Ein gehärteter Matrix Synapse Server mit Element Web Client für Community-Betrieb.

git clone https://github.com/DEIN_USER/matrix-server.git
cd matrix-server

cp .env.example .env

Bearbeite .env und setze alle Werte:

# Secrets generieren
openssl rand -base64 32  # Für jedes Secret einmal ausführen

Benötigte Variablen:

• DOMAIN, MATRIX_DOMAIN, ELEMENT_DOMAIN - Deine Domains
• POSTGRES_PASSWORD - Datenbank-Passwort
• SYNAPSE_*_SECRET - Synapse-Secrets
• SMTP_HOST, SMTP_PORT, SMTP_USER, SMTP_PASS - E-Mail-Versand

./setup.sh

Das Script:

• Validiert die .env Konfiguration
• Generiert alle Konfigurationsdateien aus Templates
• Erstellt den Synapse Signing Key
• Setzt die Berechtigungen

sudo cp Caddyfile /etc/caddy/Caddyfile
sudo systemctl reload caddy

docker compose up -d

./scripts/create-user.sh admin --admin

matrix/
├── docker-compose.yml       # Docker-Konfiguration
├── .env.example             # Template für Umgebungsvariablen
├── .env                     # Deine Konfiguration (nicht im Git!)
├── setup.sh                 # Setup-Script
├── templates/               # Konfigurationsvorlagen
│   ├── homeserver.yaml.template
│   ├── element-config.json.template
│   └── Caddyfile.template
├── scripts/                 # Hilfsskripte
│   ├── backup.sh
│   ├── restore.sh
│   └── create-user.sh
├── synapse-data/            # Synapse-Daten (nicht im Git!)
├── postgres-data/           # PostgreSQL-Daten (nicht im Git!)
└── redis-data/              # Redis-Daten (nicht im Git!)

• .env - Enthält alle Secrets und Passwörter
• synapse-data/ - Signing Keys, Datenbank, Medien
• postgres-data/ - PostgreSQL-Daten
• redis-data/ - Redis-Daten

• Registrierung nur mit Token und E-Mail-Verifizierung
• Starke Passwort-Policy (12+ Zeichen, Sonderzeichen, Zahlen)
• Rate Limiting gegen Brute-Force
• Keine externen Ports (nur über Caddy)
• HTTPS mit Security Headers

Da die öffentliche Registrierung deaktiviert ist, können neue Benutzer nur per Einladungs-Token beitreten.

curl -X POST "https://MATRIX_DOMAIN/_synapse/admin/v1/registration_tokens/new" \
  -H "Authorization: Bearer <ADMIN_ACCESS_TOKEN>" \
  -H "Content-Type: application/json" \
  -d '{"uses_allowed": 1}'

Schicke dem neuen Nutzer:

1. Registrierungs-Link: https://ELEMENT_DOMAIN/#/register?registrationToken=DEIN_TOKEN
2. Der Nutzer muss seine E-Mail-Adresse verifizieren

# Cronjob einrichten (täglich 3:00 Uhr)
echo "0 3 * * * $(pwd)/scripts/backup.sh" | sudo crontab -

./scripts/backup.sh

./scripts/restore.sh /opt/matrix-backups/matrix-backup-DATUM.tar.gz

docker compose pull
docker compose up -d

docker compose logs -f synapse

docker compose ps

# Normaler Benutzer
./scripts/create-user.sh username

# Admin
./scripts/create-user.sh admin --admin

MIT