Orang melakukan self-hosting Matrix untuk menghentikan sebuah perusahaan dari menyimpan percakapan mereka, dan bagian itu memang berhasil persis seperti yang dijanjikan. Yang mengejutkan Anda belakangan adalah bentuk sebenarnya dari apa yang baru saja Anda instal: sebuah homeserver bukan kotak pribadi yang kebetulan bisa mengobrol. Ia adalah node replikasi dalam jaringan publik, dan federation berperilaku jauh lebih mirip protokol penerbitan daripada yang diperkirakan kebanyakan admin baru.
Semua itu bukan alasan untuk tidak menjalankannya — justru itulah alasan untuk menjalankannya secara sengaja. Privasi yang Anda dapatkan nyata namun spesifik: kendali penuh berpindah ke tangan Anda, akun Anda tidak bisa ditutup oleh pihak lain, dan persoalan hukum jatuh ke yurisdiksi yang Anda pilih sendiri, bukan yang dipilih sebuah perusahaan. Privasi yang tidak Anda dapatkan sama spesifiknya, dan hampir semuanya berada pada celah antara "pesan sudah terenkripsi" dan "tidak ada yang bisa tahu siapa berbicara dengan siapa". Panduan ini membahas kedua sisi tersebut, lalu detail operasional yang menentukan apakah server Anda masih sehat setahun dari sekarang.
Apa yang sebenarnya berubah saat Anda menjalankan homeserver sendiri
Mulailah dengan memilah ancamannya, karena homeserver menjawab sebagian ancaman sepenuhnya, sebagian lagi hanya sebagian, dan sebagian lainnya sama sekali tidak. Tabel di bawah ini adalah versi jujur dari klaim tersebut, dan layak Anda baca sebelum memilih perangkat keras, bukan sesudahnya.
| Apa yang Anda khawatirkan | Apakah homeserver Anda sendiri mengatasinya? |
|---|---|
| Perusahaan membaca isi pesan Anda | Enkripsi ujung ke ujung sudah menangani ini di ruang privat — dan ya, self-hosting turut menyingkirkan perusahaan tersebut |
| Perusahaan memprofilkan dengan siapa dan kapan Anda mengobrol | Sebagian. Anda berhenti memberi makan satu operator pusat, dan server Anda sendiri kini yang menyimpan catatan itu |
| Akun ditutup atau ditangguhkan oleh pihak lain | Ya. Keuntungan paling jelas dari seluruh upaya ini, dan yang paling jarang dibahas |
| Permintaan hukum atas data Anda | Berpindah, bukan menghilang. Permintaan itu kini sampai ke Anda, di bawah hukum negara yang Anda pilih |
| Pihak lain mempelajari jejaring sosial Anda | Tidak. Setiap server dengan anggota di ruang tersebut menerima data keanggotaan yang sama dengan yang Anda terima |
| Menyembunyikan keberadaan server itu sendiri | Tidak. Federation membutuhkan nama publik dan port yang dapat dijangkau; ini kebalikan dari tersembunyi |
Bacalah dua baris terakhir dengan saksama, karena di situlah ekspektasi biasanya meleset. Jika tujuan Anda adalah agar tidak seorang pun bisa memastikan sebuah layanan itu ada, Matrix adalah alat yang salah, dan layanan onion lebih mendekati alat yang tepat. Jika tujuan Anda adalah kendali, kontrol, dan yurisdiksi, homeserver adalah instrumen yang sangat baik, dan sisa panduan ini membahas cara menjalankannya dengan benar.
Federation adalah protokol replikasi yang berbaju protokol chat
Inilah mekanisme yang menjelaskan sebagian besar kejutan. Ketika salah satu pengguna Anda bergabung ke ruang yang dihosting di tempat lain, server Anda tidak mengambil pesan sesuai permintaan seperti klien email. Server Anda bergabung ke ruang tersebut sebagai peserta dalam graf peristiwa terdistribusi, lalu menarik dan menyimpan salinan dari peristiwa ruang tersebut, daftar keanggotaannya, serta riwayat status yang cukup untuk memvalidasi apa yang terjadi berikutnya. Sejak saat itu mesin Anda menyimpan sebuah replika, dan setiap server peserta lain juga menyimpannya.
Konsekuensinya berlaku dua arah, dan tak satu pun terasa intuitif. Data yang dihasilkan pengguna Anda — nama tampilan, avatar, bergabung dan keluar, cap waktu, reaksi — disalin ke setiap server yang memiliki anggota di ruang tersebut, dan tetap tersimpan di basis data mereka terlepas dari apa pun yang belakangan Anda hapus di server Anda sendiri. Redaction hanyalah permintaan kepada rekan sejawat, bukan perintah. Tidak ada "unsend" lintas federation dari server-server yang dioperasikan secara independen, dan mengharapkan hal itu ada adalah kesalahpahaman paling umum tentang protokol ini.
Di arah sebaliknya, bergabung ke ruang publik besar berarti mengimpor riwayat milik orang lain ke disk Anda. Inilah sebabnya homeserver yang baru saja dipasang dengan tiga pengguna bisa memiliki basis data puluhan gigabita: bukan karena ketiga pengguna Anda menulis banyak, melainkan karena mereka bergabung ke ruang dengan lima puluh ribu anggota dan riwayat status bertahun-tahun. Memilih ruang secara sengaja adalah keputusan kapasitas sama besarnya dengan keputusan privasi.
Apa yang dilindungi enkripsi, dan apa yang tetap terbuka
Matrix mengenkripsi isi pesan dengan Megolm, dan di ruang privat fitur ini aktif secara default. Itu melindungi bagian yang paling diperhatikan orang, dan itu sungguh berfungsi — server Anda hanya menyimpan ciphertext yang tidak bisa ia baca sendiri, sebuah properti yang nyata dan berguna ketika server itu adalah perangkat keras sewaan. Namun amplop di sekitar pesan tersebut adalah cerita lain, dan celahnya lebih lebar daripada yang diakui kebanyakan ringkasan.
| Sinyal | Terenkripsi? | Terlihat oleh |
|---|---|---|
| Teks pesan dan isi berkas | Ya | Hanya perangkat terverifikasi milik anggota ruang |
| Siapa saja yang ada di ruang, serta setiap kali ada yang bergabung atau keluar | Tidak | Setiap homeserver dengan anggota di ruang tersebut |
| Cap waktu, frekuensi pesan, jam aktivitas | Tidak | Setiap homeserver peserta |
| Nama tampilan, avatar, status kehadiran dan status mengetik | Tidak | Setiap homeserver peserta |
| Nama ruang, topik, dan avatar | Tidak | Setiap homeserver peserta |
| Ukuran lampiran dan waktu pengiriman berkas | Tidak | Setiap homeserver peserta |
| Domain server Anda dan alamat IP-nya | Tidak | Seluruh federation — ini memang disengaja |
Bacaan praktisnya: enkripsi melindungi apa-nya, federation mempublikasikan siapa, kapan, dan seberapa sering. Bagi kebanyakan komunitas, kompromi ini sepenuhnya bisa diterima, dan kejujuran itulah intinya. Namun untuk model ancaman di mana jejaring sosial itu sendiri adalah bagian yang sensitif, protokol federated secara struktural adalah bentuk yang salah, dan tidak ada opsi konfigurasi yang bisa mengubahnya.
Synapse, Dendrite, atau Conduit — mana yang sebaiknya Anda jalankan
Ada tiga implementasi yang benar-benar relevan dalam praktik, dan pilihannya lebih merupakan keputusan sumber daya daripada keputusan filosofis.
- Synapse adalah server acuan, ditulis dalam Python, dan satu-satunya yang seluruh fiturnya langsung berfungsi sejak hari pertama. Ia juga yang paling rakus: memori bertambah seiring jumlah dan ukuran ruang yang diikuti pengguna Anda, dan server yang sibuk pada akhirnya perlu dipecah menjadi proses worker. Pilih Synapse jika Anda membutuhkan spaces, perkakas moderasi, bridge, dan admin API yang berperilaku persis seperti yang didokumentasikan.
- Dendrite adalah penulisan ulang dalam Go. Jauh lebih ringan daripada Synapse dan sangat layak dipakai untuk server kecil, dengan konsekuensi sejumlah fitur yang tertinggal. Pilihan tengah yang masuk akal saat Synapse terasa berat untuk jumlah orang yang sebenarnya Anda layani.
- Conduit dan fork-nya yang aktif dikembangkan,
conduwuit, ditulis dalam Rust dan dikirim sebagai satu binari tunggal dengan basis data tertanam. Keduanya menjalankan server keluarga atau komunitas kecil dengan lancar bahkan pada paket termurah yang kami jual. Konsekuensinya adalah ekosistem yang lebih kecil: sejumlah perkakas admin dan beberapa bridge mengasumsikan Synapse.
Untuk server pertama dengan segelintir pengguna, perangkat lunak keluarga Conduit di atas VPS kecil adalah jalur paling minim masalah menuju sesuatu yang berfungsi dan tetap murah. Untuk apa pun yang Anda perkirakan akan berkembang — komunitas publik, perusahaan, proyek dengan bridge — mulailah langsung dengan Synapse dan lewati migrasinya, karena berpindah antar-implementasi belakangan berarti proses ekspor dan membangun ulang, bukan sekadar mengubah konfigurasi.
Pengaturan delegasi yang selalu salah dilakukan semua orang
Matrix memisahkan nama dalam ID pengguna Anda dari mesin yang benar-benar melayani lalu lintasnya, dan membalik urutan ini adalah kesalahan permanen paling umum dalam self-hosting. server_name Anda adalah domain yang muncul setelah tanda titik dua pada setiap ID pengguna di server Anda. Ia menjadi bagian dari identitas Anda dalam federation sejak peristiwa pertama ditandatangani, dan tidak dapat diubah setelahnya tanpa meninggalkan seluruh akun dan ruang di mesin tersebut.
Pengaturan yang hampir selalu Anda inginkan: server_name adalah domain polos Anda, sementara perangkat lunaknya berjalan di subdomain. Anda menghubungkan keduanya lewat delegasi, dengan salah satu dari dua cara. Cara sederhana adalah berkas JSON statis yang disajikan di /.well-known/matrix/server pada domain polos tersebut, menyebutkan host dan port yang sesungguhnya. Alternatifnya adalah rekaman DNS, _matrix._tcp, yang menunjuk ke tempat yang sama. Sajikan juga berkas sisi klien di /.well-known/matrix/client, agar aplikasi bisa menemukan homeserver hanya dari sebuah alamat.
Tentukan namanya sebelum Anda memasang apa pun. Menetapkan server_name ke subdomain hanya karena di situlah perangkat lunaknya kebetulan berjalan adalah kesalahan klasik, dan itu tidak bisa dibatalkan: setiap ID pengguna, ID ruang, dan peristiwa yang ditandatangani membawanya untuk selamanya. Pilihlah domain yang ingin Anda cetak di kartu nama, delegasikan ke mana pun proses itu sebenarnya mendengarkan, dan jaga TLS tetap valid pada kedua nama tersebut — kegagalan sertifikat pada host yang didelegasikan akan menjatuhkan federation meski aplikasinya terlihat baik-baik saja secara lokal.
Menghitung kapasitas secara jujur
Dalam operasi normal, Matrix tidak dibatasi oleh CPU; ia dibatasi oleh memori dan perilaku basis data. Angka yang dipublikasikan untuk Synapse adalah patokan bawah yang berguna: kira-kira 2 GB RAM untuk memulai, sekitar 4 GB begitu Anda memiliki sepuluh hingga lima puluh pengguna aktif, dan 8 GB atau lebih di atas seratus pengguna. Server keluarga Conduit berada jauh di bawah angka itu. Yang tidak disebutkan oleh angka-angka tersebut adalah bahwa konsumsi memori mengikuti ruang yang diikuti, bukan jumlah orang yang terdaftar — lima pengguna di seratus ruang publik besar menghabiskan jauh lebih banyak sumber daya daripada lima puluh pengguna di segelintir ruang privat.
Ada dua aturan praktis yang mengikuti hal ini. Tempatkan basis data pada penyimpanan cepat dan beri ruang untuk bertumbuh, karena pola penulisannya kecil dan konstan, bukan meledak sesekali. Dan jangan menghitung kapasitas berdasarkan jumlah pengguna hari ini: hitunglah berdasarkan ruang yang akan diikuti pengguna tersebut pada bulan pertama, karena di situlah biasanya kejutan itu bersembunyi. Paket awal kami menampung server Conduit atau Dendrite kecil dengan nyaman, sementara instans Synapse untuk komunitas sungguhan sebaiknya berada pada paket menengah ke atas — halaman hosting chat kami mencantumkan tingkatan yang kami rekomendasikan untuk masing-masing kebutuhan tersebut.
Uptime lebih penting di sini dibandingkan sebagian besar beban kerja lain, karena server chat yang sedang down bukan sekadar tidak tersedia — ia diam-diam kehilangan peristiwa yang akan dicoba ulang oleh rekan sejawat untuk sementara waktu sebelum akhirnya berhenti menawarkannya. Federation cukup toleran terhadap hitungan menit, tetapi tidak memaafkan hitungan hari.
Penyimpanan media adalah bom disk dalam gerak lambat
Setiap gambar, video, dan berkas yang melintasi ruang tempat pengguna Anda berada bisa berakhir tersimpan cache di disk Anda, termasuk media dari server lain yang bahkan tidak pernah dibuka pengguna Anda sendiri. Retensi bawaan di Synapse menyimpannya tanpa batas waktu. Hasilnya bisa ditebak dan tetap saja mengejutkan banyak orang: sebuah server yang basis datanya stabil namun direktori medianya diam-diam membesar sampai volume penuh, dan pada titik itu gejalanya bukan "disk penuh" melainkan "server berperilaku aneh".
Tetapkan kebijakan retensi untuk media dari server lain sejak hari pertama, bukan setelah gangguan pertama terjadi. Synapse menyediakan pengaturan retensi di homeserver.yaml, ditambah endpoint admin untuk membersihkan riwayat lama dan berkas cache; synapse-compress-state mengembalikan ruang yang mengejutkan banyaknya dari tabel status pada server yang sudah lama berjalan. Awasi baik basis data maupun jalur media, dan pasang peringatan pada ruang kosong yang menipis, bukan pada layanan yang sudah down — gejala kedua baru muncul beberapa hari setelah gejala pertama.
Satu pengaturan layak Anda putuskan sendiri, bukan dibiarkan pada nilai bawaan. Pratinjau URL membuat server Anda mengambil tautan apa pun yang diposting di sebuah ruang, yang berarti alamat IP server Anda melakukan permintaan keluar ke pihak ketiga persis saat seseorang menempelkan sebuah tautan — termasuk tautan yang sengaja dipilih untuk melihat siapa yang tertarik mengkliknya. Jika homeserver Anda berada di belakang sebuah front dan alamat aslinya penting untuk dijaga, pertimbangkan hal ini masak-masak; panduan kami tentang menyembunyikan alamat origin membahas jenis kebocoran yang sama secara lebih rinci.
Registrasi, spam, dan reputasi yang Anda warisi
Registrasi terbuka pada homeserver publik adalah sebuah undangan, dan bukan jenis undangan yang Anda inginkan. Pendaftaran otomatis mengubah server kecil menjadi sumber spam hanya dalam hitungan hari, dan konsekuensinya tidak berhenti di server Anda saja: homeserver lain menambahkan domain Anda ke daftar kontrol akses, dan begitu nama Anda masuk ke cukup banyak daftar tersebut, pengguna sah Anda pun berhenti bisa berpartisipasi di ruang-ruang lain. Memulihkan reputasi domain yang sudah terbakar jauh lebih sulit daripada mencegahnya sejak awal, persis seperti pada keterkiriman email.
Pengaturan bawaan yang aman sebenarnya sederhana. Biarkan enable_registration nonaktif untuk server privat dan buatkan akun sendiri untuk pengguna Anda. Jika Anda ingin pintunya tetap terbuka, kunci dengan gerbang: registration_requires_token mengubah registrasi menjadi sistem undangan tanpa memerlukan layanan pihak ketiga mana pun, dan captcha membantu menahan gangguan kelas kasar. Untuk ruang yang Anda kelola, bot moderasi dari keluarga Mjolnir dan Draupnir memungkinkan Anda menerapkan daftar larangan dan ACL ruang ke seluruh komunitas sekaligus, bukan satu per satu ruang.
Perlu Anda ketahui dari sisi sebaliknya: rentang alamat kami tidak tercantum di daftar blokir ACL Matrix yang beredar antar-homeserver, sehingga server baru Anda memulai dengan reputasi bersih. Apa yang terjadi pada reputasi itu setelahnya ditentukan oleh cara Anda menjalankan registrasi, bukan oleh lokasi mesinnya.
Bridge, dan tagihan metadata yang menyertainya
Bridge adalah alasan jujur mengapa banyak orang bertahan di Matrix: satu klien untuk ruang-ruang yang sebenarnya berada di jaringan lain. Bridge juga mengubah posisi keamanan server Anda dengan cara yang mudah terlewat begitu saja. Sebuah bridge menyimpan kredensial untuk akun di jaringan lain, dan pada titik pertemuan kedua protokol, ia mau tidak mau menangani pesan dalam bentuk yang bisa ia konversi — yang berarti proses bridge tersebut melihat plaintext untuk lalu lintas yang sebenarnya terenkripsi ujung ke ujung di kedua sisinya.
Itu bukan alasan untuk menghindari bridge. Itu alasan untuk memperlakukan host tempat bridge berjalan sebagai infrastruktur sensitif: itulah mesin yang, jika disusupi, membocorkan akun-akun yang diwakilinya. Setiap bridge kira-kira melipatgandakan jejak memori server kecil, jadi rencanakan kapasitas Anda sesuai itu, dan berikan pertimbangan yang sama tentang di mana ia berjalan seperti yang Anda berikan pada homeserver itu sendiri — alasan dalam panduan yurisdiksi kami berlaku lebih kuat lagi untuk mesin yang menyimpan kredensial dari beberapa jaringan sekaligus.
Menjaganya tetap hidup: kunci, backup, dan pembaruan
Sebuah server Matrix memiliki satu berkas yang kehilangannya tidak dapat dipulihkan dengan cara yang sama sekali tidak berkaitan dengan volume data. Signing key — signing.key di Synapse — adalah cara server Anda membuktikan bahwa peristiwa yang mengaku berasal dari domain Anda memang benar berasal dari sana. Kehilangan berkas ini berarti server Anda tidak lagi bisa secara kredibel disebut milik Anda; rekan sejawat akan menolak peristiwa yang ditandatangani oleh orang asing yang memegang nama Anda. Cadangkan berkas ini secara terpisah dari yang lain, dan simpan salinannya di luar mesin tersebut.
Cadangkan kunci dan basis data, dan pahami mengapa memulihkan salah satunya tanpa yang lain berbahaya. Mengembalikan basis data Matrix ke snapshot yang lebih lama menempatkan server Anda pada status yang sudah dilewati oleh rekan sejawatnya, dan perbedaan yang muncul akibatnya jauh lebih sulit diperbaiki daripada membangun ulang dari nol. Ambil dump yang konsisten dengan pg_dump, simpan di luar mesin, dan ingat bahwa di platform ini tidak ada salinan dari penyedia yang bisa Anda andalkan — tidak ada apa pun yang disimpan setelah terminasi, yang memang menjadi inti dari kesepakatan ini dan dibahas dalam panduan backup kami.
Pembaruan adalah hal biasa namun bukan opsional. Rilis homeserver membawa migrasi skema, dan melewatkan banyak versi sekaligus mengubah pembaruan lima menit menjadi pekerjaan semalaman. Bacalah catatan rilis sebelum melompat versi, perbarui cukup rutin agar setiap langkahnya kecil, dan lakukan kebersihan dasar host dari daftar periksa pengerasan jam pertama — server chat adalah layanan yang menghadap internet dan berjalan lama dengan basis data terpasang, dan ia pantas mendapat perlakuan yang sama seperti itu.
Lokasi server tetap yang menentukan hasil akhirnya
Semua yang disebutkan di atas adalah konfigurasi. Bagian yang tidak bisa disentuh oleh konfigurasi adalah sistem hukum mana yang menerima permintaan tentang pengguna Anda, dan untuk server komunikasi, pertanyaan itu punya bobot lebih besar dibandingkan untuk sebuah situs web biasa. Homeserver menyimpan catatan keanggotaan, cap waktu, dan data jejaring sosial secara terbuka meskipun isi pesannya terenkripsi — sehingga yurisdiksi tempat ia dihosting adalah yurisdiksi yang mengatur akses ke catatan tersebut.
Itulah alasan praktis untuk memilih lokasi secara sengaja, bukan sekadar berdasarkan latensi. Kami mengoperasikan tujuh yurisdiksi, dan trade-off di antara semuanya dijabarkan dalam panduan yurisdiksi dan pada halaman lokasi. Separuh lainnya dari pertanyaan yang sama adalah siapa yang diketahui penyedia sebagai diri Anda: akun tanpa identitas yang melekat tidak bisa menghasilkan dokumen identitas yang memang tidak pernah dikumpulkan, yang menjadi alasan sederhana mengapa hosting tanpa KYC dan komunikasi self-hosted terus muncul dalam percakapan yang sama. Tak satu pun dari keduanya menjadi pembelaan terhadap pengadilan yang sudah mengetahui nama Anda, dan panduan OpSec kami berterus terang soal di mana batas itu berada.
Ringkasannya
Jika Anda hanya mengambil enam hal dari halaman ini, ambillah yang berikut:
- Tentukan
server_namesebelum memasang apa pun — ini satu-satunya keputusan yang tidak pernah bisa Anda revisi. - Delegasikan dengan
/.well-known/matrix/serveratau rekaman SRV, dan jaga TLS tetap valid pada kedua nama. - Hitung kapasitas berdasarkan ruang yang akan diikuti pengguna Anda, bukan berapa banyak pengguna yang Anda miliki.
- Tetapkan retensi media sejak hari pertama, dan putuskan sendiri soal pratinjau URL alih-alih mewarisi nilai bawaan.
- Jaga registrasi tetap tertutup atau berpagar token; reputasi domain yang sudah terbakar mahal untuk dipulihkan.
- Cadangkan
signing.keysecara terpisah, dan jangan pernah mengembalikan basis data ke versi lama di belakang rekan sejawat Anda.
Lakukan itu semua dan server Anda akan biasa-biasa saja, dan itulah justru yang seharusnya dimiliki sebuah server chat. Yang Anda dapatkan sebagai gantinya patut dipahami secara jernih: bukan ketidakterlihatan, dan bukan pula protokol yang menyembunyikan siapa berbicara dengan siapa, melainkan percakapan yang isinya benar-benar milik Anda, akun yang tidak bisa ditutup siapa pun selain Anda, dan mesin yang berada di bawah sistem hukum yang Anda pilih dengan sengaja. Tempatkan homeserver Anda di lokasi pilihan Anda sendiri, dan biarkan federation yang datang ke sana.