif du bannissement, les journaux et les notifications indiquent le port touché. Si le noyau ou nftables ne peut pas enregistrer le port, cette étape est ignorée automatiquement et les autres règles continuent de fonctionner. Voir Prévention d'intrusion.

Autres améliorations

• Le défilement dans une boîte de dialogue, une boîte de confirmation ou un tiroir ouvert ne fait plus défiler la page en dessous ; les terminaux et éditeurs dans les surcouches défilent toujours normalement.
• Les espacements entre les cartes et les listes groupées, les barres de tri et les onglets sont désormais homogènes.

Notes de mise à jour

• Docker : récupérez la nouvelle image et recréez le conteneur ; OpenWrt : installez le nouveau .apk / .ipk par-dessus l'ancien ; fnOS : installez le nouveau .fpk dans le Centre d'applications ; les autres installations peuvent se mettre à jour en ligne depuis les paramètres système.
• Si le mot de passe administrateur est trop faible, la prochaine connexion par mot de passe après la mise à jour demande d'en changer ; le score de sécurité est ensuite visible dans « Paramètres système → Compte et sécurité ».
• Le budget d'échecs des adresses inconnues est activé par défaut (20 échecs / 10 minutes) et ne concerne que les adresses qui ne se sont jamais connectées avec succès.