ما الذي تستضيفه ذاتيًا في 2026: 25 تطبيقًا

ما الذي ستبنيه

ليس تطبيقًا واحدًا — بل قائمة مختصرة. هذه الصفحة هي المحور لكل ما عداها على هذا الموقع: خمسة وعشرون تطبيقًا تستحق فعلًا التشغيل على خادم VPS خاص بك في 2026، مصنفة حسب المهمة التي تؤديها. ستجد لكل تطبيق الخدمة التي يستبدلها، ورقمًا صادقًا لاحتياجات ذاكرة RAM والقرص، والأمر الوحيد الذي سيوقعك في مشكلة إن تجاهلته. وتشير الروابط إلى الدليل الكامل خطوة بخطوة حيثما وُجد.

أدير شركة استضافة VPS منذ خمسة عشر عامًا، وأشغّل معظم هذه التطبيقات على أجهزتي الخاصة. لذا فأرقام الموارد أدناه هي ما يستهلكه التطبيق فعلًا تحت حمل حقيقي صغير، لا "الحد الأدنى" المأخوذ من صفحة تسويقية. اقرأها كميزانية، ثم أضف هامشًا فوقها.

المتطلبات المسبقة والحقيقة الصريحة

كل تطبيق هنا يعمل على خادم VPS جديد بتقنية KVM ونظام Ubuntu 24.04 مع صلاحيات root أو sudo. وتأتي جميع التطبيقات تقريبًا على هيئة حاويات Docker، لذا ثبّت Docker مرة واحدة وستكون جاهزًا للقائمة كلها:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"
newgrp docker
docker run --rm hello-world

إذا فشلت أوامر docker برسالة permission denied while trying to connect to the Docker daemon socket، فقد تخطيت خطوة إضافة المجموعة أو لم تفتح جلسة shell جديدة — سجّل خروجك ثم ادخل من جديد. وإذا أعاد docker compose الرسالة docker: 'compose' is not a docker command، فلديك الملف التنفيذي المستقل القديم؛ السكربت أعلاه يثبّت إضافة Compose الحديثة، التي تستدعيها بالأمر docker compose (بمسافة، لا بشرطة).

ثلاث حقائق تحدد شكل كل ما يلي. أولًا، ذاكرة RAM هي القيد، لا القرص ولا المعالج. خادم VPS بذاكرة 1 GB يشغّل تطبيقًا صغيرًا واحدًا ولا شيء بعده. و4 GB هي النقطة المثالية الحقيقية لجهاز "أستضيف ذاتيًا بضعة أشياء". أما 2 GB فهي المنطقة الوسطى المحرجة التي يكدّس فيها المبتدئ خدمة ثالثة، فيتلقى إيقافًا صامتًا بسبب نفاد الذاكرة (Out-Of-Memory)، ولا يفهم أبدًا لماذا اختفت الحاوية فجأة — يعرض sudo dmesg سطر Out of memory: Killed process الذي ابتلعته الخدمة الخلفية (daemon). ثانيًا، كل ما هو عام يحتاج إلى اسم نطاق وشهادة — عنوان IP المجرد يصلح للاختبار ويفشل لحظة أن تريد من تطبيق هاتف أو متصفح أن يثق به. ثالثًا، منفذان يقرران نصف خياراتك: يجب أن تصل حركة المرور عبر المنفذين 80 و443 إلى الجهاز من أجل TLS التلقائي، والمنفذ الصادر 25 محجوب لدى معظم مزوّدي الخدمة، ولهذا يقع البريد الإلكتروني في قائمة "ما لا يجب فعله" في النهاية.

الملفات والصور

• Nextcloud يستبدل Google Drive وDropbox وGoogle Calendar في حزمة واحدة. خصِّص من 1 إلى 2 GB من ذاكرة RAM إضافة إلى ما تزنه ملفاتك. المطب الوحيد: SQLite مقبولة لعرض تجريبي وفخ في الإنتاج — ثبّته على PostgreSQL من أول تشغيل، لأن ترحيل قاعدة البيانات بعد أن تستقر بياناتك داخلها هو أكثر الطرق شيوعًا لتخريب Nextcloud. الدليل الكامل Nextcloud على خادم VPS مع Docker وTLS والنسخ الاحتياطي يجهّزه بشكل صحيح من المرة الأولى.
• Immich يستبدل Google Photos، وصولًا إلى تطبيق الهاتف الذي يرفع صور الكاميرا تلقائيًا وإلى البحث بالوجوه والأشياء. خصِّص 6 GB من ذاكرة RAM — وثائق Immich تعدّ ذلك الحد الأدنى، و8 GB مريحة، وحاوية تعلُّم الآلة هي الجزء الشره — ومساحة قرص تساوي حجم مكتبتك زائد نحو عشرين في المئة للصور المصغّرة. المطب: ما زال Immich يُصدر تغييرات كاسرة للتوافق بين الإصدارات، فلا تسحب latest على نحو أعمى أبدًا؛ ثبّت إصدارًا محددًا (pin) واقرأ ملاحظات الإصدار قبل كل ترقية. دليل مكتبة صور Immich المستضافة ذاتيًا يغطي مسار الترقية الآمن.
• Seafile يحل محل Dropbox بأسرع محرك مزامنة بين الثلاثة. خصِّص نحو 1 GB من ذاكرة RAM. المطب: يخزّن Seafile ملفاتك على شكل كتل مُعنونة بالمحتوى (content-addressed)، لا كملفات عادية على القرص، فلا يمكنك تصفح البيانات بالأمر ls، وعليك أن تنسخ بياناتك احتياطيًا عبر أدوات Seafile نفسها، لا بنسخ مجلد.

كلمات المرور

• Vaultwarden يحل محل الخطة المدفوعة من Bitwarden، وكذلك LastPass و1Password، بخادم صغير جدًا مكتوب بلغة Rust يتحدث بروتوكول Bitwarden، فيعمل معه كل تطبيق رسمي وكل امتداد متصفح من Bitwarden مباشرة. خصِّص من 100 إلى 200 MB من ذاكرة RAM ومساحة قرص شبه معدومة. المطب: هذا الجهاز يحمل كل كلمة مرور تملكها، لذا فإن TLS والنسخ الاحتياطي ليسا اختياريين هنا بل هما بيت القصيد — واضبط ADMIN_TOKEN كقيمة تجزئة (hash) بخوارزمية Argon2، لأن رمزًا مكتوبًا نصًا صريحًا في ملف compose هو مفتاح رئيسي موضوع على المكشوف. دليل مدير كلمات المرور Vaultwarden هو أفضل استضافة ذاتية أولى على الإطلاق.

الوسائط

• Jellyfin يستبدل Plex، ويستبدل Netflix فيما يخص مكتبتك الخاصة — مفتوح بالكامل، بلا حساب، وبلا بث عن بُعد محجوز خلف جدار دفع. خصِّص من 1 إلى 2 GB من ذاكرة RAM في وضع الخمول، لكن استهلاك المعالج يقفز بشدة عند تحويل الترميز (transcoding). المطب: تحويل ترميز بث 4K برمجيًا سيصهر خادم VPS صغيرًا؛ فإما أن تمنح الجهاز تسريعًا عتاديًا، وإما أن تبقي ملفاتك بصيغة يستطيع عملاؤك تشغيلها مباشرة (Direct Play)، فلا يفعل الخادم عندها سوى نقل البايتات. دليل خادم الوسائط Jellyfin على VPS يشرح الفرق بين الحالتين.
• Navidrome يستبدل Spotify لموسيقاك الخاصة، ويبث إلى أي تطبيق متوافق مع Subsonic. خصِّص من 150 إلى 300 MB من ذاكرة RAM — فهو مكتوب بلغة Go ولا يكاد يُلحظ وجوده. المطب: أول فحص للمكتبة يقرأ وسوم كل ملف وقد يستغرق ساعة على مجموعة كبيرة، ووسوم ID3 رديئة في المدخل تعني تجربة تصفح رديئة في المخرج.
• Audiobookshelf يستبدل Audible وتطبيق البودكاست لديك، ويحفظ موضع التشغيل عبر أجهزتك. خصِّص من 200 إلى 500 MB من ذاكرة RAM. المطب: يتوقع تنظيمًا صارمًا بمجلد لكل كتاب، ومجلد استيراد فوضوي يُنتج مكتبة فوضوية نصف مُكتشفة يكون إصلاحها بعد ذلك مضنيًا.

الأتمتة والذكاء الاصطناعي

• n8n يحل محل Zapier وMake بأداة مرئية لبناء سير العمل تملكها أنت، ومن دون فوترة على كل مهمة. خصِّص من 400 MB إلى 1 GB من ذاكرة RAM. المطب: يشفّر n8n بيانات الاعتماد المخزنة بمفتاح يولّده عند أول تشغيل، وإذا فقدت هذا المفتاح — أو نسيت ضبط N8N_ENCRYPTION_KEY وتركته يولّد غيره — صارت كل بيانات اعتماد محفوظة غير قابلة للقراءة وأعدت إدخالها كلها. دليل n8n مستضاف ذاتيًا مع HTTPS يثبّت المفتاح ويضع شهادة حقيقية أمام عناوين webhook.
• Ollama يحل محل اشتراك ChatGPT بالاستدلال (inference) المحلي والخاص لنماذج اللغة الكبيرة (LLM). خصِّص بحسب النموذج: نموذج بحجم 7 إلى 8 مليارات معلمة (7–8B) يطلب نحو 8 GB من ذاكرة RAM، وكل نموذج يشغل من 4 إلى 8 GB على القرص. المطب: على خادم VPS بمعالج فقط، الاستدلال يعمل فعلًا لكنه بطيء — فالسرعة تُقاس بكلمات في الثانية، لا بالردود الفورية التي تمنحك إياها واجهة API مستضافة — فاضبط توقعاتك أو استأجر جهازًا بمعالج رسومي GPU. دليل تشغيل Ollama لاستضافة LLM ذاتيًا يقدم أرقامًا واقعية.

التواصل

• Rocket.Chat يستبدل Slack لفريق عمل، مع سلاسل النقاش والمكالمات والتكاملات. خصِّص 2 GB من ذاكرة RAM فما فوق، لأنه يعمل على MongoDB وهي الضيف الثقيل. المطب: يثبّت Rocket.Chat في كل إصدار له إصدارًا رئيسيًا محددًا من MongoDB، وتخطي إصدار أثناء الترقية هو الطريقة التي تترك بها قاعدة بياناتك عالقة — رقِّ درجة واحدة في كل مرة. دليل Rocket.Chat مع Docker Compose يصعد بك سلّم الإصدارات درجة درجة.
• Matrix (Synapse) يحل محل Slack وDiscord بشبكة اتحادية (federated) مشفّرة من طرف إلى طرف تملك فيها خادمك الأساسي (homeserver). خصِّص من 1 إلى 2 GB من ذاكرة RAM تنمو كلما انضممت إلى غرف عامة كبيرة. المطب: استهلاك Synapse للذاكرة يتضخم في الغرف الاتحادية الكبيرة، ويجب أن يعمل على PostgreSQL — فقاعدة SQLite الافتراضية لا تصلح إلا لاختبار بمستخدم واحد وتنهار لحظة دخولك الاتحاد. وإن بدا لك Synapse ثقيلًا، فالخادمان الأخفّان Conduit وDendrite يتحدثان البروتوكول نفسه.

الشبكات والوصول

• WireGuard يستبدل خدمات VPN التجارية، ويمنحك نفقًا خاصًا إلى عنوان IP الخاص بك وإلى بقية خدماتك. خصِّص ما لا يكاد يُذكر — أقل من 50 MB، والتشفير يجري داخل نواة النظام. المطب: على المحاكاة الافتراضية القائمة على الحاويات (OpenVZ وبعض LXC) تفشل وحدة النواة (kernel module) برسالة RTNETLINK answers: Operation not supported؛ ما تريده هو KVM. دليل شبكة WireGuard VPN المستضافة ذاتيًا هو المرجع، وإقرانه بخدمات مربوطة بالنفق هو الطريقة لإبقاء الأشياء بعيدة عن الإنترنت العام كليًا.
• Traefik يستبدل مضيفات nginx الافتراضية المكتوبة يدويًا والتجديد اليدوي للشهادات — فهو يكتشف حاوياتك من تسميات (labels) Docker الخاصة بها ويجلب شهادات Let's Encrypt تلقائيًا. خصِّص نحو 100 MB من ذاكرة RAM. المطب: نموذج الضبط القائم على التسميات محيّر حقًا في البداية، وتسمية واحدة خاطئة تترك تطبيقًا من دون توجيه وبلا خطأ واضح. دليل الوكيل العكسي Traefik لعدة تطبيقات Docker مبني تحديدًا لتشغيل عدد من تطبيقات هذه الصفحة خلف نقطة دخول واحدة.
• AdGuard Home يستبدل جهاز Pi-hole وترشيح DNS المدفوع، فيحجب الإعلانات والمتتبعات عن كل جهاز على شبكتك عند طبقة DNS. خصِّص من 100 إلى 150 MB من ذاكرة RAM. المطب: يريد الاستئثار بالمنفذ 53، وهو ما يتصادم مع systemd-resolved على Ubuntu — فيفشل في بدء التشغيل برسالة listen udp 0.0.0.0:53: bind: address already in use إلى أن تحرر المنفذ أولًا.

المراقبة

• Uptime Kuma يحل محل Pingdom وUptimeRobot وStatusPage بلوحة معلومات أنيقة وتنبيهات إلى أي قناة تقريبًا. خصِّص من 150 إلى 300 MB من ذاكرة RAM. والمطب — وهو الذي يفوّته الجميع دائمًا: راقب جهاز الإنتاج من جهاز آخر — فنسخة Uptime Kuma العاملة على الخادم نفسه الذي تراقبه لا تستطيع إخبارك حين يموت ذلك الخادم. دليل مراقبة الحالة مع Uptime Kuma يغطي تشغيله من خادم خارجي مستقل.
• Zabbix يحل محل Datadog وحزم المراقبة المؤسسية، بمقاييس عميقة قائمة على وكلاء (agents)، ومحفّزات، وسجل تاريخي. خصِّص 2 GB من ذاكرة RAM فما فوق، إضافة إلى قاعدة بيانات خاصة به. المطب: Zabbix قوي وثقيل الإعداد حقًا — فهو إفراط لمراقبة ثلاث حاويات، والأداة الصحيحة لأسطول من الخوادم. ابدأ بـ Uptime Kuma؛ وانتقل إلى خادم المراقبة Zabbix حين تكون لديك فعلًا بنية تحتية تراقبها.

غياب Prometheus وGrafana عن هذه القائمة مقصود: فهما عدّة ممتازة على مستوى أسطول كامل، لكن تشغيلهما وضبطهما أثقل مما تبرره منظومة شخصية من جهازين أو ثلاثة، وUptime Kuma مع Zabbix يجيبان عن الأسئلة نفسها عند هذا الحجم بقدر أقل من الصيانة.

لوحات المعلومات ولوحات التحكم

هذه الفئة تغيّر النموذج كله — فبدل تشغيل ملفات compose يدويًا، تتولى لوحة تحكم إدارة التطبيقات نيابة عنك.

• Cloudron يحل محل أمنية "ليت هذا يتم بنقرة واحدة" بمتجر تطبيقات مصقول وTLS تلقائي ونسخ احتياطي مدمج. خصِّص 2 GB من ذاكرة RAM حدًا أدنى، و4 GB لراحة البال. المطب: إنه متشدد في اختياراته (opinionated) ويريد امتلاك الجهاز كله، وهو مجاني حتى تطبيقين فقط — وما وراء ذلك منتج مدفوع.
• CasaOS يحل محل لوحة معلومات المختبر المنزلي الفوضوية بواجهة تطبيقات ودودة، مجانية وخفيفة. خصِّص نحو 150 إلى 300 MB لـ CasaOS نفسه. المطب: صُمم لشبكة منزلية موثوقة وليس محصّنًا للإنترنت العام — لا تعرضه مباشرة؛ بل صِل إليه عبر WireGuard.
• Coolify يستبدل Heroku وVercel وNetlify — نشر بـ git push، وقواعد بيانات، ومعاينات على خادمك الخاص. خصِّص 2 GB من ذاكرة RAM حدًا أدنى. المطب: إنه مشروع أحدث عهدًا يتطور بسرعة، فثبّت الإصدارات واقرأ ملاحظات الإصدار قبل الترقية. مقارنة Cloudron وCasaOS وCoolify تفصّل أي الثلاثة يناسب أي شخص.

أدوات المطورين والإنتاجية

• Gitea (أو Forgejo) يستبدل GitHub للمستودعات الخاصة والتذاكر (issues) والتكامل المستمر CI. خصِّص من 200 إلى 500 MB من ذاكرة RAM. المطب: Forgejo هو الاشتقاق (fork) الخاضع لحوكمة المجتمع من Gitea، وهو الذي يوصي به كثيرون الآن؛ كلاهما ممتاز، لكن اختر واحدًا وانسخ المستودعات وقاعدة البيانات احتياطيًا معًا — فنسخة احتياطية للمستودعات من دون قاعدة البيانات تُفقدك كل تذكرة وكل pull request.
• Paperless-ngx يستبدل خزانة الملفات وخدمات مسح المستندات المدفوعة، مُجريًا التعرف الضوئي على الحروف (OCR) على كل شيء لتصبح مستنداتك قابلة للبحث. خصِّص نحو 1 GB من ذاكرة RAM، مع قفزات في المعالج أثناء OCR. المطب: نتائج OCR بجودة مسوحاتك لا أكثر، وإعادة معالجة أرشيف كبير بطيئة — اضبطه قبل أن تستورد دفعة واحدة عشر سنوات من الورق.
• Actual Budget يحل محل YNAB وMint بميزانية الأظرف (envelope budgeting) — سريعة ومحلية وخاصة. خصِّص نحو 150 MB من ذاكرة RAM. المطب: المزامنة المصرفية التلقائية إضافة منفصلة لها إعدادها الخاص، فأنت فور التثبيت تستورد المعاملات يدويًا.
• FreshRSS يستبدل Feedly وGoogle Reader الراحل — قارئ خلاصات سريع وخاص مع تطبيقات للهاتف. خصِّص نحو 150 MB من ذاكرة RAM. المطب: جهّز تحديث الخلاصات عبر cron، وإلا فلن تُحدَّث الخلاصات إلا حين يصادف أن تفتح الصفحة.
• BookStack يستبدل Notion وConfluence في التوثيق، منظمًا المحتوى في رفوف وكتب وصفحات. خصِّص نحو 500 MB من ذاكرة RAM لأنه يعمل على PHP وMySQL. المطب: يبني المحتوى على طريقته الخاصة لا كملاحظات حرة الشكل، وهو ما يحبه بعضهم ويجده آخرون جامدًا — جرّبه قبل أن تنقل إليه الويكي كلها.
• Home Assistant يستبدل SmartThings وعشرات من تطبيقات المصنّعين، موحّدًا منزلك الذكي محليًا. خصِّص نحو 1 GB من ذاكرة RAM. المطب: كثير من سحره يحتاج وصولًا عبر الشبكة المحلية إلى أجهزتك، فمكانه الأنسب عتاد داخل المنزل لا خادم VPS بعيد — شغّل لوحة المعلومات عن بُعد واربطها بجسر إلى منزلك إن اضطررت.

تثبيت نموذجي

لجعل الأمر ملموسًا، إليك الشكل الكامل لاستضافة ذاتية واحدة: ملف compose، وشهادة حقيقية، ونسخة احتياطية. هذا هو Uptime Kuma، لكن كل تطبيق في القائمة يتبع النمط نفسه.

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    container_name: uptime-kuma
    volumes:
      - ./data:/app/data
    ports:
      - "127.0.0.1:3001:3001"
    restart: unless-stopped

docker compose up -d
docker compose logs -f

لاحظ 127.0.0.1: — التطبيق يستمع على localhost فقط، ويتولى وكيل عكسي (reverse proxy) مثل Traefik أو nginx إنهاء TLS أمامه. الارتباط مباشرة بـ 0.0.0.0:3001 هو الطريقة التي ينشر بها الناس من غير قصد لوحة إدارة غير مشفّرة على الإنترنت كله.

ما الذي يجب ألا تستضيفه ذاتيًا (حتى الآن)

• البريد الإلكتروني. هذا هو البند الصريح في القائمة. المنفذ الصادر 25 محجوب لدى معظم مزوّدي VPS — سترى Connection timed out من telnet aspmx.l.google.com 25 وليس هناك ما يمكن إصلاحه، فهذه سياسة. وحتى لو كان المنفذ 25 مفتوحًا، فإن عنوان IP جديدًا بلا سمعة ولا سجل PTR ولا SPF وDKIM وDMARC يُسقط بريدك في الرسائل المزعجة أو يجعله مرفوضًا من الأساس. إنها مهمة حقيقية مستمرة، لا مشروع عطلة نهاية أسبوع. وإن كنت مصرًّا عليها، فادخل مفتوح العينين مع دليل البريد الإلكتروني المستضاف ذاتيًا مع Mailcow، وتوقع أن ترعى قابلية التسليم (deliverability) شهورًا.
• أي شيء لا تستطيع نسخه احتياطيًا واستعادته بموثوقية. إن لم تُجرِ استعادة تجريبية قط، فليست لديك نسخة احتياطية، بل أمنية. لا تضع بيانات لا تُعوَّض — النسخة الوحيدة من صورك، حساباتك — على خدمة قبل أن تثبت قدرتها على الاستعادة.
• نسختك الوحيدة من تبعية حرجة. خادم DNS مستضاف ذاتيًا يأخذ معه، حين ينهار، إنترنت شبكتك كلها هو مشروع أول سيئ. احتفظ ببديل احتياطي في المنبع (upstream).
• أنظمة السلامة الفورية. إنذارات المنزل، والتنبيهات الطبية، وكل ما تكون فيه خمس دقائق من التوقف مشكلة حقيقية — لا مكان له على جهاز هواية ترقّيه مساء الأحد.

كيف تختار تطبيقك الأول، والشرطان غير القابلين للتفاوض

اختر التطبيق الذي يُسقط عنك فاتورة تستاء منها أو قلقًا على الخصوصية تشعر به فعلًا. عمليًا، أفضل تثبيتين أولين هما Vaultwarden وUptime Kuma: كلاهما صغير جدًا، وكلاهما مفيد فورًا، وكلاهما متسامح إن أخطأت. شغّل واحدًا من البداية إلى النهاية — تثبيت، شهادة، نسخة احتياطية، اختبار استعادة — قبل أن تضيف ثانيًا. فالمهارة التي تبنيها هي مهارة التشغيل، لا النقر على زر التثبيت.

شيئان غير قابلين للتفاوض في كل تطبيق مما سبق، بلا استثناء:

1. TLS على كل ما هو عام. خدمة بنص صريح على عنوان IP مجرد هي عرض تجريبي، لا نشر فعلي. ضع أمامها شهادة حقيقية مع Certbot وLet's Encrypt على nginx، أو دع Traefik يتولى ذلك تلقائيًا. ثم حصّن الباب الأمامي بـ Fail2ban لخدمة SSH على Ubuntu 24.04.
2. نسخ احتياطية استعدتها فعلًا. أتمِت تفريغًا (dump) ليليًا — قاعدة البيانات ووحدة تخزين البيانات معًا — وأرسله إلى خارج الجهاز، واستعده مرة كل شهر على خادم VPS مؤقت يُستغنى عنه لتثبت أنه يعمل. يوم يموت قرصك هو اليوم الخطأ لاكتشاف أن النسخة الاحتياطية كانت فارغة.

أتقن هذين الأمرين وتصبح الاستضافة الذاتية متعة. تجاهلهما وتصبح عدًّا تنازليًا.

تمتد الخيارات من العملي إلى العبثي، من خادم Minecraft على VPS للعائلة إلى — إن كنت ممن يستمتعون بالقصص التحذيرية — أقل مراكز البيانات كفاءة في العالم.

FAQ

ما الذي أستضيفه ذاتيًا أولًا؟

Vaultwarden. مدير كلمات المرور يمنحك قيمة يومية، ويستبدل اشتراكًا، ويجبرك على تعلم سير العمل كاملًا — Docker، ووكيل عكسي، وTLS، والنسخ الاحتياطي — على تطبيق صغير بما يكفي لإعادة بنائه في عشر دقائق إن كسرته. وUptime Kuma خيار ثانٍ ممتاز، لتعلم بالأعطال قبل أن يعلم بها مستخدموك.

ما حجم VPS الذي أحتاجه فعلًا؟

لتطبيق صغير واحد، تكفي 1 GB من ذاكرة RAM. ولجهاز مريح "يشغّل حفنة من الأشياء"، استهدف 4 GB — فمنطقة 2 GB الوسطى هي التي يتلقى فيها الناس عمليات إيقاف صامتة للحاويات بسبب نفاد الذاكرة (Out-Of-Memory) من دون أن يفهموا السبب. الذاكرة هي الحد في كل الأحوال تقريبًا؛ أضف قرصًا على قدر البيانات التي تنوي تخزينها، وتوقع أن يطلب Immich وOllama وكل ما فيه قاعدة بيانات كبيرة النصيب الأكبر من الاثنين.

ما الذي لا ينبغي أن أستضيفه ذاتيًا؟

البريد الإلكتروني أولًا وقبل كل شيء — فالمنفذ الصادر 25 محجوب لدى معظم المزوّدين، وقابلية التسليم معركة بدوام كامل. بعد ذلك، أي شيء لا تستطيع نسخه احتياطيًا واستعادته بموثوقية، وأي نقطة فشل واحدة يسبب توقفها ضررًا حقيقيًا، كخادم DNS بلا بديل احتياطي أو نظام سلامة منزلي. كل ما عدا ذلك في هذه القائمة مسموح به.

هل أحتاج إلى Docker لكل هذا؟

لا، لكنك ستريده. كل تطبيق هنا له صورة Docker، وDocker يمنحك تثبيتًا نظيفًا، وإزالة نظيفة، وتثبيت إصدار محدد بسهولة، وقابلية للنقل إلى مضيف جديد. وقليل من التطبيقات (WireGuard وZabbix) يُثبَّت أيضًا مباشرة من apt إن فضّلت ذلك. ومتى فهمت ملف compose واحدًا فقد فهمت هذه الملفات كلها، ولهذا تصبح القائمة كلها في المتناول.

كيف أحافظ على أمان كل هذا؟

أربع عادات تغطي معظم الأمر: ضع TLS أمام كل شيء، وأبقِ SSH مقفلًا بتسجيل دخول بالمفاتيح فقط مع Fail2ban الذي يحظر محاولات القوة الغاشمة، ولا تكشف للعموم إلا المنافذ التي تحتاجها حقًا وصِل إلى البقية عبر شبكة WireGuard VPN الخاصة بك، وحدّث بانتظام مع قراءة ملاحظات الإصدار كي لا تفاجئك ترقية أبدًا. النسخ الاحتياطي هو العادة الخامسة — فهو وسيلتك للتعافي حين يفلت خطأ من العادات الأربع الأولى.