25 apps para self-hosting em 2026: guia prático

O que você vai configurar

Não é uma aplicação, mas uma lista curta. Este é o ponto central de tudo o que existe no resto deste site: vinte e cinco aplicações que realmente vale a pena executar no seu próprio VPS em 2026, agrupadas pela função que desempenham. Para cada uma, você verá o serviço que ela substitui, uma estimativa realista de RAM e disco e o único problema que surgirá se você ignorar esse requisito. Os links apontam para o guia completo, passo a passo, quando ele existe.

Administro um host VPS há quinze anos e executo a maioria dessas aplicações nos meus próprios servidores. Por isso, os números de recursos abaixo correspondem ao consumo real da aplicação sob uma carga de trabalho pequena, e não ao valor "mínimo" apresentado em uma página de marketing. Use esses valores como base de dimensionamento e acrescente margem.

Pré-requisitos e a realidade

Todas as aplicações deste guia são executadas numa VPS KVM Ubuntu 24.04 nova, com root ou sudo. A mesma lista funciona igualmente bem num servidor no seu próprio armário. Se estiver a comparar o aluguer mensal com a compra única da RAM, Proxmox em casa versus uma VPS alugada analisa os custos de hardware e energia. Quase todas são distribuídas como contentores Docker. Por isso, instale o Docker uma vez e estará preparado para quase toda a lista. As duas exceções são Cloudron e CasaOS, que são instalados no host através dos próprios scripts de configuração. Consulte a secção sobre painéis de controlo:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"
newgrp docker
docker run --rm hello-world

Se os comandos docker falharem com permission denied while trying to connect to the Docker daemon socket, não executou o passo de adicionar o grupo ou não abriu uma nova shell. Termine a sessão e volte a entrar. Se docker compose devolver docker: 'compose' is not a docker command, tem o binário autónomo antigo. O script acima instala o plugin moderno do Compose, que deve ser chamado como docker compose, com um espaço e não com um hífen.

Três realidades determinam a estrutura de tudo o que se segue. Primeiro, a RAM é o fator limitante, não o disco nem a CPU. Uma VPS com 1 GB executa uma aplicação pequena e nada mais. 4 GB é o ponto ideal para um servidor onde pretende alojar algumas aplicações. 2 GB é o meio-termo problemático em que um principiante adiciona um terceiro serviço, sofre uma terminação silenciosa por falta de memória e nunca percebe por que razão o contentor desapareceu. sudo dmesg mostra a linha Out of memory: Killed process que o daemon absorveu. Segundo, qualquer serviço público precisa de um nome e de um certificado. Um IP sem nome serve para testes, mas falha assim que quiser que uma aplicação móvel ou um browser confie no serviço. Terceiro, duas portas determinam metade das opções: a porta de entrada 80 tem de chegar ao servidor para o desafio de certificado HTTP-01 padrão. Um desafio DNS-01 ignora essa exigência ao provar o controlo através de um registo DNS, o que é útil quando a porta 80 está fechada. A porta de saída 25 está bloqueada pela maioria dos fornecedores. É por isso que o email aparece na lista de serviços a evitar no final.

Ficheiros e fotografias

• Nextcloud substitui o Google Drive, o Dropbox e o Google Calendar numa única suite. Reserve 1–2 GB de RAM, além do espaço ocupado pelos seus ficheiros. O ponto crítico é que o SQLite é adequado para uma demonstração, mas é uma armadilha em produção. Instale o Nextcloud com PostgreSQL desde o primeiro arranque, porque migrar a base de dados depois de os dados já estarem lá é a forma mais comum de danificar uma instalação do Nextcloud. O guia completo Nextcloud num VPS com Docker, TLS e cópias de segurança configura tudo corretamente desde a primeira vez.
• Immich substitui o Google Photos, incluindo a aplicação para telemóvel que envia automaticamente as fotografias da câmara e permite pesquisar rostos e objetos. Reserve 6 GB de RAM. A documentação do Immich indica esse valor como o mínimo; 8 GB proporcionam uma margem confortável. O contentor de machine learning é a parte que consome mais recursos. Reserve também espaço em disco equivalente ao tamanho da sua biblioteca, mais aproximadamente vinte por cento para as miniaturas. O ponto crítico é que o Immich segue o versionamento semântico desde o seu primeiro lançamento estável, v2.0.0, em outubro de 2025. As alterações incompatíveis ficam assim reservadas para versões principais. O projeto já avançou para a v3, por isso nunca faça pull cegamente de latest, porque isso irá levá-lo diretamente para a próxima versão principal. Fixe uma versão e leia as notas de lançamento antes de cada atualização. O guia biblioteca de fotografias Immich autoalojada explica o procedimento seguro de atualização. Se esse mínimo de 6 GB for superior à memória disponível no seu servidor, PhotoPrism e Immich lado a lado compara os dois em termos de utilização real de memória, aplicações para telemóvel e comandos de cópia de segurança necessários antes de escolher um deles para a sua biblioteca.
• Seafile substitui o Dropbox com o motor de sincronização mais rápido dos três. Reserve cerca de 1 GB de RAM. O ponto crítico é que o Seafile armazena os ficheiros como blocos endereçados pelo conteúdo, e não como ficheiros simples no disco. Por isso, não pode navegar pelos dados com ls e deve fazer as cópias de segurança através das próprias ferramentas do Seafile, e não copiando uma pasta.

Palavras-passe

• Vaultwarden substitui o plano pago do Bitwarden, o LastPass e o 1Password por um pequeno servidor Rust que usa o protocolo Bitwarden. Assim, todas as aplicações oficiais do Bitwarden e extensões de navegador funcionam sem alterações. Reserve 100–200 MB de RAM e quase nenhum espaço em disco. O ponto crítico é que este servidor armazena todas as palavras-passe que possui. Por isso, o TLS e as cópias de segurança são obrigatórios. São a finalidade principal deste serviço. Defina o ADMIN_TOKEN como um hash Argon2. Um token em texto simples no seu ficheiro Compose dá acesso ao painel de administração do servidor. Esse painel lista todos os utilizadores e altera as definições do servidor. O token fica visível para qualquer pessoa que consiga ler o ficheiro. O guia do gestor de palavras-passe Vaultwarden é a melhor opção possível para começar a alojar este serviço.

Multimédia

• Jellyfin substitui o Plex e, para a sua própria biblioteca, o Netflix. É totalmente aberto, não exige conta e não inclui streaming remoto pago. Reserve 1–2 GB de RAM em idle, mas espere picos elevados de CPU durante a transcodificação. O problema é que a transcodificação por software de um stream 4K pode sobrecarregar um VPS pequeno. Use aceleração de hardware ou mantenha os ficheiros num formato que os clientes consigam reproduzir diretamente (Direct Play), para que o servidor apenas encaminhe os dados. O guia servidor multimédia Jellyfin num VPS explica as diferenças. Depois de estar a funcionar, o Halcyon transforma essa mesma biblioteca numa loja de aluguer dos anos 90 que pode percorrer no browser. É o truque mais disparatado e eficaz que conheço para levar uma família a percorrer as prateleiras em vez de passar por tudo com scroll.
• Navidrome substitui o Spotify para a sua própria música e transmite para qualquer aplicação compatível com Subsonic. Reserve 150–300 MB de RAM. É escrito em Go e quase não consome recursos. O problema é que a primeira análise da biblioteca lê as tags de todos os ficheiros e pode demorar uma hora numa coleção grande. Tags ID3 incorretas resultam numa experiência de navegação igualmente incorreta.
• Audiobookshelf substitui o Audible e a sua aplicação de podcasts, mantendo a posição de reprodução entre dispositivos. Reserve 200–500 MB de RAM. O problema é que espera uma estrutura rigorosa, com uma pasta por livro. Uma pasta de importação desorganizada produz uma biblioteca desorganizada e detetada apenas em parte, difícil de corrigir posteriormente.

Automação e IA

• n8n substitui o Zapier e o Make por um construtor visual de fluxos de trabalho que fica sob o seu controlo, sem cobrança por tarefa. Reserve 400 MB–1 GB de RAM. O problema é que o n8n cifra as credenciais armazenadas com uma chave que gera na primeira execução. Se perder essa chave ou se se esquecer de definir N8N_ENCRYPTION_KEY e deixar que ela seja gerada novamente, todas as credenciais guardadas ficam ilegíveis e terá de introduzi-las outra vez. O guia n8n autoalojado com HTTPS fixa a chave e coloca um certificado válido à frente dos URLs dos webhooks.
• Ollama substitui uma subscrição do ChatGPT para inferência local e privada com LLM. O consumo depende do modelo: um modelo de 7–8B precisa de cerca de 8 GB de RAM. O tamanho em disco depende da quantização: aproximadamente 4 a 5 GB para o download habitual de 4 bits e 13 GB ou mais para uma compilação fp16 de precisão total. O problema é que, numa VPS apenas com CPU, a inferência funciona, mas é lenta. Conte com palavras por segundo, não com as respostas instantâneas de uma API alojada. Ajuste as expectativas ou alugue uma máquina com GPU. O guia execute o Ollama para autoalojar um LLM apresenta valores realistas.

Comunicação

• Rocket.Chat substitui o Slack numa equipa, com threads, chamadas e integrações. Reserve 2 GB de RAM ou mais, porque funciona com MongoDB, que é o componente mais pesado. O ponto crítico é que cada versão principal do Rocket.Chat suporta apenas uma faixa limitada de versões do MongoDB (a versão 8.x requer MongoDB 8.0 ou mais recente; a versão 7.x funcionava com 6.0 ou 7.0), e as próprias orientações de atualização do Rocket.Chat indicam que as versões principais devem ser atualizadas pela ordem. Ignorar uma versão pode deixar a base de dados sem suporte. Atualize uma versão de cada vez. O guia Rocket.Chat com Docker Compose explica essa sequência de versões.
• Matrix (Synapse) substitui o Slack e o Discord por uma rede federada e com encriptação de ponta a ponta, na qual você controla o seu homeserver. Reserve 1–2 GB de RAM, com crescimento à medida que entra em salas públicas grandes. O ponto crítico é que o consumo de memória do Synapse aumenta muito em salas federadas grandes, e o serviço deve usar PostgreSQL. O SQLite predefinido serve apenas para um teste com um único utilizador e falha assim que a federação é ativada. Se o Synapse parecer pesado, os servidores Conduit ou Dendrite, mais leves, usam o mesmo protocolo.

Rede e acesso

• WireGuard substitui uma VPN comercial e fornece um túnel privado para o seu próprio IP e para os seus outros serviços. O consumo de recursos é quase nulo: menos de 50 MB, e a criptografia é executada no kernel. O problema é que, em virtualização baseada em contentores (OpenVZ, alguns LXC), o módulo falha com RTNETLINK answers: Operation not supported; prefira KVM. O guia VPN WireGuard auto-hospedada é a referência. Associá-la a serviços limitados ao túnel é a forma de manter esses serviços totalmente fora da Internet pública. Se preferir não editar manualmente a configuração de um peer para cada dispositivo novo, executar um router de sub-rede Tailscale na VPS anuncia todo esse intervalo privado ao resto das suas máquinas, depois de aprovar a rota e configurar o encaminhamento de IP para persistir após um reboot.

• Traefik substitui virtual hosts nginx escritos manualmente e a renovação manual de certificados. Ele deteta os seus contentores através das respetivas labels do Docker e obtém automaticamente certificados Let's Encrypt. Reserve cerca de 100 MB de RAM. O problema é que o modelo de configuração baseado em labels pode ser realmente confuso no início, e uma única label incorreta deixa uma aplicação sem encaminhamento, sem um erro evidente. O guia reverse proxy Traefik para várias aplicações Docker foi criado especificamente para executar várias aplicações desta página atrás de um único ponto de entrada.

• AdGuard Home substitui um equipamento Pi-hole e os serviços pagos de filtragem DNS. Bloqueia anúncios e trackers para todos os dispositivos da sua rede na camada DNS. Reserve 100–150 MB de RAM. O problema é que ele precisa de controlar a porta 53, que entra em conflito com systemd-resolved no Ubuntu. O serviço falha ao iniciar com listen udp 0.0.0.0:53: bind: address already in use até libertar primeiro a porta.

Monitoramento

• Uptime Kuma substitui Pingdom, UptimeRobot e StatusPage com um painel simples e alertas para quase qualquer canal. Reserve 150–300 MB de RAM. O ponto crítico, que muitas pessoas ignoram: monitorize o servidor de produção a partir de um servidor diferente. O Uptime Kuma executado no mesmo servidor que monitoriza não consegue avisar quando esse servidor fica indisponível. O guia monitoramento de estado do Uptime Kuma explica como fazer a instalação externa.
• Zabbix substitui Datadog e as suites empresariais de monitoramento, com métricas detalhadas baseadas em agentes, triggers e histórico. Reserve 2 GB de RAM ou mais, além da sua própria base de dados. O ponto crítico: o Zabbix é potente e realmente complexo de configurar. É excessivo para monitorar três containers, mas é a ferramenta adequada para uma frota. Comece com o Uptime Kuma. Passe para o servidor de monitoramento Zabbix quando tiver efetivamente uma infraestrutura para monitorar.

Prometheus e Grafana não aparecem nesta lista de propósito: são excelentes ferramentas para monitorar frotas, mas são mais pesadas de executar e ajustar do que uma stack pessoal com dois ou três servidores justifica. Nesta escala, Uptime Kuma e Zabbix respondem às mesmas perguntas com menos componentes para manter.

Painéis e dashboards de controlo

Estas ferramentas alteram completamente o modelo. Em vez de executar ficheiros compose manualmente, um painel gere as aplicações por si.

• Cloudron substitui o desejo de que uma aplicação pudesse ser instalada com um clique por uma loja de aplicações bem integrada, TLS automático e cópias de segurança incorporadas. Considere 2 GB de RAM no mínimo e 4 GB para uma utilização confortável. O problema é que segue uma abordagem rígida e pretende controlar todo o servidor. É instalado num servidor Ubuntu novo através do seu próprio script cloudron-setup, e não como contentor. A documentação não suporta hosts ARM, LXC, Docker ou OpenVZ. Também é gratuito apenas até duas aplicações. A partir daí, é um produto pago.
• CasaOS substitui um dashboard de homelab desorganizado por uma grelha de aplicações simples e gratuita, com baixo consumo de recursos. É instalado no host através do seu próprio script (curl -fsSL https://get.casaos.io | sudo bash), e não como contentor. Depois, executa as aplicações no Docker. Considere aproximadamente 150 a 300 MB para o próprio CasaOS. O problema é que foi concebido para uma rede doméstica de confiança e não está protegido para a Internet pública. Não o exponha diretamente. Aceda-lhe através do WireGuard.
• Coolify substitui o Heroku, o Vercel e o Netlify por deployments através de git-push, bases de dados e ambientes de pré-visualização no seu próprio servidor. Considere 2 GB de RAM no mínimo. O problema é que é um projeto mais recente e evolui rapidamente. Fixe as versões e leia as notas de lançamento antes de atualizar. A comparação entre Cloudron, CasaOS e Coolify explica qual das três opções é mais adequada para cada perfil.

Ferramentas de desenvolvimento e produtividade

• Gitea (ou Forgejo) substitui o GitHub para repositórios privados, issues e CI. Reserve 200–500 MB de RAM. O ponto importante é que o Forgejo é o fork do Gitea gerido pela comunidade e a opção que muitas pessoas recomendam atualmente; ambos são excelentes, mas escolha um e faça backup dos repositórios e da base de dados em conjunto. Um backup do repositório sem a base de dados perde todas as issues e pull requests.
• Paperless-ngx substitui um arquivo físico e os scanners de documentos pagos. Faz OCR de tudo para que os documentos possam ser pesquisados. Reserve cerca de 1 GB de RAM, com picos de CPU durante o OCR. O ponto importante é que a qualidade dos resultados do OCR depende da qualidade dos scans. Processar novamente um arquivo grande é demorado. Ajuste a configuração antes de importar em massa dez anos de documentos.
• Actual Budget substitui o YNAB e o Mint, que foi descontinuado, com gestão de orçamento por envelopes rápida, local e privada. Reserve cerca de 150 MB de RAM. A sincronização automática com bancos está integrada, mas é opcional. Só funciona depois de criar uma conta num fornecedor regional, como SimpleFIN Bridge ou Enable Banking, e adicionar as suas próprias credenciais de API. Por isso, numa instalação padrão, as transações são importadas manualmente.
• FreshRSS substitui o Feedly e o Google Reader, que foi descontinuado. É um leitor de feeds rápido e privado, com aplicações móveis. Reserve cerca de 150 MB de RAM. Configure a atualização dos feeds com base em cron. Caso contrário, os feeds só são atualizados quando abrir a página.
• BookStack substitui o Notion e o Confluence para documentação, organizada em estantes, livros e páginas. Reserve cerca de 500 MB de RAM com PHP e MySQL. O ponto importante é que estrutura o conteúdo à sua maneira, em vez de usar notas de formato livre. Algumas pessoas preferem este modelo, enquanto outras consideram-no rígido. Teste-o antes de migrar todo o seu wiki.
• Home Assistant substitui o SmartThings e várias aplicações de fabricantes, centralizando a sua casa inteligente localmente. Reserve cerca de 1 GB de RAM. Grande parte da sua funcionalidade depende do acesso à rede local para comunicar com os dispositivos. Por isso, é mais adequado executá-lo num equipamento em casa do que num VPS remoto. Se necessário, execute o dashboard remotamente e faça a ligação à rede local.

Uma instalação representativa

Para tornar isto concreto, veja a estrutura completa de um serviço alojado no próprio servidor: um ficheiro Compose, um certificado real e uma cópia de segurança. Este exemplo usa Uptime Kuma, mas todas as aplicações da lista seguem o mesmo padrão.

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    container_name: uptime-kuma
    volumes:
      - ./data:/app/data
    ports:
      - "127.0.0.1:3001:3001"
    restart: unless-stopped

docker compose up -d
docker compose logs -f

Tenha em atenção 127.0.0.1:: a aplicação escuta apenas em localhost, e um reverse proxy como Traefik ou nginx termina o TLS à sua frente. Associar diretamente a 0.0.0.0:3001 é uma forma de publicar acidentalmente um painel de administração sem encriptação em toda a Internet.

O que NÃO deve alojar por conta própria (ainda)

• Email. Este é o caso mais evidente. A porta de saída 25 está bloqueada pela maioria dos fornecedores de VPS. Verá Connection timed out de telnet aspmx.l.google.com 25 e não há nada para corrigir do seu lado: é uma política do fornecedor. Alguns fornecedores removem o bloqueio se pedir (a AWS, por exemplo, permite solicitar a remoção da restrição), mas isso exige um pedido, não é uma opção que possa simplesmente ativar. Mesmo com a porta 25 aberta, um IP novo sem reputação, registo PTR, SPF, DKIM e DMARC fará com que as suas mensagens sejam classificadas como spam ou rejeitadas diretamente. É uma tarefa contínua e exigente, não um trabalho para um fim de semana. Se ainda assim quiser avançar, consulte o guia email alojado por conta própria com Mailcow com expectativas realistas e prepare-se para acompanhar a entregabilidade durante meses.
• Qualquer coisa que não consiga salvaguardar e restaurar de forma fiável. Se nunca fez um teste de restauro, não tem uma cópia de segurança; tem uma expectativa. Não coloque dados insubstituíveis, a única cópia das suas fotografias ou as suas contas num serviço antes de confirmar que o restauro funciona.
• A única cópia de uma dependência crítica. Um servidor DNS alojado por conta própria que, ao falhar, deixa toda a sua rede sem Internet é um mau primeiro projeto. Mantenha uma alternativa a montante.
• Sistemas de segurança em tempo real. Alarmes domésticos, alertas médicos e qualquer sistema em que cinco minutos de indisponibilidade representem um problema real não devem depender de uma máquina de hobby que atualiza nas noites de domingo.

Como escolher a primeira aplicação e os dois requisitos obrigatórios

Escolha a aplicação que elimina uma despesa que considera injustificada ou uma preocupação de privacidade que realmente o afeta. Na prática, as melhores primeiras instalações são Vaultwarden e Uptime Kuma: ambas são pequenas, imediatamente úteis e tolerantes a erros. Faça uma funcionar de ponta a ponta — instalação, certificado, backup e teste de restauração — antes de adicionar uma segunda. A competência que está a desenvolver é a de operação, não a de clicar em instalar.

Há dois requisitos obrigatórios em todas as aplicações acima, sem exceções:

1. TLS em tudo o que for público. Um serviço exposto por IP, sem encriptação, é uma demonstração, não uma implementação. Coloque um certificado válido à frente dele com Certbot e Let's Encrypt no nginx ou deixe o Traefik tratar disso automaticamente. Depois, reforce a entrada com Fail2ban para SSH no Ubuntu 24.04.
2. Backups que tenha efetivamente restaurado. Automatize um dump noturno, incluindo a base de dados e o volume de dados, envie-o para fora do servidor e, uma vez por mês, restaure-o num VPS descartável para confirmar que funciona. O dia em que o disco falhar é o pior dia para descobrir que o backup estava vazio.

Faça estes dois pontos corretamente e o self-hosting torna-se uma atividade simples. Ignore-os e estará a contar o tempo até ao problema.

As opções vão do prático ao absurdo: desde um servidor Minecraft num VPS para a família até, se gostar de uma história que serve de alerta, o datacenter menos eficiente do mundo.

FAQ

O que devo alojar primeiro?

Vaultwarden. Um gestor de palavras-passe é útil diariamente, substitui uma subscrição e obriga-o a aprender todo o fluxo de trabalho, incluindo Docker, um reverse proxy, TLS e cópias de segurança. É uma aplicação suficientemente pequena para ser recriada em dez minutos se algo correr mal. Uptime Kuma é uma excelente segunda opção, porque permite detetar indisponibilidades antes dos seus utilizadores.

De quanta capacidade VPS preciso realmente?

Para uma aplicação pequena, 1 GB de RAM é suficiente. Para um servidor confortável, onde possa executar várias aplicações, conte com 4 GB. Os 2 GB são o ponto intermédio em que começam a ocorrer terminações silenciosas de contentores por falta de memória, sem uma causa evidente. A RAM é quase sempre o limite. Aumente o disco de acordo com os dados que planeia armazenar. Espere que Immich, Ollama e qualquer aplicação com uma base de dados grande precisem de mais RAM e espaço em disco.

O que não devo alojar?

O email é a principal exceção. A porta de saída 25 é bloqueada pela maioria dos fornecedores, e garantir a entrega das mensagens exige trabalho constante. Depois disso, evite qualquer serviço que não consiga salvaguardar e restaurar de forma fiável, bem como qualquer ponto único de falha cuja indisponibilidade cause danos reais, como um servidor DNS sem fallback ou um sistema doméstico de segurança. Tudo o resto desta lista é adequado para alojamento próprio.

Preciso de Docker para tudo isto?

Não, mas é recomendável. Todas as aplicações desta lista, exceto Cloudron e CasaOS, têm uma imagem Docker. Estas duas aplicações são instaladas diretamente no host com os seus próprios scripts de configuração e depois executam as aplicações em contentores. Nas restantes, Docker fornece instalações e remoções limpas, permite fixar facilmente versões e facilita a migração para um novo host. Algumas aplicações, como WireGuard e Zabbix, também podem ser instaladas nativamente através de apt, se preferir. Depois de conhecer um ficheiro compose, os restantes seguem o mesmo modelo. Por isso, toda a lista se torna acessível.

Como mantenho tudo seguro?

Quatro hábitos cobrem a maior parte dos casos: coloque TLS à frente de tudo; mantenha o SSH protegido, permitindo apenas autenticação por chave, e use Fail2ban para bloquear tentativas de brute force; exponha publicamente apenas as portas de que realmente precisa e aceda às restantes através da sua VPN WireGuard; e atualize regularmente, consultando as notas de lançamento para que uma atualização nunca seja inesperada. As cópias de segurança são o quinto hábito. São o mecanismo de recuperação quando um erro passa pelos primeiros quatro.