# -> /etc/matrix-synapse/conf.d/homelab.yaml    (root:matrix-synapse, 0640)
#
# Liegt bewusst in conf.d: homeserver.yaml wird vom Paket verwaltet und bei
# Upgrades ueberschrieben.

# Synapse lauscht nur lokal; TLS und Port 443 uebernimmt nginx davor.
listeners:
  - port: 8008
    tls: false
    type: http
    x_forwarded: true
    bind_addresses: ['127.0.0.1']
    resources:
      - names: [client, federation]
        compress: false

public_baseurl: https://matrix.example.com/

# Offene Registrierung aus: sonst wird der Server als Spam-Relay missbraucht.
enable_registration: false
registration_shared_secret_path: /etc/matrix-synapse/registration_shared_secret

max_upload_size: 100M
url_preview_enabled: true
# Ohne diese Sperrliste laesst sich der Link-Vorschau-Dienst benutzen, um das
# interne Netz des Servers zu scannen.
url_preview_ip_range_blacklist:
  - '127.0.0.0/8'
  - '10.0.0.0/8'
  - '172.16.0.0/12'
  - '192.168.0.0/16'
  - '100.64.0.0/10'
  - '169.254.0.0/16'
  - '::1/128'
  - 'fe80::/64'
  - 'fc00::/7'

# --------------------------- VoIP / TURN ----------------------------------
turn_uris:
  - "turn:turn.example.com:3478?transport=udp"
  - "turn:turn.example.com:3478?transport=tcp"
  - "turns:turn.example.com:5349?transport=udp"
  - "turns:turn.example.com:5349?transport=tcp"
# Muss exakt dem static-auth-secret in der turnserver.conf entsprechen.
turn_shared_secret: "HIER-DAS-TURN-SECRET"
turn_user_lifetime: 86400000
turn_allow_guests: false

trusted_key_servers:
  - server_name: "matrix.org"
suppress_key_server_warning: true