matrix

Reviewed-on: #4

.env.example

@@ -1,3 +1,4 @@
 BESZEL_HUB_URL=http://mon.localhost
 NEXTCLOUD_DOMAIN=cld.localhost
 GITEA_URL=http://git:3000
+RUSTDESK_DOMAIN=sup.local

.gitea/workflows/deploy.yaml

@@ -23,6 +23,7 @@ jobs:
           ssh_host: ${{ secrets.SSH_HOST }}
 
       - name: 📦 Create backup of data/ folder
+        if: ${{ vars.DEPLOY_BACKUP_ENABLED == 'true' }}
         env:
           SSHPASS: ${{ secrets.SSH_PASSWORD }}
           SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
@@ -42,13 +43,13 @@ jobs:
             echo "Creating backup of data/ into \${BACKUP_FILE}..."
             
             if [ -d "data" ]; then
-              echo "\$SSHPASS" | sudo -S tar -czf "\${BACKUP_FILE}" data
+              echo "$SSHPASS" | sudo -S tar -czf "\${BACKUP_FILE}" data
               echo "✅ Backup created successfully!"
             else
               echo "⚡️ No data/ folder, backup creation skipped."
             fi
 
-            echo "\$SSHPASS" | sudo -S find backups/ -type f -name "backup-*.tar.gz" -mtime +7 -delete
+            echo "$SSHPASS" | sudo -S find backups/ -type f -name "backup-*.tar.gz" -mtime +7 -delete
           EOT
 
       - name: 🏗️ Create docker-compose file
@@ -66,7 +67,50 @@ jobs:
              cat > \"docker-compose-$REF_NAME.yml\"" \
             < docker-compose.yml
 
-      - name: 🔐 Create secrets and envs
+      - name: 🧩 Prepare configs
+        env:
+          MATRIX_SERVER_NAME: ${{ vars.MATRIX_SERVER_NAME }}
+          MATRIX_PUBLIC_BASEURL: ${{ vars.MATRIX_PUBLIC_BASEURL }}
+          ELEMENT_WEB_URL: ${{ vars.ELEMENT_WEB_URL }}
+          SYNAPSE_POSTGRES_PASSWORD: ${{ secrets.SYNAPSE_POSTGRES_PASSWORD }}
+          SYNAPSE_REGISTRATION_SHARED_SECRET: ${{ secrets.SYNAPSE_REGISTRATION_SHARED_SECRET }}
+        run: |
+          rm -rf .deploy
+
+          python3 - << 'PY'
+          import json
+          import os
+          from pathlib import Path
+
+          replacements = {
+              "MATRIX_SERVER_NAME": os.environ["MATRIX_SERVER_NAME"],
+              "MATRIX_PUBLIC_BASEURL": os.environ["MATRIX_PUBLIC_BASEURL"].rstrip("/") + "/",
+              "ELEMENT_WEB_LOCATION": os.environ["ELEMENT_WEB_URL"].rstrip("/") + "/",
+              "SYNAPSE_POSTGRES_PASSWORD": os.environ["SYNAPSE_POSTGRES_PASSWORD"],
+              "SYNAPSE_REGISTRATION_SHARED_SECRET": os.environ["SYNAPSE_REGISTRATION_SHARED_SECRET"],
+          }
+
+          def render(template_path, output_path):
+              config = template_path.read_text(encoding="utf-8")
+              for key, value in replacements.items():
+                  config = config.replace(f"__{key}__", json.dumps(value))
+              output_path.parent.mkdir(parents=True, exist_ok=True)
+              output_path.write_text(config, encoding="utf-8")
+
+          render(
+              Path("config/synapse/homeserver.yaml.template"),
+              Path(".deploy/secrets/synapse_homeserver_config.yaml"),
+          )
+          render(
+              Path("config/element/config.json.template"),
+              Path(".deploy/secrets/element_config.json"),
+          )
+          PY
+
+          find .deploy -type d -exec chmod 700 {} \;
+          find .deploy -type f -exec chmod 644 {} \;
+
+      - name: 🔐 Create env, secrets and config
         env:
           SSHPASS: ${{ secrets.SSH_PASSWORD }}
           SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
@@ -79,7 +123,15 @@ jobs:
           GITEA_URL: ${{ vars.GIT_URL }}
           VAULTWARDEN_ADMIN_TOKEN: ${{ secrets.VAULTWARDEN_ADMIN_TOKEN }}
           NEXTCLOUD_DOMAIN: ${{ vars.NEXTCLOUD_DOMAIN }}
+          RUSTDESK_DOMAIN: ${{ vars.RUSTDESK_DOMAIN }}
+          POSTGRES_ADMIN_PASSWORD: ${{ secrets.POSTGRES_ADMIN_PASSWORD }}
+          SYNAPSE_POSTGRES_PASSWORD: ${{ secrets.SYNAPSE_POSTGRES_PASSWORD }}
         run: |
+          tar -C .deploy -czf - secrets | sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" \
+            "mkdir -p \"$DEPLOY_DIRECTORY\" && \
+             cd \"$DEPLOY_DIRECTORY\" && \
+             tar -xzf -"
+
           sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
             set -e
             cd "$DEPLOY_DIRECTORY"
@@ -88,6 +140,7 @@ jobs:
           BESZEL_HUB_URL=$BESZEL_HUB_URL
           NEXTCLOUD_DOMAIN=$NEXTCLOUD_DOMAIN
           GITEA_URL=$GITEA_URL
+          RUSTDESK_DOMAIN=$RUSTDESK_DOMAIN
           EOF_ENV
 
             mkdir -p secrets
@@ -108,16 +161,75 @@ jobs:
           $VAULTWARDEN_ADMIN_TOKEN
           EOF_SECRET
 
+            cat << 'EOF_SECRET' > secrets/postgres_admin_password.txt
+          $POSTGRES_ADMIN_PASSWORD
+          EOF_SECRET
+
+            cat << 'EOF_SECRET' > secrets/synapse_postgres_password.txt
+          $SYNAPSE_POSTGRES_PASSWORD
+          EOF_SECRET
             chmod 700 secrets
             chmod 600 secrets/*.txt
+            chmod 644 secrets/synapse_homeserver_config.yaml secrets/element_config.json
           EOT
 
+      - name: 🗄️ Initialize databases
+        env:
+          SSHPASS: ${{ secrets.SSH_PASSWORD }}
+          SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
+          SSH_HOST: ${{ secrets.SSH_HOST }}
+          DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
+          REF_NAME: ${{ env.CLEAN_REF_NAME }}
+          DRY_RUN_ENABLED: ${{ vars.DEPLOY_DRY_RUN_ENABLED }}
+        run: |
+          if [ "${DRY_RUN_ENABLED}" = "true" ]; then
+            echo "Dry run enabled, database initialization skipped."
+            exit 0
+          fi
+
+          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
+            set -e
+            cd "$DEPLOY_DIRECTORY"
+
+            docker compose -f "docker-compose-${REF_NAME}.yml" pull db
+            docker compose -f "docker-compose-${REF_NAME}.yml" up -d db
+
+            for attempt in \$(seq 1 30); do
+              if docker compose -f "docker-compose-${REF_NAME}.yml" exec -T db pg_isready -U postgres; then
+                break
+              fi
+
+              if [ "\${attempt}" -eq 30 ]; then
+                echo "PostgreSQL is not ready after 30 attempts."
+                exit 1
+              fi
+
+              sleep 2
+            done
+          EOT
+
+          sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" \
+            "cd \"$DEPLOY_DIRECTORY\" && \
+            docker run --rm -i \
+              --entrypoint /bin/sh \
+              --network vbevdev \
+              -e PGHOST=db \
+              -e PGPORT=5432 \
+              -e PGUSER=postgres \
+              -e PGPASSWORD_FILE=/run/secrets/postgres_admin_password.txt \
+              -e SYNAPSE_POSTGRES_PASSWORD_FILE=/run/secrets/synapse_postgres_password.txt \
+              -v \"$DEPLOY_DIRECTORY/secrets:/run/secrets:ro\" \
+              postgres:16-alpine \
+              -s" < ops/postgres/init-services.sh
+
       - name: 🚀 Run new containers
         env:
           SSHPASS: ${{ secrets.SSH_PASSWORD }}
           SSH_USERNAME: ${{ secrets.SSH_USERNAME }}
           SSH_HOST: ${{ secrets.SSH_HOST }}
           DEPLOY_DIRECTORY: ${{ vars.DEPLOY_DIRECTORY }}
+          DEPLOY_LOG_FILE: /tmp/deploy-${{ env.CLEAN_REF_NAME }}.log
+          DRY_RUN_ENABLED: ${{ vars.DEPLOY_DRY_RUN_ENABLED }}
           REF_NAME: ${{ env.CLEAN_REF_NAME }}
           TELEGRAM_TOKEN: ${{ secrets.TELEGRAM_DEPLOY_BOT_TOKEN }}
           TELEGRAM_CHAT: ${{ secrets.TELEGRAM_DEPLOY_CHAT_ID }}
@@ -128,7 +240,6 @@ jobs:
           FAILURE_MESSAGE: |-
             ❌ <b>Ошибка деплоя!</b>
             Релиз: <code>${{ gitea.ref_name }}</code>
-          DEPLOY_LOG_FILE: /tmp/deploy-${{ env.CLEAN_REF_NAME }}.log
         run: |
           sshpass -e ssh -p 22 "$SSH_USERNAME@$SSH_HOST" bash -s << EOT
             set -e
@@ -136,8 +247,15 @@ jobs:
 
             nohup bash -c '
               sleep 5
+
+              if [ "${DRY_RUN_ENABLED}" = "true" ]; then
+                DRY_RUN_FLAG="--dry-run"
+              else
+                DRY_RUN_FLAG=""
+              fi
               
-              if docker compose --dry-run -f "docker-compose-${REF_NAME}.yml" up -d --remove-orphans > ${DEPLOY_LOG_FILE} 2>&1; then
+              if docker compose \${DRY_RUN_FLAG} -f "docker-compose-${REF_NAME}.yml" pull > ${DEPLOY_LOG_FILE} 2>&1 && \
+                 docker compose \${DRY_RUN_FLAG} -f "docker-compose-${REF_NAME}.yml" up -d --remove-orphans >> ${DEPLOY_LOG_FILE} 2>&1; then
                 curl -s -X POST "https://api.telegram.org/bot${TELEGRAM_TOKEN}/sendMessage" \
                   --proxy "${PROXY_URL}" \
                   -d "chat_id=${TELEGRAM_CHAT}" \
@@ -158,4 +276,4 @@ jobs:
             ' > /dev/null 2>&1 &
           EOT
 
-          echo "New containers will be started after 5 seconds"
+          echo "New containers will be started after 5 seconds"

.gitignore

@@ -2,4 +2,5 @@
 data
 secrets
 .env
-.DS_Store
+.DS_Store
+.deploy

AGENTS.md

@@ -0,0 +1,90 @@
+# AGENTS.md
+
+Инструкции для AI-агентов и автоматизации, работающих с этим репозиторием.
+
+## Форма проекта
+
+Это Docker Compose инфраструктурный репозиторий. Основные source-файлы:
+
+- `docker-compose.yml`
+- `.env.example`
+- `.gitignore`
+- `.gitea/workflows/*.yaml`
+- `.gitea/actions/*`
+- `ops/*`
+- `README.md`
+- `CHANGELOG.md`
+- `AGENTS.md`
+
+Текущие service aliases в Compose:
+
+```text
+prx
+db
+pwd
+mon
+mon-agent
+cld
+msg
+msg-web
+git
+git-runner
+sup-hbbs
+sup-hbbr
+```
+
+Сохраняйте эти короткие aliases, если пользователь явно не попросил переименовать сервисы и не подтвердил учет deploy-impact.
+
+## Секреты и runtime-данные
+
+Не читайте, не выводите, не пересказывайте, не копируйте и не коммитьте реальные секреты или runtime-данные.
+
+Считайте эти пути sensitive или local-only:
+
+- `.env`
+- `secrets/`
+- `data/`
+- database-файлы вроде `*.sqlite3`, `*.sqlite3-shm`, `*.sqlite3-wal`
+- private keys и сгенерированные service credentials
+- certificates и letsencrypt data
+
+Используйте `.env.example`, `docker-compose.yml` и workflow-файлы как source of truth для имен переменных и секретов. Если задача требует просмотра реальных secret values или runtime-данных, остановитесь и запросите явное разрешение пользователя.
+
+## Правила изменений
+
+- Держите изменения узко привязанными к запрошенному infrastructure-поведению.
+- Не выполняйте destructive-операции против `data/`, `secrets/`, Docker volumes или корня проекта без явного разрешения пользователя.
+- Не запускайте `docker compose down -v`, volume pruning, recursive deletion, database migrations или service resets, если пользователь не запросил именно это.
+- При добавлении или изменении Compose-переменной обновляйте `.env.example`, `README.md` и Gitea deploy workflow, если значение нужно при деплое.
+- При добавлении или изменении Compose-секрета обновляйте блок `secrets:`, создание секретов в deploy workflow, `README.md` и соответствующий service environment.
+- При заметном изменении состава сервисов, Docker image versions, deploy-поведения, backup/restore, переменных, секретов или эксплуатационных правил обновляйте `CHANGELOG.md`.
+- Сохраняйте стиль YAML: короткие service aliases, single quotes там, где они уже используются, и существующую indentation-схему.
+- Избегайте unrelated formatting churn в workflow и Compose-файлах.
+
+## Валидация
+
+Для Compose-изменений запускайте:
+
+```sh
+docker compose config
+```
+
+Для изменений deploy workflow проверяйте затронутые `.gitea/workflows/*.yaml` и подтверждайте, что нужные variables/secrets описаны в `README.md`.
+
+Для documentation-only изменений проверьте, что:
+
+- service names совпадают с `docker-compose.yml`;
+- environment variables совпадают с `.env.example`;
+- secret filenames совпадают с Compose-блоком `secrets:`;
+- заметные изменения отражены в `CHANGELOG.md`;
+- реальные secret values и runtime-данные не попали в документацию.
+
+## Операционный контекст
+
+Деплой запускается вручную через Gitea Actions. Deploy workflow подключается к серверу по SSH, записывает `.env` и `secrets/*.txt`, опционально делает backup удаленного `data/` и стартует контейнеры командой:
+
+```sh
+docker compose -f docker-compose-<ref>.yml up -d --remove-orphans
+```
+
+Workflow может отправлять Telegram-уведомления и прикладывать deploy logs. Изменения deploy-поведения должны учитывать и remote shell commands, и documented Gitea variables/secrets.

CHANGELOG.md

@@ -0,0 +1,147 @@
+# Changelog
+
+Все заметные изменения в инфраструктурном репозитории описываются в этом файле.
+
+Формат ведется вручную на русском языке. В changelog попадают изменения, которые влияют на состав сервисов, версии Docker images, деплой, backup/restore, переменные окружения, секреты и эксплуатационные правила.
+
+## Будущие изменения
+
+Пока нет.
+
+## 2026-09-06
+
+### Добавлено
+
+- Добавлен общий PostgreSQL service `db` на `postgres:16-alpine`.
+- Добавлен Matrix homeserver `msg` на `matrixdotorg/synapse:v1.160.0`.
+- Добавлен браузерный Matrix-клиент `msg-web` на `vectorim/element-web:v1.12.27`.
+- Добавлены шаблоны runtime-конфигов:
+  - `config/synapse/homeserver.yaml.template`;
+  - `config/element/config.json.template`.
+- Добавлен идемпотентный PostgreSQL init script `ops/postgres/init-services.sh` для создания/обновления service users/databases.
+- Добавлены Docker secrets для generated runtime-конфигов:
+  - `synapse_homeserver_config`;
+  - `element_config`.
+
+### Изменено
+
+- Deploy workflow теперь подготавливает Matrix/Element config secrets из Gitea variables/secrets в шаге `Prepare configs`.
+- Deploy workflow теперь создает на сервере generated config secrets в `secrets/`, а не хранит отдельную runtime-директорию `config/`.
+- Deploy workflow теперь перед запуском всего стека поднимает `db` и выполняет PostgreSQL initialization через временный `postgres:16-alpine` контейнер, передавая `ops/postgres/init-services.sh` через SSH stdin.
+- `.env.example` оставлен только для переменных, которые напрямую использует Compose runtime; Matrix-переменные перенесены в documented Gitea variables.
+- Обновлены `README.md` и `AGENTS.md` под новые service aliases `db`, `msg` и `msg-web`.
+
+### Конфигурация
+
+- Добавлены Gitea variables:
+  - `MATRIX_SERVER_NAME`;
+  - `MATRIX_PUBLIC_BASEURL`;
+  - `ELEMENT_WEB_URL`.
+- Добавлены Gitea secrets:
+  - `POSTGRES_ADMIN_PASSWORD`;
+  - `SYNAPSE_POSTGRES_PASSWORD`;
+  - `SYNAPSE_REGISTRATION_SHARED_SECRET`.
+- Добавлены runtime secret files:
+  - `secrets/postgres_admin_password.txt`;
+  - `secrets/synapse_postgres_password.txt`;
+  - `secrets/synapse_homeserver_config.yaml`;
+  - `secrets/element_config.json`.
+
+### Эксплуатация
+
+- Для `msg` и `msg-web` нужно настроить proxy hosts в Nginx Proxy Manager:
+  - `matrix.example.com -> http://msg:8008`;
+  - `chat.example.com -> http://msg-web:80`.
+- `MATRIX_SERVER_NAME` нужно выбрать до первого запуска Matrix homeserver, так как он становится частью Matrix ID пользователей.
+- Регистрация в Synapse закрыта; пользователей нужно создавать вручную через `register_new_matrix_user`.
+- Generated config files в `secrets/` считаются sensitive, но должны оставаться читаемыми для Docker Compose file secrets.
+- В `AGENTS.md` добавлено правило обновлять `CHANGELOG.md` при заметных изменениях инфраструктуры, деплоя, переменных, секретов и эксплуатационных правил.
+
+## 2026-08-23
+
+### Документация
+
+- Добавлен `CHANGELOG.md` с историей заметных изменений по git history с начала репозитория.
+
+## 2026-08-22
+
+### Изменено
+
+- Зафиксирована версия Vaultwarden: `vaultwarden/server:1.37.1` вместо `vaultwarden/server:latest`.
+- Deploy workflow теперь выполняет `docker compose pull` перед `docker compose up -d --remove-orphans`.
+- В `README.md` добавлено правило фиксировать версии stateful-сервисов и обновлять их отдельным изменением после просмотра release notes и backup.
+
+### Исправлено
+
+- Восстановлена совместимость Vaultwarden с актуальным расширением Bitwarden для браузера. Старый backend `1.36.0` не загружал хранилище в новом расширении.
+
+### Документация
+
+- Добавлен `README.md` с описанием сервисов, переменных, секретов, локальных операций, данных, деплоя и правил сопровождения.
+- Добавлен `AGENTS.md` с инструкциями для AI-агентов и автоматизации в этом репозитории.
+
+## 2026-07-26
+
+### Добавлено
+
+- Добавлены сервисы RustDesk:
+  - `sup-hbbs` для ID/rendezvous server;
+  - `sup-hbbr` для relay server.
+- Для Nginx Proxy Manager открыты порты RustDesk: `21116/tcp`, `21116/udp`, `21117/tcp`.
+- Добавлена переменная `RUSTDESK_DOMAIN` в `.env.example` и deploy workflow.
+
+## 2026-07-06
+
+### Добавлено
+
+- Добавлен healthcheck для `git-runner` через endpoint `http://127.0.0.1:9101/healthz`.
+
+## 2026-07-05
+
+### Изменено
+
+- Backup-шаг deploy workflow стал опциональным через Gitea variable `DEPLOY_BACKUP_ENABLED`.
+- Режим dry-run для деплоя вынесен в Gitea variable `DEPLOY_DRY_RUN_ENABLED`.
+
+## 2026-07-04
+
+### Добавлено
+
+- Deploy workflow переведен на полноценный Gitea Actions процесс:
+  - checkout репозитория;
+  - нормализация имени ref/branch;
+  - настройка SSH-клиента;
+  - создание удаленного `docker-compose-<ref>.yml`;
+  - создание `.env` и файлов в `secrets/`;
+  - запуск Compose на сервере;
+  - Telegram-уведомления и отправка deploy log.
+- Добавлен workflow для проверки Telegram deploy bot.
+- Добавлен `.env.example` с базовыми переменными окружения.
+- Добавлен backup `data/` перед деплоем с хранением архивов в `backups/`.
+
+### Изменено
+
+- `DEPLOY_DIRECTORY` перенесен из secrets в Gitea variables.
+- Backup выполняется через `sudo`, чтобы избежать ошибок прав доступа к runtime-данным.
+- Исправлена передача пароля в `sudo` при backup.
+- Удален временный demo workflow и неиспользуемый action для экранирования Telegram-сообщений.
+- Идеи по развитию вынесены из репозитория в wiki.
+
+## 2026-06-16
+
+### Добавлено
+
+- Создан начальный Docker Compose стек:
+  - `prx` на `jc21/nginx-proxy-manager:2.15.1`;
+  - `pwd` на `vaultwarden/server:latest`;
+  - `mon` на `henrygd/beszel`;
+  - `mon-agent` на `henrygd/beszel-agent`;
+  - `cld` на `nextcloud:30.0.6`;
+  - `git` на `docker.gitea.com/gitea:1.26.2`.
+- Добавлены bind mounts в `data/` для persistent-данных сервисов.
+- Добавлены Docker secrets для Vaultwarden и Beszel.
+- Добавлена сеть Compose `vbevdev`.
+- Добавлен `.gitignore` для локальных данных, секретов, `.env`, `.vscode` и `.DS_Store`.
+- Добавлен сервис `git-runner` на `gitea/act_runner:latest`.
+- Добавлен healthcheck для `git` и зависимость `git-runner` от здорового `git`.
+- Добавлен черновой deploy workflow для Gitea Actions.

README.md

@@ -0,0 +1,210 @@
+# vbevdev
+
+Self-hosted инфраструктурный стек, управляемый через Docker Compose.
+
+Репозиторий содержит Compose-описание сервисов, workflow для деплоя и пример переменных окружения. Runtime-данные и секреты намеренно не хранятся в Git.
+
+## Сервисы
+
+| Сервис | Image | Назначение |
+| --- | --- | --- |
+| `prx` | `jc21/nginx-proxy-manager:2.15.1` | Nginx Proxy Manager для reverse proxy, HTTP/HTTPS и сертификатов. |
+| `db` | `postgres:16-alpine` | Общий PostgreSQL для сервисов стека; сейчас используется Synapse. |
+| `pwd` | `vaultwarden/server:1.37.1` | Vaultwarden, менеджер паролей. |
+| `mon` | `henrygd/beszel` | Beszel monitoring hub. |
+| `mon-agent` | `henrygd/beszel-agent` | Beszel monitoring agent с доступом к Docker socket. |
+| `cld` | `nextcloud:30.0.6` | Nextcloud. |
+| `msg` | `matrixdotorg/synapse:v1.160.0` | Matrix homeserver Synapse для чатов, E2EE, файлов и клиентского API. |
+| `msg-web` | `vectorim/element-web:v1.12.27` | Element Web, браузерный клиент Matrix. |
+| `git` | `docker.gitea.com/gitea:1.26.2` | Gitea server. |
+| `git-runner` | `gitea/act_runner:latest` | Gitea Actions runner. |
+| `sup-hbbs` | `rustdesk/rustdesk-server:latest` | RustDesk ID/rendezvous server. |
+| `sup-hbbr` | `rustdesk/rustdesk-server:latest` | RustDesk relay server. |
+
+Docker network по умолчанию называется `vbevdev`.
+
+## Конфигурация
+
+Создайте локальный `.env` из `.env.example` и задайте значения для своей среды:
+
+```sh
+cp .env.example .env
+```
+
+Обязательные переменные:
+
+```sh
+BESZEL_HUB_URL=http://mon.localhost
+NEXTCLOUD_DOMAIN=cld.localhost
+GITEA_URL=http://git:3000
+RUSTDESK_DOMAIN=sup.local
+```
+
+Matrix-переменные задаются не в `.env`, а в Gitea variables: deploy workflow использует их для генерации config secrets. `MATRIX_SERVER_NAME` выбирайте заранее: это часть Matrix ID пользователей, например `@alice:matrix.example.com`, и менять это имя после запуска нельзя без миграции на новый homeserver. `MATRIX_PUBLIC_BASEURL` должен быть публичным URL Synapse через reverse proxy, обычно `https://matrix.example.com`. `ELEMENT_WEB_URL` должен указывать на браузерный Element Web, например `https://chat.example.com`.
+
+Перед запуском сервисов, которым нужны секреты, создайте файлы:
+
+```text
+secrets/postgres_admin_password.txt
+secrets/synapse_postgres_password.txt
+secrets/synapse_homeserver_config.yaml
+secrets/element_config.json
+secrets/vaultwarden_admin_token.txt
+secrets/beszel_agent_key.txt
+secrets/beszel_agent_token.txt
+secrets/gitea_runner_registration_token.txt
+```
+
+Рекомендуемые права:
+
+```sh
+chmod 700 secrets
+chmod 600 secrets/*.txt
+chmod 644 secrets/synapse_homeserver_config.yaml secrets/element_config.json
+```
+
+Не коммитьте `.env`, `secrets/` и `data/`. `.env` содержит несекретные значения окружения; `secrets/` содержит секреты и generated runtime-конфиги. Credential-файлы в `secrets/*.txt` закрываются как `600`; config-файлы для Docker mounts остаются `644`, потому что Docker Compose file secrets монтируются как bind mounts и должны читаться non-root контейнерами. На хосте доступ к ним ограничен правами `700` на директорию `secrets/`. В `data/` находятся базы данных, пользовательские файлы, сгенерированные ключи, сертификаты и другое runtime-состояние.
+
+## Локальные операции
+
+Проверить Compose-файл:
+
+```sh
+docker compose config
+```
+
+Запустить или обновить стек:
+
+```sh
+docker compose up -d
+```
+
+Посмотреть состояние и логи:
+
+```sh
+docker compose ps
+docker compose logs -f <service>
+```
+
+Скачать новые images и пересоздать контейнеры:
+
+```sh
+docker compose pull
+docker compose up -d
+```
+
+Для stateful-сервисов с данными в `data/` фиксируйте конкретные версии images вместо `latest`. Обновление версии делайте отдельным изменением после просмотра release notes и backup соответствующей директории в `data/`.
+
+Остановить стек без удаления runtime-данных:
+
+```sh
+docker compose down
+```
+
+## Данные
+
+Persistent-данные контейнеров монтируются в `./data`:
+
+```text
+data/nginx-proxy-manager/
+data/vaultwarden/
+data/beszel/
+data/nextcloud/
+data/postgres/
+data/synapse/
+data/gitea/
+data/rustdesk/
+```
+
+Эта директория является runtime-состоянием, а не исходным кодом. Делайте backup перед destructive Docker-командами, изменением volume, миграциями и обновлениями stateful-сервисов.
+
+## Деплой
+
+Деплой описан в `.gitea/workflows/deploy.yaml` и запускается вручную через `workflow_dispatch`.
+
+Workflow деплоя:
+
+1. Забирает репозиторий.
+2. Нормализует имя ref/branch для имени удаленного Compose-файла.
+3. Настраивает SSH через `.gitea/actions/configure-ssh-client`.
+4. Опционально создает архив `data/`, если `DEPLOY_BACKUP_ENABLED` равен `true`.
+5. Копирует `docker-compose.yml` на сервер как `docker-compose-<ref>.yml`.
+6. Подготавливает generated runtime-конфиги из шаблонов и Gitea variables/secrets.
+7. Создает на сервере `.env`, `secrets/*.txt` и generated config secrets.
+8. Запускает `db` и выполняет идемпотентную инициализацию PostgreSQL через `ops/postgres/init-services.sh`.
+9. Скачивает images и запускает `docker compose -f docker-compose-<ref>.yml up -d --remove-orphans`.
+10. Отправляет Telegram-уведомление об успехе или ошибке и прикладывает deploy log.
+
+Используемые Gitea variables:
+
+```text
+DEPLOY_DIRECTORY
+DEPLOY_BACKUP_ENABLED
+DEPLOY_DRY_RUN_ENABLED
+BESZEL_HUB_URL
+GIT_URL
+NEXTCLOUD_DOMAIN
+RUSTDESK_DOMAIN
+MATRIX_SERVER_NAME
+MATRIX_PUBLIC_BASEURL
+ELEMENT_WEB_URL
+```
+
+Используемые Gitea secrets:
+
+```text
+SSH_HOST
+SSH_USERNAME
+SSH_PASSWORD
+BESZEL_AGENT_KEY
+BESZEL_AGENT_TOKEN
+POSTGRES_ADMIN_PASSWORD
+SYNAPSE_POSTGRES_PASSWORD
+SYNAPSE_REGISTRATION_SHARED_SECRET
+RUNNER_REGISTRATION_TOKEN
+VAULTWARDEN_ADMIN_TOKEN
+TELEGRAM_DEPLOY_BOT_TOKEN
+TELEGRAM_DEPLOY_CHAT_ID
+PROXY_URL
+```
+
+Workflow `.gitea/workflows/test_telegram_deploy_bot.yaml` можно запускать вручную для проверки Telegram-уведомлений через настроенный proxy.
+
+## Matrix
+
+Matrix-компоненты в текущем стеке:
+
+```text
+db         PostgreSQL, общая БД стека
+msg        Synapse homeserver
+msg-web    Element Web
+```
+
+PostgreSQL users/databases подготавливаются deploy workflow через `ops/postgres/init-services.sh`. Скрипт передается в init-контейнер через SSH stdin, поэтому не остается на сервере отдельным файлом. Скрипт идемпотентный: его можно запускать повторно, он создает недостающие сущности и не пересоздает уже существующие.
+
+Для Nginx Proxy Manager создайте два proxy host:
+
+```text
+matrix.example.com -> http://msg:8008
+chat.example.com   -> http://msg-web:80
+```
+
+Для Synapse proxy host нужен WebSocket support и стандартные forwarded headers. На этом этапе federation и TURN не добавлены: scope ограничен БД, Synapse и Element Web.
+
+Synapse читает runtime-конфиг из Docker secret `synapse_homeserver_config`, а Element Web - из Docker secret `element_config`. Deploy workflow создает source-файлы этих secrets в `secrets/synapse_homeserver_config.yaml` и `secrets/element_config.json` из шаблонов. В Git хранятся только `config/synapse/homeserver.yaml.template` и `config/element/config.json.template`. Для локального запуска создайте оба runtime-файла в `secrets/` из шаблонов и подставьте свои значения.
+
+Регистрация в Synapse закрыта; пользователей создавайте вручную после запуска:
+
+```sh
+docker compose exec msg register_new_matrix_user -c /run/secrets/synapse_homeserver_config http://localhost:8008
+```
+
+Gitea secret `SYNAPSE_REGISTRATION_SHARED_SECRET` попадает в generated `secrets/synapse_homeserver_config.yaml` и используется для админского создания пользователей через эту команду. Не меняйте его после первого запуска без причины.
+
+## Сопровождение
+
+- Запускайте `docker compose config` после изменений в `docker-compose.yml`.
+- Держите `.env.example` синхронизированным с переменными, которые использует Compose.
+- Держите Gitea variables/secrets синхронизированными с `.gitea/workflows/deploy.yaml`.
+- Делайте backup `data/` перед обновлениями, сменой images, изменением volumes и миграциями.
+- Перед изменением pinned image versions проверяйте release notes stateful-сервисов.

ROADMAP.md

@@ -0,0 +1,102 @@
+# Roadmap
+
+Планируемые улучшения инфраструктурного репозитория. Файл фиксирует будущие работы, эксплуатационные риски и технический долг.
+
+`CHANGELOG.md` описывает уже сделанные изменения, а этот файл хранит то, что еще нужно спланировать или выполнить.
+
+## Высокий приоритет
+
+### Обновить Nextcloud с EOL-версии
+
+- Текущая версия: `nextcloud:30.0.6`.
+- Риск: ветка Nextcloud 30 достигла EOL и не получает исправления безопасности.
+- Что сделать:
+  - изучить upgrade path и release notes Nextcloud;
+  - сделать backup `data/nextcloud/`;
+  - проверить совместимость используемых apps;
+  - обновляться по поддерживаемому пути между major versions;
+  - после обновления проверить web UI, `occ status`, фоновые задачи и healthcheck.
+
+### Обновить Gitea из-за security advisory
+
+- Текущая версия: `docker.gitea.com/gitea:1.26.2`.
+- Риск: для Gitea `<= 1.26.4` опубликован SSRF advisory, patched version указана как `1.27.0`.
+- Что сделать:
+  - изучить release notes Gitea `1.27.0+`;
+  - сделать backup `data/gitea/`;
+  - обновить image version в `docker-compose.yml`;
+  - проверить web UI, git clone/push, Actions и healthcheck.
+
+### Переделать backup перед деплоем
+
+- Текущее поведение: workflow архивирует весь `data/` в `backups/` на том же диске.
+- Риск: backup может падать из-за нехватки места до начала деплоя.
+- Что сделать:
+  - добавить preflight-проверку свободного места;
+  - чистить старые backups до создания нового архива;
+  - рассмотреть backup только затронутого service data вместо всего `data/`;
+  - рассмотреть off-host backup или streaming backup на другую машину;
+  - документировать ручной backup/restore для отдельных сервисов.
+
+## Средний приоритет
+
+### Закрепить оставшиеся Docker image versions
+
+- Сейчас floating images остаются у:
+  - `henrygd/beszel`;
+  - `henrygd/beszel-agent`;
+  - `gitea/act_runner:latest`;
+  - `rustdesk/rustdesk-server:latest`.
+- Риск: деплой может неожиданно подтянуть несовместимую версию или, наоборот, не обновиться предсказуемо.
+- Что сделать:
+  - подобрать актуальные стабильные версии;
+  - закрепить tags в `docker-compose.yml`;
+  - обновить `README.md` и `CHANGELOG.md`;
+  - для stateful-сервисов делать отдельные коммиты и backup перед деплоем.
+
+### Пересмотреть безопасность Gitea Actions runner
+
+- Текущее поведение: `git-runner` имеет доступ к `/var/run/docker.sock`.
+- Риск: доступ к Docker socket фактически дает workflow root-equivalent доступ к хосту.
+- Что сделать:
+  - явно определить trust boundary для Actions;
+  - ограничить запуск workflow только доверенными репозиториями/пользователями;
+  - рассмотреть отдельный runner host или VM;
+  - рассмотреть rootless/isolated runner setup, если это совместимо с нужными jobs.
+
+### Уйти от password-based SSH deploy
+
+- Текущее поведение: workflow использует `sshpass` и `sudo -S`.
+- Риск: парольный deploy хуже аудируется и более хрупкий, чем key-based доступ с ограниченными правами.
+- Что сделать:
+  - завести отдельного deploy user;
+  - перейти на SSH key;
+  - ограничить sudoers только нужными командами;
+  - убрать передачу sudo password из workflow.
+
+## Низкий приоритет
+
+### Добавить healthcheck для сервисов без проверки готовности
+
+- Кандидаты:
+  - `pwd`;
+  - `sup-hbbs`;
+  - `sup-hbbr`.
+- Цель: после деплоя видеть, что сервис не просто запущен, а реально отвечает.
+
+### Почистить test Telegram workflow
+
+- В `test_telegram_deploy_bot.yaml` есть неиспользуемая переменная `MESSAGE`, которая ссылается на несуществующий `steps.prepare_message`.
+- Риск низкий: workflow сейчас не использует эту переменную, но она путает чтение и сопровождение.
+
+### Разобраться с использованием диска
+
+- После неудачной попытки backup занятое место на диске выросло.
+- Первичные наблюдения:
+  - `backups/` не содержит крупного архива;
+  - `lsof +L1` не показал большого удаленного файла;
+  - Docker images занимают заметный объем, но не должны были измениться, если workflow упал до Docker-шагов.
+- Что сделать:
+  - найти крупные каталоги через `du -xhd 1`;
+  - проверить `/var`, `/tmp`, Docker storage и filesystem reserve;
+  - только после диагностики решать, что можно чистить.

config/element/config.json.template

@@ -0,0 +1,12 @@
+{
+  "default_server_config": {
+    "m.homeserver": {
+      "base_url": __MATRIX_PUBLIC_BASEURL__,
+      "server_name": __MATRIX_SERVER_NAME__
+    }
+  },
+  "disable_custom_urls": true,
+  "disable_guests": true,
+  "disable_3pid_login": true,
+  "brand": "Element"
+}

config/synapse/homeserver.yaml.template

@@ -0,0 +1,43 @@
+server_name: __MATRIX_SERVER_NAME__
+public_baseurl: __MATRIX_PUBLIC_BASEURL__
+pid_file: /data/homeserver.pid
+web_client_location: __ELEMENT_WEB_LOCATION__
+
+listeners:
+  - port: 8008
+    tls: false
+    type: http
+    x_forwarded: true
+    resources:
+      - names: [client]
+        compress: false
+
+database:
+  name: psycopg2
+  txn_limit: 10000
+  args:
+    user: synapse
+    password: __SYNAPSE_POSTGRES_PASSWORD__
+    dbname: synapse
+    host: db
+    port: 5432
+    cp_min: 1
+    cp_max: 5
+    keepalives_idle: 10
+    keepalives_interval: 10
+    keepalives_count: 3
+
+media_store_path: /data/media_store
+uploads_path: /data/uploads
+max_upload_size: 100M
+
+enable_registration: false
+enable_registration_without_verification: false
+registration_shared_secret: __SYNAPSE_REGISTRATION_SHARED_SECRET__
+
+report_stats: false
+presence:
+  enabled: false
+url_preview_enabled: false
+suppress_key_server_warning: true
+signing_key_path: /data/signing.key

docker-compose.yml

@@ -7,6 +7,9 @@ services:
     ports:
       - '80:80'
       - '443:443'
+      - '21116:21116/tcp'
+      - '21116:21116/udp'
+      - '21117:21117/tcp'
     volumes:
       - ./data/nginx-proxy-manager/data:/data
       - ./data/nginx-proxy-manager/letsencrypt:/etc/letsencrypt
@@ -14,9 +17,27 @@ services:
       test: ["CMD", "/usr/bin/check-health"]
       interval: 60s
       timeout: 3s
-  
+
+  db:
+    image: 'postgres:16-alpine'
+    restart: unless-stopped
+    shm_size: 128mb
+    volumes:
+      - ./data/postgres:/var/lib/postgresql/data
+    secrets:
+      - postgres_admin_password
+    environment:
+      POSTGRES_USER: postgres
+      POSTGRES_PASSWORD_FILE: /run/secrets/postgres_admin_password
+      POSTGRES_INITDB_ARGS: '--encoding=UTF8 --locale=C'
+    healthcheck:
+      test: ['CMD-SHELL', 'pg_isready -U postgres']
+      interval: 30s
+      timeout: 5s
+      retries: 5
+
   pwd:
-    image: 'vaultwarden/server:latest'
+    image: 'vaultwarden/server:1.37.1'
     restart: unless-stopped
     volumes:
       - ./data/vaultwarden:/data
@@ -69,6 +90,39 @@ services:
       timeout: 10s
       retries: 3
 
+  msg:
+    image: 'matrixdotorg/synapse:v1.160.0'
+    restart: unless-stopped
+    depends_on:
+      db:
+        condition: service_healthy
+    volumes:
+      - ./data/synapse:/data
+    secrets:
+      - synapse_homeserver_config
+    environment:
+      SYNAPSE_CONFIG_PATH: /run/secrets/synapse_homeserver_config
+    healthcheck:
+      test: ['CMD', 'curl', '-fSs', 'http://localhost:8008/health']
+      interval: 30s
+      timeout: 5s
+      retries: 5
+
+  msg-web:
+    image: 'vectorim/element-web:v1.12.27'
+    restart: unless-stopped
+    depends_on:
+      msg:
+        condition: service_healthy
+    secrets:
+      - source: element_config
+        target: /app/config.json
+    healthcheck:
+      test: ['CMD', 'wget', '--no-verbose', '--tries=1', '--spider', 'http://localhost']
+      interval: 30s
+      timeout: 5s
+      retries: 5
+
   git:
     image: 'docker.gitea.com/gitea:1.26.2'
     restart: unless-stopped
@@ -99,18 +153,45 @@ services:
       - /var/run/docker.sock:/var/run/docker.sock
     secrets:
       - gitea_runner_registration_token
+    healthcheck:
+      test: ["CMD", "wget", "--no-verbose", "--tries=1", "--spider", "http://127.0.0.1:9101/healthz"]
+      interval: 30s
+      timeout: 5s
+      retries: 3
+      start_period: 10s
+
+  sup-hbbs:
+    image: rustdesk/rustdesk-server:latest
+    command: hbbs -r ${RUSTDESK_DOMAIN}:21117 -k _
+    restart: unless-stopped
+    volumes:
+      - ./data/rustdesk:/root
+    depends_on:
+      - sup-hbbr
+
+  sup-hbbr:
+    image: rustdesk/rustdesk-server:latest
+    command: hbbr
+    restart: unless-stopped
+    volumes:
+      - ./data/rustdesk:/root
 
 networks:
   default:
     name: vbevdev
 
 secrets:
+  postgres_admin_password:
+    file: secrets/postgres_admin_password.txt
   vaultwarden_admin_token:
     file: secrets/vaultwarden_admin_token.txt
   beszel_agent_key:
     file: secrets/beszel_agent_key.txt
   beszel_agent_token:
     file: secrets/beszel_agent_token.txt
+  synapse_homeserver_config:
+    file: secrets/synapse_homeserver_config.yaml
+  element_config:
+    file: secrets/element_config.json
   gitea_runner_registration_token:
     file: secrets/gitea_runner_registration_token.txt
-  

ops/postgres/init-services.sh

@@ -0,0 +1,17 @@
+#!/usr/bin/env sh
+set -eu
+
+export PGPASSWORD="$(cat "$PGPASSWORD_FILE")"
+synapse_password="$(cat "$SYNAPSE_POSTGRES_PASSWORD_FILE")"
+
+psql -v ON_ERROR_STOP=1 -v synapse_password="$synapse_password" <<'EOSQL'
+SELECT 'CREATE USER synapse WITH PASSWORD ' || quote_literal(:'synapse_password')
+WHERE NOT EXISTS (SELECT FROM pg_catalog.pg_roles WHERE rolname = 'synapse')\gexec
+
+ALTER USER synapse WITH PASSWORD :'synapse_password';
+
+SELECT 'CREATE DATABASE synapse ENCODING ''UTF8'' LC_COLLATE ''C'' LC_CTYPE ''C'' TEMPLATE template0 OWNER synapse'
+WHERE NOT EXISTS (SELECT FROM pg_database WHERE datname = 'synapse')\gexec
+
+ALTER DATABASE synapse OWNER TO synapse;
+EOSQL