Operar el servidor

Instalar el servidor

Cómo instalar y operar el servidor Pabal con Docker Compose en un único servidor accesible desde internet.

Cómo instalar el servidor Pabal en un único servidor accesible desde internet. Con Docker Compose se levantan tres contenedores, servidor Pabal · PostgreSQL · Caddy (HTTPS), y todos los datos que no deben perderse se montan (bind mount) en directorios del host. Basta con seguir los pasos en orden, de arriba abajo.

Visión general

Requisitos

Puertos

1. Preparar el servidor

sudo apt update && sudo apt -y upgrade
timedatectl                      # comprueba que diga "System clock synchronized: yes"

La sincronización de la hora es imprescindible. Los números de los mensajes MTProto se derivan de la hora, así que si el reloj del servidor se desvía, la aplicación reconecta una y otra vez. Si aparece no, ejecuta sudo timedatectl set-ntp true.

# Cortafuegos
sudo ufw allow OpenSSH           # si es posible: sudo ufw allow from <IP del operador> to any port 22
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow 443/udp
sudo ufw allow 8443/tcp
sudo ufw enable

# Docker (script de instalación oficial)
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
sudo usermod -aG docker $USER     # al volver a iniciar sesión, docker funciona sin sudo
docker compose version            # v2 o posterior

2. Obtener el código fuente

sudo mkdir -p /opt/pabal && sudo chown $USER: /opt/pabal
git clone <dirección del repositorio> /opt/pabal

Si lo copias desde tu ordenador de desarrollo, no envíes las claves, los datos ni los logs (rsync --exclude 'keys/' --exclude 'data/' --exclude 'logs/' --exclude '**/target/'). La clave RSA del servidor de producción la genera el propio servidor de producción la primera vez que arranca: si usas en producción la clave de desarrollo, ese ordenador de desarrollo se convierte en un lugar desde el que se puede descifrar el tráfico de producción.

3. Directorios de datos (bind mount)

sudo mkdir -p /srv/pabal/{postgres_data,pabal_server/keys,pabal_server/data,pabal_server/logs,caddy/data,caddy/config,backups}
sudo chown -R 1000:1000 /srv/pabal/pabal_server        # el contenedor del servidor se ejecuta con uid 1000
sudo chown -R $USER: /srv/pabal/backups
sudo chmod 700 /srv/pabal/pabal_server/keys /srv/pabal/backups

4. Archivo de configuración .env

cd /opt/pabal/deploy
cp .env.example .env
chmod 600 .env
openssl rand -base64 30 | tr -d '/+=' | cut -c1-32     # pon el valor resultante en POSTGRES_PASSWORD
nano .env

DOMAIN=pabal.me
PUBLIC_IP=203.0.113.10
POSTGRES_PASSWORD=(el valor generado arriba)
PABAL_HOME=/srv/pabal
PABAL_SOURCE=..
PABAL_NETWORK=ssemiya-net
MTPROTO_PORT=8443
HTTP_PORT=80
HTTPS_PORT=443
ADMIN_PORT=8080
ADMIN_TOKEN=
JAVA_OPTS="-Xms512m -Xmx2g -XX:+UseG1GC -XX:MaxGCPauseMillis=100"
FCM_CREDENTIALS=
FCM_PROJECT_ID=
PUSH_PREVIEWS=true

El archivo compose de producción arranca el servidor con los números de prueba desactivados (TELEGRAM_TEST_NUMBERS=false). La lista completa de valores de configuración que lee el servidor está en Administración y ajustes — Variables de entorno.

5. DNS

dig +short pabal.me        # debe devolver 203.0.113.10 (el cambio tarda de unos minutos a unas horas en propagarse)

Puedes arrancar antes de que el DNS apunte al servidor. Caddy lo reintentará por su cuenta hasta obtener el certificado.

6. Compilar y arrancar

cd /opt/pabal/deploy
docker network inspect ssemiya-net >/dev/null 2>&1 || docker network create ssemiya-net   # solo una vez
docker compose up -d --build       # la primera vez tarda unos minutos (Maven descarga las bibliotecas)
docker compose ps                  # pabal-server, pabal-postgres y pabal-caddy en estado running (healthy)
docker compose logs -f pabal-server      # sal con Ctrl+C

En el primer arranque, el log muestra líneas como estas.

WARN  ServerKeys - Generated a new RSA key at /app/keys/private.pem (fingerprint -3898654385185406269). Clients must embed /app/keys/private.pem.pub
INFO  TelegramServer - JDBC persistence active (jdbc:postgresql://pabal-postgres:5432/pabal)
INFO  BotFather - BotFather is user 100000
INFO  AdminToken - Created the admin token in /app/data/admin-token
INFO  TelegramServer - Website: http://0.0.0.0:8080/ (published at https://pabal.me/)

• La primera línea es un WARN, pero es normal (avisa de que la clave se genera, solo esta primera vez). A partir de entonces aparece Loaded RSA key … (fingerprint …). El fingerprint es distinto en cada servidor.
• El servidor crea las tablas por sí solo al arrancar.

7. Comprobación

# Desde fuera (tu ordenador)
curl -sI https://pabal.me/ | head -1                              # HTTP/2 200
curl -s -o /dev/null -w '%{http_code}\n' https://pabal.me/docs/    # 200 — esta documentación
curl -s -o /dev/null -w '%{http_code}\n' https://pabal.me/admin/   # 404 — el panel de administración no es público
curl -s https://pabal.me/docs/server-key.pem | head -1             # -----BEGIN RSA PUBLIC KEY-----
nc -vz 203.0.113.10 8443                                          # succeeded — puerto de la aplicación

# En el servidor
curl -s http://127.0.0.1:8080/health          # {"status":"UP",…}
ls -l /srv/pabal/pabal_server/keys                  # private.pem(600), private.pem.pub

8. Panel de administración y primeros ajustes

# En tu ordenador (déjalo abierto)
ssh -N -L 8080:127.0.0.1:8080 <usuario>@203.0.113.10

# El token, en el servidor
sudo cat /srv/pabal/pabal_server/data/admin-token

Abre http://localhost:8080/admin/ en el navegador e introduce el token. Ajustes imprescindibles antes de entrar en producción (los detalles están en Administración y ajustes):

1. Pon el método de entrega del código (코드 전달 방식) en SMS o correo electrónico. Con el método «panel de administración» (관리 화면), el operador tiene que comunicar los códigos uno a uno.
2. Introduce los datos de SMS o de correo electrónico (SMTP), guarda y comprueba con un envío de prueba (테스트 발송) que llegan de verdad.
3. Comprueba que los números de prueba (테스트 번호) están desactivados. Si están activados, cualquiera puede iniciar sesión con un número +99966….
4. Si lo necesitas, desactiva Permitir registros nuevos (새 가입 허용) al empezar y da de alta primero solo a las personas que invites.

9. Conectar la aplicación a este servidor

La aplicación se compila con la IP, el puerto y la clave pública del servidor incorporados. Para que se conecte a este servidor, hay que volver a compilarla con la clave pública de este servidor. En el Mac:

# 1. La clave pública de este servidor (la pública, no la privada: también puedes descargarla del sitio de documentación)
curl -s -o keys/production.pem.pub https://pabal.me/docs/server-key.pem

# 2. Apuntar el código fuente de la aplicación a este servidor + aplicar la marca
python3 scripts/tdesktop/point_to_server.py ~/Developer/tdesktop \
    --host 203.0.113.10 --port 8443 --key keys/production.pem.pub
python3 scripts/tdesktop/apply_branding.py ~/Developer/tdesktop

Después, sigue los pasos 5 (configure) y 6 (compilación) de docs/tdesktop-build-guide.md del repositorio. Copia el resultado, out/Debug/Pabal.app, con otro nombre: si vuelves a compilar el mismo código fuente para otro servidor, se sobrescribe.

Para las aplicaciones de Android, iPhone y Windows, el mismo procedimiento (un script que incorpora la dirección y la clave pública del servidor → compilación) está en docs/mobile-apps-guide.md del repositorio. Para que la aplicación de Android tenga notificaciones push, la configuración de la app de Firebase del paso 10 tiene que estar lista antes de compilar.

10. Notificaciones push de Android (opcional)

Android pone enseguida en reposo las aplicaciones que salen de la pantalla. Si no activas las notificaciones push, los mensajes aparecen y las llamadas suenan solo mientras la aplicación está abierta. Las notificaciones push se envían con Firebase Cloud Messaging (FCM) de Google (gratis), y el servidor cifra con una clave que solo tiene ese teléfono el contenido de la notificación (nombre del remitente, vista previa del mensaje), así que Google no puede leerlo.

Crear el proyecto de Firebase

1. En la consola de Firebase, Agregar proyecto. El nombre puede ser cualquiera, y Google Analytics no hace falta.
2. Configuración del proyecto → General → Tus apps → Agregar app (Android). En el nombre del paquete pon me.pabal.android (el nombre que el script de compilación le da a la aplicación). La huella del certificado (SHA-1) no hace falta para las notificaciones push.
3. Descarga el google-services.json de esa app. Es la configuración que va dentro de la aplicación y no es secreta.
4. En Configuración del proyecto → Cuentas de servicio → Generar nueva clave privada descarga un archivo JSON y cámbiale el nombre a firebase-service-account.json. Este archivo es secreto: no pongas su contenido en el repositorio, en un chat ni en .env.
5. En Configuración del proyecto → Cloud Messaging, comprueba que API de Firebase Cloud Messaging (V1) está habilitada (en los proyectos nuevos suele estarlo).

Poner la configuración en la aplicación

Antes de compilar la aplicación de Android, deja google-services.json donde lo busca el script de compilación. El script revisa el archivo (que sea de un proyecto con me.pabal.android registrado y que no le hayas dado por error la clave secreta) y lo incorpora al código fuente de la aplicación.

mkdir -p ~/.pabal/android
cp ~/Downloads/google-services.json ~/.pabal/android/     # para dejarlo en otro sitio: --google-services <ruta> en apply_branding.py
python3 scripts/android/point_to_server.py <código fuente de Android> \
    --host 203.0.113.10 --port 8443 --key keys/production.pem.pub
python3 scripts/android/apply_branding.py <código fuente de Android>
# al final debe salir "Firebase: project <ID del proyecto>". Si aparece pabal-placeholder, la aplicación queda sin notificaciones push

Después, la compilación sigue el apartado de Android (Android 앱) de docs/mobile-apps-guide.md del repositorio. Los teléfonos que usaban la aplicación de antes de las notificaciones push también tienen que actualizarse a la aplicación recién compilada para recibirlas.

Poner la clave secreta en el servidor

sudo cp firebase-service-account.json /srv/pabal/pabal_server/keys/
sudo chown 1000:1000 /srv/pabal/pabal_server/keys/firebase-service-account.json    # el usuario del contenedor del servidor
sudo chmod 600 /srv/pabal/pabal_server/keys/firebase-service-account.json

Añade una línea a .env. Dentro del contenedor, pabal_server/keys es /app/keys.

FCM_CREDENTIALS=/app/keys/firebase-service-account.json

docker compose up -d pabal-server
docker compose logs pabal-server | grep -i push

INFO  TelegramServer - Push notifications on: Firebase project <ID del proyecto>, 0 device registrations, message text included (encrypted per device)

• Si ves esta línea, están activadas. Si no se puede leer el archivo o su formato es incorrecto, el motivo aparece en Push notifications are off: … (el contenido del archivo no sale en el log).
• Con PUSH_PREVIEWS=false, la línea termina en message text left out y las notificaciones muestran solo el remitente, sin el contenido del mensaje.
• El contenedor tiene que poder abrir conexiones salientes a oauth2.googleapis.com y fcm.googleapis.com (443).

Comprobación

1. Instala (o actualiza) en el teléfono la aplicación recién compilada y ábrela una vez. En el log del servidor aparece Push device registered: user … type 2 token … (push key 256 bytes). El token solo queda como huella.
2. Cierra la aplicación deslizándola en la lista de aplicaciones recientes. No uses «Forzar detención» de Ajustes: Android no entrega notificaciones push a la aplicación hasta que vuelvas a abrirla tú.
3. Envía un mensaje desde otra cuenta: en el log aparece Push MESSAGE_TEXT to user …: sent y la notificación aparece en el teléfono.

• Política de privacidad: en el panel de administración → Ajustes (설정) → Datos del operador (운영자 정보), añade Google LLC (Firebase Cloud Messaging, EE. UU.) en Encargados del tratamiento (처리 위탁) y en Transferencias internacionales (국외 이전). El texto de la política ya dice que las notificaciones pasan por FCM. Pon lo mismo en el formulario de «Seguridad de los datos» de Google Play.
• Si la clave se filtra, bórrala en la consola de Firebase, descarga una nueva, sustituye el archivo y reinicia el servidor. No hace falta recompilar la aplicación.

11. Notificaciones push de iPhone (opcional)

El iPhone también detiene enseguida las aplicaciones que salen de la pantalla. Si no activas las notificaciones push, los mensajes y las llamadas llegan solo mientras la aplicación está abierta. Las notificaciones push se envían por el servicio de notificaciones push de Apple (APNs) y, igual que en Android, el contenido de la notificación se cifra con una clave que solo tiene ese iPhone. El texto de la notificación que Apple puede ver es solo el nombre de la aplicación y una frase sin contenido como «Tienes una notificación nueva»; la extensión de notificaciones (Notification Service Extension) que lleva la aplicación para iPhone descifra el texto cifrado y lo convierte en el remitente y el mensaje.

• Registro: cada vez que se abre, la aplicación registra dos cosas por cada cuenta: una para notificaciones (type 1) y otra para llamadas (VoIP, type 9). Junto con el registro, el servidor guarda el idioma de la aplicación (en el que escribe el texto visible) y su número de compilación.
• Los mensajes van como notificaciones. A los chats silenciados no se les envía nada. Lo que se lee o se borra en otro dispositivo se avisa con un push silencioso en segundo plano, y la aplicación retira las notificaciones que estaban a la vista.
• Las llamadas enviadas por VoIP muestran la pantalla de llamada de CallKit incluso con la pantalla bloqueada. Pero una aplicación que recibe un push VoIP tiene que avisar a CallKit de la llamada de inmediato; si no lo hace, iOS cierra la aplicación y, si se repite, deja de entregarle pushes VoIP. Por eso VoIP solo se activa con APNS_VOIP_MIN_BUILD a partir de la compilación que ya lo hace así; antes, las llamadas también van como notificaciones.

Crear la clave de APNs

1. Apple Developer → Certificates, IDs & Profiles → Keys → +. Tiene que ser la cuenta del equipo que firmó la aplicación.
2. Escribe un nombre y marca Apple Push Notifications service (APNs). Deja el entorno en Sandbox & Production y el alcance en todo el equipo (Team Scoped): se envía a dos destinos, notificaciones y VoIP.
3. Register → Download. AuthKey_<ID de la clave>.p8 solo se puede descargar una vez. Este archivo es secreto: no pongas su contenido en el repositorio, en un chat ni en .env.

Poner la clave en el servidor

sudo cp AuthKey_<ID de la clave>.p8 /srv/pabal/pabal_server/keys/
sudo chown 1000:1000 /srv/pabal/pabal_server/keys/AuthKey_<ID de la clave>.p8    # el usuario del contenedor del servidor
sudo chmod 600 /srv/pabal/pabal_server/keys/AuthKey_<ID de la clave>.p8

Añade estas líneas a .env. Dentro del contenedor, pabal_server/keys es /app/keys.

APNS_KEY=/app/keys/AuthKey_<ID de la clave>.p8
APNS_TEAM_ID=4Z8R468M2D
APNS_TOPIC=me.pabal.ios
APNS_MIN_BUILD=4
APNS_VOIP_MIN_BUILD=

docker compose up -d pabal-server
docker compose logs pabal-server | grep -i push

INFO  TelegramServer - iPhone push notifications on: APNs key <ID de la clave> of team 4Z8R468M2D, topic me.pabal.ios, builds from 4, calls as alerts (TELEGRAM_APNS_VOIP_MIN_BUILD not set)

• Si ves esta línea, están activadas. Si no se puede leer el archivo de la clave o su formato es incorrecto, el motivo aparece en iPhone push notifications are off: … (el contenido del archivo no sale en el log). Se activan y se desactivan independientemente de las de Android (FCM): puedes tener activadas solo las de uno de los dos sistemas.
• El contenedor tiene que poder abrir conexiones salientes a api.push.apple.com (443, HTTP/2). Las compilaciones de depuración instaladas directamente en el dispositivo con Xcode van a api.sandbox.push.apple.com (la aplicación lo indica al registrarse).

Comprobación

1. En un iPhone real, abre la aplicación una vez y permite las notificaciones. En el log del servidor aparecen Push device registered: user … type 1 token … (push key 256 bytes, build …) y una línea con type 9. No se puede comprobar con el simulador: no tiene token de APNs ni CallKit.
2. Cierra la aplicación deslizándola hacia arriba.
3. Envía un mensaje desde otra cuenta: en el log aparece Push MESSAGE_TEXT to user …: sent y en la pantalla bloqueada aparecen el remitente y el contenido.

• Política de privacidad: en el panel de administración → Ajustes (설정) → Datos del operador (운영자 정보), añade Apple Inc. (servicio de notificaciones push de Apple, EE. UU.) en Encargados del tratamiento (처리 위탁) y en Transferencias internacionales (국외 이전). El texto de la política ya dice que las notificaciones pasan por APNs. Revisa también el apartado de identificadores del dispositivo (token de push) en el cuestionario de privacidad de la aplicación en App Store Connect.
• Si la clave se filtra, revócala con Revoke en la cuenta de desarrollador, crea una nueva, sustituye el archivo y reinicia el servidor. No hace falta recompilar la aplicación.

12. Bots de voz (opcional)

Con los bots de voz, cuando alguien llama a un bot desde la aplicación, contesta un modelo de voz de IA (la explicación para propietarios de bots está en Bots de voz). Hay que añadir dos componentes al servidor, y además tienen que estar listos los documentos legales y las compilaciones de la aplicación para que se active. Por defecto está desactivado.

Condiciones para que se active

Solo en un servidor de pruebas (TELEGRAM_TEST_NUMBERS=true) se puede saltar la comprobación de las secciones legales con TELEGRAM_VOICE_NOTICE_CHECK=off y dejar que cualquiera pruebe con TELEGRAM_VOICE_BOTS (* para todos los bots) y TELEGRAM_VOICE_TESTERS=*. No los uses en producción: un servidor de producción ignora TELEGRAM_VOICE_BOTS y muestra un aviso.

Relé de llamadas (coturn)

• En un servidor Linux, usa el pabal-turn del archivo compose (COMPOSE_PROFILES=turn). Define TURN_SECRET en .env (openssl rand -hex 32) y abre en el router y el cortafuegos TURN_PORT (3478, udp y tcp) y de TURN_MIN_PORT a TURN_MAX_PORT (de 49160 a 49200, udp). Si amplías el rango, cambia a la vez el router y .env.
• En macOS con Docker Desktop, no ejecutes coturn en un contenedor. Todas las personas que llaman aparecen como 192.168.65.1, los permisos del relé dejan de coincidir y todo el audio se descarta aunque por fuera todo parezca funcionar. En un servidor Mac, instala coturn directamente (deploy/turnserver.conf.example, docs/turn-relay-guide.md).
• La dirección de relé que se da a la pasarela es la dirección LAN del servidor: pon el mismo valor en TELEGRAM_VOICE_TURN_HOST del servidor y en VOICE_TURN_HOST de la pasarela. Con host.docker.internal no llegaba, y con 127.0.0.1 la asignación no terminaba. A las aplicaciones les sigue llegando la dirección pública (TURN_HOST).
• Comprueba desde una red externa con deploy/check_relay.py --data que el audio pasa de verdad. A veces STUN responde y la asignación funciona, pero el audio no pasa.

Clave de Vertex AI

1. En un proyecto de Google Cloud, activa la Agent Platform API (antes, Vertex AI API; aiplatform.googleapis.com). Tiene que tener una cuenta de facturación vinculada. No se usa la Gemini Developer API (claves de AI Studio).
2. Crea una cuenta de servicio y dale un único rol, roles/aiplatform.user (para restringirlo más, un rol personalizado con el único permiso aiplatform.endpoints.predict). Crea la clave de producción aparte de la de desarrollo.
3. Descarga la clave JSON y ponla fuera del repositorio y de .env, por ejemplo en /srv/pabal/pabal_voice/secrets/vertex-sa.json, legible solo por el usuario de la pasarela (Linux: chown 10001:10001, chmod 400). Si cualquiera puede leerla, la pasarela se niega a arrancar.
4. El modelo en tiempo real solo existe en us-central1 (Iowa, Estados Unidos) (comprobado el 2026-09-26). La política de privacidad y la pantalla de confirmación tienen que decir que el audio de las llamadas va a Estados Unidos, y el servidor solo pasa llamadas a una pasarela cuya región (VOICE_VERTEX_REGION) coincida con la región que indica la pantalla de confirmación de la aplicación.
5. Pendiente: alertas de presupuesto, una cuota de sesiones simultáneas (el doble de la capacidad de la pasarela) y la caché de datos de Vertex (si está activada, guarda en memoria las entradas y salidas hasta 24 horas). La pantalla de confirmación dice que «Google no conserva el audio ni el texto después de generar la respuesta», así que, mientras la caché siga activada, esa frase no es del todo cierta. Recomendado: antes de abrir al público, desactiva la caché de datos (sección 9 de docs/voice-bots/vertex-setup.md en el repositorio) y limita el rol de la clave al permiso de predicción (sección 10 del mismo documento).

Enlace y ajustes del servidor

El servidor y la pasarela leen el mismo secreto de enlace de un archivo. Como el enlace no va cifrado, ponlo solo en una red dedicada a la que solo estén conectados esos dos contenedores: no en ssemiya-net, compartida con otras pilas, ni en la LAN. No publiques su puerto.

(umask 077; openssl rand -hex 32 > /tmp/voice-link.secret)
sudo install -m 400 -o 1000 /tmp/voice-link.secret /srv/pabal/pabal_server/keys/voice-link.secret   # el del servidor (uid 1000)
sudo install -d -m 700 -o 10001 /srv/pabal/pabal_voice/secrets
sudo install -m 400 -o 10001 /tmp/voice-link.secret /srv/pabal/pabal_voice/secrets/voice-link.secret # el de la pasarela (uid 10001)
shred -u /tmp/voice-link.secret

Estos valores van en .env. Con ellos, el archivo adicional añade a pabal-server sus ajustes de voz (TELEGRAM_VOICE_*) y la red de enlace.

COMPOSE_FILE=docker-compose.yml:docker-compose.voice.yml
COMPOSE_PROFILES=voice                              # junto a otros perfiles (turn, …), separados por comas
VOICE_LINK_SECRET_FILE=/app/keys/voice-link.secret  # ruta dentro del contenedor; vacío: voz desactivada
VOICE_TURN_HOST=192.168.1.64                        # dirección LAN del servidor (donde escucha coturn)
VOICE_TESTERS=100001                                # id de quienes pueden llamar antes de la apertura (el panel de administración añade más)

• El archivo adicional conecta el servidor a la red solo interna pabal-voice-link (10.231.53.0/29: servidor .2, pasarela .3), y el servidor solo escucha en su propia dirección de esa red (con 0.0.0.0 también se abriría en la red compartida a la que está conectado). Si ese rango coincide con tu LAN, tu VPN u otra red de Docker, cambia a la vez VOICE_LINK_SUBNET, VOICE_LINK_SERVER_IP y VOICE_LINK_GATEWAY_IP.
• Para escuchar en una dirección que no sea loopback hace falta TELEGRAM_VOICE_LINK_ANY_ADDRESS=true, y el enlace nunca se asocia a una dirección pública. El log del servidor indica qué red ve el enlace.
• Antes de autenticarse, una conexión tiene 3 segundos para el upgrade y 3 para el hello; como máximo 2 conexiones por dirección y 16 en total.
• Todos los ajustes de servidor relacionados con la voz están en Administración y ajustes — Variables de entorno de los bots de voz.

Pasarela (pabal-voice)

cd /opt/pabal
docker build -t pabal-voice:latest voice/                                       # para la CPU de este equipo
docker buildx build --platform linux/amd64 -t pabal-voice:latest --load voice/  # para un servidor Intel
cd deploy && docker compose up -d                                         # según COMPOSE_FILE y COMPOSE_PROFILES de .env

La imagen usa un Python 3.12 fijado por hash, sin compilador ni pip, y se ejecuta con el uid 10001. ntgcalls solo existe para Linux x86_64/aarch64 y macOS arm64, así que en un Mac Intel solo se ejecuta con Docker. El servicio pabal-voice del archivo adicional usa esta imagen sin construirla (image: pabal-voice:latest). Para construirla en otro equipo para la CPU del servidor y enviarla, usa deploy/ship.sh <user@host> <carpeta> --voice (la imagen sustituida queda como pabal-voice:previous). Abajo está, abreviado, el servicio de pasarela de ese archivo.

  pabal-voice:                             # de deploy/docker-compose.voice.yml (abreviado)
    image: pabal-voice:latest
    profiles: [voice]
    init: true
    stop_grace_period: 40s                 # más largo que VOICE_DRAIN_SECONDS (20)
    security_opt: ["no-new-privileges:true"]
    cap_drop: [ALL]
    mem_limit: ${VOICE_MEMORY:-1g}
    ulimits:
      core: 0
    environment:
      VOICE_LINK_URL: ws://${VOICE_LINK_SERVER_IP:-10.231.53.2}:8095/voice/link
      VOICE_LINK_SECRET_FILE: /run/secrets/voice-link.secret
      VOICE_ENGINE: gemini
      VOICE_VERTEX_KEY_FILE: /run/secrets/vertex-sa.json
      VOICE_VERTEX_REGION: us-central1
      VOICE_TURN_HOST: ${VOICE_TURN_HOST:-}  # el mismo valor que TELEGRAM_VOICE_TURN_HOST del servidor
      VOICE_CAPACITY: ${VOICE_CAPACITY:-2}
      VOICE_DAILY_MODEL_MINUTES: ${VOICE_DAILY_MODEL_MINUTES:-60}
      VOICE_SAFETY_THRESHOLD: ${VOICE_SAFETY_THRESHOLD:-MEDIUM}   # llamadas de testers: supuesto que debe confirmar el operador (abajo)
      VOICE_BYOK: "false"
      VOICE_STREAM: "false"
    volumes:
      - ${PABAL_HOME:-/srv/pabal}/pabal_voice/secrets:/run/secrets:ro   # secreto de enlace y clave de Vertex; no entran en backup.sh
      - pabal_voice_state:/var/lib/pabal-voice
    networks:
      pabal-voice-link:                    # red de enlace compartida solo con el servidor (internal)
        ipv4_address: ${VOICE_LINK_GATEWAY_IP:-10.231.53.3}
      pabal-voice-out: {}                  # su propia red de salida (Google, relé)

• Además del enlace, la pasarela necesita un camino hacia fuera: Google (us-central1-aiplatform.googleapis.com:443) y el relé de llamadas (UDP). Como la red de enlace es internal: true y no puede salir, se añade otra red, pabal-voice-out, como arriba.
• Landlock: una pasarela que usa un modelo o el modo stream se niega a arrancar (código de salida 2) si el núcleo Linux no tiene Landlock (5.13 o superior; funciona con el seccomp predeterminado de Docker). El proceso de medios, que maneja con código nativo lo que envía quien llama, se bloquea a sí mismo para no poder leer los archivos de claves. Dentro del contenedor no montes los archivos secretos bajo /app, /opt, /usr, /lib ni /etc (/run/secrets sirve, como en el ejemplo de arriba). VOICE_ALLOW_NO_LANDLOCK=true es solo para los Mac de desarrollo. No se ha comprobado si Landlock funciona en macOS con Docker Desktop.
• Memoria: por llamada, de 60 a 100 MB para los medios + de 30 a 40 MB para el motor. Con una capacidad de 8 (VOICE_CAPACITY) y un par de reserva, alrededor de 1,3 GB. Por defecto, el archivo adicional usa una capacidad de 2 y 1 GB de memoria (VOICE_MEMORY).
• Filtro de seguridad: el valor predeterminado de VOICE_SAFETY_THRESHOLD en la pasarela es LOW (el más estricto), pero en las mediciones convirtió en rechazos en inglés 13 de 172 frases normales en coreano (MEDIUM: 0 de 69). El repositorio da por supuesto que en las llamadas de testers se indica MEDIUM de forma explícita; antes de cambiar el valor predeterminado hacen falta pruebas de red team.
• Límites: por defecto, la pasarela permite por llamada 600 segundos, 400.000 tokens y 30 turnos por minuto, y por día (UTC) 300 minutos de modelo y 8 millones de tokens; el archivo adicional fija el día en 60 minutos y 1,6 millones de tokens (VOICE_DAILY_MODEL_*; por encima, las llamadas nuevas dan ocupado). El motor de OpenAI solo se ha probado con servidores falsos y está desactivado, y no hay cambio automático entre motores.
• Idiomas: al conectarse al servidor, la pasarela indica en qué idiomas de bot puede atender llamadas (desde la 0.7.0, en los 9), y el servidor solo le pasa las llamadas de un bot a una pasarela que atienda llamadas en el idioma de ese bot: a una pasarela antigua que no indica sus idiomas (0.6.0) solo le llegan bots en coreano e inglés. Las grabaciones de los avisos están en assets/ dentro de la imagen, y assets/assets.json determina cuáles han superado la revisión. Sin ese archivo, la pasarela no puede incluir el aviso de IA y no atiende llamadas (con un ERROR en el log de arranque). Las grabaciones que no han superado la revisión (hoy, las de todos los idiomas salvo el coreano y el inglés) no se reproducen, y quien llama en esos idiomas oye los avisos en inglés. VOICE_DRAFT_NOTICES=true es un interruptor solo para servidores de pruebas que reproduce también los borradores, y sin VOICE_ALLOW_TEST_URLS=true la pasarela no arranca. VOICE_NOTICE_LANG (el idioma de los avisos cuando el servidor no indica el idioma de quien llama, ko por defecto) tiene que ser uno de los 10 idiomas de grabación (ko en ja zh fr es id vi km ar), y VOICE_LANGUAGE (el idioma del bot en las llamadas sin ajustes del propietario del bot, ko-KR por defecto), uno de los ID de la lista de idiomas del bot (Bots de voz — Voces e idiomas).
• En los logs no quedan ni el secreto de enlace, ni las claves, ni el audio, ni el texto de las conversaciones, ni las instrucciones. Con SIGTERM, deja de aceptar llamadas nuevas y da VOICE_DRAIN_SECONDS (20 segundos por defecto) a las llamadas en curso antes de terminarlas.

Comprobar

docker compose logs pabal-server | grep -E "Voice|voice"
docker compose logs pabal-voice | head -20

INFO  TelegramServer - Voice bots on: gateways connect to ws://10.231.53.2:8095/voice/link; bots 0 listed, 2 calls each at most
INFO  VoiceGatewayLink - Voice gateway link listening on ws://10.231.53.2:8095/voice/link (red)
INFO  TelegramServer - Voice bot callers: patched apps only (desktop pabal-bc1+, Android 62151+, iOS 5+), recipients google.vertex.gemini-live@us-central1, testers 0 listed + the admin page's
INFO  VoiceGatewayLink - Voice gateway pabal-voice-1 (boot 823c9600d05e811847ce95a8f1ba9efa) connected: new session, capacity 2, features […], audio to google.vertex.gemini-live@us-central1

• Voice bots are off: … aparece cuando el secreto de enlace falta, no se puede leer o no tiene 32 bytes; el final de línea — but without a TURN relay every bot call is busy, cuando no hay relé.
• Si ves el ERROR Voice bots are on, but no bot is callable: the privacy policy … has no id="bot-calls" section, primero hay que publicar en la política del sitio la sección de llamadas a bots.
• Cuando se conecta una pasarela, en features del log del servidor aparecen bot_settings·end_call·context·tools, además de byok si la pasarela usa las claves de los propietarios y transcripts si tiene el aviso de voz de transcripción (el orden varía). audio to tiene que coincidir con el destinatario que indica la pantalla de confirmación de la aplicación.
• En la pasarela, la primera línea debe ser starting as pabal-voice-1 (capacity 2, … engine gemini, audio to google.vertex.gemini-live@us-central1), la línea del modelo debe decir session resumption off; no failover, y también debe aparecer media workers sandbox themselves with Landlock (ABI N). recordings for the callers' notices in: Korean, English indica los idiomas en los que se pueden reproducir los avisos para quien llama (en un servidor de pruebas que reproduce también los borradores, se añade (drafts included: …)).
• Después, en la pestaña Voz (음성) del panel de administración (Administración y ajustes — Pestaña Voz), comprueba que la pasarela está conectada, añade testers y autoriza los bots.

Clave maestra (clave propia · modo stream)

Las claves de modelo de los propietarios de bots y los secretos del modo stream se guardan cifrados con esta clave. Tiene que estar en un sitio que no se copie con las copias de seguridad.

sudo install -d -m 700 -o 1000 -g 1000 /etc/pabal/voice                 # fuera de /srv/pabal, 700
sudo sh -c 'umask 077; openssl rand -hex 32 > /etc/pabal/voice/voice-master.key'
sudo chown 1000:1000 /etc/pabal/voice/voice-master.key

      TELEGRAM_VOICE_KEYS_MASTER_FILE: /app/secrets/voice-master.key
    volumes:
      - /etc/pabal/voice:/app/secrets:ro

• Si está dentro o al lado de la carpeta de datos o de la de claves RSA, o si su carpeta está mínimamente abierta a otros usuarios (no es 700), el servidor no la usa (Voice keys off: …). Si el archivo no existe, el servidor lo crea al recibir la primera clave (con un montaje de solo lectura, créalo tú como arriba).
• No la metas en las copias de seguridad, y guarda aparte una copia sin conexión. Si se pierde, todos los propietarios de bots tendrán que volver a configurar su clave. Para cambiarla, indica la clave antigua en TELEGRAM_VOICE_KEYS_PREVIOUS_MASTER_FILE, arranca, revisa los logs y borra el archivo antiguo.
• Aunque haya clave maestra, las claves propias no se aceptan hasta que las aplicaciones muestren la pantalla de confirmación (versión 2) de los bots con clave propia y pongas TELEGRAM_VOICE_OWN_KEYS_APPS_READY=true. En el modo stream, solo se puede llamar cuando indicas en TELEGRAM_VOICE_STREAM_MIN_BUILD_DESKTOP·_ANDROID·_IOS las compilaciones de la aplicación con la pantalla de confirmación del modo stream (por defecto 0 = nadie puede llamar), y la pasarela necesita VOICE_STREAM=true y las IP públicas de este despliegue (VOICE_STREAM_DENY_ADDRESSES).

Componentes MCP (opcional)

Son los componentes que, durante las llamadas, llaman a los servidores MCP registrados por los propietarios de bots. Por defecto están desactivados, y deploy/docker-compose.mcp.yml (perfil mcp) añade tres contenedores.

docker compose -f docker-compose.yml -f docker-compose.mcp.yml --profile mcp up -d

• Para activarlos hacen falta TELEGRAM_MCP_EGRESS_OWN_ADDRESSES (las direcciones públicas de Pabal, obligatorio) y los archivos de claves (secreto de enlace, K_grant, clave de instalación; todos en una carpeta 700 fuera de /srv/pabal), y el sitio tiene que tener la sección bot-calls-mcp de la política y la sección de propietarios de bots de los términos del servicio. La configuración que se hace una sola vez está, en orden, en el comentario del principio de docker-compose.mcp.yml. El almacén y las claves de firma no van a las copias de seguridad.
• Cuando las aplicaciones ya muestren en la pantalla de confirmación el destinatario MCP del bot, pon TELEGRAM_MCP_APPS_READY=true. Hasta entonces se pueden registrar servidores, pero ninguna llamada lleva herramientas MCP.
• Tener una dirección de salida dedicada para las peticiones MCP no es una condición del código, sino una decisión de operación (por esa salida van las palabras de quien llama a un servidor de terceros).
• Cuando se activan, el log muestra MCP tools on: pabal-mcp dials …; issuer …; ports …; own addresses N; clock by NTP …. deploy/ship.sh <servidor> <carpeta> --mcp solo construye y envía las tres imágenes y copia el archivo override, sin activar nada (nunca se ha probado en Docker de Linux).

Punto de entrada del Apple Watch (opcional, en preparación)

La app del reloj inicia sesión y llama por la API del reloj del servidor (JSON sobre HTTPS, /api/watch/v1/) en lugar de MTProto, y el audio de las llamadas llega a la pasarela por el punto de entrada de audio (pabal-voice-edge, WSS). No se usa el relé de llamadas (coturn). Está desactivado por defecto.

• Pasarela: VOICE_DIRECT=true y VOICE_EDGE_DIR (carpeta de sockets compartida con el punto de entrada, por defecto /run/pabal-voice-edge). Las llamadas desde el reloj solo funcionan con un motor de 16 kHz (Gemini) o con eco.
• Punto de entrada de audio: ejecuta python -m pabal_voice.edge como segundo servicio de la misma imagen (VOICE_EDGE_HOST·VOICE_EDGE_PORT, por defecto 127.0.0.1·8096, VOICE_EDGE_DIR). El punto de entrada es el primero en decodificar lo que llega de Internet: no le montes ningún secreto y colócalo en una red interna a la que solo lleguen el proxy y la pasarela.
• El proxy inverso solo reenvía las dos rutas del reloj: /api/watch/v1/audio (WebSocket, al punto de entrada) y /api/watch/v1/ (a la API del reloj). En el lado de la API del reloj, deja que añada la dirección del cliente al final de X-Forwarded-For (el servidor la usa para contar el límite de inicio de sesión por dirección). En el lado del punto de entrada, elimina X-Forwarded-For y X-Real-IP.
• En el reloj no es posible registrarse, ni llamar a bots que usan herramientas, MCP, clave propia, modo stream o la transcripción del propietario del bot (WATCH_NOT_YET).

Guardar conversación (opcional, en preparación)

Si quien llama lo elige en la pantalla de confirmación, la conversación de la llamada se guarda como texto solo en su propio chat (Usar la aplicación: bots de voz). No hay interruptor de autorización del operador: se activa cuando se cumple todo lo siguiente.

• La sección id="bot-calls-keep-text" en la política de privacidad (borrador: docs/voice-bots/p0/privacy-*.draft.html en el repositorio). Esta sección es el propio interruptor. La aplicación sabe si debe mostrar la casilla por pabal_voice_keep_text en help.getAppConfig.
• VOICE_KEEP_TEXT de la pasarela 0.9.0: true por defecto con un motor de modelo. Con el motor de eco (incluida una pasarela solo para modo stream), true es un error de configuración y no arranca.
• Una compilación de la aplicación con la casilla. El texto de la casilla solo entra en las compilaciones publicadas después de la revisión legal. El reloj no muestra el texto sin revisar; TELEGRAM_VOICE_KEEP_TEXT_UNREVIEWED=true es un interruptor solo para servidores de pruebas internos que muestra el texto sin revisar.
• En un servidor con la función activada, el voice_call ended de todas las llamadas a bots que no son de modo stream llega hasta 10 segundos más tarde, y se reservan 30 números de mensaje después del registro de la llamada (para que el propietario del bot no pueda saber qué eligió quien llama).
• Los textos de conversación que esperan a escribirse al terminar la llamada están solo en memoria: si entretanto se reinicia el servidor, el texto de esa llamada no se guarda.

Llamadas de bots (opcional, a la espera de la revisión legal)

Un bot de voz que llama primero a una persona que permitió que ese bot la llamara (Bots de voz — Llamadas de bots). Tiene más condiciones que las llamadas a bots, y no deberías activarlo antes de terminar la revisión legal. En este orden:

1. El servidor: crea la carpeta de la clave de pruebas (TELEGRAM_VOICE_EVIDENCE_KEY_DIR: 700, fuera de las carpetas de las copias de seguridad como las de datos y claves) con new de scripts/voice-evidence-key.py (rotate para cambiar la clave, check para comprobarla) y pon la primera versión de la aplicación con la pantalla de permiso como versión mínima para llamadas salientes, por ejemplo TELEGRAM_VOICE_OUTBOUND_MIN_BUILD_ANDROID (variables de entorno). Si TELEGRAM_VOICE_EVIDENCE_KEY_DIR está solo en .env, no llega al servidor: añádela al pabal-server de deploy/docker-compose.voice.yml, en environment (la ruta dentro del contenedor) y volumes (la carpeta del host).
2. Las aplicaciones: publica versiones de la aplicación con la pantalla de permiso. Sus reglas de enlaces de permiso solo conocen pabal.me, así que en otro servidor hay que añadir su host a las reglas de enlaces de las versiones de la aplicación para que un enlace enviado por un bot abra la pantalla (el menú y la lista de ajustes funcionan igual).
3. Lo legal: publica la sección id="bot-calls-outbound" de la política de privacidad y la sección id="voice-bot-owners-outbound" de los términos del servicio (y la sección voice-bot-owners, para que los propietarios acepten las condiciones). Los borradores están en docs/voice-bots/p0/ del repositorio. Los textos de la pantalla de permiso y las grabaciones de los avisos de llamada saliente (notice-out·apology-rule) se revisan y aprueban también en este paso.
4. El interruptor: en Llamadas de bots de la pestaña Voz del panel de administración, fija los países y los límites y actívalo con la frase de confirmación (Panel de administración: pestaña Voz). Cada bot pasa además por la revisión de llamadas salientes del operador.

• La pasarela: solo una pasarela con VOICE_OUTBOUND=true hace las llamadas de los bots. Con un motor de modelo, solo arranca si las cuatro grabaciones de los avisos de llamada saliente están aprobadas; las grabaciones en borrador (VOICE_OUTBOUND_DRAFT_NOTICES) son solo para servidores de pruebas.
• No pongas en el .env de producción nombres solo para pruebas y desarrollo como TELEGRAM_VOICE_CALLME_UNREVIEWED y TELEGRAM_VOICE_TEST_DIAL.
• Las llamadas de bots tampoco tienen cifrado de extremo a extremo: el audio pasa por la pasarela de este servidor y por el proveedor de IA.

13. Imágenes de mapa en los mensajes de ubicación (opcional)

Cuando se envía una ubicación, la aplicación de Android y las de escritorio (macOS, Windows) no dibujan ellas mismas el mapa de la burbuja: le piden al servidor una imagen del mapa de ese punto (upload.getWebFile). El servidor la obtiene de la Maps Static API de Google y la entrega. Sin ella, Android muestra una imagen de relleno y el escritorio un recuadro vacío con un alfiler. El iPhone dibuja el mapa en el propio teléfono, así que este ajuste no le afecta, y enviar una ubicación y el mapa grande que se abre al tocarla funcionan en todos los casos.

1. En la consola de Google Cloud, elige un proyecto con una cuenta de facturación y habilita la Maps Static API.
2. Crea una clave de API; restringe la aplicación a direcciones IP (la IP pública con la que el servidor sale a internet) y la API a la Maps Static API sola. La clave se queda en el servidor y nunca va dentro de las aplicaciones.
3. Ponla en .env y reinicia el servidor con docker compose up -d pabal-server.
4. Compruébalo en el registro. Si los mapas están desactivados, Maps in location messages are off: … dice por qué (el valor de la clave nunca aparece en el registro).

STATIC_MAPS_KEY=AIza…               # no dejes la clave en chats, registros ni en el repositorio
STATIC_MAPS_PER_DAY=300             # imágenes nuevas que se obtienen al día (0 = sin límite)
STATIC_MAPS_PER_USER_HOUR=120       # imágenes nuevas que una persona puede provocar por hora

INFO  TelegramServer - Maps in location messages from Google Static Maps (120 new per person an hour, 300 a day)

• Coste: la Maps Static API es gratuita hasta 10.000 peticiones al mes. El servidor guarda cada imagen un día y se la vuelve a dar a cualquier dispositivo que pida el mismo mapa; una imagen repetida no cuenta para los límites. El límite por defecto (300 al día) son unas 9.000 al mes, dentro del tramo gratuito. Una petición por encima de un límite se rechaza con FLOOD_WAIT, y mientras tanto la aplicación muestra la imagen de relleno.
• Política de privacidad: las coordenadas (latitud y longitud) de la ubicación compartida van a Google, pero no quién la envió. En el panel de administración → Ajustes → información del operador, añade Google LLC (Maps Static API, Estados Unidos) a los encargados del tratamiento y a las transferencias internacionales.
• Si el registro muestra Map picture not made: Google Static Maps answered 403: …, revisa las restricciones de la clave (IP, API) o la cuenta de facturación.

Operación

Estado y logs

cd /opt/pabal/deploy
docker compose ps
docker compose logs --since 1h pabal-server
tail -f /srv/pabal/pabal_server/logs/telegram-server.log

Actualizar

cd /opt/pabal && git pull
cd deploy
./backup.sh                                     # primero, copia de seguridad
docker compose up -d --build pabal-server             # sustituye solo el servidor por la imagen nueva
docker compose logs --since 5m pabal-server | grep -E "Website|ERROR"

Durante las decenas de segundos que tarda el servidor en volver a arrancar, la aplicación se desconecta y después se reconecta sola sin volver a iniciar sesión. El servidor aplica solo los cambios de tablas al arrancar. Los directorios montados no dependen de la imagen, así que docker compose down o borrar la imagen no borra los datos: simplemente, no borres /srv/pabal.

Volver atrás: volver a la imagen anterior deja en la base de datos lo que la versión nueva ya escribió, y puede que la versión antigua no sepa leerlo (por ejemplo, una versión con el código de los bots de voz escribe eventos nuevos, como los registros de llamadas en los chats, aunque la voz esté desactivada). Por eso, al volver atrás, restaura también la base de datos de la copia hecha justo antes de la actualización (Restaurar).

Copias de seguridad

./backup.sh            # → /srv/pabal/backups/<fecha-hora>/{pabal.dump, server-keys-data.tar.gz}
crontab -e             # todos los días a las 03:00:
# 0 3 * * * /opt/pabal/deploy/backup.sh >> /srv/pabal/backups/backup.log 2>&1

• Las copias de más de 14 días se borran solas (se puede cambiar, por ejemplo con KEEP_DAYS=30 ./backup.sh).
• Cópialas también a otro sitio. Una copia en el mismo disco no sobrevive a una avería del disco.
• Las copias contienen la clave privada RSA y los secretos de SMS y SMTP. Protege el lugar donde las guardes tanto como el servidor.

Restaurar

cd /opt/pabal/deploy
B=/srv/pabal/backups/20260920-030000            # copia que se va a restaurar
docker compose stop pabal-server pabal-caddy
docker compose exec -T pabal-postgres dropdb -U pabal pabal
docker compose exec -T pabal-postgres createdb -U pabal pabal
docker compose exec -T pabal-postgres pg_restore -U pabal -d pabal --no-owner < $B/pabal.dump
docker compose exec -T pabal-postgres psql -U pabal -d pabal -c "ALTER DATABASE pabal SET search_path = public"   # la ruta por defecto de la base de datos: la restauración no la trae de vuelta
sudo tar -C /srv/pabal/pabal_server -xzf $B/server-keys-data.tar.gz
sudo chown -R 1000:1000 /srv/pabal/pabal_server
docker compose up -d

Para migrar a un servidor nuevo se hace lo mismo: sigue los pasos 1 a 5 y, en lugar del paso 6, haz la restauración de arriba y arranca. Si restauras la misma clave, no hace falta volver a compilar la aplicación (si cambió la IP del servidor, sí hay que recompilarla).

Arrancar y detener

docker compose restart pabal-server       # reinicia solo el servidor
docker compose stop                 # detiene todo (los datos se conservan)
docker compose up -d                # vuelve a arrancar

Aunque reinicies la máquina, los contenedores vuelven a arrancar solos porque tienen restart: unless-stopped.

Lista de comprobación de seguridad

• .env con permisos 600 y POSTGRES_PASSWORD con un valor aleatorio
• /srv/pabal/pabal_server/keys con permisos 700, y la clave privada no está en ningún otro sitio salvo las copias de seguridad
• (Si has activado las notificaciones push) firebase-service-account.json con permisos 600, y su contenido no está en el repositorio ni en .env
• (Si has activado las notificaciones push de iPhone) AuthKey_<ID de la clave>.p8 con permisos 600, y su contenido no está en el repositorio ni en .env
• Cortafuegos: solo 22 (si es posible, solo desde la IP del operador), 80, 443 y 8443
• Desde fuera, https://dominio/admin/ devuelve 404
• Panel de administración: números de prueba (테스트 번호) desactivados, método de entrega del código (코드 전달 방식) en SMS o correo electrónico, envío de prueba (테스트 발송) correcto
• TELEGRAM_WEBHOOK_ALLOW_LOCAL sin activar (para que los webhooks de los bots no puedan ir a la red interna)
• (Si activaste los bots de voz) El secreto de enlace, la clave de Vertex y la clave maestra solo los puede leer el usuario que los usa (400/600), y la clave maestra está fuera de /srv/pabal, así que no entra en las copias de seguridad. El puerto del enlace no está publicado y la red del enlace solo la usan el servidor y la pasarela. El servidor de producción no tiene TELEGRAM_VOICE_NOTICE_CHECK ni TELEGRAM_VOICE_TESTERS=*
• SSH: inicio de sesión con contraseña desactivado, solo con clave
• Cron de copias de seguridad y copia externa comprobados; restauración ensayada al menos una vez
• Actualizaciones de seguridad automáticas del sistema operativo del servidor (unattended-upgrades)

Solución de problemas

Limitaciones conocidas

• Es una configuración de un solo servidor. Al arrancar, carga en memoria todas las cuentas, conversaciones y mensajes. Todavía no admite escalado horizontal repartido entre varias máquinas, y a medida que crecen los datos hay que ampliar la memoria.
• Los códigos de registro pendientes, las actualizaciones que los bots no han recogido y los textos de «Guardar conversación» que esperan a escribirse están en memoria, así que se pierden al reiniciar el servidor.
• Las peticiones de códigos de registro tienen un intervalo mínimo y un límite diario, pero todavía no hay límite de frecuencia para el resto de las peticiones. Justo después de abrir el servicio al público, revisa a menudo los logs y la pestaña Resumen (대시보드) del panel de administración.
• Las notificaciones push solo llegan a las aplicaciones de teléfono: Android (paso 10) e iPhone (paso 11). En iPhone solo llegan a compilaciones iguales o superiores a APNS_MIN_BUILD (Pabal 1.0 (3) queda fuera), y la pantalla de llamada de CallKit solo se activa después de fijar APNS_VOIP_MIN_BUILD. Las aplicaciones para macOS y Windows reciben mientras están abiertas.
• El «silenciar notificaciones» de cada chat solo está en la memoria del servidor. Las notificaciones push de los chats silenciados salen con prioridad no urgente en Android (el propio teléfono las filtra) y no salen en iPhone, pero, tras reiniciar el servidor, salen como siempre en los dos (la aplicación solo vuelve a avisar al servidor cuando cambias el ajuste). Si una aplicación cerrada tarda más de 20 segundos en despertar y conectarse al servidor, la llamada puede acabar como no contestada para quien llama.
• Los mensajes admiten fotos y archivos como adjuntos; los mensajes de vídeo y de voz que se reproducen dentro de la aplicación todavía no. Canales, supergrupos, llamadas de grupo y verificación en dos pasos tampoco están disponibles aún.
• Las claves de autorización están en texto plano en la base de datos (el servidor las necesita para descifrar). Protege la base de datos y las copias de seguridad tanto como la clave RSA.

Archivos