VPS 上で Matrix をセルフホストする。
Synapse + Element。フェデレーション。エンドツーエンド暗号化。

Matrix はリアルタイム通信のオープンプロトコルです。ホームサーバーはプロトコルを実行するサーバーです。ユーザーはそれぞれ1つのホームサーバーに属し、@alice:example.com として識別されます — メールと同じパターンです。ルームは会話の単位です。1つのルームは多くの異なるホームサーバーからのメンバーを持つことができ、ルーム状態はすべての参加ホームサーバーに複製されます。プライベートルームはデバイスごとのキー（Olm/Megolm）で全メッセージを暗号化するので、サーバーは暗号文のみを見ます。ネットワーク全体は、互いにルーム状態をフェデレーションするホームサーバーのグラフです。

興味深い特性：中央の権威が Matrix をシャットダウンできない（プロトコルはオープンでどこでも動作する）、異なるサーバーのユーザーが透過的に会話できる（フェデレーション）、プライベートルームには適切なエンドツーエンド暗号化がある（広告スタイルの転送中暗号化ではない）、ユーザーは自分のホームサーバーを運営することで切り替えて身元を維持できる。トレードオフは運用の複雑さ — ホームサーバーの運営は Discord へのログインより多くの作業が必要 — とプロプライエタリプラットフォームより小さな洗練されたクライアントのエコシステムです。

このガイドでデプロイするもの：Synapse（ホームサーバー）、PostgreSQL（そのデータベース）、Element Web（ブラウザクライアント、自分のドメインからホスト）、Caddy（リバースプロキシ + 自動 TLS）。オプションとしてメディアストレージバックエンドとフェデレーション検出用の well-known エンドポイント。スタック全体は2つの Docker Compose ファイルと1つの Caddy 設定です。

新鮮な Debian 12 VPS を起動し、3つの DNS レコードを向けます：matrix.example.com（ホームサーバーホスト名）、element.example.com（ウェブクライアント）、@alice:example.com 識別子の短縮形が欲しい場合は example.com 自体も。sudo ユーザーとして SSH 接続します。

1. Docker と Compose をインストールします。 curl -fsSL https://get.docker.com | sh — Docker Engine は Compose v2 を同じパッケージに同梱しています。

2. Synapse の設定を生成します。 mkdir -p ~/synapse/data && docker run -it --rm -v ~/synapse/data:/data -e SYNAPSE_SERVER_NAME=example.com -e SYNAPSE_REPORT_STATS=no matrixdotorg/synapse:latest generate — これが homeserver.yaml を書き出します。編集します：データベースを SQLite から PostgreSQL に変更し、メディア URL を設定し、enable_registration: false に設定して開始します（今は管理 CLI でユーザーを作成します）。

3. docker-compose.yml を作成します。 三つのサービス：postgres（postgres:16、永続ボリューム、ロケール C）、synapse（matrixdotorg/synapse:latest、~/synapse/data をマウント、postgres に依存）、element（vectorim/element-web:latest、https://matrix.example.com を指す小さな config.json をマウント）。synapse:8008 と element:80 のみ localhost にマップします。[redacted-ip] にバインドしないでください。

4. Caddy でフロントエンドを設定します。 二つの Caddyfile サイト：matrix.example.com はポート 443 と 8448（フェデレーションポート）の両方で [redacted-ip]（Synapse）にプロキシします。element.example.com は [redacted-ip]（Element Web）にプロキシします。Caddy は Let's Encrypt 証明書を自動的に取得します。

5. フェデレーション検出（.well-known）。 example.com 自体に2つの静的 JSON ファイルを追加します：/.well-known/matrix/server は {"m.server": "matrix.example.com:443"} を返し、/.well-known/matrix/client は {"m.homeserver": {"base_url": "https://matrix.example.com"}} を返します。これにより短縮形の識別子 @alice:example.com が正しく解決されます。federationtester.matrix.org のフェデレーションテスターで確認してください。

6. 最初のユーザーを作成します。 docker exec -it synapse register_new_matrix_user -u alice -p <password> -a -c /data/homeserver.yaml http://localhost:8008 — 管理者アカウントを作成します。https://element.example.com からログインしてください。

Matrix ホームサーバーを運営することは、ホストがサーバーの動作に責任を持つことを受け入れることを意味します。プライベートな招待制ホームサーバーでは、その責任は小さく — すべてのユーザーを知っています。公開ホームサーバーでは、責任はユーザーベースとともに拡大します。

受信の悪用。 フェデレーションされた公開ルームは、悪用の調整、画像の大量投稿、ハラスメントに巻き込まれる可能性があります。Synapse は、ユーザーをBANする（全ルーム対象）、ホームサーバーをブロックする（それ以上のフェデレーションなし）、サーバーにルームを退出させる管理 API エンドポイントを公開しています。Mjolnir ボットはこれらをモデレーションルームのワークフローにまとめています。Draupnir フォークはその活発にメンテナンスされている後継です。

アウトバウンドの悪用。 侵害されたユーザーアカウントはフェデレーションルームに有害なコンテンツを投稿し、ネットワーク全体におけるサーバーの評判を傷つける可能性があります。二つの対策：ユーザーごとのレート制限（Synapse のデフォルトのレート制限は妥当です）と、新規アカウントへのメール認証の要求（自動登録のハードルを上げます）。

法的な姿勢。 EU では、インフラプロバイダーの役割は強力な仲介者責任の保護を与えます（e コマース指令第14条、DSA 第6条）— 通知と削除に応じる限り、ユーザーコンテンツについて責任を負いません。Nordic 管轄区域はこれを明示的な憲法上の報道の自由の保護でさらに強化しています。仲介者保護のない管轄区域で運用される同じホームサーバーは運用上リスクが高くなります。それに応じてホストの場所を選んでください。

安全なデフォルト。 招待制登録、リアクティブブロック付きフェデレーション有効、Mjolnir / Draupnir はインストール済みだが必要になるまで未使用、ホームサーバーのウェブサイトに明確な利用規約を掲載。その姿勢で95%のオペレーターはさらなる努力なしに対応できます。