Gately v0.6.1.1 lançado

30 de outubro de 2026

Baixar v0.6.1.1 · GitHub Release

Bloqueio de sondagem de caminhos web

A prevenção de intrusão tem uma nova fonte de regras, Sondagem de caminhos web, que conta diretamente as requisições tratadas pelo serviço web, sem ler logs:

• Pode ser limitada a um ou mais listeners, ou ficar vazia para todos; as regras de caminho aceitam curingas (* também corresponde a /, sem diferenciar maiúsculas) ou expressões regulares iniciadas por ~, e escritas como //.env ou /a/../.env também correspondem pelo caminho normalizado;
• Por padrão só contam 404 e 444, então requisições a páginas que existem não contam; é possível mudar para "Qualquer código de status" (junto com regras de caminho) ou "Só domínios desconhecidos";
• Três modelos: Caminhos isca web (/.env, /.git, wp-login.php, phpinfo.php, phpMyAdmin e outros, bloqueio no primeiro acesso), Varredura de domínios desconhecidos (5 vezes em 1 minuto) e Sondagem web 404 (10 vezes em 1 minuto);
• Contagem, janela, tempo de bloqueio, lista de permissões, bloqueio progressivo e sincronização com nftables são compartilhados com as outras regras, e um bloqueio disparado em qualquer listener vale para todos os serviços.

"Bloquear sondagem" no cartão de um listener do serviço web pré-seleciona esse listener e aplica o modelo de iscas; cole caminhos de requisição no editor para testar as regras. Veja Prevenção de intrusão · Sondagem de caminhos web.

Página Usuários de autenticação

O grupo Web da barra lateral tem uma nova página Usuários de autenticação que reúne os usuários compartilhados, o domínio de login único, a troca de senha pelo próprio usuário e o provedor de identidade OIDC, e lista os sites por listener com filtro e selecionar todos para escolher em lote quais sites aceitam usuários compartilhados: marcar um site sem autenticação também ativa a autenticação web; um site que autentica apenas com usuários compartilhados não pode ser desmarcado ali, para nunca ficar público por engano; sites com autenticação delegada não podem ser marcados. Todas as alterações são salvas juntas, e nada é salvo se alguma verificação falhar. A API é GET/PUT /api/webservice/users.

Troca de senha pelo próprio usuário

Com Troca de senha pelo próprio usuário ativada na página Usuários de autenticação, os usuários compartilhados (incluindo os que entram em aplicativos pelo provedor OIDC embutido) podem trocar a senha em /__gately_auth/password (/__gately_oidc/password no domínio do emissor) depois de informar a senha atual e um código de verificação, e suas sessões em todos os sites terminam. Os usuários compartilhados de arquivos têm um botão próprio na página Usuários compartilhados de arquivos e usam a mesma página; o armazenamento em texto puro ou bcrypt é mantido, e WebDAV, FTP e SMB passam a usar a nova senha na hora. Falhas contam para o mesmo limite de tentativas e bloqueio automático do login, e cada conta pode trocar a senha uma vez por minuto. Veja Serviços Web · Troca de senha pelo próprio usuário.

Fechar a conexão ao negar

A aba Segurança do site tem uma nova opção, Ao negar: com Fechar conexão, requisições rejeitadas por um banimento, pelo controle de acesso por IP (incluindo regras de caminho) ou pelo filtro de países não recebem resposta alguma e são registradas como 444, de modo que seus próprios IPs passam e o restante é derrubado. Limite de taxa e bloqueios do WAF não mudam. A documentação agora também descreve os limites do fechamento: os handshakes TCP e TLS já foram concluídos, HTTP/2 e HTTP/3 só redefinem a requisição, e esconder uma porta de scanners exige um bloqueio da prevenção de intrusão.

Rotas de túneis Cloudflare

Com um token de API da Cloudflare opcional em um túnel com token, o botão Rotas do cartão lê e grava a configuração remota do túnel: hostname, expressão regular de caminho e serviço, além de Ignorar a verificação TLS da origem e o cabeçalho Host para a origem, aplicados pelo cloudflared em execução sem reiniciar. Ao salvar, a versão da configuração é conferida para preservar alterações feitas em outro lugar, e é possível criar registros CNAME com proxy para os hostnames; registros existentes ficam intactos e são listados. Veja Cloudflare Tunnel · Rotas.

Filtro Excluir nos logs

O visualizador de logs tem uma nova caixa Excluir: entradas que contêm qualquer um dos termos ficam ocultas, junto com as palavras-chave. A API de logs aceita o parâmetro correspondente exclude.

Correções e melhorias

• Salvar falhava quando as portas isca ou a detecção de varredura usavam bloqueio permanente (#41);
• Rotas: uma / final solta no endereço de um serviço é removida (o cloudflared rejeita serviços com caminho); túneis gerenciados por um arquivo de configuração local pedem confirmação antes de salvar; um CNAME para o túnel sem proxy é informado como conflito; as zonas são procuradas apenas na conta do túnel;
• O diálogo de configurações globais do serviço web não envia mais as configurações de usuários compartilhados e OIDC, então não sobrescreve alterações recém-salvas na página Usuários de autenticação;
• A sondagem de caminhos compara o caminho que o visitante pediu (regras de reescrita não afetam mais a contagem), e o log de acesso também o registra; caminhos muito longos são comparados pelo início e pelo fim, e os motivos de bloqueio escapam quebras de linha e outros caracteres de controle;
• Quando salvar uma troca de senha pelo próprio usuário falha, a página mostra uma mensagem genérica e os detalhes vão para o log;
• Algumas descrições da API com vários parágrafos misturavam chinês com o texto traduzido.

Notas de atualização

• Docker: baixe a nova imagem e recrie o contêiner. OpenWrt: instale o novo .apk / .ipk sobre o anterior. fnOS: instale manualmente o novo .fpk na Central de aplicativos. As demais instalações podem ser atualizadas online em "Configurações do sistema".
• Uma regra de sondagem de caminhos salva que conta "Qualquer código de status" sem regras de caminho e sem "Só domínios desconhecidos" será recusada na próxima vez que for editada e salva; adicione regras de caminho.