Self-host Matrix на VPS.
Synapse + Element. Федеративный. Со сквозным шифрованием.

Matrix — это открытый протокол обмена сообщениями реального времени. Домашний сервер — это сервер, запускающий протокол; пользователи принадлежат каждый своему домашнему серверу, идентифицируясь как @alice:example.com — та же схема, что и у email. Комнаты — единицы разговора; одна комната может иметь участников с разных домашних серверов, а состояние комнаты реплицируется на все участвующие домашние серверы. Приватные комнаты шифруют каждое сообщение ключами на устройство (Olm/Megolm), так что сервер видит только зашифрованный текст. Вся сеть — это граф домашних серверов, федерирующих состояние комнат друг другу.

Интересные свойства: ни одна центральная власть не может заблокировать Matrix (протокол открытый и работает везде), пользователи разных серверов общаются прозрачно (федерация), приватные комнаты имеют настоящее сквозное шифрование (не рекламное шифрование в транзите), а пользователь может сменить домашний сервер и сохранить идентификатор, запустив собственный. Компромисс — операционная сложность: управление домашним сервером — больше работы, чем вход в Discord, и меньшая экосистема отполированных клиентов, чем у проприетарных платформ.

Что вы разворачиваете в этом руководстве: Synapse (домашний сервер), PostgreSQL (его база данных), Element Web (браузерный клиент, хостируемый с вашего домена) и Caddy (обратный прокси + автоматический TLS). Опционально — бэкенд хранения медиа и well-known эндпоинты для обнаружения федерации. Весь стек — два Docker Compose файла и одна конфигурация Caddy.

Запустите чистый Debian 12 VPS, направьте три DNS-записи на него: matrix.example.com (хостнейм домашнего сервера), element.example.com (веб-клиент) и сам example.com, если нужна краткая форма идентификатора @alice:example.com. Войдите по SSH как sudo пользователь.

1. Установите Docker и Compose. curl -fsSL https://get.docker.com | sh — Docker Engine поставляет Compose v2 в том же пакете.

2. Сгенерируйте конфигурацию Synapse. mkdir -p ~/synapse/data && docker run -it --rm -v ~/synapse/data:/data -e SYNAPSE_SERVER_NAME=example.com -e SYNAPSE_REPORT_STATS=no matrixdotorg/synapse:latest generate — это записывает homeserver.yaml. Отредактируйте его: измените базу данных с SQLite на PostgreSQL, задайте URL медиа, установите enable_registration: false для начала (пока создавайте пользователей через admin CLI).

3. Напишите docker-compose.yml. Три сервиса: postgres (postgres:16, постоянный том, локаль C), synapse (matrixdotorg/synapse:latest, монтирует ~/synapse/data, зависит от postgres), element (vectorim/element-web:latest, монтирует небольшой config.json, указывающий на https://matrix.example.com). Маппируйте только synapse:8008 и element:80 на localhost; не привязывайте [redacted-ip].

4. Проксирование через Caddy. Два сайта Caddyfile: matrix.example.com проксирует на [redacted-ip] (Synapse) на обоих портах 443 и 8448 (порт федерации); element.example.com проксирует на [redacted-ip] (Element Web). Caddy автоматически получает сертификаты Let's Encrypt.

5. Обнаружение федерации (.well-known). Добавьте два статических JSON-файла на сам example.com: /.well-known/matrix/server, возвращающий {"m.server": "matrix.example.com:443"}, и /.well-known/matrix/client, возвращающий {"m.homeserver": {"base_url": "https://matrix.example.com"}}. Это позволяет сокращённым идентификаторам @alice:example.com корректно разрешаться. Проверьте через Federation Tester на federationtester.matrix.org.

6. Создайте первого пользователя. docker exec -it synapse register_new_matrix_user -u alice -p <password> -a -c /data/homeserver.yaml http://localhost:8008 — создаёт аккаунт администратора. Войдите через https://element.example.com.

Управление Matrix-домашним сервером означает принятие того, что хост несёт ответственность за действия сервера. На приватном сервере только по приглашению эта ответственность невелика — вы знаете каждого пользователя. На публичном домашнем сервере ответственность масштабируется вместе с базой пользователей.

Входящие злоупотребления. Публичная федеративная комната может быть вовлечена в координацию злоупотреблений, сброс изображений или харассмент. Synapse предоставляет API-эндпоинты администратора для блокировки пользователя (во всех комнатах), блокировки домашнего сервера (прекращение федерации) и принудительного выхода сервера из комнаты. Бот Mjolnir объединяет эти функции в рабочий процесс комнаты модерации; форк Draupnir является его активно поддерживаемым продолжением.

Исходящие злоупотребления. Скомпрометированный аккаунт пользователя может публиковать неприемлемый контент в федеративных комнатах, нанося ущерб репутации вашего сервера в сети. Два способа снижения риска: ограничение запросов на пользователя (стандартные лимиты Synapse разумны) и обязательная верификация email для новых аккаунтов (повышает порог для автоматической регистрации).

Правовая позиция. В ЕС роль инфраструктурного провайдера даёт сильную защиту от ответственности посредника (Директива об электронной коммерции, статья 14; DSA, статья 6) — вы не несёте ответственности за пользовательский контент, пока реагируете на уведомления о нарушениях. Nordic-юрисдикции расширяют это явными конституционными гарантиями свободы прессы. Тот же домашний сервер в юрисдикции без защиты посредников создаёт операционно более высокие риски; выбирайте расположение хостера соответствующим образом.

Безопасный вариант по умолчанию. Регистрация только по приглашению, федерация включена с реактивными блокировками, Mjolnir / Draupnir установлены, но не используются до необходимости, условия использования опубликованы на сайте домашнего сервера с чёткой политикой допустимого использования. Такая позиция покрывает 95% операторов без дополнительных усилий.