Gately v0.6.5.3 lançado

10 de novembro de 2026

Baixar v0.6.5.3 · GitHub Release

Correção de segurança: cache de respostas

Até agora, um site de proxy reverso com o cache de respostas em memória ativado e uma "Duração padrão" maior que 0 armazenava em cache as respostas a requisições com cabeçalhos de credenciais como X-Emby-Token, X-Api-Key e X-Plex-Token, ou com parâmetros de consulta como api_key, token e access_token; depois, outros visitantes que pedissem o mesmo endereço podiam receber essa resposta. Além disso, quando um site tinha origem cruzada e cache ativados ao mesmo tempo, o cache guardava junto com a resposta os cabeçalhos de origem cruzada de uma origem específica, e as requisições de origem cruzada de outras origens falhavam. Nesta versão:

• Requisições com cabeçalhos de credenciais comuns ou parâmetros de consulta de credenciais não são armazenadas em cache em nenhum modo, assim como Authorization e Cookie;
• As entradas do cache não guardam os cabeçalhos de origem cruzada que o Gately escreve conforme a origem do visitante; num acerto de cache eles são gerados de novo para cada requisição. Não há cache quando o Vary do backend inclui cabeçalhos de requisição além de Accept-Encoding (e de Origin quando o site tem origem cruzada ativada);
• Requisições cujo caminho contém ;, \, %2F ou %5C não passam pelo cache.

Recomenda-se atualizar logo os sites que usam o cache de respostas.

Painéis de navegação (#78)

"Web → Painéis de navegação" no menu lateral gerencia uma biblioteca de painéis: reúne em uma página, por grupo, os links para os serviços que você usa. Depois, adicione no serviço Web um site do tipo "Painel de navegação" e escolha o painel.

• Cada link tem nome, grupo, descrição, endereço público e um endereço de LAN opcional, ícone e cor; visitantes da LAN (endereços de loopback, privados ou link-local, ou as faixas de LAN extras do painel) usam automaticamente o endereço de LAN, e a página permite alternar entre eles;
• Cada link aceita até 8 "Outras formas de acesso", por exemplo IPv6 direto, frp, travessia STUN ou um túnel Cloudflare;
• 110 ícones embutidos (módulos do Gately, apps comuns, sistemas e dispositivos de rede, ícones genéricos), além de emoji, URL de imagem ou imagem enviada;
• Os endereços aceitam {host}, {port}, {1} e variáveis STUN, e os links podem ser criados com "Adicionar dos sites do serviço Web"; a página tem busca e temas claro e escuro;
• A página é gerada pelo servidor e executa apenas estilos e scripts embutidos com um nonce aleatório; autenticação do site, controle de acesso por IP, filtro por país e WAF continuam valendo normalmente.

LAN ou externo é decidido pelo endereço direto do visitante: quando visitantes externos chegam por um frpc local, cloudflared ou mapeamento de portas do Docker, ative o protocolo PROXY no listener ou configure proxies confiáveis. Veja Serviço Web · Painéis de navegação.

Auditoria de visitantes

"Web → Auditoria de visitantes" resume por endereço de visitante o acesso a todos os sites: primeira e última visita, requisições e bloqueios por dia, distribuição de códigos de status, motivos de bloqueio, e os sites, caminhos, identidades e User-Agents vistos. As estatísticas cobrem hoje, 7 dias, 30 dias ou todo o período de retenção, com filtros de bloqueadas, autenticados, administradores, banidos e tipo scanner, além de busca; nos detalhes é possível banir o endereço ou abrir seu log de acesso diretamente.

Só são guardadas contagens agregadas por visitante, e de cada URL só a parte do caminho; strings de consulta, corpos de requisição, cookies e credenciais nunca são registrados. Os dados ficam compactados no diretório de configuração (fora dos backups de configuração); os dias de retenção (30 por padrão) e o limite de visitantes (10000 por padrão) são ajustáveis, e o recurso pode ser desativado. Veja Serviço Web · Auditoria de visitantes.

Replay da topologia de rede

A topologia de rede ganha o "Replay": com a gravação ativada, um instantâneo da topologia inteira é salvo a cada 5 segundos, apenas em memória, mantendo os dados mais recentes dentro de um limite de capacidade (8 MB por padrão); com pouco tráfego, cobre um período mais longo. A linha do tempo mostra o tráfego como gráfico de área e marca em vermelho os períodos em que um listener não iniciou ou um backend teve erros; dá para arrastar até um ponto, avançar passo a passo, reproduzir de 1× a 60× e pular períodos ociosos, e os sete layouts, filtros, mascaramento e foco na atividade continuam disponíveis durante o replay. A gravação vem desativada por padrão, e desativá-la apaga os dados.

Regras de cache por caminho (#77)

O cache de respostas de um site de proxy reverso aceita regras por caminho: "Não armazenar", uma duração própria ou "Forçar cache" (ignora no-store, no-cache e max-age do backend e continua respeitando private). Regras mais específicas têm prioridade; a aba "Tráfego" mostra o número de entradas em cache e o espaço ocupado, e permite limpar todo o cache ou o cache sob o caminho de uma regra. Respostas com cache forçado são compartilhadas por todos os visitantes, então use-o só para conteúdo que não depende de quem é o visitante.

Terminal Web: impressões digitais do host conferidas por tipo de chave

Servidores costumam ter várias chaves de host ao mesmo tempo: ECDSA, RSA e Ed25519. O terminal Web agora grava o tipo de chave junto com a impressão digital (exibida como ECDSA SHA256:...) e negocia só esse tipo de chave; quando o tipo falta ou não confere, tenta os outros tipos um a um e só aceita uma chave que corresponda à impressão digital gravada. Uma impressão digital de qualquer tipo obtida com ferramentas como ssh-keyscan pode ser usada diretamente, sem o falso aviso "A chave do host mudou". A chave do host continua sendo conferida antes da autenticação, e nenhuma senha é enviada quando nenhuma impressão digital confere.

Painel de logs

A barra de arrastar abaixo da área de logs ajusta a altura (as setas do teclado também funcionam), um clique duplo restaura o padrão e o navegador lembra a altura; a barra de ferramentas ganha um botão "Tela cheia", e Esc sai; enquanto você lê entradas antigas, os logs novos não puxam mais a visualização para o final, e o botão "Ir para o mais recente" mostra quantas entradas chegaram nesse meio-tempo.

Correções

• Ao acessar por endereço IPv6, {host} nas regras de redirecionamento e de reescrita de caminho mantém os colchetes; as regras de reescrita de caminho verificam os caracteres de {host} como as variáveis de redirecionamento, e um Host com caracteres inválidos recebe 400.