threema/threema-web

Threema Web Docker镜像文档

镜像概述与主要用途

Threema Web Docker镜像是一个基于Alpine Linux和Nginx的容器化应用，用于运行Threema Web客户端。Threema Web是Threema即时通讯工具的Web版本，支持通过Web浏览器与Threema移动应用配对，实现安全消息通信。本镜像提供轻量级、易部署的Threema Web运行环境，适用于自托管场景。

核心功能与特性

核心功能

• 与Threema移动应用配对，实现Web端与移动端消息同步
• 支持文本消息、图片、文件等媒体内容的加密收发
• 端到端加密通信，保障消息传输安全性
• 联系人管理与聊天历史记录同步

镜像特性

• 基于Alpine Linux，镜像体积小，资源占用低
• 集成Nginx作为Web服务器，提供高效HTTP服务
• 多版本标签支持，可灵活选择特定版本或最新版本

使用场景与适用范围

• 个人用户：自托管Threema Web服务，通过Web浏览器便捷访问Threema
• 企业/组织：内部部署Web客户端，为员工提供可控的Threema访问入口
• 安全需求场景：需自定义Web客户端部署环境，满足特定网络隔离或合规要求

注意：本镜像不直接提供公网安全访问能力，需配合反向代理使用（详见安全注意事项）。

标签说明

镜像提供以下标签，用于版本选择：

• master：对应Threema Web代码仓库master分支的最新提交版本
• vX.Y.Z：指定版本号的发布版本（如v2.5.3）
• vX.Y：X.Y系列的最新发布版本（如v2.5系列的最新迭代）
• vX：X系列的最新发布版本（如v2系列的最新迭代）

镜像重建策略

最近几个发布版本的镜像每周自动重建两次，以确保基础组件（如Alpine、Nginx）的安全性更新。当前支持重建的标签模式可参考GitHub仓库中的SUPPORTED_TAG_PATTERNS配置（路径：https://github.com/threema-ch/threema-web/blob/master/docker/rebuild.sh）。

使用方法与配置说明

基本启动命令

通过以下命令启动容器（默认映射容器内Nginx的80端口）：

bash
docker run -d -p 8080:80 --name threema-web threema-ch/threema-web:latest

• -p 8080:80：将容器内80端口映射到主机的8080端口（可根据需求调整主机端口）
• --name threema-web：指定容器名称（可选）
• threema-ch/threema-web:latest：使用latest标签（建议生产环境替换为具体版本标签，如v2.5.3）

反向代理配置建议

重要：本镜像未包含TLS终止功能，必须部署在反向代理后，由反向代理处理HTTPS。以下为Nginx反向代理示例配置（关键部分）：

nginx
server {
    listen 443 ssl;
    server_name threema-web.example.com;  # 替换为实际域名

    # TLS配置
    ssl_certificate /path/to/cert.pem;    # 替换为SSL证书路径
    ssl_certificate_key /path/to/key.pem; # 替换为SSL密钥路径
    ssl_protocols TLSv1.2 TLSv1.3;
    ssl_ciphers HIGH:!aNULL:!MD5;

    # 安全响应头（强烈建议启用）
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;
    add_header X-Content-Type-Options "nosniff" always;
    add_header X-Frame-Options "DENY" always;
    add_header Content-Security-Policy "default-src 'self'; script-src 'self'; style-src 'self'; img-src 'self' data:; connect-src 'self' https://*.threema.ch;" always;

    # 反向代理到容器
    location / {
        proxy_pass http://localhost:8080;  # 指向容器映射的主机端口
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

安全注意事项

• TLS终止：必须通过反向代理（如Nginx、Traefik）实现HTTPS，禁止将容器直接暴露在公网HTTP端口。
• 安全头配置：强制启用HSTS、CSP、X-Frame-Options等安全响应头，降低XSS、点击劫持等风险。
• 版本管理：生产环境建议使用固定版本标签（如vX.Y.Z），避免master标签导致非预期更新。
• 镜像源验证：仅从官方仓库（threema-ch/threema-web）拉取镜像，确保完整性。