Gluek's blog

vault.gluek.info

Tue, 22 Sep 2026 00:00:00 GMT

Личный менеджер паролей на базе Vaultwarden. Это легковесная серверная реализация API Bitwarden на Rust, с которой работают все официальные клиенты Bitwarden: браузерные расширения, десктоп, мобильные приложения и CLI.

Почему ушёл с 1Password

До 1Password я долгое время пользовался KeePass/KeePassX, а на 1Password перешёл, когда понадобились командные хранилища. Но за последнее время накопилось сразу несколько поводов уйти.

Цена. Несмотря на обещание сохранить цену для ранних пользователей, 1Password объявил о повышении цены семейного плана с 27 марта 2026 года: с $59.88 до $71.88 в год. Потом, правда, отыграли назад, и для меня как для «Families Launch Special Plan» цена не изменилась. Но осадочек остался, тем более что по деньгам это сравнимо с арендой целого VPS.

Отказ от локальных сейфов. Поддержку 1Password 7 убрали, а вместе с ней и работу с локальными сейфами, включая синхронизацию «по воздуху» по Wi-Fi и через Dropbox. Теперь синхронизация есть только через их облако и только по подписке.

Российская карта. Когда-то я оплачивал подписку российской картой, и в какой-то момент поддержка начала волноваться: уточняли, нет ли у меня в аккаунте участников из России, Беларуси, Луганска, Донецка или Крыма. Сейчас я живу в Лондоне, но часть российских сервисов доступна только через VPN, а это повышает риск случайной блокировки аккаунта. Физическое местоположение они, надеюсь, не отслеживают… наверное.

В итоге менеджер паролей, самое чувствительное, что у меня есть, оказался в зависимости от чужой ценовой политики и чужих комплаенс-процедур. Как и в случае с git.gluek.info, проще держать это у себя.

Инстанс приватный: открытая регистрация выключена, аккаунты создаются только по приглашениям. Если мы знакомы и вам нужен аккаунт, пишите. Если нет, Vaultwarden несложно поставить самостоятельно или найти публичный сервер, например vaultwarden.com. Но учтите, что это сторонний сервис, который запустился совсем недавно и с самим проектом Vaultwarden не связан, так что доверять ему пароли стоит с осторожностью. Хотя пароли и уходят на сервер только в зашифрованном виде, метаданные (когда, с каких устройств и IP-адресов вы обращаетесь к хранилищу) тоже весьма приватная вещь.

Стек

Vaultwarden через Docker Compose с базой SQLite: пользователей будет немного, отдельный Postgres здесь не нужен
Caddy в роли reverse proxy (с автоматическим HTTPS от Let's Encrypt)
SMTP через почту на gluek.info: без него пригласить пользователя не получится, отдельной инвайт-ссылки у Vaultwarden нет
Админка /admin включена и закрыта стойким паролем, захэшированным через Argon2
Бэкапы каждые сутки через rsync, а с них дополнительно копии на внешний диск (подход 3-2-1)
Push-уведомления для мобильных приложений через официальный relay Bitwarden (регион EU): бесплатные ключи выдают на bitwarden.com/host, а через relay проходят только сигналы «пора синхронизироваться», без содержимого хранилища
Клиенты все те же, что были у 1Password: в основном приложение под Mac и расширение для браузера, приложение под Android и веб-версия на крайний случай

Из приятных бонусов: в Bitwarden встроена функция Send для быстрой отправки текста или файла по ссылке. Для этого у меня, правда, уже есть отдельный сервис Cryptex на drop.gluek.info, про него расскажу отдельно.

Подводный камень: синхронизация в реальном времени

После запуска всё вроде бы работало, но изменения, сделанные на телефоне, не появлялись на Mac, пока не нажмёшь синхронизацию вручную. Оказалось, что в Caddyfile остался блок из старых инструкций, где /notifications/hub проксируется на отдельный порт 3012. Начиная с Vaultwarden 1.29 WebSocket работает на основном порту, а 3012 больше не существует, поэтому Caddy молча отвечал 502 Bad Gateway, и клиенты теряли обновления в реальном времени.

Проверить это можно одной командой. Без токена рабочий сервер должен ответить 401 от Vaultwarden (Server: Rocket), а не 502 от Caddy. Sec-WebSocket-Key здесь не секрет, а обязательный для WebSocket-рукопожатия случайный nonce, взятый как пример прямо из RFC 6455:

curl -i --http1.1 -H "Connection: Upgrade" -H "Upgrade: websocket" \
  -H "Sec-WebSocket-Version: 13" -H "Sec-WebSocket-Key: dGhlIHNhbXBsZSBub25jZQ==" \
  https://vault.example.com/notifications/hub

Лечится удалением отдельного блока: весь хост проксируется на Vaultwarden одним reverse_proxy.

Для Android есть ещё одна тонкость: мобильные приложения получают изменения не по WebSocket, а через push, поэтому без настроенного relay они синхронизируются только при открытии. После включения push на телефоне нужно выйти из аккаунта и войти заново, чтобы устройство зарегистрировалось.

Перенос из 1Password

У Bitwarden есть встроенный импорт формата .1pux (это экспорт 1Password 8), но с двумя нюансами:

Все сейфы сливаются в один. У меня было около десяти сейфов, личных и общих, и импорт вывалил бы их в одну кучу. Мне нужно было разложить каждый сейф в свою организацию/коллекцию.
Вложения внутри записей теряются. Отдельные документы (категория Document) импортируются сами, а вот файлы, прикреплённые к логинам, заметкам и прочим записям, в импорт не попадают.

Для обеих проблем пришлось написать по небольшому скрипту на Python без внешних зависимостей, а позже понадобился и третий, для passkeys.

Всего переехало больше 2000 записей. TOTP-коды перенеслись без проблем, SSH-ключи я храню отдельно, а вот passkeys в .1pux не попадают вообще: их пришлось переносить отдельно, об этом ниже.

1. Нарезка экспорта по сейфам

.1pux — это обычный zip-архив с файлом export.data (JSON со всеми записями) и папкой files/ с вложениями. Скрипт собирает из одного общего экспорта отдельный .1pux на каждый сейф и кладёт туда только нужные ему вложения:

#!/usr/bin/env python3
"""
Разбивает экспорт 1Password (.1pux) на отдельные файлы по сейфам,
чтобы импортировать каждый в свою организацию/коллекцию Bitwarden.

Запуск:
  python3 split_1pux.py 1PasswordExport-XXXX.1pux
"""
import copy
import json
import sys
import zipfile

SRC = sys.argv[1]

with zipfile.ZipFile(SRC) as z:
    full_data = json.loads(z.read("export.data"))
    attrs = z.read("export.attributes")
    all_names = z.namelist()

    vault_names = [v["attrs"]["name"] for v in full_data["accounts"][0]["vaults"]]

    for target_vault_name in vault_names:
        data = copy.deepcopy(full_data)
        for account in data["accounts"]:
            account["vaults"] = [v for v in account["vaults"] if v["attrs"]["name"] == target_vault_name]

        # собрать id вложений, которые нужны именно этому сейфу
        item_blob = json.dumps(data)
        kept_files = set()
        for name in all_names:
            if name.startswith("files/") and name != "files/":
                file_id = name.split("/")[1].split("__")[0].split(".")[0]
                if file_id in item_blob:
                    kept_files.add(name)

        safe_name = target_vault_name.replace(" ", "_").replace("&", "and")
        out_name = f"export_{safe_name}.1pux"
        with zipfile.ZipFile(out_name, "w", zipfile.ZIP_DEFLATED) as out:
            out.writestr("export.data", json.dumps(data))
            out.writestr("export.attributes", attrs)
            for name in kept_files:
                out.writestr(name, z.read(name))

        items = sum(len(v.get("items", [])) for a in data["accounts"] for v in a["vaults"])
        print(f"{target_vault_name} -> {out_name} ({items} items, {len(kept_files)} files)")

Дальше каждый получившийся файл импортируется через веб-интерфейс: Tools → Import data → 1Password (1pux), с выбором нужной организации и коллекции.

2. Докачка вложений

Второй скрипт проходит по записям с вложенными файлами, находит соответствующую запись в Vaultwarden по названию и прикрепляет файлы через Bitwarden CLI (bw). По умолчанию работает в режиме dry-run, а записи, которые не удалось однозначно сопоставить (дубли названий, пропавшие файлы), выводит списком для ручной доработки.

#!/usr/bin/env python3
"""
Прикрепляет вложения из .1pux к уже импортированным записям Vaultwarden
через Bitwarden CLI (bw). Берёт только записи, у которых файлы вложены
внутрь (не Document-категория 006 — те импортируются сами).

Перед запуском:
  bw config server https://vault.example.com
  bw login
  export BW_SESSION=$(bw unlock --raw)
  bw sync

Запуск:
  python3 attach_1pux.py export_Personal.1pux            # dry-run, ничего не меняет
  python3 attach_1pux.py export_Personal.1pux --apply    # реально загрузить
  python3 attach_1pux.py export_Work.1pux --org <organizationId> --apply
"""
import argparse
import json
import os
import shutil
import subprocess
import tempfile
import zipfile

p = argparse.ArgumentParser()
p.add_argument("pux", help="файл .1pux (один сейф)")
p.add_argument("--org", help="organizationId для общих сейфов; без него — личный сейф")
p.add_argument("--apply", action="store_true", help="реально загружать (по умолчанию dry-run)")
a = p.parse_args()


def bw(*args):
    r = subprocess.run(["bw", *args], capture_output=True, text=True)
    if r.returncode:
        raise RuntimeError(r.stderr.strip() or r.stdout.strip())
    return r.stdout


def find_docs(obj, out):
    """Рекурсивно собирает все объекты с documentId (описания файлов)."""
    if isinstance(obj, dict):
        if "documentId" in obj:
            out.append(obj)
        for v in obj.values():
            find_docs(v, out)
    elif isinstance(obj, list):
        for v in obj:
            find_docs(v, out)
    return out


z = zipfile.ZipFile(a.pux)

# documentId -> путь файла внутри архива (files/<id>__<name> или files/<id>.<ext>)
archive_files = {}
for n in z.namelist():
    if n.startswith("files/") and n != "files/":
        doc_id = n.split("/", 1)[1].split("__")[0].split(".")[0]
        archive_files[doc_id] = n

data = json.loads(z.read("export.data"))
items = []
for acc in data["accounts"]:
    for v in acc["vaults"]:
        for i in v.get("items", []):
            if i.get("categoryUuid") == "006":
                continue
            docs = find_docs(i.get("details", {}), [])
            if docs:
                items.append((i, docs))

print(f"Записей с вложениями внутри: {len(items)}")

# Все записи из Vaultwarden одним запросом, фильтр по личному сейфу / организации
vault_items = [
    x for x in json.loads(bw("list", "items"))
    if (x.get("organizationId") or None) == a.org
]
by_name = {}
for x in vault_items:
    by_name.setdefault(x["name"], []).append(x)

tmp = tempfile.mkdtemp(prefix="1pux_att_")
manual = []
uploaded = skipped = 0

try:
    for item, docs in items:
        title = item["overview"].get("title", "")
        matches = by_name.get(title, [])
        if len(matches) != 1:
            manual.append(f"{title}  (совпадений в Vaultwarden: {len(matches)})")
            continue
        cipher = matches[0]
        existing = {att.get("fileName") for att in cipher.get("attachments") or []}

        for d in docs:
            doc_id = d["documentId"]
            src = archive_files.get(doc_id)
            if not src:
                manual.append(f"{title}  (файл {doc_id} не найден в архиве)")
                continue
            fname = d.get("fileName") or os.path.basename(src)
            if fname in existing:
                skipped += 1
                continue

            print(f"{'UPLOAD' if a.apply else 'DRY'}  {title}  <-  {fname}")
            if a.apply:
                dest_dir = os.path.join(tmp, doc_id)
                os.makedirs(dest_dir, exist_ok=True)
                dest = os.path.join(dest_dir, fname)
                with open(dest, "wb") as f:
                    f.write(z.read(src))
                bw("create", "attachment", "--file", dest, "--itemid", cipher["id"])
                os.remove(dest)
            uploaded += 1
finally:
    shutil.rmtree(tmp, ignore_errors=True)  # расшифрованные файлы не оставляем на диске

print(f"\n{'Загружено' if a.apply else 'К загрузке'}: {uploaded}, уже были: {skipped}")
if manual:
    print("\nПрикрепить вручную:")
    for m in manual:
        print("  -", m)

3. Passkeys через CXP и чистка дублей

Passkeys удалось перенести через Credential Exchange Protocol (CXP), новый стандарт FIDO для переноса данных между менеджерами паролей напрямую, без промежуточного файла. Вместе с паролями и TOTP он переносит и сами ключи passkeys. На Android 14+ это делается прямо в приложении Bitwarden: Settings → Vault → Import items → Import from another app, и дальше выбрать 1Password. Подробнее в документации Bitwarden.

Но CXP импортировал всё в личное хранилище, и поверх уже перенесённых записей получилась гора дублей. Встроенной дедупликации в Bitwarden нет, поэтому пришлось написать третий скрипт. Первая версия вызывала bw на каждую запись, и на двух тысячах дублей это шло очень медленно, примерно одна запись в секунду: каждый запуск CLI заново расшифровывает всё хранилище. Поэтому скрипт работает через bw serve, локальный REST API, где хранилище расшифровывается один раз, и это уже 4–5 записей в секунду. Он находит записи, созданные после CXP-импорта, и сравнивает их со старыми по названию, логину, паролю и TOTP. Точные дубли отправляются в корзину, а passkeys переносятся в старые записи, чтобы те остались в своих организациях рядом с вложениями. Новая запись удаляется, только если скрипт перечитал старую и убедился, что passkey в ней сохранился.

В итоге удачно перенеслось больше 30 passkeys. Вручную, по одному сайту, это заняло бы пару часов.

#!/usr/bin/env python3
"""
Чистит дубли после импорта через CXP (Credential Exchange) в Vaultwarden/Bitwarden.

Новыми считаются записи личного хранилища, созданные после --since.
Для каждой новой записи ищется старая с теми же типом, названием,
логином, паролем и TOTP (в личном хранилище или в любой организации):
  - нет passkey  -> новая запись отправляется в корзину (не навсегда);
  - есть passkey -> с --move-passkeys passkey копируется в старую запись,
                    результат перепроверяется, и только тогда новая
                    запись уходит в корзину; иначе — в список «вручную».

Работает через локальный REST API Bitwarden CLI (bw serve): хранилище
расшифровывается один раз, а не на каждый вызов bw, поэтому в разы быстрее.

Перед запуском, в отдельном терминале:
  export BW_SESSION=$(bw unlock --raw)
  bw serve            # слушает только localhost:8087

Запуск:
  python3 dedup_cxp.py --since 2026-09-22T22:00                    # dry-run
  python3 dedup_cxp.py --since 2026-09-22T22:00 --move-passkeys    # dry-run с passkeys
  python3 dedup_cxp.py --since 2026-09-22T22:00 --move-passkeys --apply
"""
import argparse
import json
import sys
import time
import urllib.error
import urllib.request
from datetime import datetime

p = argparse.ArgumentParser()
p.add_argument("--since", required=True, help="начало CXP-импорта, локальное время ISO (2026-09-22T22:00)")
p.add_argument("--move-passkeys", action="store_true", help="переносить passkeys в старые записи")
p.add_argument("--apply", action="store_true", help="реально изменять (по умолчанию dry-run)")
p.add_argument("--api", default="http://localhost:8087", help="адрес bw serve")
a = p.parse_args()


def api(method, path, body=None, retries=5):
    data = json.dumps(body).encode() if body is not None else None
    for attempt in range(retries):
        req = urllib.request.Request(a.api + path, data=data, method=method,
                                     headers={"Content-Type": "application/json"})
        try:
            with urllib.request.urlopen(req, timeout=120) as r:
                res = json.loads(r.read() or b"{}")
        except urllib.error.HTTPError as e:
            # bw serve сообщает об ошибках кодом 400 и JSON с message
            try:
                res = json.loads(e.read() or b"{}")
            except ValueError:
                res = {"message": f"HTTP {e.code}"}
        except (urllib.error.URLError, TimeoutError, ConnectionError) as e:
            res = {"message": f"FetchError: {e}"}
        if res.get("success"):
            return res.get("data")
        msg = str(res.get("message") or res)
        # сетевые сбои (ECONNRESET, таймауты) повторяем с паузой, остальное — сразу ошибка
        if "FetchError" not in msg or attempt == retries - 1:
            raise RuntimeError(msg)
        time.sleep(2 ** attempt)


def parse_ts(s):
    t = datetime.fromisoformat(s.replace("Z", "+00:00"))
    return t if t.tzinfo else t.astimezone()  # без зоны — считаем локальным временем


def key(x):
    login = x.get("login") or {}
    if x.get("type") == 1:
        return (1, x.get("name"), login.get("username"), login.get("password"), login.get("totp"))
    return (x.get("type"), x.get("name"), x.get("notes"))


def passkeys(x):
    return (x.get("login") or {}).get("fido2Credentials") or []


def trash(x):
    """В корзину, не навсегда. Ошибку не пробрасываем — запись уйдёт в «вручную»."""
    if not a.apply:
        return True
    try:
        api("DELETE", f"/object/item/{x['id']}")
        return True
    except RuntimeError as e:
        manual.append(f"{x['name']}  (ошибка: {e})")
        return False


try:
    status = api("GET", "/status")["template"]["status"]
except RuntimeError as e:
    sys.exit(f"bw serve недоступен на {a.api}: {e}")
if status != "unlocked":
    sys.exit(f"Хранилище в статусе «{status}» — запусти bw serve с BW_SESSION от bw unlock")

api("POST", "/sync")  # свежие данные: после прерванного запуска часть записей уже в корзине
items = api("GET", "/list/object/items")["data"]
if items and "creationDate" not in items[0]:
    sys.exit("bw не отдаёт creationDate — обнови Bitwarden CLI")

since = parse_ts(a.since)
new, old = [], {}
for x in items:
    if not x.get("organizationId") and parse_ts(x["creationDate"]) >= since:
        new.append(x)
    else:
        old.setdefault(key(x), []).append(x)

print(f"Новых записей после {since:%Y-%m-%d %H:%M}: {len(new)}, старых: {sum(map(len, old.values()))}\n")

trashed = moved = 0
unique, manual = [], []

for x in new:
    matches = old.get(key(x), [])
    pk = passkeys(x)
    if not matches:
        unique.append(x["name"])
        continue

    if pk:
        ids = {c.get("credentialId") for c in pk}
        if any(ids <= {c.get("credentialId") for c in passkeys(m)} for m in matches):
            # passkey уже перенесён прошлым запуском, осталось убрать новую запись
            print(f"{'TRASH' if a.apply else 'DRY'}  {x['name']}  (passkey уже в старой записи)")
            trashed += trash(x)
            continue
        if not a.move_passkeys:
            manual.append(f"{x['name']}  (есть passkey, запусти с --move-passkeys)")
            continue
        targets = [m for m in matches if not passkeys(m)]
        if len(targets) != 1:
            manual.append(f"{x['name']}  (passkey; подходящих старых записей: {len(targets)})")
            continue
        target = targets[0]
        print(f"{'MOVE' if a.apply else 'DRY'}   passkey  {x['name']}")
        if a.apply:
            try:
                full = api("GET", f"/object/item/{target['id']}")
                full["login"]["fido2Credentials"] = pk
                api("PUT", f"/object/item/{target['id']}", full)
                check = api("GET", f"/object/item/{target['id']}")
            except RuntimeError as e:
                manual.append(f"{x['name']}  (ошибка: {e})")
                continue
            if not ids <= {c.get("credentialId") for c in passkeys(check)}:
                manual.append(f"{x['name']}  (CLI не сохранил passkey в старую запись, новая оставлена)")
                continue
            if not trash(x):
                continue
        moved += 1
        continue

    print(f"{'TRASH' if a.apply else 'DRY'}  {x['name']}")
    trashed += trash(x)

print(f"\n{'В корзине' if a.apply else 'К удалению'}: {trashed}, passkeys перенесено: {moved}")
if unique:
    print(f"\nБез пары среди старых (оставлены, стоит глянуть глазами): {len(unique)}")
    for n in unique:
        print("  -", n)
if manual:
    print("\nРазобрать вручную:")
    for m in manual:
        print("  -", m)

P.S. ⚠️ Файлы .1pux не зашифрованы и там все пароли лежат открытым текстом. После переноса их стоит удалить (и из корзины тоже), а не оставлять в «Загрузках».

Claude Code

Mon, 21 Sep 2026 00:30:54 GMT

Закончился год бесплатного Google AI Pro, который шёл бонусом при покупке телефона и я решил попробовать для кодинга Claude Code с Sonnet/Opus вместо Antigravity с Gemini Flash/Pro (которая давно застряла у них на версии 3.1). И похоже что Google уже окончально проиграл эту гонку, потому что Sonnet делает всё и быстрее и качественнее, правда пока тренируюсь только на ботах для Delta Chat, но разница в подходах уже видна, у гугла это усердный джун, которому надо всё разжевать и тогда он сделает, а у клода вышел крепкий мидл, который и архитектуру может поправить, и быстрые фиксы сделать без ошибок, и в багах пойти потом разобраться сам, без подсказок.

Да, попробовал до этого все китайские модели через OpenCode, они тоже что-то делают, но прямо ощущается, что китайские...

So...

Mon, 14 Sep 2026 00:31:37 GMT

Переехал на собственный инстанс федиверса so.gluek.info (поставил туда GTS) с mastodon.social, по идее все подписки должны сохраниться, но если нет, вот ссылка: https://so.gluek.info/@gluek

@gluek@so.gluek.info

P.S. Буду писать короткие заметки туда, чтобы не забивать блог.

Настройка QoS для Chatmail сервера

Fri, 11 Sep 2026 00:20:00 GMT

В экосистеме Delta Chat почта работает транспортом для мессенджера: серверы-релеи (Chatmail) крутятся на связке Postfix, Dovecot и Rust-демона Filtermail. Для пользователей это привычный чат, но на скромном VPS с конфигурацией «2 ядра, 2 гига» легко поймать перегруз, даже если кто-то скинет в активную группу одно видео на 50 МБ.

А если попытаться решить проблему стандартными лимитами очередей, обычный текст в чате начинает доходить с двухминутными задержками.

Ниже — разбор проблемы и настройка двухуровневой маршрутизации в Postfix, которая сохраняет моментальную доставку текста (0.1–0.5 с) и защищает сервер от падений по памяти.

1. Анатомия проблемы: откуда берутся 2.6 ГБ RAM на одно письмо

Мой сервер-релей chat.gluek.info крутится на типовом VPS: 2 vCPU, 2 ГБ RAM, Debian 12.

Когда авторизованный клиент отправляет сообщение, оно проходит цепочку: submission (587) ➔ filtermail outgoing (10080) (проверка E2EE и лимитов) ➔ реинжект в Postfix на порт 10025 ➔ очередь qmgr.

Для доставки внешним адресатам Postfix передает сообщение через LMTP на локальный сервис filtermail-transport (127.0.0.1:10083), написанный на Rust. Этот сервис отправляет почту по HTTPS (/mxdeliv), а если удаленный сервер этого не умеет — по классическому SMTP с STARTTLS.

Смотрим в исходники filtermail/src/transport.rs:

// filtermail/src/transport.rs
for (rcpt_domain, rcpts) in &domain_rcpts_map {
    let domain_envelope = {
        let mut envelope = transaction.envelope.clone(); // <--- Клонирование тела в RAM
        envelope.rcpt_to = rcpts.clone();
        envelope
    };
    ...

А теперь важный нюанс: в активной группе может быть чуть больше 100 участников, но у многих к аккаунту привязано по несколько релеев (резервных почтовых серверов). В ядре Delta Chat сейчас нет разделения приоритетов — чтобы отправить сообщение сначала на основной адрес, а на остальные адреса чуть погодя и без спешки. Сервер обязан отправить копию каждому участнику и на каждый его адрес.

В итоге одно сообщение в группе на 100+ человек генерирует рассылку на ~350 адресов:

Получатели размазаны примерно по 50 уникальным внешним доменам (chatmail.uk, yandex.ru, mail.ru и т.д.).
filtermail-transport группирует получателей по доменам и для каждого домена делает transaction.envelope.clone().
Поле envelope держит в оперативной памяти полное тело письма.

Считаем:

50 доменов × 53.6 МБ (видео) = 2.68 ГБ RAM

Rust пытается аллоцировать 2.68 ГБ памяти на машине с 2 ГБ RAM. Сервер моментально выедает свободную память, уходит в дисковый своп-трешинг (swap thrashing), LMTP-соединения отваливаются по таймауту (Timeout while waiting for lock), CPU упирается в 100%, и сервер перестает отвечать даже по SSH.

2. Ловушка простого решения: задержка в 116 секунд на текстовое сообщение

Первая мысль для защиты от OOM: ограничить размер пачки получателей в Postfix, чтобы он отдавал в LMTP не больше 25 адресов за раз.

Прописываем в /etc/postfix/main.cf:

lmtp-filtermail_destination_recipient_limit = 25
lmtp-filtermail_destination_concurrency_limit = 10

Сервер перестает падать: 25 адресов — это не больше 10–15 доменов, то есть до 500–750 МБ в пике.

Но тут же появляется другая проблема: сообщения в чате начинают доходить с огромной задержкой.

Смотрим логи:

postfix/lmtp-filtermail/lmtp[2908493]: B0A325740D: to=<user@remote.xyz>, 
relay=127.0.0.1[10083], delay=116, delays=0.42/115/0/0.72, dsn=2.0.0, status=sent

Метрика delays=a/b/c/d:

a = 0.42s: время до попадания в активную очередь;
b = 115s: время ожидания в очереди Postfix (queue delay);
c = 0s: установка соединения;
d = 0.72s: передача данных.

Сообщение весило всего 35 КБ (обычный текст). Но из-за recipient_limit = 25 Postfix распилил список из 357 адресов на 15 отдельных пачек. Все они встали в очередь на 10 LMTP-воркеров. Пока удаленные почтовые серверы отвечали (DNS MX, TLS handshakes, greylisting), хвост очереди провисел 115 секунд.

Заставлять текстовые сообщения в мессенджере ждать две минуты только потому, что кто-то когда-то скинет видео — неприемлемо.

3. Архитектура: двухскоростной QoS в Postfix

Для текста 35 КБ клонирование 50 раз требует всего 1.75 МБ RAM ($50 \times 35 \text{ КБ}$). Резать его на пачки вообще не нужно — 350 адресов должны улетать в filtermail одной транзакцией за доли секунды.

А вот для писем ≥ 10 МБ нужна строгая нарезка и жесткий лимит параллелизма.

Схема двухскоростной маршрутизации выглядит так:

      Клиент (Delta Chat / SMTP)
                 │
                 ▼
     [submission :587 / smtps :465]
                 │
                 ▼
     [filtermail outgoing :10080]
                 │
                 ▼
       [reinject smtpd :10025]
                 │
       ┌─────────┴─────────┐
       ▼                   ▼
  Локальные юзеры     Внешние получатели
 (@chat.gluek.info)        │
       │                   ▼
       │          [postfix-size-policy]
       │          (проверка веса в END-OF-MESSAGE)
       │                   │
       │         ┌─────────┴─────────┐
       │         ▼                   ▼
       │     < 10 МБ              ≥ 10 МБ
       │     (action=DUNNO)      (action=FILTER ...)
       │         │                   │
       │         ▼                   ▼
       │    🚀 Fast Lane        🐘 Heavy Lane
       │  (lmtp-filtermail)    (lmtp-filtermail-heavy)
       │  • batch: 500         • batch: 25
       │  • workers: 20        • workers: 5
       │  • задержка: 0.2с     • RAM: до 600 МБ
       │         │                   │
       │         └─────────┬─────────┘
       ▼                   ▼
   [dovecot-lmtp]    [filtermail-transport :10083]
   (прямо на диск)         │
                           ▼
                    В интернет с E2EE

Принципы схемы:

Быстрая полоса (lmtp-filtermail): recipient_limit = 500, 20 воркеров. Легкие сообщения уходят сразу одной пачкой.
Тяжелая полоса (lmtp-filtermail-heavy): recipient_limit = 25, 5 воркеров. Большие файлы дозируются небольшими порциями.
Локальный байпас: если видео отправлено между пользователями своего сервера (@chat.gluek.info), оно не идет во внешний транспорт, а сразу кладется в Dovecot maildir.
Отказоустойчивость: если скрипт классификатора зависнет или упадет, Postfix сработает по default_action = DUNNO — ни одно сообщение не потеряется.

4. Пошаговая настройка

Шаг 0. Включаем ZRAM

В качестве страховки от всплесков памяти включаем сжатый своп в RAM с алгоритмом zstd:

apt install -y zram-tools

В /etc/default/zramswap:

ALGO=zstd
PERCENT=60
PRIORITY=100

Перезапускаем:

systemctl restart zramswap

Это дает около 1.2 ГБ виртуальной памяти со сжатием ~5–6x, работающей на скорости ОЗУ без нагрузки на диск.

Шаг 1. Скрипт классификации: `/usr/local/bin/postfix-size-policy.py`

Postfix поддерживает SMTPD Policy Delegation. На этапе END-OF-MESSAGE демон уже знает точный размер письма (size=...) и всех получателей.

Создаем /usr/local/bin/postfix-size-policy.py:

#!/usr/bin/env python3
"""
Postfix policy service для двухскоростной QoS-маршрутизации и логирования.
- Сообщения >= 10 МБ с внешними получателями отправляются в lmtp-filtermail-heavy.
- Сообщения < 10 МБ или чисто локальные получают DUNNO (дефолтный быстрый маршрут).
- Ведет учет статистики в SQLite WAL.
"""

import configparser
import os
import sqlite3
import sys
import syslog
import time

THRESHOLD_BYTES = 10 * 1024 * 1024  # 10 МБ
DB_PATH = "/var/lib/postfix-qos/stats.db"

# Автоопределение локального домена из конфига chatmail
LOCAL_DOMAIN = None
try:
    cp = configparser.ConfigParser()
    if os.path.exists("/usr/local/lib/chatmaild/chatmail.ini"):
        cp.read("/usr/local/lib/chatmaild/chatmail.ini")
        LOCAL_DOMAIN = cp.get("params", "mail_domain", fallback=None)
except Exception:
    pass

if not LOCAL_DOMAIN:
    LOCAL_DOMAIN = sys.argv[1] if len(sys.argv) > 1 else "chat.gluek.info"

transactions = {}

def log(msg):
    syslog.syslog(syslog.LOG_INFO, f"postfix-size-policy: {msg}")

def init_db():
    try:
        with sqlite3.connect(DB_PATH, timeout=2) as conn:
            conn.execute("PRAGMA journal_mode=WAL")
            conn.execute("""CREATE TABLE IF NOT EXISTS qos_events (
                id INTEGER PRIMARY KEY AUTOINCREMENT,
                ts REAL,
                queue_id TEXT,
                size INTEGER,
                rcpt_count INTEGER,
                has_external INTEGER,
                action TEXT
            )""")
    except Exception as e:
        log(f"Failed to init db: {e}")

def record_event(queue_id, size, rcpt_count, has_external, action):
    try:
        with sqlite3.connect(DB_PATH, timeout=2) as conn:
            conn.execute(
                "INSERT INTO qos_events (ts, queue_id, size, rcpt_count, has_external, action) "
                "VALUES (?, ?, ?, ?, ?, ?)",
                (time.time(), queue_id, size, rcpt_count, 1 if has_external else 0, action)
            )
    except Exception as e:
        log(f"Failed to record event: {e}")

def cleanup_expired():
    now = time.time()
    expired = [inst for inst, data in transactions.items() if now - data.get("ts", now) > 600]
    for inst in expired:
        transactions.pop(inst, None)

def main():
    syslog.openlog(facility=syslog.LOG_MAIL)
    init_db()

    while True:
        attrs = {}
        while True:
            line = sys.stdin.readline()
            if not line:
                return
            line = line.strip()
            if not line:
                break
            if "=" in line:
                k, v = line.split("=", 1)
                attrs[k] = v

        if not attrs:
            continue

        protocol_state = attrs.get("protocol_state", "")
        instance = attrs.get("instance", "")

        if len(transactions) > 500:
            cleanup_expired()

        if protocol_state == "RCPT":
            recipient = attrs.get("recipient", "").lower().strip()
            if instance and recipient:
                if instance not in transactions:
                    transactions[instance] = {"rcpts": set(), "ts": time.time()}
                transactions[instance]["rcpts"].add(recipient)
            sys.stdout.write("action=DUNNO\n\n")
            sys.stdout.flush()

        elif protocol_state in ("END-OF-DATA", "END-OF-MESSAGE"):
            try:
                size = int(attrs.get("size", 0))
            except ValueError:
                size = 0

            queue_id = attrs.get("queue_id", "")
            txn = transactions.pop(instance, None)
            rcpts = txn["rcpts"] if txn else set()
            end_rcpt = attrs.get("recipient", "").lower().strip()
            if end_rcpt:
                rcpts.add(end_rcpt)

            has_external = True
            if rcpts and LOCAL_DOMAIN:
                has_external = any(not r.endswith("@" + LOCAL_DOMAIN.lower()) for r in rcpts)

            if size >= THRESHOLD_BYTES and has_external:
                log(f"Heavy message detected (size={size} bytes, rcpts={len(rcpts)}): routing to lmtp-filtermail-heavy")
                record_event(queue_id, size, len(rcpts), has_external, "HEAVY")
                sys.stdout.write("action=FILTER lmtp-filtermail-heavy:inet:[127.0.0.1]:10083\n\n")
            else:
                action_type = "LOCAL" if not has_external else "FAST"
                record_event(queue_id, size, len(rcpts), has_external, action_type)
                sys.stdout.write("action=DUNNO\n\n")
            sys.stdout.flush()

        else:
            sys.stdout.write("action=DUNNO\n\n")
            sys.stdout.flush()

if __name__ == "__main__":
    main()

Выставляем права и создаем директорию для базы:

chmod 755 /usr/local/bin/postfix-size-policy.py
mkdir -p /var/lib/postfix-qos
chown -R nobody:nogroup /var/lib/postfix-qos
chmod 775 /var/lib/postfix-qos

Шаг 2. Настройка `master.cf`

В /etc/postfix/master.cf:

Подключаем политику к реинжекту исходящей почты (127.0.0.1:10025):

# Local SMTP server for reinjecting outgoing filtered mail.
127.0.0.1:10025 inet  n       -       n       -       100      smtpd
  -o syslog_name=postfix/reinject
  -o milter_macro_daemon_name=ORIGINATING
  -o cleanup_service_name=authclean
  -o smtpd_relay_restrictions=permit_mynetworks,reject
  -o smtpd_milters=unix:opendkim/opendkim.sock
  -o { smtpd_recipient_restrictions = check_policy_service unix:private/policy-size }
  -o { smtpd_end_of_data_restrictions = check_policy_service unix:private/policy-size }
  -o smtpd_policy_service_default_action=DUNNO

Объявляем сервис policy-демона:

# QoS size policy daemon
policy-size  unix  -       n       n       -       0       spawn
  user=nobody argv=/usr/local/bin/postfix-size-policy.py

Задаем быстрый и тяжелый LMTP-транспорты:

# Fast Lane (сообщения < 10MB)
lmtp-filtermail unix  -       -       y       -       20       lmtp
  -o syslog_name=postfix/lmtp-filtermail
  -o lmtp_header_checks=
  -o lmtp_tls_security_level=none

# Heavy Lane (сообщения >= 10MB)
lmtp-filtermail-heavy unix  -       -       y       -       5       lmtp
  -o syslog_name=postfix/lmtp-filtermail-heavy
  -o lmtp_header_checks=
  -o lmtp_tls_security_level=none

Шаг 3. Лимиты очередей в `main.cf`

В /etc/postfix/main.cf задаем раздельные лимиты:

# Основной транспорт по умолчанию — Быстрая полоса
default_transport = lmtp-filtermail:inet:[127.0.0.1]:10083

# Fast Lane: сообщения < 10MB улетают пачками до 500 адресов
lmtp-filtermail_destination_recipient_limit = 500
lmtp-filtermail_destination_concurrency_limit = 20
lmtp-filtermail_initial_destination_concurrency = 20
lmtp-filtermail_destination_concurrency_negative_feedback = 0
lmtp-filtermail_destination_concurrency_failed_cohort_limit = 0

# Heavy Lane: файлы >= 10MB режутся пачками по 25 адресов
lmtp-filtermail-heavy_destination_recipient_limit = 25
lmtp-filtermail-heavy_destination_concurrency_limit = 5
lmtp-filtermail-heavy_initial_destination_concurrency = 5
lmtp-filtermail-heavy_destination_concurrency_negative_feedback = 0
lmtp-filtermail-heavy_destination_concurrency_failed_cohort_limit = 0

# Быстрый повтор при сетевых ошибках вместо ожидания 5 минут
minimal_backoff_time = 30s
queue_run_delay = 30s

Важно: параметры failed_cohort_limit = 0 и negative_feedback = 0 критичны. Без них при временном сбое внешнего MX-сервера Postfix может решить, что «упал» локальный релей 127.0.0.1:10083, и заморозить исходящую очередь на сервере.

Применяем конфигурацию:

postfix check && postfix reload

5. Мониторинг и отчет в ntfy

Чтобы видеть работу очередей, я сделал скрипт /usr/local/bin/chatmail-status-report.py, присылающий отчет раз в сутки в моего ntfy бота прямо в Delta Chat (chatmail-status):

#!/usr/bin/env python3
"""
Ежедневный отчет QoS и здоровья сервера в ntfy.gluek.info.
"""

import argparse
import os
import re
import sqlite3
import subprocess
import sys
import time
import urllib.request

NTFY_URL = "https://ntfy.gluek.info/chatmail-status"
DB_PATH = "/var/lib/postfix-qos/stats.db"

def get_system_metrics():
    metrics = {}
    with open("/proc/loadavg", "r") as f:
        p = f.read().strip().split()
        metrics["load"] = f"{p[0]}, {p[1]}, {p[2]}"

    mem = {}
    with open("/proc/meminfo", "r") as f:
        for line in f:
            parts = line.split(":")
            if len(parts) == 2:
                mem[parts[0].strip()] = int(parts[1].split()[0])
    total = mem.get("MemTotal", 0) / 1024
    avail = mem.get("MemAvailable", 0) / 1024
    metrics["ram"] = f"{total - avail:.0f} MB / {total:.0f} MB ({avail:.0f} MB free)"

    p = subprocess.run(["zramctl", "--bytes", "--noheadings", "--output", "DATA,COMPR,TOTAL"],
                       capture_output=True, text=True)
    if p.returncode == 0 and p.stdout.strip():
        data, compr, _ = [int(x) for x in p.stdout.strip().split()[:3]]
        ratio = (data / compr) if compr > 0 else 1.0
        compr_kb = compr / 1024
        metrics["zram"] = f"{compr_kb:.0f} KB (data: {data/1024:.0f} KB, ratio: {ratio:.1f}x)"
    else:
        metrics["zram"] = "Inactive"

    p = subprocess.run(["mailq"], capture_output=True, text=True)
    m = re.search(r"in\s+(\d+)\s+Requests?", p.stdout)
    metrics["queue"] = f"{m.group(1)} messages" if m else "0 messages (empty)"

    st = os.statvfs("/")
    metrics["disk"] = f"{(st.f_bavail * st.f_frsize) / (1024**3):.1f} GB free"
    return metrics

def get_delivery_stats():
    cmd = ["journalctl", "-u", "postfix@-.service", "--since=24 hours ago", "--no-pager"]
    p = subprocess.Popen(cmd, stdout=subprocess.PIPE, stderr=subprocess.DEVNULL, text=True)
    stats = {
        "fast": {"sent": 0, "deferred": 0, "bounced": 0, "delays": []},
        "heavy": {"sent": 0, "deferred": 0, "bounced": 0},
        "local": {"sent": 0},
        "smtp": {"sent": 0}
    }
    for line in p.stdout:
        if "status=" not in line:
            continue
        tr = None
        if "postfix/lmtp-filtermail-heavy/lmtp" in line: tr = "heavy"
        elif "postfix/lmtp-filtermail/lmtp" in line: tr = "fast"
        elif "postfix/lmtp" in line and "dovecot" in line: tr = "local"
        elif "postfix/smtp" in line: tr = "smtp"
        if not tr: continue

        status = "sent" if "status=sent" in line else ("deferred" if "status=deferred" in line else "bounced")
        if status in stats[tr]: stats[tr][status] += 1

        if tr == "fast" and status == "sent":
            m = re.search(r"delay=([0-9.]+)", line)
            if m: stats[tr]["delays"].append(float(m.group(1)))
    p.wait()
    return stats

def build_report():
    sys_m = get_system_metrics()
    deliv = get_delivery_stats()

    d = sorted(deliv["fast"]["delays"])
    avg_d = sum(d) / len(d) if d else 0
    p95_d = d[int(len(d) * 0.95)] if d else 0
    max_d = d[-1] if d else 0

    lines = [
        "📊 **Chatmail: Daily Status & QoS Report**",
        "Server: `chat.gluek.info` | Period: Last 24 Hours\n",
        "🚀 **Fast Lane (lmtp-filtermail, < 10 MB)**",
        f"• Delivered: **{deliv['fast']['sent']:,}** messages",
        f"• Latency: avg **{avg_d:.1f}s** | p95 **{p95_d:.1f}s** | max **{max_d:.1f}s**",
        f"• Deferred: {deliv['fast']['deferred']} | Bounced: {deliv['fast']['bounced']}\n",
        "🐘 **Heavy Lane (lmtp-filtermail-heavy, ≥ 10 MB)**",
        f"• Heavy messages routed: **{deliv['heavy']['sent'] + deliv['heavy']['deferred']}**",
        "• Status: 25 rcpt batching, 0 OOM crashes\n",
        "📬 **Local & Outbound Delivery**",
        f"• Dovecot (local mailboxes): **{deliv['local']['sent']:,}** delivered",
        f"• Direct SMTP (relays / MX): **{deliv['smtp']['sent']:,}** delivered\n",
        "💾 **System Health**",
        f"• RAM: {sys_m['ram']}",
        f"• ZRAM: {sys_m['zram']}",
        f"• Load Average: {sys_m['load']}",
        f"• Postfix Queue: {sys_m['queue']}",
        f"• Disk: {sys_m['disk']}"
    ]
    return "\n".join(lines)

def main():
    parser = argparse.ArgumentParser()
    parser.add_argument("--send", action="store_true")
    parser.add_argument("--dry-run", action="store_true")
    args = parser.parse_args()

    report = build_report()
    if args.send:
        req = urllib.request.Request(
            NTFY_URL,
            data=report.encode("utf-8"),
            headers={"Title": "Chatmail: Daily Status Report", "Tags": "chart_with_upwards_trend,email"},
            method="POST"
        )
        urllib.request.urlopen(req, timeout=10)
        print("Sent to ntfy.")
    else:
        print(report)

if __name__ == "__main__":
    main()

Запуск по таймеру (/etc/systemd/system/chatmail-status-report.timer):

[Unit]
Description=Daily Chatmail status report timer

[Timer]
OnCalendar=*-*-* 09:00:00 UTC
Persistent=true

[Install]
WantedBy=timers.target

systemctl daemon-reload && systemctl enable --now chatmail-status-report.timer

6. Результаты на живом сервере

Показатели на сервере chatmail.uk через час работы:

📊 **Chatmail UK: Daily Status & QoS Report**
Server: `chatmail.uk` | Period: Last 24 Hours

🚀 **Fast Lane (lmtp-filtermail, < 10 MB)**
• Delivered: **3,282** messages
• Latency: avg **16.2s** | p95 **49.0s** | max **64.0s**
• Issues: 86 deferred, 213 bounced

🐘 **Heavy Lane (lmtp-filtermail-heavy, ≥ 10 MB)**
• Heavy messages routed: **269** (sent: 260, deferred: 9)
• Status: Safe batching (25 rcpt limit), 0 OOM crashes

📬 **Local & Outbound Delivery**
• Dovecot (local mailboxes): **3,101** delivered
• Direct SMTP (relays / MX): **1,348** delivered

💾 **System Health**
• RAM: 880 MB / 1980 MB (1099 MB available)
• ZRAM: 315 KB (data: 1220 KB, ratio: 3.9x)
• Load Average: 0.56, 0.66, 0.52
• Postfix Queue: 83 messages
• Disk: 8.5 GB free of 19.5 GB

Итог

Мессенджер поверх SMTP работает отлично, но базовые настройки почтовых демонов обычно рассчитаны на классическую редкую переписку, а не на чаты со множеством мульти-релей-аккаунтов и постоянные тяжелые медиа.
Линейное клонирование памяти в коде — узкое место. Конструкция envelope.clone() для каждого внешнего домена на больших вложениях легко роняет сервер с 2 ГБ RAM.
Двухскоростной QoS в Postfix полностью решает проблему. Текст и команды ботов улетают мгновенно без очередей, а тяжелые вложения безопасно дозируются. В итоге сервер за $5/месяц спокойно держит нагрузку даже для крупного сообщества.

P.S. Проблема №2 была решена в filtermail на следующий день после написания статьи. Так что скоро можно будет просто обновить relay через cmdeploy run, но разделение очереди на две части я всё равно считаю полезным, особенно, если на сервере запущены боты типа моего TG Bridge.

Как боты съели 70 ГБ на моём сервере за 20 часов

Tue, 08 Sep 2026 00:25:00 GMT

Вчера у меня на сервере внезапно кончилось вообще всё свободное место (ровно в 0 байт), а боты начали падать с disk I/O error из-за невозможности записать даже байт в SQLite.

Полез разбираться с ncdu и быстро нашёл виновника: папка /root/forgejo/data/gitea/repo-archive/ в контейнере Forgejo разрослась на 70+ ГБ. Внутри лежали сотни сгенерированных ZIP-архивов по 300–500 МБ каждый.

Что произошло?

Когда в веб-интерфейсе запрашивают архив релиза или ветки (/archive/tag.zip), Forgejo на лету пакует его и сохраняет копию в кэш.

Какой-то распределённый AI-краулер на резидентных прокси (IP со всего мира от Бразилии до Вьетнама) решил методично пройтись по всем тегам и коммитам в моём публичном зеркале крупного опенсорс-репозитория. На каждый чих бота Forgejo честно генерировал и складывал на диск полугигабайтный архив (стабильно держа около 15% CPU).

Встроенный крон очистки в Forgejo по умолчанию срабатывает раз в сутки в полночь (@midnight), удаляя архивы старше 24 часов. За 20 часов нагенерировалось 70 ГБ, и до полуночи сервер не дожил буквально час.

Как лечить

Экстренная очистка (безопасно, на сам Git не влияет):
```
rm -rf /root/forgejo/data/gitea/repo-archive/*
```
Закрыть публичный доступ к зеркалам: Бороться с распределённым ботнетом через fail2ban или robots.txt бесполезно. Самое надёжное — перевести аккаунт mirrors в режим Limited (только для авторизованных пользователей). Бот упирается в форму логина за 1 мс без какой-либо нагрузки на диск.
Зарезать генерацию архивов в app.ini: Если архивы для репозиториев вообще не нужны:
```
[repository]
DISABLE_DOWNLOAD_SOURCE_ARCHIVES = true
```
Либо чистить их кэш каждый час:
```
[cron.archive_cleanup]
SCHEDULE = @every 1h
OLDER_THAN = 2h
```

Теория мёртвого интернета на практике

Теория мёртвого интернета перестаёт казаться просто забавной конспирологией, когда сталкиваешься с ней на собственном сервере: чужие боты на резидентных прокси гоняют мой софт, заставляя его паковать сотни гигабайт архивов, которые ни один живой человек в жизни не откроет.

Кстати, именно поэтому я закрыл доступ к зеркалам на git.gluek.info от анонимов. Если держите у себя публичные зеркала — имейте в виду эти грабли.

t.gluek.info

Tue, 08 Sep 2026 00:00:00 GMT

Персональный легковесный редиректор ссылок в Telegram, работающий на собственном домене t.gluek.info.

Служит независимой альтернативой официальному шортлинкеру t.me, помогая открывать каналы, чаты, посты, стикеры и настройки в условиях региональных или провайдерских блокировок домена t.me, не нагружая браузер лишними скриптами и внешними трекерами.

Проблема

Блокировки домена t.me: В некоторых сетях и у отдельных провайдеров домен t.me подвергается блокировкам или искусственному замедлению. В результате пользователи не могут открыть канал или перейти по ссылке.
Ограничения deep link (tg://): Прямой HTTP-редирект (301/302) на кастомную схему tg://resolve?... блокируется большинством современных мобильных и десктопных браузеров (Chrome, Safari) с ошибкой ERR_UNKNOWN_URL_SCHEME, если переход инициирован заголовком ответа, а не явным кликом пользователя.
Мусорный трафик и сканеры: При использовании неразборчивого catch-all обработчика боты и сканеры уязвимостей (/.env, /wp-admin) получали бы 200 OK и пытались генерировать фиктивные ссылки.

Архитектура решения

Сервис работает полностью на уровне веб-сервера Caddy без единой строчки бэкенд-кода (Node.js, Go, Python или PHP не требуются).

Преимущества серверной маршрутизации в Caddy

Строгая валидация путей (Whitelist): Caddy проверяет пути регулярными выражениями. Любые посторонние запросы, сканеры ботов или битые URL сразу отсекаются и отправляются на страницу проекта или 404, не запуская клиентский код.
Серверные мета-теги (SSR): Заголовки страницы (<title>) и прямой URL для кнопки формируются сервером на этапе отдачи страницы через плейсхолдеры Caddy ({re.user.1}, {re.post.1} и т.д.).
Мгновенный переход + фоллбэк: JavaScript в браузере сразу инициирует открытие Telegram, а если браузер запросил подтверждение — пользователь видит карточку с чёткой кнопкой прямого перехода (Open in Telegram).
Векторная фавиконка в стиле Telegram: Caddy самостоятельно отдаёт легковесную SVG-фавиконку для /favicon.ico и /favicon.svg без графических файлов на диске.
Интернациональный интерфейс: Все карточки оформлены на английском языке в лаконичном стиле t.me.

Поддерживаемые форматы ссылок

Формат `t.gluek.info`	Схема `tg://` в приложении	Назначение
`/Gluek`	`tg://resolve?domain=Gluek`	Профиль, публичный канал или бот
`/my_bot?start=ref123`	`tg://resolve?domain=my_bot&start=ref123`	Бот с параметрами запуска
`/gluekinfo/123`	`tg://resolve?domain=gluekinfo&post=123`	Пост в публичном канале
`/c/1234567890/42`	`tg://privatepost?channel=1234567890&post=42`	Пост в закрытом канале
`/group/12/34`	`tg://resolve?domain=group&thread=12&post=34`	Сообщение в ветке форума
`+inviteCode` / `/joinchat/...`	`tg://join?invite=inviteCode`	Приглашение в чат или канал
`+79991234567`	`tg://resolve?phone=79991234567`	Чат по номеру телефона
`/addstickers/pack_name`	`tg://addstickers?set=pack_name`	Установка стикерпака
`/addemoji/pack_name`	`tg://addemoji?set=pack_name`	Установка кастомных эмодзи
`/addlist/list_hash`	`tg://addlist?slug=list_hash`	Добавление папки с чатами
`/proxy?...` / `/socks?...`	`tg://proxy?...` / `tg://socks?...`	Классические MTProto / SOCKS5 прокси
`/webproxy?...`	`tg://webproxy?...`	Новый экспериментальный WEB Proxy (WebSocket/HTTPS)

Конфигурация Caddyfile

Ниже приведена полная конфигурация виртуального хоста для Caddyfile:

t.gluek.info {
    # Фавиконка в стиле Telegram (SVG)
    @favicon path /favicon.ico /favicon.svg
    handle @favicon {
        header Content-Type "image/svg+xml"
        header Cache-Control "public, max-age=604800"
        respond <<SVG
<svg xmlns="http://www.w3.org/2000/svg" viewBox="0 0 24 24"><circle cx="12" cy="12" r="12" fill="#24A1DE"/><path fill="#ffffff" d="M5.4 12l11.6-4.5c.5-.2 1 .1.9.7l-2 9.4c-.1.6-.6.8-1.1.5l-3.3-2.4-1.6 1.5c-.2.2-.4.3-.7.3l.2-3.4 6.2-5.6c.3-.3-.1-.4-.4-.2l-7.7 4.9-3.3-1c-.7-.2-.7-.7.2-1z"/></svg>
SVG 200
    }

    # Общие заголовки
    header Content-Type "text/html; charset=utf-8"
    header Cache-Control "no-cache"

    # 1. Приватные посты в закрытых каналах: /c/1234567890/42
    @private_post path_regexp priv ^/c/([0-9]+)/([0-9]+)/?$
    handle @private_post {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Private Channel Post — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://privatepost?channel={re.priv.1}&post={re.priv.2}";</script></head><body><div class="card"><h2>Private Channel</h2><p>Opening post #{re.priv.2}...</p><a class="btn" href="tg://privatepost?channel={re.priv.1}&post={re.priv.2}">Open in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 2. Стикеры, эмодзи и папки: /addstickers/pack, /addemoji/pack, /addlist/hash
    @packs path_regexp packs ^/(addstickers|addemoji|addlist)/([a-zA-Z0-9_]+)/?$
    handle @packs {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Telegram {re.packs.1} — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>
const type = "{re.packs.1}";
const param = type === "addlist" ? "slug" : "set";
window.location.href = `tg://${type}?${param}={re.packs.2}`;
</script></head><body><div class="card"><h2>Add to Telegram</h2><p>Installing {re.packs.2}...</p><a class="btn" href="tg://{re.packs.1}?set={re.packs.2}">Install in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 3. Настройки прокси (MTProto, SOCKS5, WEB Proxy): /proxy?... /socks?... /webproxy?...
    @proxy path_regexp proxy ^/(proxy|socks|webproxy)/?$
    handle @proxy {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Telegram Proxy — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://{re.proxy.1}?{query}";</script></head><body><div class="card"><h2>Connect to Proxy</h2><p>Applying {re.proxy.1} settings...</p><a class="btn" href="tg://{re.proxy.1}?{query}">Connect in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 4. Ссылка на телефон: /+79991234567
    @phone path_regexp phone ^/\+([0-9]{7,15})/?$
    handle @phone {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Telegram Contact — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://resolve?phone={re.phone.1}";</script></head><body><div class="card"><h2>Contact</h2><p>Opening chat with +{re.phone.1}...</p><a class="btn" href="tg://resolve?phone={re.phone.1}">Open in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 5. Темы форумов (topic + post): /group/12/34
    @topic path_regexp topic ^/([a-zA-Z0-9_]+)/([0-9]+)/([0-9]+)/?$
    handle @topic {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Topic in @{re.topic.1} — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://resolve?domain={re.topic.1}&thread={re.topic.2}&post={re.topic.3}";</script></head><body><div class="card"><h2>Topic in @{re.topic.1}</h2><p>Opening discussion thread...</p><a class="btn" href="tg://resolve?domain={re.topic.1}&thread={re.topic.2}&post={re.topic.3}">Open in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 6. Пост в канале: /Gluek/123
    @post path_regexp post ^/([a-zA-Z0-9_]+)/([0-9]+)/?$
    handle @post {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Post in @{re.post.1} — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://resolve?domain={re.post.1}&post={re.post.2}";</script></head><body><div class="card"><h2>Post in @{re.post.1}</h2><p>Opening post #{re.post.2}...</p><a class="btn" href="tg://resolve?domain={re.post.1}&post={re.post.2}">Open in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 7. Инвайты: /+inviteHash или /joinchat/inviteHash
    @invite path_regexp invite ^/(?:\+|joinchat/)([a-zA-Z0-9_-]+)/?$
    handle @invite {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>Telegram Invite — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style><script>window.location.href="tg://join?invite={re.invite.1}";</script></head><body><div class="card"><h2>Telegram Invite</h2><p>Opening invitation link...</p><a class="btn" href="tg://join?invite={re.invite.1}">Join in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div></body></html>
HTML 200
    }

    # 8. Пользователь / канал / бот: /Gluek?start=123
    @user path_regexp user ^/([a-zA-Z0-9_]+)/?$
    handle @user {
        respond <<HTML
<!DOCTYPE html><html lang="en"><head><meta charset="utf-8"><meta name="viewport" content="width=device-width, initial-scale=1.0"><title>@{re.user.1} — t.gluek.info</title><link rel="icon" href="/favicon.svg" type="image/svg+xml"><style>body{font-family:sans-serif;display:flex;align-items:center;justify-content:center;height:100vh;margin:0;background:#0f172a;color:#fff;text-align:center}.card{background:#1e293b;padding:2rem;border-radius:1rem;border:1px solid #334155;max-width:380px;width:90%}.btn{display:block;margin-top:1.5rem;background:#24A1DE;color:#fff;text-decoration:none;padding:.8rem;border-radius:.5rem;font-weight:600}.footer{margin-top:1.5rem;font-size:.8rem;color:#94a3b8}.footer a{color:#94a3b8}</style></head><body><div class="card"><h2>@{re.user.1}</h2><p>Opening channel or profile...</p><a id="btn" class="btn" href="tg://resolve?domain={re.user.1}">Open in Telegram</a><div class="footer">Redirector <a href="https://gluek.info/projects/t-gluek-info/">t.gluek.info</a></div></div><script>
const query = "{query}" ? "&{query}" : "";
const tgUrl = "tg://resolve?domain={re.user.1}" + query;
const btn = document.getElementById("btn");
if (btn) btn.href = tgUrl;
window.location.href = tgUrl;
</script></body></html>
HTML 200
    }

    # 9. Всё остальное (корень или невалидные пути) -> на описание проекта
    handle {
        redir https://gluek.info/projects/t-gluek-info/ 302
    }
}

git.gluek.info

Mon, 07 Sep 2026 00:00:00 GMT

Собственный легковесный Git-сервис на базе Forgejo — свободного, открытого и управляемого сообществом форка Gitea. Сервис развернут на личном VPS и служит единым источником правды (Single Source of Truth) для репозиториев, исходного кода сайта gluek.info, скриптов автоматизации и вспомогательных ботов.

Проект полностью укладывается в философию IndieWeb / POSSE: владение собственными данными, независимость от коммерческих Git-платформ и бесшовная интеграция с персональной инфраструктурой.

Стек

Forgejo в Docker-контейнере
Caddy в роли reverse proxy (с автоматическим HTTPS от Let's Encrypt)
Forgejo Actions (act runner в Docker) для сборки и автоматизации
REST API для внешних интеграций

Как я это использую

1. Автоматический деплой сайта и кросспостинг

Все коммиты в ветку main блога автоматически подхватываются раннером:

Собирается статический сайт на Astro.
Подтягивается кэш npm и сгенерированных OG-картинок (.og-cache), так что пересборка 1300+ постов занимает буквально считанные секунды.
Готовый dist/ копируется в директорию Caddy на сервере.
Скрипты проверяют свежие посты и автоматом закидывают анонсы в мой Telegram-канал (@gluekinfo) и Fediverse (@gluek@so.gluek.info).

2. Постинг со смартфона в один коммит

Через REST API инстанс связан с моим ботом Delta Chat Publish: я могу набросать заметку с фотографиями прямо в мессенджере на телефоне, а бот отправит всё одним запросом через ChangeFilesOptions — ровно один коммит, один триггер пайплайна, и через минуту пост на сайте.

3. Зеркала репозиториев (`mirrors`)

В отдельный аккаунт mirrors я настроил зеркалирование внешних репозиториев и зависимостей, которые использую в своих проектах — чтобы они всегда были под рукой локально на случай, если с оригинальным репозиторием что-то случится.

Из-за постоянного наплыва ботов и скрейперов аккаунт mirrors сейчас закрыт от анонимного просмотра и доступен только залогиненным пользователям. Если вам нужен доступ — просто скажите мне, и я сделаю аккаунт.

4. Автономность

Свои секреты в репозиториях, SSH-ключи, двухфакторка и полный контроль над своими данными без лишнего трекинга и корпоративного контроля.

Сколько вешать в .gram-ах?

Tue, 18 Aug 2026 20:11:48 GMT

Дуров всё-таки сделал выводы после блокировки t.me и анонсировал, что Telegram подал заявку на доменную зону .gram. Обещают каждому пользователю до домену вида gluek.gram и возможность быстро запустить там некий "интерактивный сайт". А с другой стороны и заблокировать будет проще.

Google Pixel Tag

Wed, 12 Aug 2026 22:04:24 GMT

Отдельно впечатление про их тег - и поздно, и дорого. Вроде есть поддежка Ultra-Wideband для точного поиска - но она была и у Moto-тегов за те же деньги и пару лет назад, и они хоть по размеру совпадали с Air-тегами от Apple. А тут выходит и размер не такой, и по цене как 4 штуки от Ugreen, и офлайн этот весь поиск полностью не работоспособен становится.

Как кто-то написал в комментариях - в ноябре они его выпустят, в декабре про него забудут.

Google Pixel 11 & Android 17

Wed, 12 Aug 2026 21:31:29 GMT

Мне кажется вообще ничего нового не появилось ни в самом телефоне, ни в новой версии андроида (которая уже пришла на мой Pixel 10 Pro XL - буквально App Bubbles... и всё?), просто минимум смысла обновляться, хоть и сделали нормальный оффер:

Trade-in
Google Pixel 10 Pro XL (512GB)
£770.00 estimated value, applied instantly

P.S. С бонусом £150 за раннее бронирование вышло бы £479 за Pixel 11 Pro XL Obsidian (matte) 512GB (Unlocked)

Gluek's blog

vault.gluek.info

Почему ушёл с 1Password

Стек

Подводный камень: синхронизация в реальном времени

Перенос из 1Password

1. Нарезка экспорта по сейфам

2. Докачка вложений

3. Passkeys через CXP и чистка дублей

Claude Code

So...

Настройка QoS для Chatmail сервера

1. Анатомия проблемы: откуда берутся 2.6 ГБ RAM на одно письмо

2. Ловушка простого решения: задержка в 116 секунд на текстовое сообщение

3. Архитектура: двухскоростной QoS в Postfix

4. Пошаговая настройка

Шаг 0. Включаем ZRAM

Шаг 1. Скрипт классификации: /usr/local/bin/postfix-size-policy.py

Шаг 2. Настройка master.cf

Шаг 3. Лимиты очередей в main.cf

5. Мониторинг и отчет в ntfy

6. Результаты на живом сервере

Итог

Как боты съели 70 ГБ на моём сервере за 20 часов

Что произошло?

Как лечить

Теория мёртвого интернета на практике

t.gluek.info

Проблема

Архитектура решения

Преимущества серверной маршрутизации в Caddy

Поддерживаемые форматы ссылок

Конфигурация Caddyfile

git.gluek.info

Стек

Как я это использую

1. Автоматический деплой сайта и кросспостинг

2. Постинг со смартфона в один коммит

3. Зеркала репозиториев (mirrors)

4. Автономность

Сколько вешать в .gram-ах?

Google Pixel Tag

Google Pixel 11 & Android 17

Шаг 1. Скрипт классификации: `/usr/local/bin/postfix-size-policy.py`

Шаг 2. Настройка `master.cf`

Шаг 3. Лимиты очередей в `main.cf`

3. Зеркала репозиториев (`mirrors`)