Scegli il nome del server
Il nome del server visibile all'utente può essere difficile da modificare in seguito. Comprendi la delega e i record well-known usati dalla tua distribuzione. Verifica l'individuazione del client e la federazione anziché presumere che un accesso web riuscito dimostri entrambe.
Usa uno stack supportato
Synapse usa comunemente PostgreSQL per i dati di produzione, con servizi di supporto che dipendono dalla scala e dalla configurazione. Segui le raccomandazioni upstream attuali. Mantieni i timeout di worker, database e reverse proxy compatibili con il carico.
Mantieni accurate le dichiarazioni sulla crittografia
La crittografia end-to-end protegge i contenuti nelle stanze crittografate supportate tra i client partecipanti. L'homeserver può comunque elaborare metadati e contenuti non crittografati. Il backup delle chiavi del client, la verifica e il recupero dell'account richiedono una spiegazione a sé.
Mantieni l'istanza
Limita la registrazione quando opportuno, proteggi le interfacce amministrative e a segreto condiviso e imposta una conservazione deliberata di media ed eventi. Esegui il backup di database, configurazione e chiavi di firma in modo coerente, poi verifica il ripristino.
Testa separatamente il client e i percorsi di federazione
Un client come Element raggiunge il API client dell'homeserver, mentre gli altri homeserver usano la discovery e gli endpoint di federazione. Una modifica al reverse proxy può rompere uno lasciando funzionante l'altro. Prova un nuovo account, una stanza locale e una stanza federata autorizzata, poi verifica il comportamento di cifratura e ripristino dal client.
Documentazione ufficiale: Guida all'installazione attuale di Synapse
Conserva il materiale d'identità durevole
Il database non è l'intera identità dell'homeserver. Conserva la chiave di firma e la configurazione e i segreti pertinenti con un backup coerente. Controlla quali media esterni e cronologia vengono conservati e imposta una policy adatta alla tua community. Monitora l'archiviazione e le code dei worker prima che la crescita diventi un'interruzione.
Separa il nome dell'account dall'endpoint di hosting
Decidi il server_name di Matrix prima della creazione dell'account: diventa parte degli identificatori di utenti e stanze. L'hostname web che serve Synapse può differire quando discovery/delegation sono configurati correttamente. Pianifica sia la discovery del client sia quella server-to-server, un certificato valido e la famiglia di indirizzi effettivamente raggiungibile. Element è un client, non un sostituto dell'homeserver. Mantieni un percorso amministratore indipendente e un contatto di recupero esterno all'homeserver.
- Scegli una release Synapse supportata e un deployment PostgreSQL adeguato alla produzione.
- Mantieni privati il database e i listener amministrativi.
- Definisci esplicitamente la policy di registrazione e federazione.
Documentazione ufficiale: Installazione di Synapse · Delega Matrix
Costruisci discovery e proxy come parte del servizio
Genera la configurazione per la release selezionata, conserva la chiave di firma e il database e configura il proxy secondo le indicazioni ufficiali di Synapse. L'origine visibile esternamente, gli header inoltrati e i percorsi delle richieste devono coincidere. Se si usa la delega, servi i documenti well-known richiesti dal dominio di identità. Non esporre la porta interna grezza API per risolvere un errore del proxy. Tieni i segreti di registrazione fuori dalla configurazione del client browser.
Documentazione ufficiale: Reverse proxy Synapse
Verifica una sessione client e una sessione di federazione
Crea un account di test, collega un client supportato, invia un messaggio locale e carica un piccolo file. Verifica l'individuazione del client indipendentemente dall'individuazione della federazione, poi prova una stanza con un altro server consentito se la federazione è prevista. In una stanza cifrata, prova la verifica e il flusso di recupero delle chiavi del client. Il backup dell'homeserver non ripristina automaticamente ogni chiave di decifratura detenuta dal client. Spiega quali metadati conserva il server e quali stanze sono cifrate.
# Discovery checks use your identity domain and HTTPS:
curl --fail https://example.com/.well-known/matrix/client
curl --fail https://example.com/.well-known/matrix/serverUsa la posizione dell'errore per circoscrivere la riparazione
Se Element non riesce a scoprire il server, ispeziona la risposta well-known del client e l'origine TLS. Se la messaggistica locale funziona ma la federazione fallisce, ispeziona la delega di federazione, gli indirizzi raggiungibili, i certificati e la policy. Ripetuti errori sui media possono coinvolgere limiti di caricamento o archiviazione. Conserva in modo coerente database, media, configurazione e chiavi di firma; verifica prima il ripristino senza federazione abilitata, così un esercizio non crea una copia concorrente dell'identità di produzione.