25 app da self-hostare nel 2026: cosa scegliere

Cosa stai costruendo

Non una singola applicazione, ma una selezione. Questa è la base di tutto il resto del sito: venticinque applicazioni che vale davvero la pena eseguire sul proprio VPS nel 2026, raggruppate in base alla funzione. Per ciascuna trovi il servizio che sostituisce, una stima realistica di RAM e spazio su disco e l’unico aspetto che può causare problemi se lo ignori. I collegamenti rimandano alla guida completa passo passo, quando disponibile.

Gestisco host VPS da quindici anni e utilizzo la maggior parte di queste applicazioni sui miei server. Per questo, i valori delle risorse riportati di seguito corrispondono all’utilizzo effettivo dell’applicazione con un carico reale ridotto, non al requisito “minimo” indicato nelle pagine di marketing. Considerali come una base di pianificazione e aggiungi un margine.

Prerequisiti e realtà operative

Tutte le applicazioni descritte qui vengono eseguite su un VPS KVM Ubuntu 24.04 appena installato, con accesso root o sudo. Lo stesso elenco funziona altrettanto bene su un server nel proprio armadio; se stai valutando il costo del canone mensile rispetto all’acquisto una tantum della RAM, Proxmox in casa rispetto a un VPS a noleggio analizza i costi di hardware ed energia. Quasi tutte vengono distribuite come container Docker, quindi installa Docker una volta sola e sarai pronto per l’intero elenco:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"
newgrp docker
docker run --rm hello-world

Se i comandi docker restituiscono permission denied while trying to connect to the Docker daemon socket, hai saltato il passaggio relativo al gruppo oppure non hai aperto una nuova shell. Esegui il logout e accedi di nuovo. Se docker compose restituisce docker: 'compose' is not a docker command, hai il vecchio binario standalone; lo script precedente installa il moderno plugin Compose, che richiami come docker compose (con uno spazio, non con un trattino).

Tre aspetti concreti determinano tutto ciò che segue. Primo: il vincolo è la RAM, non il disco o la CPU. Un VPS da 1 GB esegue una sola applicazione leggera e niente altro. 4 GB sono il punto ideale per un server destinato a ospitare alcune applicazioni self-hosted. 2 GB rappresentano una configurazione intermedia problematica: un principiante aggiunge un terzo servizio, il sistema termina silenziosamente un processo per esaurimento della memoria e non capisce perché il container sia appena scomparso; sudo dmesg mostra la riga Out of memory: Killed process che il daemon ha assorbito. Secondo: tutto ciò che è pubblico richiede un nome e un certificato. Un indirizzo IP puro è sufficiente per i test, ma non appena vuoi che un’app per smartphone o un browser si fidi del servizio, non è più sufficiente. Terzo: due porte determinano metà delle possibilità: le porte 80 e 443 devono raggiungere il server per consentire TLS automatico, mentre la porta 25 in uscita è bloccata dalla maggior parte dei provider. Per questo l’email è inclusa nell’elenco delle attività da evitare alla fine.

File e foto

• Nextcloud sostituisce Google Drive, Dropbox e Google Calendar in un'unica suite. Prevedi 1–2 GB di RAM, oltre allo spazio necessario per i file. Il problema principale è questo: SQLite è adatto a una dimostrazione, ma in produzione crea problemi. Installalo su PostgreSQL fin dal primo avvio, perché migrare il database dopo avervi inserito i dati è il modo più comune per danneggiare un'installazione Nextcloud. La guida completa Nextcloud su un VPS con Docker, TLS e backup configura il sistema correttamente fin dall'inizio.
• Immich sostituisce Google Photos, inclusa l'app per telefono che carica automaticamente le foto del rullino e consente di cercare volti e oggetti. Prevedi 6 GB di RAM: la documentazione di Immich indica questa quantità come requisito minimo, mentre 8 GB offrono un margine adeguato. Il componente che usa più risorse è il container di machine learning. Prevedi inoltre uno spazio su disco pari alle dimensioni della libreria, più circa il venti per cento per le miniature. Il problema principale è questo: Immich continua a introdurre modifiche incompatibili tra una release e l'altra. Non eseguire mai un pull indiscriminato di latest; fissa una versione e leggi le note di rilascio prima di ogni aggiornamento. La guida libreria fotografica Immich self-hosted descrive una procedura di aggiornamento sicura. Se il requisito minimo di 6 GB supera la RAM disponibile sul tuo server, PhotoPrism e Immich a confronto confronta i due prodotti in base all'uso effettivo della memoria, alle app per telefono e ai comandi di backup necessari prima di affidare una libreria all'uno o all'altro.
• Seafile sostituisce Dropbox e offre il motore di sincronizzazione più veloce dei tre. Prevedi circa 1 GB di RAM. Il problema principale è questo: Seafile memorizza i file come blocchi identificati dal contenuto, non come file normali sul disco. Non puoi quindi esplorare i dati con ls e devi eseguire il backup tramite gli strumenti di Seafile, non copiando una directory.

Password

• Vaultwarden sostituisce il piano a pagamento di Bitwarden, LastPass e 1Password con un piccolo server Rust che usa il protocollo Bitwarden. Tutte le app ufficiali Bitwarden e le estensioni per browser funzionano quindi senza modifiche. Sono sufficienti 100–200 MB di RAM e quasi nessuno spazio su disco. Il punto critico è che questo server contiene tutte le password dell’utente. TLS e backup non sono quindi opzionali: sono l’obiettivo principale della configurazione. Imposta ADMIN_TOKEN come hash Argon2, perché un token in chiaro nel file compose equivale a una chiave master memorizzata senza protezione. La guida al password manager Vaultwarden è il miglior punto di partenza possibile per un primo servizio self-hosted.

Media

• Jellyfin sostituisce Plex e, per la propria libreria, anche Netflix: è completamente open source, non richiede un account e non impone servizi di streaming remoto a pagamento. In condizioni di inattività richiede 1–2 GB di RAM, ma durante la transcodifica il carico sulla CPU può aumentare rapidamente. Il problema è che la transcodifica software di un flusso 4K può saturare una piccola VPS; è quindi necessario fornire al server l'accelerazione hardware oppure mantenere i file in un formato riproducibile direttamente dai client (Direct Play), così il server deve soltanto trasferire i dati. La guida server multimediale Jellyfin su una VPS spiega la differenza. Dopo l'avvio, Halcyon trasforma la stessa libreria in un videonoleggio anni '90 esplorabile dal browser: è il metodo più semplice ed efficace che conosca per spingere chi utilizza il server a sfogliare gli scaffali invece di scorrere oltre ogni contenuto.
• Navidrome sostituisce Spotify per la propria musica e consente lo streaming verso qualsiasi applicazione compatibile con Subsonic. Richiede 150–300 MB di RAM; è scritto in Go e il suo consumo di risorse è minimo. Il problema è che la prima scansione della libreria legge i tag di ogni file e può richiedere un'ora per una raccolta di grandi dimensioni. Tag ID3 errati producono un'esperienza di consultazione altrettanto errata.
• Audiobookshelf sostituisce Audible e l'app per i podcast, mantenendo la posizione di riproduzione tra i dispositivi. Richiede 200–500 MB di RAM. Il problema è che si aspetta una struttura rigida, con una directory per ogni libro. Una directory di importazione disordinata produce una libreria disordinata e rilevata solo parzialmente, difficile da correggere in seguito.

Automazione e IA

• n8n sostituisce Zapier e Make con un generatore visuale di workflow che controlli direttamente, senza costi per singola attività. Considera un fabbisogno di 400 MB–1 GB di RAM. Attenzione: n8n cifra le credenziali salvate con una chiave generata al primo avvio. Se perdi la chiave o dimentichi di impostare N8N_ENCRYPTION_KEY e lasci che venga rigenerata, tutte le credenziali salvate diventano illeggibili e devi inserirle nuovamente. La guida n8n self-hosted con HTTPS fissa la chiave e configura un certificato reale davanti agli URL dei webhook.
• Ollama sostituisce un abbonamento a ChatGPT per l'inferenza locale e privata dei modelli LLM. Pianifica le risorse in base al modello: un modello da 7–8B richiede circa 8 GB di RAM e ogni modello occupa 4–8 GB su disco. Attenzione: su un VPS con la sola CPU, l'inferenza funziona ma è lenta. Considera alcune parole al secondo, non le risposte immediate ottenute da un'API ospitata. Imposta quindi aspettative realistiche oppure noleggia una macchina con GPU. La guida eseguire Ollama per ospitare autonomamente un LLM riporta valori realistici.

Comunicazione

• Rocket.Chat sostituisce Slack per un team e offre thread, chiamate e integrazioni. Prevedere almeno 2 GB di RAM, perché utilizza MongoDB, che è il componente con il maggiore consumo di risorse. Attenzione: ogni release di Rocket.Chat richiede una specifica versione principale di MongoDB. Saltare una versione durante un aggiornamento può lasciare il database in uno stato inutilizzabile. Eseguire gli aggiornamenti un passaggio alla volta. La guida Rocket.Chat con Docker Compose illustra la sequenza delle versioni.
• Matrix (Synapse) sostituisce Slack e Discord con una rete federata e crittografata end-to-end, in cui si gestisce il proprio homeserver. Prevedere 1–2 GB di RAM; il consumo aumenta quando si partecipa a stanze pubbliche federate di grandi dimensioni. Attenzione: l'uso di memoria di Synapse aumenta rapidamente nelle stanze federate molto grandi e il servizio deve utilizzare PostgreSQL. La configurazione predefinita con SQLite è adatta solo a un test con un singolo utente e non appena si abilita la federazione diventa instabile. Se Synapse risulta troppo pesante, i server Conduit o Dendrite, più leggeri, supportano lo stesso protocollo.

Rete e accesso

• WireGuard sostituisce una VPN commerciale e fornisce un tunnel privato verso il tuo indirizzo IP e gli altri tuoi servizi. Richiede pochissime risorse: meno di 50 MB, mentre la crittografia viene eseguita nel kernel. Il limite è il seguente: nella virtualizzazione basata su container (OpenVZ, alcuni sistemi LXC) il modulo non funziona con RTNETLINK answers: Operation not supported; è preferibile usare KVM. La guida VPN WireGuard self-hosted è il riferimento. Associarla a servizi vincolati al tunnel permette di mantenerli completamente fuori da Internet pubblico. Se non vuoi modificare manualmente la configurazione di un peer per ogni nuovo dispositivo, eseguire un router subnet Tailscale sul VPS annuncia invece l'intero intervallo privato alle altre macchine, dopo l'approvazione della route e la configurazione dell'IP forwarding affinché venga mantenuto dopo un riavvio.
• Traefik sostituisce i virtual host nginx scritti manualmente e il rinnovo manuale dei certificati. Rileva i container tramite le relative label Docker e recupera automaticamente i certificati Let's Encrypt. Richiede circa 100 MB di RAM. Il limite è il seguente: all'inizio il modello di configurazione basato sulle label è realmente difficile da comprendere e una sola label errata lascia un'applicazione senza routing, spesso senza un errore evidente. La guida reverse proxy Traefik per più applicazioni Docker è progettata esattamente per eseguire diverse applicazioni di questa pagina dietro un unico punto di ingresso.
• AdGuard Home sostituisce un'istanza Pi-hole e i servizi DNS a pagamento per il filtraggio. Blocca annunci e tracker per ogni dispositivo della rete a livello DNS. Richiede 100–150 MB di RAM. Il limite è il seguente: deve utilizzare la porta 53, che su Ubuntu entra in conflitto con systemd-resolved; l'avvio fallisce con listen udp 0.0.0.0:53: bind: address already in use finché non liberi prima la porta.

Monitoraggio

• Uptime Kuma sostituisce Pingdom, UptimeRobot e StatusPage con una dashboard chiara e avvisi verso quasi qualsiasi canale. Prevedere 150–300 MB di RAM. L’aspetto critico, che viene spesso trascurato, è il seguente: monitorare il server di produzione da un server diverso. Se Uptime Kuma è in esecuzione sullo stesso server che monitora, non può segnalare l’arresto di quel server. La guida monitoraggio dello stato con Uptime Kuma descrive il posizionamento esterno.
• Zabbix sostituisce Datadog e le suite di monitoraggio aziendali, offrendo metriche dettagliate basate su agent, trigger e storico. Prevedere almeno 2 GB di RAM, oltre al database dedicato. L’aspetto critico è che Zabbix è potente e richiede una configurazione realmente complessa: è sovradimensionato per monitorare tre container, ma adatto a un parco di sistemi. Iniziare con Uptime Kuma; passare al server di monitoraggio Zabbix quando si dispone effettivamente di un’infrastruttura da monitorare.

Prometheus e Grafana sono esclusi intenzionalmente da questo elenco: sono strumenti eccellenti per il monitoraggio di infrastrutture estese, ma sono più complessi da eseguire e configurare rispetto a quanto giustifichi uno stack personale composto da due o tre server. A questa scala, Uptime Kuma e Zabbix rispondono alle stesse esigenze con meno attività di manutenzione.

Dashboard e pannelli di controllo

Queste soluzioni cambiano completamente il modello operativo: invece di eseguire manualmente i file Compose, un pannello gestisce le applicazioni al posto tuo.

• Cloudron trasforma il desiderio di un’installazione con un solo clic in un app store curato, con TLS automatico e backup integrati. Prevedi almeno 2 GB di RAM; con 4 GB il funzionamento è più agevole. Il limite è che adotta scelte architetturali rigide e vuole gestire l’intero server. Inoltre è gratuito solo fino a due applicazioni; oltre questo limite è un prodotto a pagamento.
• CasaOS sostituisce un dashboard homelab disordinato con una griglia di applicazioni intuitiva, gratuita e leggera. Prevedi circa 150-300 MB per CasaOS. Il limite è che è progettato per una rete domestica affidabile e non è sufficientemente protetto per Internet pubblico: non esporlo direttamente; raggiungilo tramite WireGuard.
• Coolify sostituisce Heroku, Vercel e Netlify e consente di gestire sul tuo server deployment tramite git push, database e anteprime. Prevedi almeno 2 GB di RAM. Il limite è che si tratta di un progetto più recente, con sviluppo rapido; blocca le versioni e leggi le note di rilascio prima di eseguire un aggiornamento. Il confronto tra Cloudron, CasaOS e Coolify spiega quale delle tre soluzioni è più adatta alle diverse esigenze.

Strumenti per sviluppatori e produttività

• Gitea (o Forgejo) sostituisce GitHub per repository privati, issue e CI. Prevedere 200–500 MB di RAM. L’aspetto critico è che Forgejo è il fork di Gitea gestito dalla comunità ed è quello oggi consigliato da molte persone; entrambi sono ottimi, ma sceglierne uno e fare il backup insieme dei repository e del database: un backup dei repository senza il database perde tutte le issue e le pull request.
• Paperless-ngx sostituisce un archivio cartaceo e gli scanner documentali a pagamento. Esegue l’OCR di tutti i documenti, rendendoli ricercabili. Prevedere circa 1 GB di RAM, con picchi di utilizzo della CPU durante l’OCR. L’aspetto critico è che la qualità dei risultati OCR dipende dalla qualità delle scansioni; rielaborare un archivio di grandi dimensioni è lento, quindi configurarlo prima di importare in blocco dieci anni di documenti cartacei.
• Actual Budget sostituisce YNAB e Mint con una gestione del budget a buste, veloce, locale e privata. Prevedere circa 150 MB di RAM. L’aspetto critico è che la sincronizzazione automatica con le banche è un componente aggiuntivo separato, con una configurazione propria; nella configurazione predefinita, quindi, le transazioni devono essere importate manualmente.
• FreshRSS sostituisce Feedly e il dismesso Google Reader. È un lettore di feed veloce e privato, con applicazioni mobili. Prevedere circa 150 MB di RAM. L’aspetto critico è configurare l’aggiornamento dei feed basato su cron; in caso contrario, i feed vengono aggiornati soltanto quando si apre la pagina.
• BookStack sostituisce Notion e Confluence per la documentazione, organizzata in scaffali, libri e pagine. Prevedere circa 500 MB di RAM con PHP e MySQL. L’aspetto critico è che struttura i contenuti secondo il proprio modello, invece di usare note a formato libero: alcune persone lo apprezzano, mentre altre lo trovano rigido. Provarlo prima di affidargli l’intera wiki.
• Home Assistant sostituisce SmartThings e una dozzina di applicazioni dei produttori, riunendo localmente i dispositivi della smart home. Prevedere circa 1 GB di RAM. L’aspetto critico è che molte funzioni dipendono dall’accesso alla rete locale dei dispositivi; per questo funziona più naturalmente su hardware presente in casa che su un VPS remoto. Se necessario, eseguire il dashboard da remoto e configurare un bridge verso la rete locale.

Un'installazione rappresentativa

Per rendere l'esempio concreto, ecco la struttura completa di un servizio self-hosted: un file Compose, un certificato valido e un backup. In questo caso usiamo Uptime Kuma, ma tutte le applicazioni dell'elenco seguono lo stesso schema.

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    container_name: uptime-kuma
    volumes:
      - ./data:/app/data
    ports:
      - "127.0.0.1:3001:3001"
    restart: unless-stopped

docker compose up -d
docker compose logs -f

Notare 127.0.0.1:: l'applicazione è in ascolto soltanto su localhost e un reverse proxy come Traefik o nginx gestisce la terminazione TLS davanti all'applicazione. Il binding diretto su 0.0.0.0:3001 può pubblicare accidentalmente un pannello di amministrazione non cifrato sull'intera Internet.

Cosa NON ospitare in self-hosting (per ora)

• Email. Questo è il caso in cui è importante essere chiari. La porta in uscita 25 è bloccata dalla maggior parte dei provider VPS; vedrai Connection timed out da telnet aspmx.l.google.com 25 e non c'è nulla da correggere: è una scelta politica del provider. Anche con la porta 25 aperta, un IP nuovo senza reputazione, record PTR, SPF, DKIM e DMARC farà finire le email nello spam o verrà rifiutato direttamente. È un'attività reale e continuativa, non un lavoro da svolgere in un fine settimana. Se hai deciso di farlo, procedi consapevolmente seguendo la guida email in self-hosting con Mailcow e prevedi di monitorare la deliverability per mesi.
• Qualsiasi elemento di cui non puoi eseguire e verificare in modo affidabile il backup e il ripristino. Se non hai mai eseguito un ripristino di prova, non hai un backup: hai solo una speranza. Non archiviare dati insostituibili, l'unica copia delle tue foto o i tuoi account su un servizio finché il ripristino non è stato verificato.
• L'unica copia di una dipendenza critica. Un server DNS in self-hosting che, quando si arresta, interrompe l'accesso a Internet per tutta la rete è un primo progetto inadeguato. Mantieni un fallback upstream.
• Sistemi di sicurezza in tempo reale. Allarmi domestici, sistemi di notifica medica e qualsiasi altro sistema per cui cinque minuti di indisponibilità costituiscano un problema reale non devono essere eseguiti su un server amatoriale che aggiorni la domenica sera.

Come scegliere il primo servizio e i due requisiti irrinunciabili

Scegli l'applicazione che elimina una spesa che ti infastidisce o risolve un problema di privacy che avverti realmente. In pratica, le installazioni iniziali migliori sono Vaultwarden e Uptime Kuma: entrambe sono leggere, utili fin da subito e tollerano bene gli errori di configurazione. Fanne funzionare una dall'inizio alla fine: installazione, certificato, backup e test di ripristino, prima di aggiungerne una seconda. La competenza che stai sviluppando è la gestione operativa, non il semplice clic sul pulsante di installazione.

Su ogni applicazione elencata sopra ci sono due requisiti irrinunciabili, senza eccezioni:

1. TLS per tutto ciò che è pubblico. Un servizio esposto su un IP senza certificato e in chiaro è una demo, non un deployment. Usa un certificato valido davanti al servizio con Certbot e Let's Encrypt su nginx, oppure lascia che Traefik lo gestisca automaticamente. Quindi proteggi il punto di accesso con Fail2ban per SSH su Ubuntu 24.04.
2. Backup che hai effettivamente ripristinato. Automatizza ogni notte il dump del database e del volume dati insieme, invialo fuori dal server e, una volta al mese, ripristinalo su un VPS temporaneo per verificare che funzioni. Il giorno in cui il disco si guasta è il momento peggiore per scoprire che il backup era vuoto.

Se gestisci correttamente questi due aspetti, il self-hosting è semplice e soddisfacente. Se li ignori, inizi un conto alla rovescia.

Le opzioni spaziano dalle soluzioni pratiche a quelle assurde: da un server Minecraft su un VPS per la famiglia fino, se apprezzi le storie istruttive, al datacenter meno efficiente del mondo.

FAQ

Che cosa dovrei self-hostare per primo?

Vaultwarden. Un gestore di password offre un valore quotidiano, sostituisce un abbonamento e ti costringe a imparare l'intero flusso di lavoro: Docker, un reverse proxy, TLS e i backup. Inoltre, è un'app abbastanza piccola da poter essere ricostruita in dieci minuti se qualcosa va storto. Uptime Kuma è un'ottima seconda scelta, perché ti permette di rilevare le interruzioni prima dei tuoi utenti.

Di quante risorse VPS ho realmente bisogno?

Per una sola app di piccole dimensioni, 1 GB di RAM è sufficiente. Per un server che esegue comodamente alcune applicazioni, punta a 4 GB. I 2 GB sono la fascia in cui si verificano spesso terminazioni silenziose dei container per esaurimento della memoria, difficili da diagnosticare. La RAM è quasi sempre il limite. Aggiungi spazio su disco in base ai dati che prevedi di archiviare e considera che Immich, Ollama e qualsiasi applicazione con un database di grandi dimensioni richiederanno la maggior parte di entrambe le risorse.

Che cosa non dovrei self-hostare?

La posta elettronica, prima di tutto. La porta in uscita 25 è bloccata dalla maggior parte dei provider e garantire la consegna dei messaggi richiede un impegno continuo. Dopo la posta, evita tutto ciò che non puoi sottoporre in modo affidabile a backup e ripristino, oltre a qualsiasi punto singolo di errore la cui indisponibilità provochi danni reali, come un server DNS senza fallback o un sistema di sicurezza domestica. Tutto il resto di questo elenco è adatto al self-hosting.

Mi serve Docker per tutto questo?

No, ma è consigliabile usarlo. Ogni app di questo elenco dispone di un'immagine Docker. Docker offre installazioni e rimozioni pulite, semplifica il blocco delle versioni e consente di spostare facilmente i servizi su un nuovo host. Alcune app, tra cui WireGuard e Zabbix, possono essere installate anche in modo nativo tramite apt, se lo preferisci. Una volta imparato a usare un file Compose, gli altri risultano analoghi. Per questo l'intero elenco è accessibile.

Come posso mantenere tutto sicuro?

Quattro abitudini coprono la maggior parte dei casi: usa TLS davanti a ogni servizio, configura SSH con accesso esclusivo tramite chiavi e Fail2ban per bloccare i tentativi di forza bruta, esponi pubblicamente solo le porte realmente necessarie e raggiungi le altre tramite la tua VPN WireGuard, quindi aggiorna regolarmente i sistemi leggendo le note di rilascio, in modo che un aggiornamento non ti colga mai di sorpresa. I backup sono la quinta abitudine: consentono il ripristino quando un errore supera i primi quattro controlli.