Matrix ve Synapse Nedir ile Merkeziyetsiz Mesajlaşma

Kurumsal iletişimini bir başkasının bulutuna emanet etmek istemeyen herkes er ya da geç aynı soruyu sorar: "Kendi mesajlaşma altyapımı kurabilir miyim?" Slack ve benzeri kapalı servisler pratiktir ama verinizin nerede durduğunu, kimin eriştiğini ve şifrelemenin gerçekten uçtan uca olup olmadığını siz belirlemezsiniz. İşte Matrix tam da bu boşluğu doldurmak için tasarlanmış açık bir protokoldür. Tek bir şirketin kontrolünde olmayan, e-posta gibi federasyonlu çalışan, sohbet geçmişini kriptografik olarak kopyalayan ve uçtan uca şifrelemeyi standart olarak içeren bir mesajlaşma dünyasını mümkün kılar.

Bu rehberde Matrix'in ne olduğunu, neden "merkeziyetsiz" dediğimizi, referans sunucusu olan Synapse'i kendi VDS'inizde nasıl ayağa kaldıracağınızı ve Element istemcisiyle nasıl birleştireceğinizi anlatacağız. Ayrıca federasyon için kritik olan alan adı yapılandırmasını, uçtan uca şifrelemenin arka planında nasıl çalıştığını ve WhatsApp ile Telegram gibi platformlara köprü kurmayı örneklerle göstereceğiz. Amacımız, teorik bir tanım vermek değil; makalenin sonunda gerçekten çalışan bir Matrix sunucunuz olmasını sağlamak.

Matrix Protokolü Tam Olarak Nedir#

Matrix, gerçek zamanlı iletişim için açık kaynaklı bir protokoldür, tek bir uygulama değil. Bu ayrımı en baştan netleştirmek gerekir: Matrix, tıpkı HTTP'nin web sayfaları veya SMTP'nin e-posta için yaptığını mesajlaşma için yapar. Nasıl ki farklı e-posta sunucuları (Gmail, Outlook, kendi sunucunuz) birbiriyle konuşabiliyorsa, farklı Matrix sunucuları da birbiriyle konuşabilir. Sizin sunucunuzdaki bir kullanıcı, dünyanın öbür ucundaki başka bir Matrix sunucusundaki kullanıcıyla, ikisi de aynı standardı konuştuğu için sorunsuz sohbet eder.

Matrix'te her kullanıcı bir kimlikle temsil edilir ve bu kimlik e-posta adresine çok benzer. Örneğin @ayse:sirket.com şeklindeki bir Matrix ID'sinde ayse kullanıcı adı, sirket.com ise kullanıcının bağlı olduğu sunucudur (buna "homeserver" denir). Odalar da benzer mantıkla adreslenir. Bir oda tek bir sunucuda "yaşamaz"; içinde farklı sunuculardan katılımcılar varsa, o odanın durumu tüm bu sunuculara kopyalanır. İşte Matrix'in en güçlü fikri budur: sohbet, bir merkezde tutulan bir kayıt değil, katılan tüm sunucular arasında paylaşılan ve senkronize edilen ortak bir durumdur.

Protokolün üç temel özelliği onu diğerlerinden ayırır. Birincisi federasyon: sunucular birbirine bağlanır ama hiçbiri diğerine bağımlı değildir. İkincisi çoğaltma (replication): her sunucu, katıldığı odaların tam bir kopyasını tutar; bu yüzden bir sunucu çökse bile sohbet diğer katılımcılar için devam eder. Üçüncüsü uçtan uca şifreleme: mesajların içeriğini yalnızca gönderen ve alanların cihazları çözebilir, sunucular dahil aradaki hiç kimse okuyamaz.

Federasyon Nasıl Çalışır#

Federasyon, Matrix'in kalbidir ve çoğu insanın kafasını en çok karıştıran kısımdır. Basitçe söylemek gerekirse, iki bağımsız sunucunun aynı sohbete katkı verebilmesidir. Bir oda oluşturduğunuzda ve dışarıdan birini davet ettiğinizde, o kişinin sunucusu sizin sunucunuzla doğrudan iletişime geçer. Aralarında sürekli bir "senkronizasyon" akışı kurulur ve yeni her mesaj, odadaki tüm sunuculara olay (event) olarak yayılır.

Bu olayların bütünlüğü kriptografik imzalarla korunur. Her sunucu, ürettiği her olayı kendi özel anahtarıyla imzalar; alıcı sunucular bu imzayı doğrular. Böylece bir sunucu, başka bir sunucunun kullanıcısı adına sahte mesaj üretemez. Odanın geçmişi, birbirine bağlı olaylardan oluşan bir grafik (DAG) olarak tutulur; herhangi bir çelişki durumunda "state resolution" adı verilen bir algoritma hangi durumun geçerli olduğuna karar verir.

Federasyonun teknik olarak çalışması için sunucuların birbirini internet üzerinde bulabilmesi gerekir. Matrix bunun için özel bir keşif mekanizması kullanır. Sunucular, 8448 numaralı portta veya iyi yapılandırılmış bir .well-known dosyası aracılığıyla birbirini bulur. Bu yüzden alan adı yapılandırması, sadece bir detay değil, federasyonun çalışıp çalışmayacağını belirleyen kritik bir adımdır. Aşağıdaki tablo, Matrix ekosisteminin ana bileşenlerini özetliyor.

Synapse Referans Sunucusu#

Matrix bir protokol olduğuna göre, onu hayata geçiren bir yazılıma ihtiyaç vardır. Synapse, Matrix.org ekibinin geliştirdiği referans homeserver'dır; yani protokolün "resmi" ve en olgun uygulamasıdır. Python ile yazılmıştır, en fazla özelliği destekler ve topluluğun en geniş dokümantasyonuna sahiptir. Yeni başlayanlar için standart seçim Synapse'tir. (Alternatifler de vardır: Go ile yazılmış Dendrite ve Conduit daha hafiftir ama bazı özelliklerde geridedir.)

Synapse, kendi başına bir sohbet arayüzü sunmaz; o, işin "beyni" olan arka uç servisidir. Kullanıcı hesaplarını yönetir, odaları saklar, federasyon trafiğini yürütür ve istemcilere API sunar. Sohbet ekranını görmek için ayrıca bir istemciye (genellikle Element'e) ihtiyaç duyarsınız. Bu mimari, Slack veya Mattermost gibi tek parça çözümlerden farklıdır; Matrix'te sunucu ve istemci birbirinden kesin bir şekilde ayrılmıştır. Eğer daha bütünleşik ve ekip odaklı bir alternatif arıyorsanız, Mattermost nedir rehberimize de göz atabilirsiniz.

Synapse'i çalıştırmak için makul bir sunucu yeterlidir. Küçük bir ekip (10-30 kullanıcı) için 2 vCPU ve 4 GB RAM'li bir sistem rahatça iş görür. Ancak Matrix'in çoğaltma doğası gereği, çok sayıda büyük ve federe odaya katıldıkça bellek ve disk kullanımı artar. Bu tür kalıcı ve kaynak isteyen bir servis için paylaşımlı hosting yerine tam yetkiye sahip bir VDS sunucu tercih etmenizi öneririz; root erişimi, kendi PostgreSQL veritabanınızı ve reverse proxy'nizi özgürce yapılandırmanıza olanak tanır.

Kurulum Öncesi Alan Adı ve DNS#

Kuruluma geçmeden önce mutlaka çözmeniz gereken şey alan adı stratejisidir, çünkü Matrix ID'leriniz bu alan adına gömülü olacak ve sonradan değiştirilmesi neredeyse imkânsızdır. Yaygın bir yaklaşım, kullanıcı kimliklerinde ana alan adını (sirket.com) kullanmak ama sunucuyu bir alt alan adında (matrix.sirket.com) barındırmaktır. Bu ayrım, server_name (kimliklerde görünen isim) ile sunucunun fiziksel adresini birbirinden ayırmanızı sağlar.

Bu iki kavramı bağlayan mekanizma .well-known keşfidir. Ana alan adınızın altında /.well-known/matrix/server yolunda küçük bir JSON dosyası sunarak, "kimliklerim sirket.com üzerinde ama gerçek sunucum matrix.sirket.com:443 adresinde" diyebilirsiniz. Benzer şekilde /.well-known/matrix/client dosyası, istemcilerin doğru sunucuyu otomatik bulmasını sağlar. Örnek içerikler şöyledir:

// https://sirket.com/.well-known/matrix/server
{ "m.server": "matrix.sirket.com:443" }

// https://sirket.com/.well-known/matrix/client
{ "m.homeserver": { "base_url": "https://matrix.sirket.com" } }

DNS tarafında yapmanız gereken sade bir A kaydıdır. Sunucunuzun IP adresini alt alan adına yönlendirin:

matrix.sirket.com.   IN   A   203.0.113.10
sirket.com.          IN   A   203.0.113.5

Alan adı henüz yoksa uygun bir uzantıyı alan adı sayfamızdan alabilirsiniz. Federasyonun güvenli çalışması için tüm trafik HTTPS üzerinden gitmeli; bu yüzden geçerli bir SSL sertifikası şarttır. Let's Encrypt ücretsiz sertifikaları bu iş için gayet yeterlidir ve reverse proxy'niz üzerinden otomatik yenilenebilir.

Synapse Kurulumu ve Yapılandırması#

En temiz kurulum yöntemi Docker ile çalışmaktır; bağımlılıkları izole eder ve güncellemeyi kolaylaştırır. Aşağıda matrixdotorg/synapse imajıyla asgari bir başlangıç akışı var. Önce yapılandırma dosyasını üretiyoruz:

mkdir -p /opt/synapse/data
docker run -it --rm \
  -v /opt/synapse/data:/data \
  -e SYNAPSE_SERVER_NAME=sirket.com \
  -e SYNAPSE_REPORT_STATS=no \
  matrixdotorg/synapse:latest generate

Bu komut /opt/synapse/data/homeserver.yaml dosyasını oluşturur. Üretim ortamında Synapse'in varsayılan SQLite veritabanını kullanmayın; ciddi kullanımda kilitlenmelere yol açar. Bunun yerine PostgreSQL'e geçin. homeserver.yaml içindeki veritabanı bölümünü şöyle düzenleyin:

database:
  name: psycopg2
  args:
    user: synapse
    password: guclu_bir_parola
    database: synapse
    host: db
    cp_min: 5
    cp_max: 10

Veritabanını oluştururken karakter kodlamasına dikkat edin; Synapse C collation ister:

CREATE ROLE synapse WITH LOGIN PASSWORD 'guclu_bir_parola';
CREATE DATABASE synapse
  ENCODING 'UTF8' LC_COLLATE='C' LC_CTYPE='C'
  template=template0 OWNER synapse;

Servisleri bir docker-compose.yml altında toplamak yönetimi kolaylaştırır. Eğer Docker konteynerlerinizi görsel bir panelden yönetmek isterseniz, Portainer nedir rehberimiz web arayüzünden konteyner yönetimini adım adım anlatıyor. Synapse'i başlattıktan sonra ilk yönetici kullanıcıyı oluşturun:

docker exec -it synapse register_new_matrix_user \
  -u admin -a -c /data/homeserver.yaml \
  http://localhost:8008

Son olarak reverse proxy tarafında Nginx'i, hem istemci hem de federasyon trafiğini Synapse'e yönlendirecek şekilde ayarlayın. Kritik nokta, /_matrix ve /_synapse yollarını arka uca geçirmek ve büyük dosya yüklemeleri için gövde limitini yükseltmektir:

server {
    listen 443 ssl http2;
    server_name matrix.sirket.com;

    client_max_body_size 50M;

    location ~ ^(/_matrix|/_synapse/client) {
        proxy_pass http://127.0.0.1:8008;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header Host $host;
    }
}

Element İstemcisi ile Bağlanmak#

Sunucunuz ayakta ama henüz bir sohbet ekranı yok. Matrix ekosisteminin en popüler istemcisi Element'tir; web, masaüstü ve mobil sürümleri vardır. Kullanıcılarınız app.element.io üzerinden ya da kendi barındırdığınız Element örneği üzerinden giriş yapabilir. Giriş ekranında "Diğer sunucu" seçeneğini seçip alan adınızı (sirket.com) girmeleri yeterlidir; .well-known dosyasını doğru kurduysanız Element otomatik olarak matrix.sirket.com sunucusuna yönlenir.

Element'e ilk girişte kullanıcıdan bir güvenlik anahtar cümlesi oluşturması istenir. Bu adım kritiktir çünkü uçtan uca şifreleme, anahtarların kullanıcının cihazında tutulması esasına dayanır. Kullanıcı bu kurtarma anahtarını kaybederse, eski şifreli mesajlarını başka bir cihazdan açamaz. Bu yüzden ekibinize, kurtarma anahtarını güvenli bir parola yöneticisinde saklamalarını mutlaka hatırlatın. İlk kez giriş yapan bir kullanıcının deneyimi kabaca şöyle işler:

• Alan adını girerek sunucuyu keşfeder ve giriş yapar.
• Yeni cihazını, mevcut oturumlarından biriyle "doğrular" (cross-signing).
• Şifreli oda geçmişine erişmek için kurtarma anahtarını girer.
• Artık odalara katılabilir, yeni odalar açabilir ve dışarıdan kullanıcı davet edebilir.

Kendi Element sürümünüzü barındırmak isterseniz bu statik bir web uygulamasıdır ve basit bir web hosting üzerinde bile çalışır; markanıza uygun bir giriş deneyimi için varsayılan sunucuyu kendi alan adınız olarak sabitleyebilirsiniz. Küçük ekipler için bu, hafif bir web hosting paketiyle bile rahatça karşılanabilir.

Uçtan Uca Şifreleme Nasıl İşler#

Matrix'in şifreleme modeli, Signal protokolünden esinlenen Olm ve Megolm adlı iki algoritmaya dayanır. İkili sohbetlerde Olm kullanılır; grup odalarında ise verimli olması için Megolm devreye girer. Temel fikir şudur: mesajın içeriği yalnızca odadaki katılımcıların cihazlarında çözülebilecek şekilde şifrelenir. Synapse sunucusu bu mesajları depolar ve iletir ama içeriklerini asla okuyamaz; sunucu için mesaj yalnızca anlamsız bir şifreli metin bloğudur.

Bu modelin cihaz merkezli olması önemli bir sonuç doğurur: şifre çözme yeteneği hesaba değil, tek tek cihazlara bağlıdır. Bir kullanıcı yeni bir telefondan giriş yaptığında, o cihazın odadaki diğer katılımcılar tarafından "güvenilir" olarak doğrulanması gerekir. Element bunu cross-signing ve cihaz doğrulama ile otomatikleştirir; kullanıcı bir emoji karşılaştırması veya kurtarma anahtarıyla yeni cihazını onaylar. Doğrulanmamış bir cihaz odaya girse bile, diğer katılımcılar isterse ona anahtar paylaşmayabilir.

Şunu da net söyleyelim: uçtan uca şifreleme, sunucunuzu güvenlik önlemlerinden muaf tutmaz. Şifreleme mesaj içeriğini korur ama meta veriyi (kim, ne zaman, hangi odada) korumaz; ayrıca sunucunuzun kendisi hesap parolaları, kayıt açık odalar ve federasyon anahtarları için hâlâ değerli bir hedeftir. Bu nedenle sunucunuzun önüne bir WAF yerleştirmenizi, DDoS koruma kullanmanızı ve düzenli yedekleme almanızı öneririz. Şifreli mesajlar bile, veritabanınız kaybolursa geri gelmez.

Köprüler ile Diğer Platformlara Bağlanmak#

Matrix'in en pratik yeteneklerinden biri köprülerdir (bridge). Bir köprü, Matrix odalarını başka bir mesajlaşma platformuyla iki yönlü olarak bağlayan özel bir bileşendir. Örneğin bir WhatsApp köprüsü kurduğunuzda, WhatsApp'tan gelen mesajları Element'te görür ve Element'ten yazdıklarınız WhatsApp'a ulaşır. Böylece ekibiniz tek bir arayüzden (Element) birden fazla platformu yönetebilir. En yaygın köprüler mautrix projesi altında geliştirilir; WhatsApp, Telegram, Signal, Discord ve Slack için olgun köprüler mevcuttur.

Köprüler, homeserver.yaml içine bir "application service" olarak kaydedilir. Kabaca akış, köprü yazılımının bir kayıt dosyası üretmesi, sizin bu dosyayı Synapse'e tanıtmanız ve köprü botunu Element'te bir odaya davet ederek hedef hesaba giriş yapmanızdır. Aşağıdaki örnek, bir köprü kaydının nasıl bağlandığını gösterir:

# homeserver.yaml
app_service_config_files:
  - /data/mautrix-whatsapp/registration.yaml
  - /data/mautrix-telegram/registration.yaml

Köprülerin bir gerçekliğini de belirtmek gerekir: uçtan uca şifreleme köprü noktasında kesintiye uğrar. Mesaj Matrix tarafında şifreliyken köprü sunucusunda çözülür, karşı platforma iletilir ve o platformun kendi şifrelemesiyle yeniden şifrelenir. Yani köprü, tanım gereği şifrelemenin dışarıdan görülebildiği bir noktadır. Bu köprüyü siz barındırdığınız için verinin dışarı çıkmaması avantajınızdır, ama köprü sunucusunun güvenliği kritik hale gelir. Bu tür karmaşık, çok bileşenli kurulumları yalıtmak istiyorsanız App Center üzerinden hazır kurulan uygulamalara veya sunucu yönetimi hizmetimize göz atabilirsiniz.

Bakım, Yedekleme ve Ölçeklendirme#

Bir Matrix sunucusu kurmak işin başlangıcıdır; onu sağlıklı tutmak asıl iştir. Synapse zamanla büyür çünkü çoğaltma ilkesi gereği katıldığınız her büyük ve popüler odanın geçmişini yerel olarak saklar. Örneğin genel Matrix ağındaki çok kalabalık bir odaya katılırsanız, o odanın devasa geçmişi sizin veritabanınıza da işler. Bu yüzden düzenli olarak eski oda durumlarını temizleyen "state compression" ve retention politikaları uygulamanız gerekir. homeserver.yaml içinde mesaj saklama süresini sınırlayabilirsiniz:

retention:
  enabled: true
  default_policy:
    min_lifetime: 1d
    max_lifetime: 365d

Yedekleme stratejiniz iki şeyi kapsamalıdır: PostgreSQL veritabanı ve media_store klasörü (yüklenen dosyalar ve resimler). Veritabanı olmadan sunucu kimlikleri ve sohbetler kaybolur; medya deposu olmadan geçmiş dosyalar erişilemez hale gelir. Düzenli pg_dump alıp bunu güvenli bir dış konuma taşımak asgari hijyendir:

docker exec synapse-db pg_dump -U synapse synapse | gzip > /yedek/synapse_$(date +%F).sql.gz

Ölçeklendirme ihtiyacı doğduğunda Synapse, "worker" mimarisiyle yatay olarak büyüyebilir; federasyon gönderimi, istemci senkronizasyonu ve medya işleme gibi görevleri ayrı süreçlere dağıtabilirsiniz. Bu noktaya gelen kurumlar için tek bir kutuya sığmayan bir yapı gerekir. Kaynak ihtiyacınız arttıkça esnek şekilde büyüyebilen bir sanal sunucu altyapısı, worker'ları ve veritabanını ayrı düğümlere taşımanıza olanak tanır. Performans darboğazlarını izlemek için Synapse'in yerleşik Prometheus metriklerini kullanmanızı öneririz.

Sıkça Sorulan Sorular#

Matrix ile Synapse arasındaki fark nedir?#

Matrix bir protokoldür, yani sunucuların ve istemcilerin nasıl konuşacağını tanımlayan açık bir standarttır. Synapse ise bu protokolü hayata geçiren referans sunucu yazılımıdır. Bir benzetmeyle, Matrix "HTTP" gibiyken Synapse "Apache" gibidir. Aynı protokolü uygulayan Dendrite ve Conduit gibi başka sunucular da vardır ama en olgun ve en çok kullanılan Synapse'tir.

Kendi Matrix sunucumu kurmak için ne kadar kaynak gerekir?#

Küçük bir ekip için 2 vCPU ve 4 GB RAM'li bir sunucu rahatça yeter, ancak gerçek kaynak tüketimini belirleyen şey katıldığınız odaların büyüklüğüdür. Çok kalabalık genel odalara katılırsanız çoğaltma nedeniyle disk ve bellek kullanımı hızla artar. Bu yüzden başlangıçta iyi bir tampon bırakmak ve büyüdükçe kolayca yükseltebileceğiniz esnek bir sunucu seçmek en sağlıklısıdır.

Uçtan uca şifreleme her odada otomatik olarak açık mı?#

Hayır, şifreleme oda bazında bir ayardır. Özel ve doğrudan sohbetlerde Element şifrelemeyi genellikle varsayılan olarak açar, ancak büyük genel odalarda performans nedeniyle kapalı olabilir. Bir oda oluştururken şifrelemeyi elle etkinleştirebilirsiniz, fakat şunu unutmayın: bir odada şifreleme bir kez açıldıktan sonra geri kapatılamaz, bu kalıcı bir karardır.

Federasyon çalışmıyorsa ilk neye bakmalıyım?#

İlk kontrol noktanız neredeyse her zaman .well-known yapılandırması ve DNS'tir. Ana alan adınızın /.well-known/matrix/server yolunda doğru JSON'u sunduğundan ve SSL sertifikanızın geçerli olduğundan emin olun. Matrix.org'un sağladığı "Federation Tester" aracına alan adınızı girerek sunucunuzun dışarıdan doğru göründüğünü test edebilirsiniz; çoğu federasyon sorunu bu araçta anında görünür.

Mevcut WhatsApp veya Telegram hesabımı Matrix'e taşıyabilir miyim?#

Doğrudan bir "taşıma" yoktur ama köprüler sayesinde her iki platformu Element içinden yönetebilirsiniz. mautrix-whatsapp veya mautrix-telegram köprüsünü kurup kendi hesabınızla giriş yaptığınızda, o platformdaki sohbetleriniz Matrix odaları olarak görünür ve iki yönlü çalışır. Ancak köprü noktasında mesajların şifresi çözüldüğü için, köprü sunucusunun güvenliğine ekstra özen göstermelisiniz.

Element yerine başka istemci kullanabilir miyim?#

Evet, Matrix açık bir protokol olduğu için tek bir istemciye bağlı değilsiniz. Element en olgun ve tam özellikli seçenek olsa da, mobilde hafif ve şık FluffyChat, terminal sevenler için gomuks veya masaüstünde Cinny gibi alternatifler mevcuttur. Hepsi aynı sunucuya bağlanabilir ve kullanıcılarınız kendi tercih ettikleri istemciyi seçmekte özgürdür.

Kapanış#

Matrix ve Synapse, iletişim altyapısının kontrolünü gerçekten elinde tutmak isteyenler için bugün mevcut en güçlü açık kaynaklı seçenektir. Federasyonla merkezi bir otoriteye bağımlı kalmadan, uçtan uca şifrelemeyle mesaj gizliliğini garanti altına alarak ve köprülerle mevcut platformlarınızı tek bir arayüzde birleştirerek, kurumsal sohbeti kendi kurallarınızla yönetebilirsiniz. Kurulumun bir öğrenme eğrisi olduğu doğru; ama bu rehberdeki adımları takip ederek DNS, SSL, Synapse ve Element parçalarını yerli yerine oturttuğunuzda, verisi tamamen sizde olan sağlam bir mesajlaşma sunucunuz olur.

Böyle bir yapıyı ayağa kaldırmak için ihtiyacınız olan her şey Clou.TR altyapısında hazır. Root erişimli, kaynağını dilediğiniz gibi ölçeklendirebileceğiniz sunucular için VDS sunucu paketlerimize, kurulumu bizim üstlenmemizi istiyorsanız sunucu yönetimi hizmetimize ve alan adınızı güvence altına almak için alan adı sayfamıza göz atın. Kendi merkeziyetsiz mesajlaşma altyapınızı bugün kurmaya başlayarak verinizin kontrolünü geri alabilirsiniz.