Gately v0.6.6.4 lançado

14 de novembro de 2026

Baixar v0.6.6.4 · GitHub Release

Segurança do login na administração

• Regras de senha: novas senhas têm de 10 a 72 bytes. São recusadas senhas fracas comuns (incluindo variações comuns), senhas que contêm gately ou o nome de usuário, caracteres sequenciais ou repetidos e senhas com poucos tipos de caractere (regra flexibilizada a partir de 16 caracteres). A força aparece em tempo real durante a digitação.
• Troca obrigatória: após entrar com a senha padrão ou uma senha fraca, aparece uma caixa de diálogo de troca de senha que não pode ser fechada, e o servidor recusa outras operações de escrita até a senha ser trocada. Uma senha fraca já existente é identificada no próximo login com senha.
• Bloqueio progressivo: quando a mesma origem é bloqueada repetidamente, a duração do bloqueio dobra a cada vez, até 24 horas.
• Orçamento de falhas de endereços desconhecidos: quando o total de falhas de login com senha vindas de endereços que nunca fizeram login com sucesso atinge o limite em 10 minutos (20 por padrão, ajustável ou desativável em Configurações do sistema), logins com senha de endereços desconhecidos passam a retornar 429 temporariamente e uma notificação é enviada. Endereços habituais e logins com Passkey não são afetados.
• Desativar login com senha: com uma Passkey registrada, é possível desativar o login com senha e usar apenas Passkey ou login de terceiros; gately reset-password reativa o login com senha.
• Pontuação de segurança: o topo de «Configurações do sistema → Conta e segurança» mostra a pontuação de segurança do painel de administração, com a nota de cada uma das sete verificações e um link para o ajuste correspondente.

Veja Modelo de segurança e compromisso de privacidade.

Lista de bloqueio prioritário (#95)

O controle de acesso por IP ganha a «Lista de bloqueio prioritário»: informe endereços e faixas manualmente ou referencie listas de IP assinadas (por exemplo, fontes de inteligência sobre IPs maliciosos). Origens correspondentes são sempre recusadas. A lista é avaliada antes da lista branca e da lista negra, vale qualquer que seja o modo de controle de acesso e não pode ser sobreposta por regras de caminho, ou seja, o bloqueio vem sempre primeiro. Sites Web, redirecionamentos de portas, roteamento por protocolo, o encaminhamento STUN integrado e instâncias frps (verificação de login do frpc) podem usá-la. Uma lista assinada atualizada passa a valer imediatamente, e uma lista referenciada não pode ser excluída. Veja Serviços Web.

Serviços Web

• Admissão por batida e liberação após login: um site pode exigir que a origem tenha uma autorização válida de uma regra de port knocking para ser acessado. Um site também pode funcionar como entrada de liberação: depois que o visitante passa pela autenticação do site, uma autorização é registrada para o IP de origem dele (IPv6 por /64 por padrão), e os sites, redirecionamentos de portas e o firewall do sistema que referenciam a regra o liberam na hora. A página de entrada /__gately_knock mostra e revoga liberações e, com detecção em pilha dupla, libera IPv4 e IPv6. Sair, excluir o usuário ou trocar a senha revoga a liberação automaticamente. Quando uma regra de batida não ativa o bloqueio no firewall, suas portas podem ficar em branco e a regra serve apenas para liberações por login Web.
• Ignorar autenticação com sessão de administração: administradores conectados à administração do Gately não precisam mais da autenticação básica ou Web do site nos sites com essa opção ativada. No mesmo domínio pai funciona pelo domínio de SSO; quando o site e a administração estão em domínios pai diferentes, preencha a «URL de entrada da administração» e o handshake é feito por um redirecionamento com ticket de uso único. A credencial fica vinculada à sessão de administração, deixa de valer na hora ao sair, ao sair de todos os dispositivos ou ao trocar a senha, e nunca é repassada ao backend.
• Login com Passkey para usuários compartilhados: quando ativado, usuários compartilhados podem registrar uma Passkey na página /__gately_auth/passkey do site e depois entrar com um clique na página de login, sem digitar senha nem código de uso único. Só é oferecido no domínio exato do site e no domínio do emissor OIDC. Quando um administrador altera a senha ou o segredo TOTP de um usuário, as Passkeys desse usuário também são excluídas.
• Backends HTTP/2 sem criptografia: a opção de site «HTTP/2 sem criptografia (h2c) para backends http://» atende serviços gRPC que escutam apenas em porta sem criptografia (como NetBird management/signal). O streaming do gRPC e os trailers são repassados sem alterações; requisições WebSocket na mesma porta passam automaticamente a usar HTTP/1.1.

Prevenção de intrusão

Quando as portas isca e a detecção de varredura de portas no nível do kernel banem uma origem, o motivo do banimento, os logs e as notificações incluem a porta atingida. Se o kernel ou o nftables não conseguir registrar a porta, essa etapa é ignorada automaticamente e as demais regras continuam funcionando. Veja Prevenção de intrusão.

Outras melhorias

• Rolar dentro de uma caixa de diálogo, caixa de confirmação ou gaveta aberta não move mais a página de baixo; terminais e editores dentro das sobreposições continuam rolando normalmente.
• Os espaçamentos entre cartões e listas agrupadas, barras de ordenação e abas agora são uniformes.

Notas de atualização

• Docker: baixe a nova imagem e recrie o contêiner; OpenWrt: instale o novo .apk / .ipk sobre o anterior; fnOS: instale o novo .fpk na Central de Aplicativos; as demais instalações podem atualizar online em Configurações do sistema.
• Se a senha de administrador for fraca, o próximo login com senha após a atualização pedirá a troca; depois disso, a pontuação de segurança aparece em «Configurações do sistema → Conta e segurança».
• O orçamento de falhas de endereços desconhecidos vem ativado por padrão (20 falhas / 10 minutos) e só afeta endereços que nunca fizeram login com sucesso.