---
type: issue
id: "0060"
status: open
created: 2026-07-28
milestone: M1
priority: medium
area: security
projekt: gitops
gitlab_iid: "17"
related: []
---
# Federation allowlist or closed federation decision

> Adoptiert aus [gitops#17](https://git.lab/axion1337.chat/axion1337.chat-gitops/-/issues/17) (2026-08-18, ADR-0019). Kommentare und Verlauf bleiben dort; kanonisch ist ab jetzt diese Datei.

Decide: open federation with all public Matrix servers (current default, larger attack surface) vs. an explicit `federation_domain_whitelist`, vs. fully closed federation (`allow_public_rooms_without_join_rules: false`). Config lives in `apps/production/custom-configs/synapse-values.yaml`.

---
*Migriert aus Gitea `sorb/axion1337.chat-gitops#17` — dort erstellt am 2026-07-28 von sorb.*
<!-- gitea-migration: sorb/axion1337.chat-gitops#17 -->

## Entscheidungsgrundlage 2026-08-19 — gemessen statt geschätzt

Die Frage war seit dem 2026-07-28 offen, weil niemand wusste, was eine Schließung
kosten würde. Jetzt ist es beziffert.

**Föderation ist offen und öffentlich erreichbar.** In `synapse-values.yaml` steht zu
Föderation **nichts** — es gelten die Synapse-Vorgaben. Von außen gemessen:

```
https://matrix.axion1337.chat/_matrix/federation/v1/version -> HTTP 200
https://matrix.axion1337.chat/_matrix/key/v2/server         -> HTTP 200
```

Port 8448 ist zwar zu, das ändert nichts: Die Delegation
(`/.well-known/matrix/server` → `matrix.axion1337.chat:443`) führt die Föderation über
den regulären HTTPS-Port, und der ist offen.

**Benutzt wurde sie noch nie.** Aus der Synapse-Datenbank, über die gesamte Betriebszeit
(Erstkonto 2026-04-21):

| | |
|---|---|
| Zielserver in `destinations` | **0** |
| davon je erfolgreich kontaktiert | **0** |
| fremde Nutzer in unseren Räumen | **0** |
| Räume mit fremder Beteiligung | **0** |
| eigene Räume | 31 |

Nicht „wenig genutzt" — **null**, in vier Monaten. Damit kostet eine Schließung heute
nichts Messbares; sie nimmt nur eine Möglichkeit weg, die niemand wahrgenommen hat.

**Was dagegen bezahlt wird:** Die Föderations-Schnittstelle ist die größte
fremdzugewandte Angriffsfläche, die Synapse hat, und historisch die, in der seine CVEs
sitzen. Jeder Matrix-Server der Welt darf derzeit Beitritts- und Ereignisverkehr
versuchen.

### Optionen mit ihren Folgen

**A — offen lassen (Ist-Zustand).** Kein Aufwand. Wir bezahlen dauerhaft
Angriffsfläche für eine Fähigkeit mit null nachgewiesenem Bedarf.

**B — `federation_domain_whitelist` mit leerer Liste.** Föderation nur mit
ausdrücklich genannten Servern; leer heißt: mit keinem. Eine Zeile Konfiguration,
über GitOps versioniert, in Minuten rückgängig durch Eintragen einer Domain.
⚠️ **Was es NICHT tut:** Die Endpunkte antworten weiterhin (`key/v2/server`,
`federation/v1/version`) — der Server ist also nicht unsichtbar, nur unbeteiligt.

**C — Föderations-Listener ganz abschalten.** Kleinste Fläche, aber Eingriff in das
ESS-Chart und schwerer zurückzudrehen.

**Empfehlung: B.** Sie kostet heute nichts, ist eine Zeile, ist versioniert und hält die
Tür offen, ohne Miete dafür zu zahlen. C lohnt erst, wenn feststeht, dass Föderation
dauerhaft unerwünscht ist — dann als eigene Entscheidung mit ADR.

**Getrennt davon** nennt das Issue `allow_public_rooms_without_join_rules`: Das steuert
nur, ob das Raumverzeichnis über Föderation sichtbar ist, und ist unabhängig von der
Grundsatzfrage.

**Entscheidung sorb steht aus.**