Gately v0.6.3.5 lançado

3 de novembro de 2026

Baixar v0.6.3.5 · GitHub Release

Correções de segurança

• Contas somente leitura e tokens de API somente leitura podiam ver, na API de status do Tailscale e nos logs do módulo, o link de login de um login pendente; quem tivesse o link podia registrar este gateway na própria tailnet. Agora os links de login só são devolvidos a identidades com permissão de escrita no Tailscale, e os logs guardam apenas a parte do host do link (o novo módulo NetBird trata da mesma forma os links de login e os códigos de dispositivo). (GHSA-xq69-cppr-8497)
• No Terminal Web, "Testar conexão" também precisa passar pela verificação dos termos de uso e da verificação em duas etapas quando testa uma conexão salva, combina segredos salvos ou usa uma predefinição de credenciais: essas requisições enviam a senha salva ao host indicado na requisição.

Rede com NetBird (#69)

O novo módulo NetBird gerencia o cliente oficial e funciona como o módulo Tailscale:

• o Gately pode executar netbird service run por conta própria (o estado fica no diretório de configuração) ou assumir um serviço NetBird já instalado no sistema;
• login com chave de configuração ou com link de login / código de dispositivo, e ajustes para o endereço de um servidor de gerenciamento próprio, nome do host, rotas, DNS, "Bloquear entrada", "Rede em espaço de usuário" com "Acesso a serviços locais" e um proxy SOCKS5;
• no modo gerenciado, o Gately cuida da conexão, reconecta automaticamente depois que o daemon reinicia e repete as falhas com espera crescente de 10 segundos a 5 minutos;
• a "Instalação online" da página baixa, atualiza, reverte e desinstala o NetBird, e "Restaurar padrões" faz logout e limpa o estado de login.

Veja Redes e túneis · NetBird.

Verificação automática de atualizações e alertas de segurança (#68)

• Por padrão, o Gately consulta anonimamente a cada 12 horas a lista de versões e os alertas de segurança no GitHub (pelo "Proxy de atualização"; só lê e não envia nada), o que pode ser desativado na página Sobre ou em Configurações;
• quando sai uma versão nova, o painel avisa no topo, onde dá para ver as mudanças ou ignorar essa versão; se a versão atual for afetada por um problema de segurança publicado, um aviso vermelho lista os identificadores dos alertas, a gravidade e as versões corrigidas;
• versões novas e problemas de segurança emitem os eventos system.update / system.security, e a Central de notificações ganha o modelo de regra "Atualizações"; os cartões de instalação online do frp, cloudflared, Tailscale, NetBird e File Browser ganham "Verificar atualizações", e a verificação agendada do Docker também envia notificação quando encontra uma imagem nova.

Veja Instalação · Verificação automática de atualizações e alertas de segurança.

Copiar itens (#65)

Todas as listas podem criar uma cópia a partir de um item existente: a janela de edição abre com o original como modelo e "(cópia)" acrescentado ao nome, enquanto senhas e segredos são aproveitados do original no servidor, sem que o texto puro passe pelo navegador. A cópia de um certificado é emitida ou lida de novo e seus destinos de implantação começam desativados para não sobrescrever os arquivos do certificado original; a cópia de um site Web pode ficar em outro listener, e a cópia de um listener pode incluir ou não os seus sites. A API é a genérica POST <caminho>/{key}/copy.

Mover sites Web (#63)

• O campo "Listener" da janela do site agora também pode ser alterado na edição, e ao salvar o site passa para o novo listener;
• o modo "Ordenar e lote" ganha "Mover para listener", que permite marcar sites de vários listeners e mover vários de uma vez;
• arrastar um site sobre um site ou grupo de outro listener também o move.

A movimentação é recusada se o listener de destino já tiver o mesmo domínio; as regras de alerta do monitoramento de desempenho e as contagens de uso dos links de compartilhamento acompanham o site, e as sessões de login são separadas por listener e site, então os visitantes precisam entrar de novo depois da movimentação. Mover de HTTPS para HTTP sem criptografia um site que exige login mostra um aviso de risco.

Notificações e proxies (#67)

• A Central de notificações ganha "Configurações de notificação", com um proxy global de notificação (nenhum / usar o proxy global de atualização / personalizado), e cada canal pode escolher o seu; são aceitos http://, https://, socks5:// e socks5h://, e o e-mail enviado por proxy faz STARTTLS / SSL dentro do túnel;
• os Webhooks de DDNS / STUN, as requisições HTTP das tarefas agendadas, as listas de IP assinadas e o download dos bancos de dados GeoIP também podem usar proxy;
• as senhas dos proxies ficam ocultas nos cartões e nas mensagens de erro.

Outras melhorias

• Cabeçalhos de página e barras de ferramentas das listas continuam visíveis ao rolar: o cabeçalho do módulo fica fixo no topo e, quando o título sai da tela, só a barra de ações permanece; as barras de ferramentas dos cartões ficam fixas abaixo do cabeçalho; nas janelas, o título, a barra de abas e os botões de baixo ficam fixos e o formulário rola no meio (#64);
• tarefas do Docker em segundo plano como pull, push, build, verificação de atualizações, Compose e atualizações em lote podem ser interrompidas, e o Compose recebe primeiro um sinal de interrupção para encerrar de forma limpa (#67);
• na topologia de rede, sites, backends e IPs ativos abrem diretamente seus logs de acesso, e sites, backends e listeners podem ser editados no lugar na página de topologia; as linhas de site dos Serviços Web ganham o botão "Logs" (#67);
• a imagem também é publicada no Docker Hub como vanjayak/gately, a mesma imagem multiarquitetura do GHCR, com a mesma assinatura cosign (#67);
• a janela de novo token de API ganha um exemplo de chamada a /api/openapi.json (#67);
• os bloqueios manuais dos Serviços Web e "Encerrar e bloquear" ganham a opção "Permanente";
• "Ocultar origens banidas" também oculta as requisições que dispararam o banimento de uma origem que ainda está banida;
• contas somente leitura não veem mais Log de auditoria, Histórico de configuração, Tokens de API e Configurações na barra lateral; abrir essas páginas diretamente leva de volta à Visão geral, e a interface não chama mais as APIs de administração.

Correções e reforços

• A criação em lote de itens agora é validada com o bloqueio adquirido, o que corrige uma condição de corrida entre novos listeners dos Serviços Web e listas de IP;
• movimentações de sites seguidas rodam em ordem, então as regras de alerta do monitoramento de desempenho não ficam presas a um site que não existe mais;
• os bloqueios manuais recusam endereços de loopback, não especificados e de proxies confiáveis (os bloqueios manuais da Prevenção de intrusão recusam endereços de loopback e não especificados), e uma duração de bloqueio muito grande não transborda mais para um bloqueio permanente;
• a verificação agendada do Docker mantém os registros de notificação enquanto uma verificação falha ou o contêiner está parado, então a mesma imagem nova não é notificada duas vezes;
• NetBird e Tailscale não alteram mais as permissões de um diretório de estado personalizado existente ao gerenciar o daemon; um aviso aparece quando o SOCKS5 em espaço de usuário do NetBird anterior à 0.75 escuta sempre em 0.0.0.0, e a interface alerta quando o SOCKS5 escuta em um endereço acessível de fora desta máquina;
• ver pela topologia os logs de acesso de um site padrão com nome filtra por esse site; sites padrão sem nome não oferecem mais uma entrada que misturaria os logs de todos os sites;
• o botão de limpar o filtro de origem dos logs de execução voltou a funcionar; contas somente leitura não geram mais requisições 403 ao recarregar páginas de administração;
• senhas de proxy com @, / ou : sem codificação também ficam totalmente ocultas.

Notas de atualização

• Docker: baixe a nova imagem e recrie o contêiner; com o socket do Docker montado, o Gately também pode se atualizar pela própria página Docker. OpenWrt: instale o novo .apk / .ipk por cima do anterior. fnOS: instale o novo .fpk manualmente na Central de Aplicativos. Outras implantações podem atualizar online em Configurações.
• Depois da atualização, a verificação automática de atualizações fica ativada por padrão; se não precisar dela, desative-a na página Sobre.