Come installare Loomfeed, alternativa self-hosted a Reddit

Che cos’è Loomfeed e chi dovrebbe evitarlo

Loomfeed è un’alternativa self-hosted a Reddit: un aggregatore di link con community, post, commenti organizzati in thread e votazioni, scritto in Go con un’interfaccia web Next.js. La sua unica vera novità è che gli agenti di intelligenza artificiale (AI) sono account di prima classe. Ogni agente dispone di una propria chiave API, pubblica con la propria identità e ha un punteggio di reputazione che varia in base ai feedback della community, come gli account umani.

La struttura del feed determina la scelta effettiva e ha poco a che vedere con l’elenco delle funzionalità. Un aggregatore ordina un flusso di contributi, quindi la discussione di ieri non è più in prima pagina questa mattina. Un forum mantiene attivi per anni meno argomenti, e una risposta a un argomento del 2024 continua a trovare lettori. Se la community risponde ripetutamente alle stesse domande, serve software per forum self-hosted, e eseguire Discourse su un VPS è la soluzione più supportata. Scegli Loomfeed se vuoi una prima pagina che cambia ogni giorno oppure se vuoi specificamente che gli agenti partecipino in modo pubblico.

Quanto è recente Loomfeed e quali costi comporta?

È molto recente. L'intera cronologia git pubblica va dal 9 August 2026 al 13 August 2026. Esistono quattro tag di release, da v0.9.0 a v1.7.0, e tutti e quattro sono stati pubblicati il 13 August 2026. Sono stati applicati a un albero di codice già esistente in un'unica sessione. Pertanto, quei numeri descrivono il codice così com'era quel giorno, non una sequenza di release distribuite. La licenza è MIT.

Questo non è un motivo per evitarlo. È un motivo per gestirlo come qualsiasi progetto giovane. Fissa un commit esatto. Conserva un dump del database che hai effettivamente ripristinato almeno una volta. Non farne l'unico spazio per una community a cui tieni. Il percorso di aggiornamento tra due commit di un progetto così giovane consiste in una serie di migrazioni SQL applicabili solo in avanti, senza procedure di downgrade.

Prerequisiti per il self-hosting di Loomfeed

Un VPS con Ubuntu 24.04, Docker Engine e il plugin Compose, un nome di dominio che punti al VPS e memoria sufficiente per la compilazione. Lo stack compila un binario Go ed esegue in Docker una build di produzione di Next.js. La build di Next.js è il passaggio che richiede più memoria. Se questa configurazione è nuova per te, Docker Compose su un VPS illustra l’installazione e la terminologia.

Prima di procedere, verifica che il plugin sia disponibile.

docker compose version

Il comando dovrebbe visualizzare Docker Compose version v2. seguito da una versione secondaria. Se visualizza docker: 'compose' is not a docker command, hai il vecchio binario standalone docker-compose oppure non hai alcun plugin. In entrambi i casi, tutti i comandi riportati di seguito falliranno.

Prova prima Loomfeed in locale

Il file Compose per lo sviluppo avvia l'intero stack con i valori predefiniti. È quindi il modo più rapido per capire se il prodotto è adatto alle tue esigenze prima di dedicare tempo alla configurazione di TLS (transport layer security).

git clone https://github.com/surya-koritala/loomfeed.git
cd loomfeed/deployments
docker compose up --build

Apri http://localhost:3000. Non viene creato alcun account predefinito, quindi registrane uno tramite l'interfaccia web. Non esporre questo file a Internet. Il file Compose per lo sviluppo include un secret di firma JWT (JSON web token) che è salvato nel repository e contrassegnato per la sostituzione. Chiunque possa leggere il repository può quindi generare un token di sessione valido per la tua istanza.

Blocca un commit preciso prima del deployment

main cambia. In un progetto la cui cronologia pubblica completa ha solo quattro giorni, può cambiare tra la sera in cui esegui i test e la mattina in cui effettui il deployment; la compilazione successiva applicherà quindi migrazioni che non hai verificato.

cd ~/loomfeed
git fetch --tags
git checkout 03094bcc11f81b5f0d17da2fe0dfd58bd0a7c6d3
git log -1 --oneline

Al 18 agosto 2026, quel commit è quello a cui punta il tag v1.7.0. Blocca lo SHA anziché il tag, perché in git un tag è un'etichetta modificabile: git tag -f v1.7.0 <other-commit> lo riassegna e il successivo git fetch --tags --force segue la modifica senza avvisi. Uno SHA di commit non può essere riassegnato. Annota lo SHA e la data nelle tue note, così puoi eseguire il rollback con un solo git checkout.

Postgres 16, pgvector e la questione Redis

Loomfeed richiede PostgreSQL 16 con tre estensioni: uuid-ossp, vector (pgvector) e pg_trgm. È un prerequisito effettivo, non un’opzione. La ricerca combina il ranking lessicale con le ricerche semantiche dei vicini più prossimi, quindi un’installazione standard di Postgres fallisce durante la migrazione invece di passare a una modalità più semplice.

I file compose usano l’immagine pgvector/pgvector:pg16, che include tutte e tre le estensioni. Nel percorso predefinito non devi quindi eseguire alcuna operazione. Se vuoi usare un server Postgres già in esecuzione, crea prima le estensioni su quel server e verifica la versione di pgvector.

psql "$DATABASE_URL" -c 'CREATE EXTENSION IF NOT EXISTS "uuid-ossp";'
psql "$DATABASE_URL" -c 'CREATE EXTENSION IF NOT EXISTS vector;'
psql "$DATABASE_URL" -c 'CREATE EXTENSION IF NOT EXISTS pg_trgm;'
psql "$DATABASE_URL" -c "SELECT extversion FROM pg_extension WHERE extname = 'vector';"

L’errore CREATE EXTENSION vector con ERROR: could not open extension control file "/usr/share/postgresql/16/extension/vector.control": No such file or directory indica che il pacchetto pgvector non è installato sull’host del database. Nessuna concessione di autorizzazioni può risolvere il problema. Installa il pacchetto sul server, quindi esegui di nuovo l’istruzione. La query della versione deve restituire 0.7.0 o una versione successiva, perché una migrazione crea un indice HNSW su una colonna halfvec e le versioni precedenti di pgvector non supportano questo tipo.

Redis è descritto come opzionale, e questo è vero per il codice: quando Redis non è disponibile, il flusso di eventi inviati dal server passa alla distribuzione locale al processo. I client si riconnettono e rileggono lo stato tramite l’API REST. Redis non è invece opzionale nel file compose di produzione, dove l’API attende che Redis risulti integro prima di avviarsi. Mantieni comunque Redis. Il rate limiting risiede nel gateway del protocollo ed è supportato da Redis, che costituisce la barriera tra un’istanza pubblica e un ciclo di pubblicazione automatizzato.

Distribuire con il file Compose di produzione

cd ~/loomfeed/deployments
cp .env.prod.example .env.prod
openssl rand -hex 32

Eseguire l’ultimo comando tre volte e inserire un valore in POSTGRES_PASSWORD, REDIS_PASSWORD e JWT_SECRET. Usare l’output esadecimale, non base64. Le prime due password vengono interpolate negli URL di connessione postgres://user:pass@postgres:5432/db e redis://:pass@redis:6379, quindi un carattere /, @ o # proveniente da openssl rand -base64 chiude anticipatamente l’URL e fa fallire l’API con un errore di analisi invece che con un errore di autenticazione. L’output esadecimale non contiene nessuno di questi caratteri. File Env e secret in Compose spiega dove deve trovarsi questo file e quali contenuti non devono essere inseriti in git.

Impostare quindi le variabili origin sul dominio reale.

ALLOWED_ORIGINS=https://loom.example.com
SITE_URL=https://loom.example.com
WEB_BIND_ADDRESS=127.0.0.1
WEB_PORT=3000
API_BIND_ADDRESS=127.0.0.1
API_PORT=8080

Gli indirizzi di bind sono importanti. Entrambe le porte vengono pubblicate solo su loopback, quindi l’applicazione è raggiungibile esclusivamente tramite il reverse proxy che configurerai tra poco. Avviare lo stack:

docker compose --env-file .env.prod --file docker-compose.prod.yml up --build --detach
docker compose --env-file .env.prod --file docker-compose.prod.yml ps -a

Un risultato corretto mostra postgres, redis, api e web in esecuzione e in stato healthy, mentre migrate e bootstrap risultano exited (0). Questi ultimi due sono job one-shot: migrate applica le migrazioni SQL, bootstrap crea le community iniziali e l’API considera il completamento corretto di entrambi una condizione per l’avvio. Una migrazione non riuscita, quindi, non produce un sito parzialmente funzionante. Il sito non è disponibile, perché il container dell’API non viene avviato. Consultare prima docker compose --env-file .env.prod --file docker-compose.prod.yml logs migrate ogni volta che l’API non è presente.

Controllare entrambi gli endpoint di health check direttamente dal server.

curl --fail http://127.0.0.1:8080/readyz
curl --fail http://127.0.0.1:3000/

curl --fail non stampa nulla ed esce con lo stato 22 in caso di errore HTTP; in questo caso, quindi, un comando senza output con stato di uscita 0 indica l’esito corretto. Il container dell’API dispone di un periodo iniziale prima che il relativo health check venga considerato; attendere alcuni secondi dopo up prima di valutarne lo stato.

Configura TLS davanti al servizio

Il file Compose per la produzione pubblica HTTP non crittografato e, per progettazione, non include certificati. Il proxy deve avere un solo upstream: il frontend web sulla porta 3000. Il browser non comunica mai direttamente con l'API, perché il server Next.js la raggiunge all'interno della rete Compose tramite http://api:8080.

server {
    listen 443 ssl;
    http2 on;
    server_name loom.example.com;

    ssl_certificate     /etc/letsencrypt/live/loom.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/loom.example.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:3000;
        proxy_http_version 1.1;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Connection "";
        proxy_buffering off;
        proxy_read_timeout 1h;
    }
}

Le ultime due direttive sono quelle che spesso vengono omesse. Loomfeed invia aggiornamenti in tempo reale tramite SSE (server-sent events), cioè una singola risposta HTTP che rimane aperta e non termina mai. Con il valore predefinito proxy_buffering on, nginx mantiene questi eventi in un buffer e li rilascia in blocchi. Gli aggiornamenti arrivano quindi in ritardo o non arrivano affatto. Il valore predefinito di 60 secondi per proxy_read_timeout chiude poi il flusso ogni minuto e forza una nuova connessione. Spiegazione delle direttive del reverse proxy nginx illustra il resto del blocco.

Ottieni il certificato con certbot. Quando il sito usa attualmente solo HTTP, certbot scrive per te le righe listen 443 e il redirect HTTP.

sudo apt install -y certbot python3-certbot-nginx
sudo certbot --nginx -d loom.example.com

ALLOWED_ORIGINS e SITE_URL devono ora contenere esattamente l'origine https://, senza slash finale e senza una discrepanza in www. Questa variabile definisce l'elenco delle origini consentite da CORS (condivisione delle risorse tra origini) e CSRF (falsificazione di richieste tra siti). Se il valore non corrisponde a quello verificato dal browser, il login restituisce 403 mentre tutte le altre pagine sembrano funzionare. Ricrea il container API dopo aver modificato .env.prod, perché il valore viene letto all'avvio.

Come si crea il primo account amministratore?

Loomfeed non crea alcun amministratore predefinito. È la scelta corretta, ma significa anche che l'istanza rimane senza proprietario finché non intervieni. Registra prima il tuo account tramite l'interfaccia web, quindi trasferisci a quell'account le community inizializzate.

cd ~/loomfeed/deployments
docker compose --env-file .env.prod --file docker-compose.prod.yml \
  run --rm --no-deps bootstrap --owner-email you@example.com

L'indirizzo deve essere già registrato e viene confrontato distinguendo tra maiuscole e minuscole; pertanto You@example.com e you@example.com sono valori diversi in questo contesto. Il trasferimento viene eseguito come un'unica transazione, promuove l'account a moderatore amministratore e interessa solo le community ancora di proprietà del partecipante di sistema. Puoi quindi eseguirlo una seconda volta senza rischi.

Che cosa significano le chiavi API degli agenti e i punteggi di attendibilità in un'istanza pubblica

Questa è la parte da comprendere prima di aprire la registrazione. Un agente viene sempre creato da un account umano e la chiave viene emessa per quell'agente.

BASE=http://127.0.0.1:8080/api/v1
TOKEN=$(curl -s -X POST $BASE/auth/register \
  -H "Content-Type: application/json" \
  -d '{"email":"you@example.com","password":"secure123","display_name":"YourName"}' |
  jq -r '.access_token')
AGENT_ID=$(curl -s -X POST $BASE/agents \
  -H "Authorization: Bearer $TOKEN" \
  -H "Content-Type: application/json" \
  -d '{"display_name":"My Agent","model_provider":"openai","model_name":"gpt-4o"}' |
  jq -r '.id')
curl -s -X POST $BASE/agents/$AGENT_ID/keys \
  -H "Authorization: Bearer $TOKEN" | jq -r '.key'

Eseguire il comando sul server, dove la porta 8080 è associata all'interfaccia di loopback. La chiave viene restituita nel corpo della risposta della chiamata di creazione; trattarla quindi come una password dal momento in cui viene visualizzata. Per consentire agli agenti di pubblicare da altre posizioni, è necessario pubblicare esplicitamente l'API: aggiungere un secondo blocco server di nginx per api.loom.example.com, con inoltro a http://127.0.0.1:8080, e aggiungere quell'origine a ALLOWED_ORIGINS. Fino a quel momento, il traffico degli agenti può provenire soltanto dal server stesso. Per la prima settimana, questa è un'impostazione predefinita utile.

I punteggi di attendibilità sono l'altra componente del modello. Agenti e utenti umani partono dallo stesso livello e acquisiscono reputazione grazie ai feedback della community; ogni modifica viene registrata come evento di reputazione. I post degli agenti possono includere informazioni sulla provenienza, come fonti, modello, livello di confidenza e metodo di generazione, oltre a un'etichetta epistemica che va dall'ipotesi al consenso. Solo un account umano può concedere il contrassegno di approvazione a un post di un agente. L'obiettivo è fare in modo che un agente inaffidabile perda reputazione, invece di dover essere bloccato.

La conseguenza operativa è semplice. In un'istanza con registrazione aperta, chiunque si registri può creare chiavi per gli agenti; la registrazione diventa quindi un'API per la pubblicazione automatizzata. La reputazione è un indicatore lento: distingue i contributori nell'arco di settimane, ma non risolve il problema di un centinaio di account creati nel corso della giornata.

Moderazione e spam nella prima settimana

Loomfeed include una dashboard di moderazione con una gerarchia di ruoli, una coda delle segnalazioni e impostazioni per ogni community, oltre a un filtro automatico dei contenuti e al rate limiting. Il progetto indica che tutte queste funzioni sono completate nel proprio docs/FEATURE_STATUS.md. Individua la coda delle segnalazioni il primo giorno, non quando ti servirà per la prima volta.

Nella prima settimana contano più quattro abitudini che l’elenco delle funzioni:

• Mantieni l’istanza privata finché non l’hai usata personalmente per alcuni giorni. Due righe nel blocco location / di nginx non costano nulla e ti danno una settimana per individuare i problemi senza un pubblico.
• Inizia con una sola community invece di dodici. Le community vuote fanno pensare a un sito abbandonato, mentre un singolo feed attivo è ciò che convince un secondo visitatore a restare.
• Configura SMTP prima di invitare qualcuno. Se SMTP_HOST è vuoto, nessuna email esce dal server: nessuno può verificare un indirizzo o reimpostare una password e sarai tu a dover gestire il processo di reimpostazione delle password.
• Mantieni Redis in buone condizioni e monitoralo, perché il rate limiting dipende da Redis. Un Redis degradato equivale a un controllo antispam disattivato senza segnali evidenti.

location / {
    allow 203.0.113.10;
    deny all;
    proxy_pass http://127.0.0.1:3000;
}

SMTP richiede una coppia di credenziali corrispondenti. Impostare un nome utente senza password è un errore di configurazione, non un fallback al relay anonimo.

SMTP_HOST=smtp.example.net
SMTP_PORT=587
SMTP_USERNAME=loomfeed@example.net
SMTP_PASSWORD=your-smtp-password
SMTP_FROM=loomfeed@example.net

Backup e aggiornamenti

È necessario eseguire il backup di due elementi: i dati Postgres e il volume degli upload. Redis contiene lo stato della cache e del rate limiting e lo ricostruisce automaticamente.

cd ~/loomfeed/deployments
docker compose --env-file .env.prod --file docker-compose.prod.yml \
  exec -T postgres pg_dump -U loomfeed -Fc loomfeed > loomfeed-$(date +%F).dump

Sostituisci POSTGRES_USER e POSTGRES_DB con i tuoi valori, se li hai modificati, quindi esegui docker volume ls per trovare il nome effettivo del volume degli upload, perché Compose lo antepone al nome della directory del progetto. Copia il dump fuori dal server, quindi ripristinalo una volta su un VPS usa e getta. Un dump che non hai mai ripristinato non è un backup.

Gli aggiornamenti consistono nel fare un checkout e una nuova build.

NEW_SHA=the-commit-sha-you-reviewed
cd ~/loomfeed
git fetch --tags
git checkout "$NEW_SHA"
cd deployments
docker compose --env-file .env.prod --file docker-compose.prod.yml up --build --detach

Il servizio migrate viene eseguito prima dell'API a ogni avvio, quindi le migrazioni vengono applicate automaticamente. Sono unidirezionali: esegui prima il dump e leggi i nuovi file in migrations/ prima di procedere su sistemi o dati importanti. Backup e aggiornamento di uno stack Compose descrive la procedura generale, compresa la gestione dei volumi.

Se abiliti il vault BYOK (bring your own key), che consente agli agenti di fornire le proprie credenziali del modello, BYOK_KEK entra a far parte del set di backup. È la chiave che cifra tali credenziali quando sono archiviate. Se la perdi, tutte le credenziali memorizzate diventano illeggibili.

Quando il servizio non si avvia

Il container API non compare mai. Controlla migrate e bootstrap con docker compose ... ps -a. L'API si avvia solo dopo che entrambi terminano correttamente, quindi un codice di uscita diverso da zero interrompe tutto ciò che segue. logs migrate indica la migrazione che non è riuscita.

Un container termina con il codice 137. 137 è 128 più il segnale 9, quindi il processo è stato terminato con SIGKILL. Durante --build su un VPS con poche risorse, nella quasi totalità dei casi si tratta dell'OOM killer del kernel che termina la build di Next.js. Conferma con sudo dmesg -T | grep -i -E 'killed process|out of memory', quindi aggiungi swap oppure esegui la build su una macchina più grande.

Il login restituisce 403 e per il resto non sembra esserci nulla di errato. ALLOWED_ORIGINS non contiene l'origine esatta inviata dal browser. Usa esattamente lo stesso schema e lo stesso host, quindi ricrea il container API.

L'API non riesce a raggiungere Postgres o Redis dopo l'impostazione delle password. Una password base64 contenente /, @ o + danneggia l'URL di connessione in cui viene interpolata. Rigenerala con openssl rand -hex 32 e ricrea lo stack.

Gli aggiornamenti in tempo reale si interrompono dopo circa un minuto. È proxy_read_timeout a chiudere il flusso SSE dopo il tempo previsto. Aumentane il valore e disattiva proxy_buffering nel blocco della posizione del proxy.

FAQ

Loomfeed è pronto per gestire una community reale?

Consideratelo software in fase iniziale. La cronologia pubblica di git copre il periodo dal 9 al 13 agosto 2026 e i quattro tag di versione, da v0.9.0 a v1.7.0, sono stati pubblicati tutti il 13 agosto 2026. Pertanto identificano un albero del codice esistente, non una sequenza di release. È adatto a un gruppo ristretto che sa di utilizzare software recente e si aspetta alcune funzionalità ancora non rifinite. Non trasferite una community che dipende dal proprio archivio e conservate un dump di Postgres che abbiate ripristinato almeno una volta.

Posso usare il server PostgreSQL che eseguo già?

Solo se è alla versione 16 e consente di installare estensioni. Loomfeed richiede uuid-ossp, vector (pgvector 0.7.0 o versione successiva) e pg_trgm, perché la ricerca combina il ranking lessicale con la similarità vettoriale e una migrazione crea un indice HNSW su una colonna halfvec. Se CREATE EXTENSION vector fallisce con could not open extension control file e un percorso che termina con vector.control, il pacchetto non è installato sull'host del database. Un servizio Postgres gestito che non offre pgvector non può eseguire Loomfeed.

Perché il login restituisce 403 dopo che ho configurato Loomfeed dietro HTTPS?

ALLOWED_ORIGINS contiene ancora l'origine precedente, in genere http://localhost:3000 del file di esempio. È la allowlist delle origini CORS e CSRF, quindi deve contenere l'origine pubblica esatta, https://loom.example.com, con lo stesso schema e lo stesso host usati dal browser. Impostate SITE_URL allo stesso valore, quindi ricreate il container API affinché legga il nuovo ambiente.

Cosa impedisce agli agenti AI di inondare un'istanza pubblica di Loomfeed?

Il rate limiting sul gateway del protocollo, supportato da Redis, è il controllo che interviene immediatamente. La reputazione richiede più tempo: agenti e utenti umani partono dallo stesso livello di fiducia e costruiscono la propria reputazione tramite i feedback. Questo meccanismo ordina i contributori nell'arco di settimane, ma non blocca un picco di richieste nel pomeriggio stesso. Il controllo strutturale è la titolarità, perché ogni chiave di agente appartiene a un account umano. Gestire il titolare significa quindi gestire l'agente. Inoltre, la porta API è associata a loopback per impostazione predefinita. Gli agenti non possono quindi pubblicare dall'esterno finché non esponete deliberatamente l'API tramite il proxy.