Exploitation du serveur

Installation du serveur

Comment installer et exploiter un serveur Pabal avec Docker Compose sur une seule machine accessible depuis Internet.

Voici comment installer le serveur Pabal sur une seule machine accessible depuis Internet. Avec Docker Compose, vous lancez trois conteneurs — serveur Pabal · PostgreSQL · Caddy (HTTPS) — et toutes les données à ne pas perdre sont placées dans des répertoires de l'hôte montés en bind mount. Suivez les étapes dans l'ordre, de haut en bas.

Vue d'ensemble

Prérequis

Ports

1. Préparer le serveur

sudo apt update && sudo apt -y upgrade
timedatectl                      # vérifier "System clock synchronized: yes"

La synchronisation de l'heure est indispensable. Les numéros de message MTProto sont dérivés de l'heure : si l'horloge du serveur dérive, l'application se reconnecte en boucle. Si la valeur est no : sudo timedatectl set-ntp true.

# Pare-feu
sudo ufw allow OpenSSH           # si possible : sudo ufw allow from <IP de l'opérateur> to any port 22
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp
sudo ufw allow 443/udp
sudo ufw allow 8443/tcp
sudo ufw enable

# Docker (script d'installation officiel)
curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh
sudo usermod -aG docker $USER     # après reconnexion, docker fonctionne sans sudo
docker compose version            # v2 ou plus récent

2. Récupérer les sources

sudo mkdir -p /opt/pabal && sudo chown $USER: /opt/pabal
git clone <adresse du dépôt> /opt/pabal

Si vous copiez depuis un ordinateur de développement, n'envoyez ni les clés, ni les données, ni les journaux (rsync --exclude 'keys/' --exclude 'data/' --exclude 'logs/' --exclude '**/target/'). La clé RSA du serveur de production est générée par celui-ci lors de son premier démarrage : utiliser en production une clé de développement ferait de cet ordinateur de développement un endroit capable de déchiffrer le trafic de production.

3. Répertoires de données (bind mount)

sudo mkdir -p /srv/pabal/{postgres_data,pabal_server/keys,pabal_server/data,pabal_server/logs,caddy/data,caddy/config,backups}
sudo chown -R 1000:1000 /srv/pabal/pabal_server        # le conteneur serveur tourne avec l'uid 1000
sudo chown -R $USER: /srv/pabal/backups
sudo chmod 700 /srv/pabal/pabal_server/keys /srv/pabal/backups

4. Fichier de configuration .env

cd /opt/pabal/deploy
cp .env.example .env
chmod 600 .env
openssl rand -base64 30 | tr -d '/+=' | cut -c1-32     # valeur à mettre dans POSTGRES_PASSWORD
nano .env

DOMAIN=pabal.me
PUBLIC_IP=203.0.113.10
POSTGRES_PASSWORD=(valeur générée ci-dessus)
PABAL_HOME=/srv/pabal
PABAL_SOURCE=..
PABAL_NETWORK=ssemiya-net
MTPROTO_PORT=8443
HTTP_PORT=80
HTTPS_PORT=443
ADMIN_PORT=8080
ADMIN_TOKEN=
JAVA_OPTS="-Xms512m -Xmx2g -XX:+UseG1GC -XX:MaxGCPauseMillis=100"

Le fichier compose de production démarre le serveur avec les numéros de test désactivés (TELEGRAM_TEST_NUMBERS=false). La liste complète des valeurs lues par le serveur se trouve dans Administration et paramètres — variables d'environnement.

5. DNS

dig +short pabal.me        # doit afficher 203.0.113.10 (propagation : de quelques minutes à quelques heures)

Vous pouvez démarrer avant que le DNS ne pointe vers le serveur : Caddy réessaie de lui-même jusqu'à obtenir le certificat.

6. Compiler et démarrer

cd /opt/pabal/deploy
docker network inspect ssemiya-net >/dev/null 2>&1 || docker network create ssemiya-net   # une seule fois
docker compose up -d --build       # quelques minutes la première fois (Maven télécharge les bibliothèques)
docker compose ps                  # pabal-server, pabal-postgres et pabal-caddy en running (healthy)
docker compose logs -f pabal-server      # Ctrl+C pour quitter

Au premier démarrage, des lignes comme celles-ci apparaissent dans les journaux.

WARN  ServerKeys - Generated a new RSA key at /app/keys/private.pem (fingerprint -3898654385185406269). Clients must embed /app/keys/private.pem.pub
INFO  TelegramServer - JDBC persistence active (jdbc:postgresql://pabal-postgres:5432/pabal)
INFO  BotFather - BotFather is user 100000
INFO  AdminToken - Created the admin token in /app/data/admin-token
INFO  TelegramServer - Website: http://0.0.0.0:8080/ (published at https://pabal.me/)

• La première ligne est un WARN, mais c'est normal (un simple avertissement : la clé n'est créée qu'une seule fois). Les fois suivantes, vous verrez Loaded RSA key … (fingerprint …). L'empreinte diffère d'un serveur à l'autre.
• Le serveur crée lui-même les tables au démarrage.

7. Vérifier

# Depuis l'extérieur (votre ordinateur)
curl -sI https://pabal.me/ | head -1                              # HTTP/2 200
curl -s -o /dev/null -w '%{http_code}\n' https://pabal.me/docs/    # 200 — cette documentation
curl -s -o /dev/null -w '%{http_code}\n' https://pabal.me/admin/   # 404 — la page d'administration n'est pas publique
curl -s https://pabal.me/docs/server-key.pem | head -1             # -----BEGIN RSA PUBLIC KEY-----
nc -vz 203.0.113.10 8443                                          # succeeded — port de l'application

# Sur le serveur
curl -s http://127.0.0.1:8080/health          # {"status":"UP",…}
ls -l /srv/pabal/pabal_server/keys                  # private.pem(600), private.pem.pub

8. Page d'administration et premiers réglages

# Sur votre ordinateur (laissez la commande tourner)
ssh -N -L 8080:127.0.0.1:8080 <utilisateur>@203.0.113.10

# Le jeton, sur le serveur
sudo cat /srv/pabal/pabal_server/data/admin-token

Ouvrez http://localhost:8080/admin/ dans un navigateur et saisissez le jeton. Réglages à faire avant la mise en service (détails dans Administration et paramètres) :

1. Réglez le mode de remise des codes (코드 전달 방식) sur SMS ou e-mail. Avec le mode « page d'administration » (관리 화면), l'opérateur doit communiquer chaque code lui-même.
2. Saisissez les valeurs SMS ou e-mail (SMTP), enregistrez, puis vérifiez avec Envoi de test (테스트 발송) que les codes arrivent vraiment.
3. Vérifiez que les numéros de test (테스트 번호) sont désactivés. S'ils sont activés, n'importe qui peut se connecter avec un numéro +99966….
4. Si besoin, démarrez avec Autoriser les nouvelles inscriptions (새 가입 허용) désactivé, pour n'accueillir d'abord que les personnes invitées.

9. Connecter l'application à ce serveur

L'application est compilée avec l'IP, le port et la clé publique du serveur intégrés. Il faut la recompiler avec la clé publique de ce serveur pour qu'elle puisse s'y connecter. Sur le Mac :

# 1. La clé publique de ce serveur (la clé publique, pas la clé privée — vous pouvez aussi la prendre sur le site de documentation)
curl -s -o keys/production.pem.pub https://pabal.me/docs/server-key.pem

# 2. Faire pointer les sources de l'application vers ce serveur + appliquer la marque
python3 scripts/tdesktop/point_to_server.py ~/Developer/tdesktop \
    --host 203.0.113.10 --port 8443 --key keys/production.pem.pub
python3 scripts/tdesktop/apply_branding.py ~/Developer/tdesktop

Suivez ensuite les étapes 5 (configure) et 6 (compilation) de docs/tdesktop-build-guide.md dans le dépôt. Copiez le résultat, out/Debug/Pabal.app, sous un autre nom : si vous recompilez les mêmes sources pour un autre serveur, il sera écrasé.

Exploitation

État et journaux

cd /opt/pabal/deploy
docker compose ps
docker compose logs --since 1h pabal-server
tail -f /srv/pabal/pabal_server/logs/telegram-server.log

Mise à jour

cd /opt/pabal && git pull
cd deploy
./backup.sh                                     # sauvegarder d'abord
docker compose up -d --build pabal-server             # remplacer uniquement le serveur par la nouvelle image
docker compose logs --since 5m pabal-server | grep -E "Website|ERROR"

Pendant les quelques dizaines de secondes que dure le redémarrage du serveur, l'application est déconnectée, puis se reconnecte d'elle-même sans que l'utilisateur ait à se reconnecter à son compte. Les modifications de tables sont appliquées automatiquement au démarrage du serveur. Les répertoires montés sont indépendants de l'image : ni docker compose down ni la suppression d'images n'effacent les données — veillez seulement à ne jamais supprimer /srv/pabal.

Sauvegarde

./backup.sh            # → /srv/pabal/backups/<date-heure>/{pabal.dump, server-keys-data.tar.gz}
crontab -e             # tous les jours à 03:00 :
# 0 3 * * * /opt/pabal/deploy/backup.sh >> /srv/pabal/backups/backup.log 2>&1

• Les sauvegardes de plus de 14 jours sont supprimées automatiquement (modifiable, par exemple KEEP_DAYS=30 ./backup.sh).
• Copiez-les aussi ailleurs. Une sauvegarde sur le même disque ne survit pas à une panne de ce disque.
• Les sauvegardes contiennent la clé privée RSA et les secrets SMS et SMTP. Protégez leur lieu de stockage autant que le serveur lui-même.

Restauration

cd /opt/pabal/deploy
B=/srv/pabal/backups/20260920-030000            # sauvegarde à restaurer
docker compose stop pabal-server pabal-caddy
docker compose exec -T pabal-postgres dropdb -U pabal pabal
docker compose exec -T pabal-postgres createdb -U pabal pabal
docker compose exec -T pabal-postgres pg_restore -U pabal -d pabal --no-owner < $B/pabal.dump
sudo tar -C /srv/pabal/pabal_server -xzf $B/server-keys-data.tar.gz
sudo chown -R 1000:1000 /srv/pabal/pabal_server
docker compose up -d

La procédure est la même pour migrer vers un nouveau serveur : effectuez les étapes 1 à 5, puis, au lieu de l'étape 6, faites la restauration ci-dessus et démarrez. Si vous restaurez la même clé, inutile de recompiler l'application (sauf si l'IP du serveur a changé).

Démarrer et arrêter

docker compose restart pabal-server       # redémarrer uniquement le serveur
docker compose stop                 # tout arrêter (les données restent intactes)
docker compose up -d                # redémarrer

Même après un redémarrage de la machine, les conteneurs repartent d'eux-mêmes grâce à restart: unless-stopped.

Liste de contrôle de sécurité

• .env en permissions 600, POSTGRES_PASSWORD aléatoire
• /srv/pabal/pabal_server/keys en permissions 700, clé privée présente nulle part ailleurs que dans les sauvegardes
• Pare-feu : uniquement 22 (si possible limité à l'IP de l'opérateur), 80, 443 et 8443
• Depuis l'extérieur, https://domaine/admin/ renvoie 404
• Page d'administration : numéros de test (테스트 번호) désactivés, mode de remise des codes (코드 전달 방식) sur SMS ou e-mail, envoi de test (테스트 발송) réussi
• TELEGRAM_WEBHOOK_ALLOW_LOCAL non activé (pour que les webhooks des bots ne puissent pas atteindre le réseau interne)
• SSH : connexion par mot de passe désactivée, clés uniquement
• Cron de sauvegarde et copie externe vérifiés, restauration testée au moins une fois
• Mises à jour de sécurité automatiques du système du serveur (unattended-upgrades)

Dépannage

Limites connues

• Configuration à serveur unique. Au démarrage, tous les comptes, conversations et messages sont chargés en mémoire. La mise à l'échelle horizontale sur plusieurs machines n'est pas encore possible : quand les données augmentent, il faut ajouter de la mémoire.
• Les codes d'inscription en attente et les mises à jour non récupérées des bots sont en mémoire et disparaissent au redémarrage du serveur.
• Les demandes de code d'inscription sont soumises à un intervalle minimal et à une limite quotidienne, mais il n'existe pas encore de limitation de débit pour les autres requêtes. Juste après l'ouverture au public, surveillez souvent les journaux et le tableau de bord.
• Pas d'application mobile ni de notifications push. Seules les photos peuvent être jointes aux messages. Canaux, supergroupes et validation en deux étapes ne sont pas encore disponibles.
• Les clés d'autorisation sont stockées en clair dans la base de données (le serveur en a besoin pour déchiffrer). Protégez la base et les sauvegardes aussi soigneusement que la clé RSA.

Fichiers