Cryptpad на Ubuntu 22.04 — установка и настройка

Cryptpad логотип и интерфейс

О чём эта инструкция

В статье описан полный процесс установки Cryptpad — открытого набора совместных офисных приложений с end-to-end шифрованием — на сервере Ubuntu 22.04. Вы научитесь подготавливать сервер, устанавливать Node.js через NVM, настраивать Nginx и SSL (Let’s Encrypt), создавать systemd-сервис и завершать настройку через веб-интерфейс. Также включены рекомендации по безопасности, резервному копированию, откату обновлений и чек-листы для администратора.

Важно: Cryptpad шифрует содержимое на стороне клиента, поэтому данные пользователей не читаются сервером при корректной настройке; тем не менее администратору стоит защитить сервер и ключи доступа.

Краткие требования

Сервер с Ubuntu 22.04, минимум 2 ГБ ОЗУ и 2 CPU-ядра.
Ненулевой (non-root) пользователь с sudo.
Два FQDN (например, example.com и docs.example.com).
Доступ к DNS и возможность создавать A/AAAA записи для доменов.

Короткое пояснение: Cryptpad использует два домена (основной и «песочница») для улучшения безопасности через разделение контекста загрузки.

Ключевые понятия

End-to-end шифрование: данные шифруются в браузере пользователя и расшифровываются только у участников; сервер хранит только зашифрованные объекты.
Sandbox (песочница): отдельный домен/subdomain для безопасной загрузки UI-части.

Предварительные шаги — обновление системы и пакеты

Обновите систему и установите вспомогательные пакеты.

$ sudo apt update
$ sudo apt upgrade -y
$ sudo apt install wget curl nano software-properties-common dirmngr apt-transport-https gnupg2 ca-certificates lsb-release ubuntu-keyring unzip -y

Некоторые пакеты могут быть уже установлены.

Настройка брандмауэра (UFW)

Ubuntu поставляется с ufw. Убедитесь, что при включении не потеряете SSH-соединение.

Проверка состояния:

$ sudo ufw status

Если inactive — разрешите SSH, HTTP и HTTPS и включите ufw:

$ sudo ufw allow OpenSSH
$ sudo ufw allow http
$ sudo ufw allow https
$ sudo ufw enable

Проверьте статус снова:

$ sudo ufw status

Установка Git

Git обычно уже есть, но для надёжности:

$ sudo apt install git -y
$ git --version

Настройка имени и почты для коммитов (если потребуется):

git config --global user.name "Ваше Имя"
git config --global user.email "[email protected]"

Установка Node.js через NVM

Рекомендуется установить Node.js через NVM для гибкости версий.

$ curl -o- https://raw.githubusercontent.com/nvm-sh/nvm/v0.39.3/install.sh | bash
$ source ~/.bashrc
$ nvm list-remote
$ nvm install lts/hydrogen
$ node -v

Пояснение: на момент написания LTS-ветвь Hydrogen соответствует v18.x. Выбирайте актуальную LTS.

Установка Bower

Cryptpad использует Bower для фронтенд-зависимостей.

$ npm install -g bower

Загрузка и установка Cryptpad

Клонируйте репозиторий, переключитесь на последнюю стабильную метку и установите зависимости.

$ git clone https://github.com/xwiki-labs/cryptpad.git cryptpad
$ cd cryptpad
$ git checkout $(git tag -l | grep -v 'v1.*$' | sort -V | tail -n 1)
$ npm install
$ bower install
$ npm run build

npm run build соберёт статические файлы и включит превью для социальных сетей.

Конфигурация Cryptpad

Скопируйте пример конфигурации и отредактируйте её.

$ cp ~/cryptpad/config/config.example.js ~/cryptpad/config/config.js
$ nano ~/cryptpad/config/config.js

Замените httpUnsafeOrigin: 'http://localhost:3000' на https://example.com.
Раскомментируйте и установите httpSafeOrigin в адрес песочницы https://docs.example.com.
Укажите adminEmail — почту администратора.

Пример добавления:

httpUnsafeOrigin: 'https://example.com',
httpSafeOrigin: "https://docs.example.com",
    adminEmail: "[email protected]",

Далее скопируйте файл с конфигурациями приложения и откройте его для редактирования:

$ cp ~/cryptpad/customize.dist/application_config.js ~/cryptpad/customize
$ nano ~/cryptpad/customize/application_config.js

Нужные параметры (добавьте перед return AppConfig;):

AppConfig.registeredOnlyTypes = AppConfig.availablePadTypes;
AppConfig.privacy = 'https://example.com/privacy-policy/';
AppConfig.terms = 'https://example.com/terms-of-service/';
AppConfig.imprint = 'https://example.com/imprint/';
AppConfig.loginSalt = 'вставьте-длинную-случайную-строку-как-salt';
AppConfig.minimumPasswordLength = 10;

Сохраните изменения.

Важно: используйте надёжный уникальный loginSalt и храните его в защищённом месте.

Установка Nginx (актуальная версия)

Добавим официальный репозиторий Nginx и установим сервер.

$ curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor \
  | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg >/dev/null
$ echo "deb [signed-by=/usr/share/keyrings/nginx-archive-keyring.gpg arch=amd64] \
http://nginx.org/packages/ubuntu `lsb_release -cs` nginx" \
    | sudo tee /etc/apt/sources.list.d/nginx.list
$ sudo apt update
$ sudo apt install nginx -y
$ nginx -v
$ sudo systemctl start nginx

Установка SSL через Certbot (Snap)

Установим Certbot через snap и выполним выдачу сертификата для обоих доменов.

$ sudo snap install core
$ sudo snap refresh core
$ sudo snap install --classic certbot
$ sudo ln -s /snap/bin/certbot /usr/bin/certbot
$ sudo certbot certonly --nginx --agree-tos --no-eff-email --staple-ocsp --preferred-challenges http -m [email protected] -d example.com -d docs.example.com

Сертификаты окажутся в /etc/letsencrypt/live/example.com.

Сгенерируйте Diffie-Hellman параметры (раз в жизни — занимает время):

$ sudo openssl dhparam -dsaparam -out /etc/ssl/certs/dhparam.pem 4096

Проверьте dry-run автоматического обновления:

$ sudo certbot renew --dry-run

Если ошибок нет — автоматическое обновление настроено.

Конфигурация Nginx для Cryptpad

Отредактируйте /etc/nginx/nginx.conf и добавьте строку перед include /etc/nginx/conf.d/*.conf;:

server_names_hash_bucket_size  64;

Создайте файл /etc/nginx/conf.d/cryptpad.conf и вставьте туда конфигурацию (пример ниже). Внимательно замените все example.com, docs.example.com и пути /home/username/cryptpad на ваши реальные значения.

(Блок конфигурации Nginx — сохраните как в исходнике, никаких изменений в синтаксисе команд не требуется.)

server {
    # Redirect any http requests to https
    listen 80;
    listen [::]:80;
    server_name example.com docs.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl http2;
    listen [::]:443 ssl http2;

    set $main_domain "example.com";
    set $sandbox_domain "docs.example.com";
    set $allowed_origins "*";
    set $api_domain "example.com";
    set $files_domain "example.com";

    server_name example.com docs.example.com;

    ssl_certificate /etc/letsencrypt/live/example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/example.com/privkey.pem;
    ssl_trusted_certificate /etc/letsencrypt/live/example.com/chain.pem;
    ssl_dhparam /etc/ssl/certs/dhparam.pem;

    ssl_session_timeout 1d;
    ssl_session_cache shared:MozSSL:10m;
    ssl_session_tickets off;

    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384;
    ssl_prefer_server_ciphers off;

    add_header Strict-Transport-Security "max-age=63072000; includeSubDomains" always;
    ssl_stapling on;
    ssl_stapling_verify on;
    resolver 8.8.8.8 8.8.4.4 valid=300s;
    resolver_timeout 5s;

    add_header X-XSS-Protection "1; mode=block";
    add_header X-Content-Type-Options nosniff;
    add_header Access-Control-Allow-Origin "${allowed_origins}";
    add_header Permissions-Policy interest-cohort=();
    add_header Cross-Origin-Resource-Policy cross-origin;
    add_header Cross-Origin-Embedder-Policy require-corp;

    root /home/username/cryptpad;
    index index.html;
    error_page 404 /customize.dist/404.html;

    if ($args ~ ver=) {
        set $cacheControl max-age=31536000;
    }
    if ($uri ~ ^(\/|.*\/|.*\.html)$) {
        set $cacheControl no-cache;
    }
    add_header Cache-Control $cacheControl;

    set $styleSrc   "'unsafe-inline' 'self' https://${main_domain}";
    set $connectSrc "'self' https://${main_domain} blob: wss://${api_domain} https://${sandbox_domain}";
    set $fontSrc    "'self' data: https://${main_domain}";
    set $imgSrc     "'self' data: blob: https://${main_domain}";
    set $frameSrc   "'self' https://${sandbox_domain} blob:";
    set $mediaSrc   "blob:";
    set $childSrc   "https://${main_domain}";
    set $workerSrc  "'self'";
    set $scriptSrc  "'self' resource: https://${main_domain}";
    set $frameAncestors "'self' https://${main_domain}";

    set $unsafe 0;
    if ($uri ~ ^\/((sheet|doc|presentation)\/inner.html).* $) { set $unsafe 1; }
    if ($uri ~ ^\/common\/onlyoffice\/.*\/.*\.html.*$) { set $unsafe 1; }
    if ($host != $sandbox_domain) { set $unsafe 0; }
    if ($uri ~ ^\/unsafeiframe\/inner\.html.*$) { set $unsafe 1; }
    if ($unsafe) {
        set $scriptSrc "'self' 'unsafe-eval' 'unsafe-inline' resource: https://${main_domain}";
    }

    add_header Content-Security-Policy "default-src 'none'; child-src $childSrc; worker-src $workerSrc; media-src $mediaSrc; style-src $styleSrc; script-src $scriptSrc; connect-src $connectSrc; font-src $fontSrc; img-src $imgSrc; frame-src $frameSrc; frame-ancestors $frameAncestors";

    location ^~ /cryptpad_websocket {
        proxy_pass http://localhost:3000;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_http_version 1.1;
        proxy_set_header Upgrade $http_upgrade;
        proxy_set_header Connection upgrade;
    }

    location ^~ /customize.dist/ { }

    location ^~ /customize/ {
        rewrite ^/customize/(.*)$ $1 break;
        try_files /customize/$uri /customize.dist/$uri;
    }

    location ~ ^/api/.*$ {
        proxy_pass http://localhost:3000;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_hide_header Cross-Origin-Resource-Policy;
        add_header Cross-Origin-Resource-Policy cross-origin;
        proxy_hide_header Cross-Origin-Embedder-Policy;
        add_header Cross-Origin-Embedder-Policy require-corp;
    }

    location ^~ /blob/ {
        if ($request_method = 'OPTIONS') {
            add_header 'Access-Control-Allow-Origin' "${allowed_origins}";
            add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
            add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Content-Range,Range';
            add_header 'Access-Control-Max-Age' 1728000;
            add_header 'Content-Type' 'application/octet-stream; charset=utf-8';
            add_header 'Content-Length' 0;
            return 204;
        }
        add_header X-Content-Type-Options nosniff;
        add_header Cache-Control max-age=31536000;
        add_header 'Access-Control-Allow-Origin' "${allowed_origins}";
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Content-Range,Range,Content-Length';
        add_header 'Access-Control-Expose-Headers' 'DNT,X-CustomHeader,Keep-Alive,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Content-Range,Range,Content-Length';
        try_files $uri =404;
    }

    location ^~ /block/ {
        add_header X-Content-Type-Options nosniff;
        add_header Cache-Control max-age=0;
        try_files $uri =404;
    }

    location ~ ^/(register|login|settings|user|pad|drive|poll|slide|code|whiteboard|file|media|profile|contacts|todo|filepicker|debug|kanban|sheet|support|admin|notifications|teams|calendar|presentation|doc|form|report|convert|checkup)$ {
        rewrite ^(.*)$ $1/ redirect;
    }

    try_files /customize/www/$uri /customize/www/$uri/index.html /www/$uri /www/$uri/index.html /customize/$uri;
}

Проверьте конфигурацию и перезапустите nginx:

$ sudo nginx -t
$ sudo systemctl restart nginx

Создание systemd-сервиса для Cryptpad

Отредактируйте шаблон systemd ~/cryptpad/docs/cryptpad.service, указывая фактические пути и пользователя.

[Unit]
Description=CryptPad API server

[Service]
ExecStart=/home/username/.nvm/versions/node/v18.14.1/bin/node /home/username/cryptpad/server.js
WorkingDirectory=/home/username/cryptpad
Restart=always
RestartSec=2
StandardOutput=syslog
StandardError=syslog
SyslogIdentifier=cryptpad
User=username
Group=username
Environment='PWD="/home/username/cryptpad"'
LimitNOFILE=1000000

[Install]
WantedBy=multi-user.target

Скопируйте юнит и включите сервис:

$ sudo cp ~/cryptpad/docs/cryptpad.service /etc/systemd/system/cryptpad.service
$ sudo systemctl daemon-reload
$ sudo systemctl enable cryptpad --now
$ sudo systemctl status cryptpad

Проверьте журналы через journalctl -u cryptpad -f при отладке.

Доступ к веб-интерфейсу и добавление ключа администратора

Откройте https://example.com в браузере. Создайте учётную запись через Sign up и войдите.

Стартовая страница Cryptpad

Страница регистрации Cryptpad

Подтверждение регистрации

Панель CryptDrive

Перейдите в Настройки пользователя и скопируйте значение Public Signing Key.

Страница настроек Cryptpad

Откройте ~/cryptpad/config/config.js и вставьте ключ в adminKeys:

adminKeys: ["[вставьте-взятый-из-интерфейса-public-signing-key]"],

Сохраните файл и перезапустите сервис:

$ sudo systemctl restart cryptpad

После этого указанные ключи будут иметь права администратора.

Обновление Cryptpad и откат

Процесс обновления простой: остановите сервис, подтяните изменения и выполните команды обновления зависимостей.

$ sudo systemctl stop cryptpad
$ cd ~/cryptpad
$ git pull
$ git checkout $(git tag -l | grep -v 'v1.*$' | sort -V | tail -n 1)
$ npm update
$ bower update
$ sudo systemctl start cryptpad

Откат можно выполнять с помощью git checkout <старый-тег> и затем перезапуска службы. Перед обновлением настоятельно рекомендуется делать резервную копию каталога cryptpad и директории с данными.

Чек-листы по ролям

Администратор сервера:

Настроить DNS записи для обоих доменов.
Установить Ubuntu обновления и критические пакеты.
Настроить ufw и fail2ban.
Выполнить резервные копии перед обновлением.

Администратор Cryptpad:

Настроить adminEmail и adminKeys.
Установить правила регистрации (registeredOnlyTypes).
Настроить политики паролей и loginSalt.

Обычный пользователь:

Использовать длинные уникальные пароли.
Держать локальные копии важных документов.
Проверять отпечатки публичных ключей при обмене секретной информацией.

Частые неполадки и как их решать

Nginx не перезапускается: запустите sudo nginx -t и исправьте ошибки конфигурации.
Certbot не получает сертификат: проверьте A/AAAA записи, откройте 80 порт и проверьте, что nginx обслуживает ваш домен.
Cryptpad не запускается: смотрите journalctl -u cryptpad -b и npm install в каталоге приложения.
Проблемы с CORS/песочницей: убедитесь, что httpSafeOrigin совпадает с sandbox-доменом и что nginx конфигурация настроена корректно.

Факт-бокс — ключевые числа

Минимум RAM: 2 ГБ (рекомендуется 4+ ГБ для активных инстансов).
Порты: 80 (HTTP), 443 (HTTPS), внутренне Node.js слушает 127.0.0.1:3000.
Open file limit: рекомендуется увеличить LimitNOFILE в systemd (в примере — 1 000 000).

Критерии приёмки

Доступ к https://example.com без ошибок сертификата.
Веб-интерфейс загружается, можно зарегистрировать пользователя и войти.
Админ-ключ добавлен в config.js и после перезапуска сервис корректно распознаёт администратора.
Certbot успешно выполняет dry-run обновления сертификатов.

Советы по резервному копированию и восстановлению

Делайте snapshot всего сервера перед крупными обновлениями.
Копируйте каталоги ~/cryptpad и /etc/letsencrypt (сертификаты) на удалённое хранилище.
Проверяйте целостность бэкапов и процедуру восстановления на тестовой машине.

Приватность и соответствие требованиям GDPR

Cryptpad использует шифрование контента на стороне клиента, что снижает риски доступа к содержимому со стороны сервера.
Как администратор вы обрабатываете метаданные (пользователи, журналы, IP). Проверьте, нужны ли специальные соглашения о хранении данных и политики обработки персональных данных для ваших пользователей.
Добавьте ссылки на Политику конфиденциальности и Условия использования в AppConfig.

Резюме

Установите системные пакеты, NVM и Node.js, затем Bower.
Загрузите Cryptpad, настройте конфигурационные файлы и соберите статические ресурсы.
Установите Nginx, получите SSL через Certbot и примените рекомендуемую конфигурацию nginx для двух доменов.
Создайте systemd-сервис для автоматического запуска Cryptpad и настройте adminKeys через веб-интерфейс.
Выполняйте регулярные обновления, резервное копирование и мониторинг.

Если вам нужны примеры автоматизации (Ansible, Docker) или шаблоны конфигураций для нескольких серверов — сообщите, и я подготовлю дополнение с ролями и playbook.

Установка Cryptpad на Ubuntu 22.04 — полная инструкция по развертыванию и настройке