Forgejo ya va por la v16 y Gitea sigue su propio camino. Los dos nacieron del mismo código, pero hoy son proyectos distintos, con licencias, gobernanza y ritmos de release diferentes. Y desde Gitea 1.23 ya no se puede pasar de uno a otro sin trabajo manual, así que la elección pesa más que antes.
Gitea y Forgejo son forges autoalojados de código abierto, escritos en Go, que ofrecen repositorios Git, issues, pull requests, registro de paquetes y CI propia (Actions) en tu propio servidor. Sirven como alternativa a GitHub o GitLab para equipos y particulares que quieren controlar sus datos. Forgejo nació como fork de Gitea y hoy se desarrolla por separado.
Una aclaración sobre la "nueva auditoría" del título. En las fuentes que revisé no encontré una auditoría de seguridad externa publicada de ninguno de los dos proyectos, y no voy a inventarla.
¿Qué ofrece Forgejo v16?
Forgejo v16.0 salió el 16 de julio de 2026 y es una versión no LTS, con soporte hasta el 29 de octubre de 2026. La LTS vigente es la v15, soportada hasta el 15 de julio de 2027. Forgejo publica una estable cada tres meses y una LTS por año, según su documentación.
Según el anuncio de la v16, las novedades incluyen:
- Opciones granulares de watch en repositorios, para filtrar notificaciones por issues, pull requests y releases.
- "Authorized Integrations". Permiten acceso a la API sin secretos estáticos, mediante autenticación basada en JWT.
- Hardening contra SSRF. Se deshabilitó el seguimiento de redirecciones de Git, así que los mirrors que dependan de URLs redirigidas necesitan actualización manual.
- Un cambio para quienes usan contenedores. Hay que configurar explícitamente
REVERSE_PROXY_TRUSTED_PROXIESen lugar del comodín anterior.
Ese último punto responde a un riesgo en las imágenes de contenedor de Forgejo: traían REVERSE_PROXY_TRUSTED_PROXIES = * por defecto, y con la autenticación por proxy inverso habilitada, un usuario no autorizado podía usar el header X-WebAuth-User para suplantar a cualquier usuario. Es una combinación de configuración poco probable. Sea cual sea el forge, revisá esa variable si lo corrés detrás de un proxy.
¿Se puede migrar de Gitea a Forgejo?
No de forma transparente. Forgejo soporta actualizar desde Gitea hasta la 1.22 inclusive, en dos pasos: primero a Forgejo v10.0.x y después a cualquier versión posterior. Desde la 1.23 en adelante no hay ruta oficial, por lo que las versiones recientes de Gitea quedan fuera.
El proyecto lo anunció en su comunicado de compatibilidad y enumeró tres causas: diferencias en la base de datos, features implementadas de forma distinta y subsistemas rediseñados. Para quien igual quiera intentarlo, la advertencia es textual: "You can get help in attempting that but you should not expect more than a best effort" (podés recibir ayuda, pero no esperes más que el mejor esfuerzo). La alternativa realista es mover repositorios uno por uno con la herramienta de migración de la aplicación. Eso preserva el Git, pero no garantiza conservar todo el estado de la plataforma, así que probalo en una instancia de prueba antes.
Gitea vs Forgejo: tabla comparativa
| Criterio | Gitea | Forgejo v16 / v15 LTS |
|---|---|---|
| Última versión verificada | 1.27.2 | v16.0 (16 jul 2026, soporte hasta 29 oct 2026); LTS v15 hasta 15 jul 2027 |
| Licencia | MIT | Software libre (copyleft) |
| Gobernanza | Gitea Ltd., empresa con fines de lucro | Proyecto comunitario |
| CI integrada | Gitea Actions | Forgejo Actions; Forgejo Runner |
| Ciclo de releases | Parches frecuentes | Estable cada 3 meses, LTS anual |
| Migración desde el otro | No documentada desde Forgejo | Solo desde Gitea ≤ 1.22 |
¿Cuál consume menos recursos, Gitea o Forgejo?
No hay diferencias medidas que justifiquen elegir por RAM o CPU. Ambos son binarios en Go que parten del mismo código base, y los números que circulan no explican el hardware ni la metodología de medición, así que no los tomo como benchmark.
Lo sensato es medir con tu propia carga: cantidad de repositorios, usuarios concurrentes, runners de Actions y base de datos elegida. Para un equipo chico, un VPS modesto alcanza con cualquiera de los dos. Si lo corrés en infraestructura local, un servidor cloud en Argentina te da baja latencia para el equipo, algo que importa más que la diferencia entre forges.
¿Qué tan seguros son Gitea y Forgejo en 2026?
Ninguno está libre de vulnerabilidades, y el dato relevante es la rapidez con que parcheás. Gitea acumuló varias CVE críticas este año y una tuvo explotación activa. Eso refleja tanto su superficie de ataque como la intensidad de su proceso de reporte, y no prueba por sí solo que Forgejo sea más seguro.
- CVE-2026-60004 (CVSS 9.8). Según la nota de la Cloud Security Alliance, afecta a Gitea 1.17 a 1.27.0 y permite ejecutar comandos como la cuenta de servicio mediante hooks maliciosos. Se corrigió en la 1.27.1 (27 de julio) y se confirmó explotación activa a fines de agosto. Esa nota no menciona a Forgejo, así que no afirmo que esté o no afectado: consultá sus advisories.
Prácticas válidas para ambos: no expongas la instancia con registro abierto, restringí quién tiene permiso de escritura, poné la instancia detrás de VPN o autenticación si es posible, y suscribite a los avisos de seguridad del proyecto que elijas. Para contexto sobre qué pasa cuando falla la plataforma central, mirá nuestras notas sobre la caída de GitHub y los límites de tráfico de IA en GitLab.com.
Veredicto: ¿Gitea o Forgejo?
No hay ganador absoluto: depende de tu punto de partida y de qué requisitos son duros.
Gitea conviene si…
- Ya estás en Gitea 1.23 o posterior. No hay ruta transparente hacia Forgejo; quedarte evita una migración repositorio por repositorio.
- Preferís licencia MIT. Es más permisiva que la de Forgejo si querés integrar o redistribuir el código.
- Podés actualizar seguido. El ritmo de parches es alto, así que necesitás un proceso de upgrade ágil.
Forgejo conviene si…
- Instalás desde cero. No tenés una migración que preservar y podés elegir por gobernanza.
- Priorizás gobernanza comunitaria. Forgejo es un proyecto desarrollado por su comunidad.
- Querés un ciclo previsible. Una LTS anual (la v15 hasta julio de 2027) sirve si no querés actualizar cada trimestre.
Mi postura: para una instalación nueva, Forgejo LTS es una base más estable por gobernanza y ciclo de soporte. Si ya tenés Gitea 1.23 o más, mantenerte en Gitea con la última versión parcheada es la opción razonable. En ambos casos, probá la actualización en un entorno de staging y tené backups verificados.
Preguntas frecuentes
¿Qué versión de Gitea es la actual?
La versión más reciente que verifiqué es la 1.27.2, que incluye el fix de la CVE-2026-60004. Confirmá en el sitio oficial antes de actualizar, porque salen parches con frecuencia.
¿Puedo pasar de Gitea a Forgejo sin perder datos?
No hay una ruta oficial. Forgejo solo soporta actualizar desde Gitea hasta la 1.22; para versiones posteriores queda la migración repositorio por repositorio con la herramienta de la aplicación.
¿Forgejo es software libre?
Sí, es un proyecto de código abierto desarrollado por su comunidad. Gitea mantiene licencia MIT.
¿Hasta cuándo tiene soporte Forgejo v16?
Hasta el 29 de octubre de 2026, porque no es LTS. La LTS v15 tiene soporte hasta el 15 de julio de 2027.
Cloud Serversby Donweb
Todo el poder de la nube a tus proyectos y aplicaciones.
Alojamiento ultra rápido, escalable y con alta disponibilidad.
- Performance que te sorprenderá
- Rápida escalabilidad y sin limitaciones
- Arquitectura de alta disponibilidad
- Soporte experto y ejecutivos de cuenta
- Pagos en tu moneda y facturación local
