Knoten betreiben

Hokonos Anonymität trägt nur, wenn die drei Hops eines Pfads bei verschiedenen Betreibern liegen. Heute betreibt Hokono alle Knoten selbst. Das ändert sich mit dem ersten Betreiber, der nicht wir sind — und für den ist diese Seite geschrieben.

Grundsatz: Hokono ist nie auf deiner Maschine. Es wandern nur öffentliche Schlüssel und eine IP-Adresse. Private Schlüssel verlassen deinen Host nie, auch nicht an uns.

Was wir anbieten

Rolle	Status	Weg
Mix	offen für alle, die die Aufnahmepolitik erfüllen	Anleitung und Dateien unten, komplett öffentlich
Entry-Relay, Gateway	auf Anfrage	dieselben Binaries aus der Registry, Einrichtung mit uns abgestimmt
Directory-Authority	einzeln, nach Prüfung	Angebot unten; Material kommt auf Anfrage

Mix in 15 Minuten

Was du brauchst: ein eigenes Hetzner-Cloud-Projekt (oder ein anderer Anbieter mit cloud-init), die hcloud-CLI, einen SSH-Schlüssel. Kosten: ab 5,49 € netto im Monat (cx23).

mkdir -p ~/hokono-node && cd ~/hokono-node
curl -fsSLO https://hokono.app/registry/onboarding/cloud-init-mix.yaml
curl -fsSLO https://hokono.app/registry/onboarding/check.sh
sed -e "s|__SSH_PUBKEY__|$(cat ~/.ssh/hokono-node.pub)|" \
    -e "s|__OPERATOR_TAG__|<dein-kurzname>|" cloud-init-mix.yaml > my-mix.yaml
hcloud server create --name mix-<dein-kurzname> --type cx23 --image debian-12 --location nbg1 \
  --user-data-from-file my-mix.yaml
bash check.sh "$(hcloud server ip mix-<dein-kurzname>)" mix hokono-admin ~/.ssh/hokono-node   # nach ~4 Minuten

cloud-init schaltet Logs ab, öffnet nur die Ports 22 und 1789, lädt das mixnode-Binary aus der Registry und prüft es gegen das Manifest, erzeugt einen lokalen Wickelschlüssel und startet den Dienst gehärtet. Beim ersten Start erzeugt der Daemon sein Schlüsselpaar selbst. Seine Peers holt er aus dem signierten Consensus: er prüft die Signaturen gegen die öffentlichen Authority-Schlüssel und erlaubt genau die Knoten daraus, stündlich neu. Eine IP-Liste von uns braucht niemand.

Die vollständige Anleitung mit erwarteten Ausgaben, dem Meldeformat und einer Checkliste für Agenten: ANLEITUNG.md.

Dateien

Datei	Zweck
ANLEITUNG.md	Schritt für Schritt, auch für Claude Code oder ähnliche Agenten abarbeitbar
cloud-init-mix.yaml	Server-Definition: No-Log, Firewall, Binary mit Hash-Gate, gehärtete Unit
check.sh	Prüfung von außen (Ports) und per SSH (laufendes Binary gegen Manifest, Logs, Schlüssel)
ACCEPTANCE_POLICY.md	Wer aufgenommen wird, Obergrenzen, Entzug
OPERATOR_ONBOARDING.md	Betriebsanforderungen und Deskriptor-Format
Registry	Binaries, SHA256SUMS, Build-Commit, Herkunft

Was du uns schickst

Nach check.sh mit HASH OK: deine Kennung, Kontakt, Hoster, Rechtsraum, IP, die zwei Zeilen aus pubkeys.txt und den Hash des laufenden Binaries. Das Format steht in der Anleitung. An node@hokono.app, gern PGP-verschlüsselt.

Nie schicken: node.key, wrap.key, private SSH-Schlüssel, API-Tokens. Wir fragen nie danach.

Was dann passiert

Zwei Authorities prüfen die Selbstauskunft unabhängig. Danach kommt dein Knoten in die Knotenliste und in die Peer-Allowlists der Flotte, ab der nächsten Stunden-Epoche steht er im signierten Consensus, zunächst ohne stable. Nach 14 Tagen ohne Ausfall über 24 Stunden wird stable gesetzt, und du erscheinst hier mit Name, Rechtsraum und Hoster.

Der Weg ist erprobt: Am 21.09.2026 hat ein Testlauf ohne Vorwissen, nur nach dieser Seite, einen Mix aufgesetzt, der noch am selben Tag im signierten Consensus stand.

Directory-Authority

Eine Authority signiert stündlich die Knotenliste. Sie sieht keinen Verkehr und hat keinen offenen Dienst-Port. Die App akzeptiert ein Dokument nur mit zwei Signaturen gepinnter Authorities. Weil zwei Authorities zusammen den Consensus bestimmen könnten, vergeben wir sie einzeln und nach Prüfung.

Wer in Frage kommt: benannte Person oder Organisation mit öffentlichem Track-Record, eigener Hoster, der nicht Hetzner, Scaleway oder Vultr ist, nach Möglichkeit ein anderer Rechtsraum als DE, PL und SE, Bereitschaft zum automatisierten stündlichen Signieren, PGP-Kontakt.

Anfrage an node@hokono.app mit Selbstauskunft. Bei Eignung liefern wir cloud-init, das dirauth-Binary (sein Hash steht in der Registry) und die Ceremony-Anleitung. Der private Schlüssel entsteht auf deinem Host und bleibt dort. Die Aufnahme in die Pin-Liste der App ist ein App-Release.