25 найкращих self-hosted застосунків у 2026 році

Що ви створюєте

Не один застосунок, а короткий список. Це центральний матеріал для всього іншого на цьому сайті: 25 застосунків, які справді варто запускати на власному VPS у 2026 році, згрупованих за призначенням. Для кожного наведено сервіс, який він замінює, реалістичний обсяг RAM і дискового простору та одну проблему, з якою ви зіткнетеся, якщо проігноруєте важливу вимогу. Посилання ведуть до повних покрокових інструкцій, якщо такі є.

Я 15 років керую VPS-хостингом і запускаю більшість цих застосунків на власних серверах. Тому наведені нижче показники використання ресурсів відповідають тому, скільки застосунок фактично споживає за невеликого реального навантаження, а не маркетинговим «мінімальним» вимогам. Сприймайте їх як базовий бюджет ресурсів і додайте запас.

Передумови та реальний стан речей

Усі описані тут застосунки запускаються на чистому KVM VPS з Ubuntu 24.04 і доступом root або sudo. Є один виняток: в інструкції з інсталяції Cloudron (перевірено 2026-10-25) тепер зазначено, що потрібно починати з чистого сервера Ubuntu 26.04 (x64), тому для нього слід використовувати окремий сервер із цією версією. Цей самий перелік так само добре працює на сервері у вашій домашній шафі. Якщо ви порівнюєте щомісячну оренду з одноразовою купівлею RAM, у матеріалі Proxmox удома чи орендований VPS розглянуто витрати на обладнання та електроенергію. Майже всі ці застосунки постачаються як Docker-контейнери, тому достатньо один раз інсталювати Docker — і ви будете готові майже до всього переліку. Два винятки — Cloudron і CasaOS: вони інсталюються безпосередньо на хост за допомогою власних скриптів налаштування. Див. розділ про панелі керування:

curl -fsSL https://get.docker.com | sudo sh
sudo usermod -aG docker "$USER"
newgrp docker
docker run --rm hello-world

Якщо команди docker завершуються помилкою permission denied while trying to connect to the Docker daemon socket, ви пропустили крок додавання до групи або не відкрили нову оболонку. Вийдіть із системи та увійдіть знову. Якщо docker compose повертає docker: 'compose' is not a docker command, у вас стара окрема binary-версія. Наведений вище скрипт інсталює сучасний Compose plugin, який викликається як docker compose — із пробілом, а не дефісом.

Нижче все визначають три практичні обмеження. По-перше, обмеженням є RAM, а не диск або CPU. VPS із 1 GB запускає один невеликий застосунок і більше нічого. 4 GB — оптимальний обсяг для сервера, на якому потрібно розмістити кілька self-hosted сервісів. 2 GB — незручний проміжний варіант: початківець додає третій сервіс, стикається з непомітним завершенням процесу через Out-Of-Memory і не розуміє, чому контейнер просто зник. sudo dmesg показує рядок Out of memory: Killed process, який daemon поглинув. По-друге, для всього публічного потрібні ім’я та сертифікат. Одна IP-адреса підходить для тестування, але перестає працювати, щойно потрібно, щоб мобільний застосунок або браузер довіряв сервісу. По-третє, два порти визначають половину доступних варіантів: вхідний порт 80 має бути доступним із мережі до сервера для стандартної перевірки сертифіката HTTP-01. Перевірка DNS-01 обходить цю вимогу, підтверджуючи контроль за допомогою DNS-запису, що зручно, коли порт 80 закритий. Вихідний порт 25 заблокований більшістю провайдерів, тому email належить до переліку того, чого наприкінці рекомендується не робити.

Файли та фотографії

• Nextcloud замінює Google Drive, Dropbox і Google Calendar в одному комплексному рішенні. Плануйте 1–2 GB RAM плюс обсяг, який займають ваші файли. Основна проблема: SQLite підходить для демонстрації, але стає ризикованим у production. Встановіть Nextcloud на PostgreSQL із першого запуску, оскільки міграція бази даних після завантаження даних є найпоширенішою причиною пошкодження інсталяції Nextcloud. У повному посібнику Nextcloud на VPS із Docker, TLS і резервними копіями описано правильне початкове налаштування.
• Immich замінює Google Photos, включно з мобільним застосунком, який автоматично завантажує фотографії з камери, а також пошуком за обличчями й об’єктами. Плануйте 6 GB RAM: документація Immich називає це мінімальним обсягом, а 8 GB буде комфортним значенням. Найбільше пам’яті споживає container машинного навчання. Обсяг диска має дорівнювати розміру вашої бібліотеки плюс приблизно 20% для мініатюр. Важливий нюанс: Immich дотримується semantic versioning із першого стабільного релізу v2.0.0 у жовтні 2025 року. Несумісні зміни в ньому з’являються лише у major-версіях. Immich уже перейшов до v3, тому ніколи не виконуйте сліпе завантаження latest: це одразу перенесе вас через наступну major-версію. Зафіксуйте версію та перед кожним оновленням прочитайте release notes. У посібнику self-hosted фотобібліотека Immich описано безпечний порядок оновлення. Якщо ваш сервер має менше ніж 6 GB RAM, у посібнику PhotoPrism та Immich: порівняння в однакових умовах наведено порівняння реального використання пам’яті, мобільних застосунків і команд резервного копіювання, необхідних для кожного рішення, перш ніж ви перенесете бібліотеку в один із цих сервісів.
• Seafile замінює Dropbox і має найшвидший sync engine серед трьох рішень. Плануйте приблизно 1 GB RAM. Важливий нюанс: Seafile зберігає файли як content-addressed blocks, а не як звичайні файли на диску. Тому переглядати ці дані за допомогою ls не можна. Резервне копіювання потрібно виконувати власними інструментами Seafile, а не копіюванням каталогу. Якщо ви обираєте між Seafile і Nextcloud, у посібнику порівняння синхронізації Seafile і Nextcloud зіставлено швидкість синхронізації, використання RAM, резервне копіювання та шифрування. Це допоможе вибрати рішення до того, як файли буде збережено в одному з цих форматів.

Паролі

• Vaultwarden замінює платний тариф Bitwarden, LastPass і 1Password невеликим сервером на Rust, який працює за протоколом Bitwarden. Тому всі офіційні застосунки та розширення Bitwarden працюють без додаткового налаштування. Виділіть 100–200 MB RAM і майже не потрібен дисковий простір. Важливий нюанс: цей сервер зберігає всі ваші паролі. Тому TLS і резервні копії тут не є додатковими опціями — це основа всього рішення. Задайте ADMIN_TOKEN як хеш Argon2, оскільки plaintext-токен у вашому compose-файлі є паролем до admin panel сервера. Вона містить список усіх користувачів і дає змогу змінювати налаштування сервера, а токен у відкритому вигляді доступний кожному, хто може прочитати файл. Посібник менеджера паролів Vaultwarden — найкращий варіант для першого self-hosted сервісу.

Медіа

• Jellyfin замінює Plex, а для власної бібліотеки — Netflix. Це повністю відкрите рішення без облікового запису та платного віддаленого streaming. У режимі простою закладайте 1–2 GB RAM, але під час transcoding навантаження на CPU різко зростає. Проблема в тому, що software transcoding потоку 4K може повністю завантажити невеликий VPS. Надати серверу hardware acceleration або зберігайте файли у форматі, який клієнти можуть відтворювати безпосередньо (Direct Play). Тоді сервер лише передає дані. У посібнику про медіасервер Jellyfin на VPS пояснено, який варіант обрати. Після запуску Halcyon перетворює цю саму бібліотеку на інтерактивний відеопрокат у стилі 90-х у браузері. Це один із найпростіших і найефективніших способів заохотити членів родини переглядати бібліотеку, а не безкінечно прокручувати список.
• Navidrome замінює Spotify для власної музичної бібліотеки та передає музику в будь-який Subsonic-сумісний застосунок. Закладайте 150–300 MB RAM. Navidrome написаний мовою Go й майже не створює навантаження. Проблема в тому, що під час першого сканування бібліотеки система читає теги кожного файлу. У великій колекції це може тривати годину. Некоректні ID3-теги призводять до некоректного відображення бібліотеки. У посібнику із self-hosting music streaming на VPS описано, скільки storage потрібно для бібліотеки, який Subsonic-клієнт встановити для offline listening на телефоні, а також як налаштувати TLS і backup.
• Audiobookshelf замінює Audible і застосунок для podcast, зберігаючи позицію відтворення на різних пристроях. Закладайте 200–500 MB RAM. Проблема в тому, що Audiobookshelf очікує суворої структури з окремою папкою для кожної книги. Неорганізована папка імпорту створює неорганізовану бібліотеку, у якій частину файлів система визначає неправильно або не визначає взагалі. Після цього виправлення займає багато часу. У покроковій інструкції зі встановлення Audiobookshelf на VPS показано, як називати папки, щоб книги правильно визначалися під час першого сканування. Далі описано налаштування HTTPS, синхронізацію прогресу прослуховування з телефоном і backup.

Автоматизація та AI

• n8n замінює Zapier і Make візуальним конструктором workflow, яким ви володієте, без оплати за кожне завдання. Закладіть 400 MB–1 GB RAM. Важливий нюанс: n8n шифрує збережені облікові дані ключем, який генерує під час першого запуску. Якщо втратити цей ключ або не задати N8N_ENCRYPTION_KEY і дозволити n8n згенерувати його повторно, усі збережені облікові дані стануть недоступними для читання, і їх доведеться вводити заново. Посібник self-hosted n8n з HTTPS фіксує цей ключ і налаштовує справжній сертифікат перед URL webhook.
• Ollama замінює підписку ChatGPT для локального приватного запуску LLM. Потреби залежать від моделі: моделі 7–8B потрібно близько 8 GB RAM, а її розмір на диску залежить від квантизації — приблизно 4–5 GB для поширеного 4-bit завантаження та 13 GB або більше для збірки fp16 з повною точністю. Важливий нюанс: на VPS лише з CPU inference працює, але повільно. Орієнтуйтеся на кількість слів за секунду, а не на миттєві відповіді hosted API. Врахуйте це під час планування або орендуйте сервер із GPU. Посібник запуск Ollama для self-hosted LLM містить реалістичні показники.

Комунікація

• Rocket.Chat замінює Slack для команди та підтримує гілки обговорень, дзвінки й інтеграції. Плануйте щонайменше 2 GB RAM, оскільки сервіс працює на MongoDB, яка споживає найбільше ресурсів. Важливий нюанс: кожен основний реліз Rocket.Chat підтримує лише вузький діапазон версій MongoDB (для 8.x потрібна MongoDB 8.0 або новіша, а 7.x працювала з 6.0 або 7.0). Власні рекомендації Rocket.Chat щодо оновлення передбачають послідовний перехід між основними версіями. Пропуск версії може зробити базу даних несумісною, тому оновлюйтеся по одному кроку. У посібнику Rocket.Chat з Docker Compose описано послідовність переходу між версіями.
• Matrix (Synapse) замінює Slack і Discord на федеративну мережу зі наскрізним шифруванням, де ви керуєте власним homeserver. Плануйте 1–2 GB RAM, а в міру приєднання до великих публічних кімнат потреба в пам’яті зростатиме. Важливий нюанс: Synapse споживає значно більше пам’яті у великих федеративних кімнатах і має працювати на PostgreSQL. SQLite за замовчуванням підходить лише для тесту з одним користувачем і перестає працювати одразу після увімкнення федерації. У посібнику із self-hosting Matrix Synapse на VPS описано налаштування, необхідні для стабільної роботи homeserver після запуску: вибір ресурсів, налаштування Postgres, зберігання медіафайлів, щоб завантаження непомітно не заповнили диск, захист реєстрації від ботів і резервне копіювання. Якщо Synapse споживає забагато ресурсів, легші сервери Conduit або Dendrite підтримують той самий протокол.

Мережа та доступ

• WireGuard замінює комерційний VPN і створює приватний тунель до вашої IP-адреси та інших сервісів. Ресурсів потрібно майже не більше нуля: менш як 50 MB, а криптографічні операції виконуються в ядрі. Важливий нюанс: у віртуалізації на основі контейнерів (OpenVZ, деякі LXC) модуль не запускається з RTNETLINK answers: Operation not supported; потрібен KVM. Довідник self-hosted VPN на WireGuard містить основні інструкції. Якщо прив’язати сервіси до тунелю, їх можна повністю приховати від публічного інтернету. Якщо ви не хочете вручну редагувати конфігурацію peer для кожного нового пристрою, запуск Tailscale subnet router на VPS дає змогу оголосити весь цей приватний діапазон для інших ваших машин. Для цього потрібно схвалити маршрут і налаштувати збереження IP forwarding після перезавантаження.
• Traefik замінює написані вручну віртуальні хости nginx і ручне поновлення сертифікатів. Він знаходить ваші контейнери за їхніми Docker labels і автоматично отримує сертифікати Let’s Encrypt. Потрібно приблизно 100 MB RAM. Важливий нюанс: спочатку модель конфігурації на основі labels справді незрозуміла, а одна неправильна label залишає застосунок без маршрутизації без очевидної помилки. Довідник reverse proxy Traefik для кількох Docker-застосунків створено саме для запуску кількох застосунків із цієї сторінки через одну точку входу.
• AdGuard Home замінює окремий Pi-hole і платну DNS-фільтрацію. Він блокує рекламу та трекери для всіх пристроїв у вашій мережі на рівні DNS. Потрібно 100–150 MB RAM. Важливий нюанс: AdGuard Home має використовувати порт 53, через що виникає конфлікт із systemd-resolved в Ubuntu. Він не запускається з listen udp 0.0.0.0:53: bind: address already in use, доки спочатку не звільнити порт. Якщо вам потрібно блокувати рекламу лише на одному телефоні, а не в усій мережі, у порівнянні AdGuard DNS та AdGuard Home пояснюється, коли hosted resolver AdGuard є простішим варіантом і як безпечно запустити власний на VPS, якщо це не так.

Моніторинг

• Uptime Kuma замінює Pingdom, UptimeRobot і StatusPage. Сервіс має зручну інформаційну панель і надсилає сповіщення майже в будь-який канал. Передбачте 150–300 MB RAM. Є важливий нюанс, який часто випускають з уваги: production-сервер потрібно моніторити з іншого сервера. Якщо Uptime Kuma працює на тому самому сервері, який моніторить, він не зможе повідомити про відмову цього сервера. У посібнику моніторинг стану Uptime Kuma описано розміщення на зовнішньому сервері.
• Zabbix замінює Datadog і корпоративні системи моніторингу. Він надає детальні метрики на основі агентів, тригери та історію даних. Передбачте від 2 GB RAM, а також окрему базу даних. Є важливий нюанс: Zabbix потужний, але його налаштування справді складне. Для моніторингу трьох контейнерів він надлишковий, зате підходить для інфраструктури з багатьма серверами. Почніть з Uptime Kuma. Коли у вас з’явиться інфраструктура для моніторингу, перейдіть до сервера моніторингу Zabbix.

Prometheus і Grafana навмисно не включено до цього списку. Це чудові інструменти для моніторингу інфраструктури великого масштабу, але для персонального stack із двох або трьох серверів їх складніше запускати й налаштовувати, ніж це виправдано. На такому масштабі Uptime Kuma та Zabbix дають відповіді на ті самі запитання, але потребують менше обслуговування.

Панелі моніторингу та керування

Вони змінюють усю модель: замість ручного запуску compose-файлів панель керує застосунками за вас.

• Cloudron замінює бажання «якби це встановлювалося одним натисканням» повноцінним магазином застосунків, автоматичним TLS і вбудованими резервними копіями. Плануйте щонайменше 2 GB RAM, а 4 GB забезпечать комфортну роботу. Недолік: система має жорстко задану архітектуру й прагне повністю керувати сервером. Вона встановлюється на чистий сервер Ubuntu 26.04 (саме цей реліз зазначено в документації з інсталяції станом на 2026-10-25) за допомогою власного скрипту cloudron-setup, а не як контейнер. Документація не допускає використання хостів ARM, LXC, Docker і OpenVZ. Безкоштовна версія також обмежена двома застосунками; для більшої кількості потрібна платна версія.
• CasaOS замінює складну панель домашньої лабораторії зручною сіткою застосунків. Вона безкоштовна й легка. CasaOS встановлюється на хост за допомогою власного скрипту (curl -fsSL https://get.casaos.io | sudo bash), а не як контейнер, після чого запускає ваші застосунки в Docker. Для самої CasaOS плануйте приблизно 150–300 MB. Недолік: система розрахована на довірену домашню мережу й не захищена для роботи в публічному інтернеті. Не відкривайте до неї прямий доступ; підключайтеся через WireGuard.
• Coolify замінює Heroku, Vercel і Netlify та надає на власному сервері розгортання через git push, бази даних і тестові середовища. Плануйте щонайменше 2 GB RAM. Недолік: це молодший проєкт, який швидко розвивається. Фіксуйте версії та читайте примітки до релізів перед оновленням. У порівнянні Cloudron, CasaOS і Coolify пояснено, який із цих трьох варіантів підходить різним користувачам.

Інструменти для розробки та підвищення продуктивності

• Gitea (або Forgejo) замінює GitHub для приватних репозиторіїв, задач і CI. Передбачте 200–500 MB RAM. Важливий нюанс: Forgejo — це форк Gitea під керуванням спільноти, який нині рекомендують багато користувачів; обидва варіанти чудові, але виберіть один і створюйте резервні копії репозиторіїв та бази даних разом. Резервна копія лише репозиторію не збереже задачі та pull request. Якщо вам потрібно лише сховище для push коду або ви розглядаєте GitLab, у порівнянні self-hosted Git-серверів за обсягом RAM bare repositories через SSH і cgit порівнюються з Forgejo, Gitea та GitLab. Також показано, які з них працюють на VPS із 1 GB RAM.
• Paperless-ngx замінює шафу для документів і платні сканери документів. Система виконує OCR для всіх документів, щоб їх можна було шукати. Передбачте близько 1 GB RAM і врахуйте пікове навантаження на CPU під час OCR. Важливий нюанс: якість результатів OCR залежить від якості сканів, а повторна обробка великого архіву триває довго. Налаштуйте систему до імпорту десяти років паперових документів. У посібнику зі встановлення Paperless-ngx на VPS використовується офіційний стек PostgreSQL. У ньому описано PAPERLESS_URL, папку consume та налаштування мов OCR. Саме це потрібно правильно налаштувати насамперед. Далі посібник охоплює HTTPS і резервне копіювання.
• Actual Budget замінює YNAB і закритий Mint. Це швидка локальна й приватна система бюджетування за методом конвертів. Передбачте близько 150 MB RAM. Важливий нюанс: автоматична синхронізація з банками вбудована, але необов’язкова. Вона працює лише після реєстрації в регіонального постачальника, наприклад SimpleFIN Bridge або Enable Banking, і додавання власних API credentials. Тому одразу після встановлення транзакції потрібно імпортувати вручну. У посібнику із self-hosted Actual Budget система налаштовується за допомогою Docker Compose. Також пояснюється, чому браузеру потрібен HTTPS для роботи застосунку, і описано створення першого budget file, імпорт банківських даних та резервне копіювання.
• FreshRSS замінює Feedly і припинений Google Reader. Це швидкий приватний feed reader із mobile apps. Передбачте близько 150 MB RAM. Важливий нюанс: налаштуйте оновлення стрічок через cron. Інакше стрічки оновлюватимуться лише після відкриття сторінки. У покроковому посібнику зі встановлення FreshRSS система запускається на Apache, PHP і MariaDB без Docker. Посібник також описує cron job і API, через який mobile app для стрічок на телефоні виконує синхронізацію.
• BookStack замінює Notion і Confluence для документації, організованої як shelves, books і pages. Для роботи на PHP і MySQL передбачте близько 500 MB RAM. Важливий нюанс: система структурує вміст за власною моделлю, а не як довільні нотатки. Для одних користувачів це зручно, а для інших — занадто жорстко. Перевірте BookStack, перш ніж переносити до нього всю wiki. Якщо саме ця структура є проблемою, у порівнянні BookStack, Wiki.js та Outline оцінюються складність налаштування, модель редагування, варіанти входу та пошук. Також у ньому наведено рекомендований варіант для solo admin і для команди.
• Home Assistant замінює SmartThings і десятки застосунків виробників, об’єднуючи smart home локально. Передбачте близько 1 GB RAM. Важливий нюанс: значна частина функцій потребує доступу до пристроїв у локальній мережі. Тому Home Assistant природніше запускати на обладнанні вдома, а не на віддаленому VPS. Якщо це необхідно, запускайте dashboard віддалено та налаштуйте bridge до домашньої мережі.

Типове встановлення

Щоб показати це на практиці, наведемо повну структуру self-hosted сервісу: compose-файл, справжній сертифікат і резервну копію. Це Uptime Kuma, але кожен застосунок у списку використовує ту саму схему.

services:
  uptime-kuma:
    image: louislam/uptime-kuma:2
    container_name: uptime-kuma
    volumes:
      - ./data:/app/data
    ports:
      - "127.0.0.1:3001:3001"
    restart: unless-stopped

docker compose up -d
docker compose logs -f

Зверніть увагу на 127.0.0.1:: застосунок слухає лише localhost, а reverse proxy, наприклад Traefik або nginx, завершує TLS перед ним. Пряме прив’язування до 0.0.0.0:3001 може випадково відкрити незашифровану панель адміністрування для всього інтернету.

Що поки НЕ варто self-hosting

• Електронна пошта. Це найочевидніший приклад. Більшість VPS-провайдерів блокують вихідний порт 25. Ви побачите Connection timed out від telnet aspmx.l.google.com 25, і на вашому боці нічого виправити не можна: це політика провайдера. Деякі провайдери можуть зняти блокування після запиту. Наприклад, AWS дає змогу подати запит на скасування цього обмеження. Але це окремий запит, а не перемикач у налаштуваннях. Навіть якщо порт 25 відкритий, нова IP-адреса без репутації, PTR-запису, SPF, DKIM і DMARC призведе до потрапляння листів у спам або до їх повного відхилення. Підтримка поштової системи потребує постійної роботи, а не одного вільного вікенду. Якщо ви все одно плануєте це зробити, заздалегідь оцініть усі ризики за посібником із self-hosted email з Mailcow і будьте готові кілька місяців контролювати доставляння листів.
• Усе, для чого ви не можете надійно створити резервну копію та виконати відновлення. Якщо ви ще не виконували тестове відновлення, у вас немає резервної копії — у вас є лише надія. Не розміщуйте незамінні дані, єдину копію фотографій або облікові записи в сервісі, доки не перевірите відновлення.
• Єдина копія критично важливої залежності. Self-hosted DNS-сервер, збій якого позбавляє всю вашу мережу доступу до інтернету, — невдалий перший проєкт. Налаштуйте резервний upstream-сервер.
• Системи безпеки реального часу. Домашня сигналізація, медичні сповіщення та будь-які інші системи, для яких п’ять хвилин простою є реальною проблемою, не повинні працювати на аматорському сервері, який ви оновлюєте в неділю ввечері.

Як вибрати перший застосунок і які дві вимоги є обов’язковими

Виберіть застосунок, який скасовує оплату, що вас дратує, або усуває проблему з приватністю, яку ви справді відчуваєте. На практиці найкращими першими інсталяціями є Vaultwarden і Uptime Kuma: обидва застосунки невеликі, одразу корисні та пробачають помилки. Спочатку повністю налаштуйте один застосунок: інсталяцію, сертифікат, резервне копіювання та тестове відновлення. Лише після цього додавайте другий. Ви набуваєте навичок експлуатації, а не просто натискаєте кнопку встановлення.

Для кожного з наведених застосунків обов’язкові дві вимоги без винятків:

1. TLS для всього, що доступне з публічної мережі. Сервіс із відкритою IP-адресою та незашифрованим з’єднанням — це демонстрація, а не розгортання. Встановіть перед ним справжній сертифікат за допомогою Certbot і Let's Encrypt на nginx або доручіть Traefik автоматично отримувати сертифікати. Потім захистіть зовнішню точку входу за допомогою Fail2ban для SSH на Ubuntu 24.04.
2. Резервні копії, з яких ви вже виконували відновлення. Автоматизуйте щонічний дамп бази даних і тому з даними разом, надсилайте його за межі сервера та раз на місяць відновлюйте на тимчасовому VPS, щоб перевірити працездатність. День, коли диск вийде з ладу, — невдалий момент для виявлення, що резервна копія була порожньою.

Якщо правильно виконати ці дві вимоги, self-hosting приносить задоволення. Якщо їх пропустити, ви лише відраховуєте час до проблеми.

Варіанти варіюються від практичних до абсурдних: від Minecraft-сервера на VPS для родини до, якщо вам цікаві повчальні історії, найменш ефективного дата-центру у світі.

FAQ

Що варто розгорнути на власному сервері насамперед?

Vaultwarden. Менеджер паролів дає щоденну практичну користь, замінює платну підписку та змушує опанувати весь робочий процес: Docker, reverse proxy, TLS і резервне копіювання. Це достатньо невеликий застосунок, щоб відновити його за десять хвилин, якщо ви щось зламаєте. Uptime Kuma — чудовий другий варіант: ви дізнаєтеся про збої раніше за користувачів.

Який VPS мені насправді потрібен?

Для одного невеликого застосунку достатньо 1 GB RAM. Для сервера, на якому комфортно запускати кілька сервісів, орієнтуйтеся на 4 GB. Варіант із 2 GB часто призводить до непомітного завершення контейнерів через Out-Of-Memory, і складно зрозуміти причину. Обсяг RAM майже завжди є обмеженням. Додайте достатньо дискового простору відповідно до обсягу даних, які плануєте зберігати. Immich, Ollama та будь-які застосунки з великою базою даних, найімовірніше, потребуватимуть найбільше і RAM, і дискового простору.

Що не варто розгортати на власному сервері?

Насамперед електронну пошту. Більшість провайдерів блокує вихідний порт 25, а забезпечення доставлення листів потребує постійного контролю. Далі — усе, для чого ви не можете надійно виконати резервне копіювання та відновлення, а також будь-які єдині точки відмови, недоступність яких спричиняє реальну шкоду, наприклад DNS-сервер без резервного варіанта або домашня система безпеки. Усе інше з цього списку можна розгортати самостійно.

Чи потрібен Docker для всіх цих сервісів?

Ні, але його варто використовувати. Усі наведені тут застосунки, крім Cloudron і CasaOS, мають Docker image. Ці два продукти встановлюються безпосередньо на host за допомогою власних setup scripts, а потім самостійно запускають застосунки в контейнерах. Для решти Docker забезпечує чисте встановлення, просте видалення, зручне закріплення версій і перенесення на новий host. Деякі застосунки, зокрема WireGuard і Zabbix, також можна встановити нативно з apt, якщо вам так зручніше. Коли ви опануєте один compose file, інші будуть зрозумілими за тим самим принципом. Саме тому весь список стає доступним для освоєння.

Як захистити все це?

Чотири звички покривають більшість потреб: використовуйте TLS перед усіма сервісами, захистіть SSH, дозволивши вхід лише за ключами, і налаштуйте Fail2ban для блокування спроб brute-force, відкривайте публічно лише справді потрібні порти, а до решти підключайтеся через VPN WireGuard. Регулярно встановлюйте оновлення та читайте release notes, щоб оновлення не ставали несподіванкою. Резервні копії — п’ята звичка. Вони дають змогу відновити систему, якщо помилка пройшла повз перші чотири заходи захисту.