在 VPS 上自托管 Matrix。
Synapse + Element。联合。端对端加密。

Matrix 是一个用于实时通信的开放协议。homeserver 是运行该协议的服务器；用户各属于一个 homeserver，标识为 @alice:example.com——与电子邮件相同的模式。聊天室是对话的单位；一个聊天室可以有来自多个不同 homeserver 的成员，聊天室状态在所有参与的 homeserver 间复制。私有聊天室用每设备密钥（Olm/Megolm）加密每条消息，因此服务器只能看到密文。整个网络是一个 homeserver 相互联合聊天室状态的图谱。

有趣的属性：没有中央权威能关闭 Matrix（协议是开放的，运行于任何地方），不同服务器上的用户透明交流（联合），私有聊天室有真正的端对端加密（而非广告式传输层加密），用户可以切换 homeserver 并通过运行自己的 homeserver 保留身份。权衡是运营复杂度——运行 homeserver 比登录 Discord 需要更多工作——以及比专有平台更小的成熟客户端生态系统。

本指南中您部署的内容：Synapse（homeserver）、PostgreSQL（其数据库）、Element Web（从您自己域名托管的浏览器客户端）以及 Caddy（反向代理 + 自动 TLS）。可选媒体存储后端和用于联合发现的 well-known 端点。整个技术栈是两个 Docker Compose 文件和一个 Caddy 配置。

启动全新 Debian 12 VPS，将三条 DNS 记录指向它：matrix.example.com（homeserver 主机名）、element.example.com（Web 客户端），以及 example.com 本身（若想使用 @alice:example.com 短格式标识符）。以 sudo 用户 SSH 登录。

1. 安装 Docker 和 Compose。 curl -fsSL https://get.docker.com | sh — Docker Engine 在同一软件包中附带 Compose v2。

2. 生成 Synapse 配置。 mkdir -p ~/synapse/data && docker run -it --rm -v ~/synapse/data:/data -e SYNAPSE_SERVER_NAME=example.com -e SYNAPSE_REPORT_STATS=no matrixdotorg/synapse:latest generate — 这将写入 homeserver.yaml。编辑它：将数据库从 SQLite 改为 PostgreSQL，设置媒体 URL，将 enable_registration 设为 false 作为起点（目前通过管理 CLI 创建用户）。

3. 编写 docker-compose.yml。 三个服务：postgres（postgres:16，持久卷，locale C）、synapse（matrixdotorg/synapse:latest，挂载 ~/synapse/data，依赖 postgres）、element（vectorim/element-web:latest，挂载一个指向 https://matrix.example.com 的小型 config.json）。只将 synapse:8008 和 element:80 映射到 localhost；不要绑定到 0.0.0.0。

4. 使用 Caddy 做前端代理。 两个 Caddyfile 站点：matrix.example.com 代理到 127.0.0.1:8008（Synapse），同时在端口 443 和 8448（联邦端口）；element.example.com 代理到 127.0.0.1:8001（Element Web）。Caddy 自动获取 Let's Encrypt 证书。

5. 联合发现（.well-known）。 在 example.com 上添加两个静态 JSON 文件：/.well-known/matrix/server 返回 {"m.server": "matrix.example.com:443"}，/.well-known/matrix/client 返回 {"m.homeserver": {"base_url": "https://matrix.example.com"}}。这使短格式标识符 @alice:example.com 能正确解析。通过 federationtester.matrix.org 上的联合测试工具验证。

6. 创建第一个用户。 docker exec -it synapse register_new_matrix_user -u alice -p <password> -a -c /data/homeserver.yaml http://localhost:8008 — 这将创建一个管理员账户。通过 https://element.example.com 登录。

运行 Matrix homeserver 意味着接受托管方对服务器行为负责。在私有仅限邀请的 homeserver 上，这种责任很小——您认识每一个用户。在公开 homeserver 上，责任随用户基数增长。

入站滥用。 联合公共聊天室可能被卷入滥用协调、图片倾倒或骚扰行为。Synapse 提供管理员 API 端点，可封禁用户（跨所有聊天室）、屏蔽某个 homeserver（停止联合）并强制服务器退出聊天室。Mjolnir 机器人将这些功能整合进管理聊天室工作流；Draupnir 分支是其积极维护的延续版本。

出站滥用。 被盗用的用户账户可能向联合聊天室发布滥用内容，损害您服务器在整个网络中的声誉。两项缓解措施：对每个用户启用速率限制（Synapse 默认速率限制合理），以及对新账户要求邮箱验证（提高自动注册门槛）。

法律立场。 在欧盟，基础设施提供商角色享有强大的中间商责任保护（《电子商务指令》第 14 条、DSA 第 6 条）——只要您响应通知和下架要求，就无需对用户内容承担责任。北欧司法管辖区在此基础上增加了明确的宪法新闻自由保护。同样的 homeserver 若运行在缺乏中间商保护的司法管辖区，运营风险更高；请据此选择托管地点。

安全的默认选项。 仅限邀请注册，联合功能启用并配以响应式屏蔽，Mjolnir / Draupnir 已安装但在需要前不使用，homeserver 网站上发布了带明确可接受使用政策的服务条款。这一立场无需额外努力即可应对 95% 的运营场景。