Wählen Sie den Servernamen
Der benutzerseitige Servername kann später schwierig zu ändern sein. Verstehen Sie Delegation und die bekannten Records, die Ihre Bereitstellung verwendet. Testen Sie Client-Discovery und Föderation, statt anzunehmen, dass eine erfolgreiche Web-Anmeldung beides beweist.
Verwenden Sie einen unterstützten Stack
Synapse verwendet in der Produktion üblicherweise PostgreSQL für Produktionsdaten, wobei unterstützende Dienste je nach Umfang und Konfiguration variieren. Folgen Sie den aktuellen Empfehlungen des Upstream. Halten Sie Worker, Datenbank und Reverse-Proxy-Timeouts mit der Last kompatibel.
Halten Sie Verschlüsselungsaussagen korrekt
Die Ende-zu-Ende-Verschlüsselung schützt Inhalte in unterstützten verschlüsselten Räumen zwischen teilnehmenden Clients. Der Homeserver kann dennoch Metadaten und unverschlüsselte Inhalte verarbeiten. Client-Schlüsselsicherung, Verifizierung und Kontowiederherstellung erfordern eine eigene Erläuterung.
Die Instanz warten
Beschränken Sie die Registrierung, wenn angemessen, schützen Sie administrative und Shared-Secret-Schnittstellen und legen Sie bewusste Aufbewahrungsfristen für Medien und Ereignisse fest. Sichern Sie Datenbank, Konfiguration und Signierschlüssel konsistent und testen Sie die Wiederherstellung.
Testen Sie Client- und Föderationspfade getrennt
Ein Client wie Element erreicht den Client-API des Homeservers, während andere Homeserver Föderations-Discovery und Endpunkte nutzen. Eine Änderung am Reverse-Proxy kann das eine brechen und das andere funktionsfähig lassen. Testen Sie ein neues Konto, einen lokalen Raum und einen autorisierten föderierten Raum und prüfen Sie dann Verschlüsselungs- und Wiederherstellungsverhalten aus dem Client.
Offizielle Dokumentation: Aktuelle Synapse-Installationsanleitung
Bewahren Sie dauerhaftes Identitätsmaterial auf
Die Datenbank ist nicht die gesamte Homeserver-Identität. Bewahren Sie den Signaturschlüssel sowie relevante Konfiguration und Geheimnisse in einem konsistenten Backup auf. Prüfen Sie, welche externen Medien und welcher Verlauf aufbewahrt werden, und legen Sie eine für Ihre Community geeignete Richtlinie fest. Überwachen Sie Speicher und Worker-Queues, bevor Wachstum zum Ausfall wird.
Trennen Sie den Kontonamen vom Hosting-Endpunkt
Legen Sie den Matrix-server_name vor der Kontoerstellung fest: Er wird Teil von Benutzer- und Raumkennungen. Der Web-Hostname, der Synapse bereitstellt, kann abweichen, wenn Discovery/Delegation korrekt konfiguriert ist. Planen Sie sowohl die Client-Discovery als auch die Server-zu-Server-Discovery, ein gültiges Zertifikat und die tatsächlich erreichbare Adressfamilie. Element ist ein Client, kein Ersatz für den Homeserver. Halten Sie einen unabhängigen Administratorweg und einen Wiederherstellungskontakt außerhalb des Homeservers bereit.
- Wählen Sie eine unterstützte Synapse-Version und ein für den Produktivbetrieb geeignetes PostgreSQL-Deployment.
- Halten Sie die Datenbank- und Administrations-Listener privat.
- Legen Sie die Registrierungs- und Föderationsrichtlinie ausdrücklich fest.
Offizielle Dokumentation: Synapse-Installation · Matrix-Delegierung
Bauen Sie Discovery und den Proxy als Teil des Dienstes auf
Generieren Sie die Konfiguration für die ausgewählte Version, persistieren Sie den Signaturschlüssel und die Datenbank und konfigurieren Sie den Proxy gemäß der offiziellen Synapse-Anleitung. Der extern sichtbare Origin, die weitergeleiteten Header und die Anforderungspfade müssen übereinstimmen. Wenn Delegation verwendet wird, stellen Sie die erforderlichen Well-Known-Dokumente von der Identitätsdomäne bereit. Geben Sie den rohen internen API-Port nicht frei, um einen Proxy-Fehler zu beheben. Halten Sie Registrierungsgeheimnisse aus der Konfiguration des Browser-Clients heraus.
Offizielle Dokumentation: Synapse-Reverse-Proxy
Testen Sie eine Client-Sitzung und eine Föderationssitzung
Erstellen Sie ein Testkonto, verbinden Sie einen unterstützten Client, senden Sie eine lokale Nachricht und laden Sie eine kleine Datei hoch. Prüfen Sie die Client-Erkennung unabhängig von der Föderations-Erkennung und testen Sie dann einen Raum mit einem anderen zulässigen Server, falls Föderation beabsichtigt ist. Üben Sie in einem verschlüsselten Raum die Verifizierung und den Schlüsselwiederherstellungsablauf des Clients. Ein Homeserver-Backup stellt nicht automatisch jeden clientseitig gehaltenen Entschlüsselungsschlüssel wieder her. Erläutern Sie, welche Metadaten der Server speichert und welche Räume verschlüsselt sind.
# Discovery checks use your identity domain and HTTPS:
curl --fail https://example.com/.well-known/matrix/client
curl --fail https://example.com/.well-known/matrix/serverNutzen Sie die Fehlerstelle, um die Reparatur einzugrenzen
Wenn Element den Server nicht ermitteln kann, prüfen Sie die Well-known-Antwort des Clients und den TLS-Ursprung. Wenn lokales Messaging funktioniert, aber die Föderation fehlschlägt, prüfen Sie Föderationsdelegation, erreichbare Adressen, Zertifikate und Richtlinien. Wiederholte Medienfehler können Upload-Limits oder Speicher betreffen. Bewahren Sie Datenbank, Medien, Konfiguration und Signaturschlüssel konsistent auf; testen Sie die Wiederherstellung zuerst ohne aktivierte Föderation, damit eine Übung keine konkurrierende Kopie der Produktionsidentität erzeugt.