Хостване на FreshRSS на Managed VPS: RSS емисиите ви на ваш сървър

Какво прави FreshRSS

FreshRSS е самостоятелно хостван агрегатор на RSS емисии, написан на PHP. README го описва като лек, лесен за работа, мощен и персонализируем, преведен на повече от двадесет езика. Това е многопотребителско приложение, с режим за анонимно четене и персонализирани етикети.

• Четенето: абонаментите ви, подредени в категории, етикети, любими и запазени търсения.
• WebSub: FreshRSS получава новите статии мигновено от съвместимите източници, които ги изпращат, вместо да чакат следващото опресняване.
• Извличането от уеб страници: за сайт без RSS или Atom емисия FreshRSS сам чете страницата с правила XPath, а може да чете и JSON документи.
• Споделянето: подборка от статии може да се публикува отново като HTML, RSS или OPML.
• Приложенията: API за мобилни и настолни приложения, интерфейс за командния ред и разширения.

FreshRSS се разработва от своята общност в GitHub, а официалният му сайт се издава от общността на FreshRSS. Разширенията се намират в отделно хранилище, а документацията обхваща потребителите, администраторите и разработчиците.

Какво позволява лицензът AGPL-3.0

FreshRSS е публикуван с GNU Affero General Public License, версия 3: манифестът му composer.json го декларира като AGPL-3.0, а README води към текста на лиценза. Този текст потвърждава неограничено разрешение да пускате непроменената програма. Можете следователно да използвате образа, публикуван от проекта, за фирмата и екипа си, без да купувате лиценз.

Член 13 добавя условие, присъщо на AGPL: ако променяте програмата, вашата версия трябва да предложи на всеки, който я използва от разстояние, през мрежата, начин да получи безплатно нейния изходен код. Разширение от трета страна, добавено в тома extensions, следва собствения си лиценз.

Инсталиране с Docker Compose

Проектът публикува официалните си образи в Docker Hub, като freshrss/freshrss, заедно с примерен файл Compose. На сървър с инсталиран Docker създайте папка с име freshrss и поставете в нея този compose.yaml, взет от този файл и от Docker README:

volumes:
  data:
  extensions:

services:
  freshrss:
    image: freshrss/freshrss:latest
    container_name: freshrss
    hostname: freshrss
    restart: unless-stopped
    logging:
      options:
        max-size: 10m
    volumes:
      - data:/var/www/FreshRSS/data
      - extensions:/var/www/FreshRSS/extensions
    ports:
      - 127.0.0.1:8080:80
    environment:
      TZ: UTC
      CRON_MIN: '3,33'
      TRUSTED_PROXY: 172.16.0.1/12 192.168.0.1/16
    healthcheck:
      test: ["CMD", "cli/health.php"]
      timeout: 10s
      start_period: 60s
      start_interval: 11s
      interval: 75s
      retries: 3

docker compose up -d

• Порт, публикуван на 127.0.0.1: FreshRSS е достъпен само през обратния прокси, поставен на същия сървър. Примерният файл на проекта публикува порт 8080 за локална употреба; адресът 127.0.0.1 го запазва тук за проксито.
• Томът data пази конфигурацията, акаунтите и, със SQLite, базата данни на всеки потребител. README посочва, че той съдържа всички лични данни. Docker Compose го наименува по папката: freshrss_data.
• Томът extensions пази разширенията от трети страни, ако добавите такива.
• TZ получава часовата зона на сървъра, във формата на PHP; по подразбиране е UTC.
• TRUSTED_PROXY запазва стойността от примерния файл: частните диапазони, от които идват заявките на проксито. Тя решава кой адрес влиза в журналите, този на посетителя или този на проксито.
• Проверката на състоянието пуска cli/health.php на равни интервали, за да знае Docker дали инстанцията отговаря.

Етикетът latest, по подразбиране, следва последната версия с номер; edge следва непрекъснатото издание; етикет като 1.30.4 фиксира версия, а наставката -alpine дава същото върху основа Alpine вместо Debian. Разделът за обновленията се връща към този избор.

Завършване на инсталирането

След като обратният прокси е на мястото си, отворете своя HTTPS адрес: съветникът за инсталиране пита за езика, проверява сървъра, предлага избор на база данни, после създава администраторския акаунт, с неговата парола и метода за влизане. SQLite работи, без нищо да се подготвя. Инсталирането става и от командния ред, с cli/do-install.php и cli/create-user.php, изпълнени чрез docker exec --user www-data freshrss.

За ресурсите README иска лек сървър, с Linux или Windows, и отбелязва, че FreshRSS работи дори на Raspberry Pi 1, с време за отговор под секунда, при 150 емисии и 22 000 статии. Размерът зависи от броя на потребителите, на емисиите и на пазените статии. На Managed VPS ни опишете как го използвате и ще ви препоръчаме подходящия размер.

HTTPS: обратният прокси

За работна среда Docker README съветва обратен прокси на хост сървъра, който осигурява HTTPS. Първо изберете име на домейн или поддомейн, като rss.example.com, който сочи към сървъра със записи A и AAAA. Проектът препоръчва Traefik и публикува за него пълен файл Compose, със сертификати Let’s Encrypt и пренасочване от HTTP към HTTPS; той дава и примери за Apache, Nginx и Caddy.

С Caddy

Caddy сам получава сертификата и включва HTTPS. Този блок следва примера от документацията за поддомейн, насочен тук към порта, публикуван локално:

rss.example.com {
  reverse_proxy 127.0.0.1:8080
}

С Nginx и Certbot

Този блок следва примера за Nginx от Docker README за корена на домейн, сведен до порт 80, за да остави на Certbot да постави HTTPS. Последните два реда предават заглавката Authorization, от която се нуждае API Google Reader:

upstream freshrss {
  server 127.0.0.1:8080;
  keepalive 64;
}

server {
  listen 80;
  listen [::]:80;
  server_name rss.example.com;

  location / {
    proxy_pass http://freshrss/;
    proxy_redirect off;
    proxy_buffering off;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Port $server_port;
    proxy_read_timeout 90;

    proxy_set_header Authorization $http_authorization;
    proxy_pass_header Authorization;
  }
}

След това Certbot поставя сертификата и се грижи да го подновява:

sudo certbot --nginx

Публичният адрес: base_url

FreshRSS пази публичния си адрес в base_url, във файла data/config.php. API и WebSub разчитат на него: проверете, че съдържа вашия https адрес. Docker README показва къде да намерите този файл в тома:

docker volume inspect freshrss_data
sudo nano /var/lib/docker/volumes/freshrss_data/_data/config.php
docker compose restart freshrss

'base_url' => 'https://rss.example.com/',

Опресняване на емисиите: CRON_MIN

FreshRSS изтегля новите статии със своя скрипт app/actualize_script.php. Docker образът съдържа планирана задача, която го пуска в минутите, зададени в CRON_MIN. Без тази променлива или с празна стойност задачата остава изключена и емисиите вече не се опресняват сами.

• Темпото: проектът препоръчва около две изпълнения на час, например 13,43; */20 също работи.
• Границата: скриптът не опреснява една и съща емисия по-често от веднъж на двадесет минути, така че по-гъст график не носи нищо.
• Реалното време: WebSub поема съвместимите източници. Той изисква публичен адрес, прочетен от base_url, а съветникът за инсталиране го включва, когато сървърът има такъв.

Друг документиран метод: планирана задача на хост сървъра, която извиква скрипта в контейнера. В този случай махнете CRON_MIN от compose.yaml, за да остане един метод:

7,37 * * * * root docker exec --user www-data freshrss php ./app/actualize_script.php > /tmp/FreshRSS.log 2>&1

От версия 1.30.0 FreshRSS отказва по подразбиране адресите от локалната мрежа, като 127.0.0.1, за да се пази от подправяне на заявки от страна на сървъра. Съседна услуга, която създава емисии, като RSS-Bridge, се разрешава чрез променливата INTERNAL_HOST_ALLOWLIST, във вида rss-bridge:80, или в системната конфигурация. Стойността * премахва всякаква проверка, а документацията я определя като несигурна.

Акаунтите и влизането

При инсталирането FreshRSS предлага влизане с формуляр, което изисква JavaScript. Това е методът по подразбиране и той подхожда на повечето инстанции. Документацията описва и други:

Документацията предупреждава, че FreshRSS се доверява на всеки адрес, изброен в TRUSTED_PROXY: зле защитено прокси би позволило на нападател да зададе заглавката и да получи администраторски достъп. Тук портът слуша само на 127.0.0.1, което го запазва за проксито на самия сървър. Документацията съветва също да избягвате всяка инстанция без удостоверяване, щом сървърът е достъпен извън вашата мрежа.

Регистрациите и потребителите

• Затворени по подразбиране: конфигурацията задава броя на акаунтите на 1, този на администратора. Формулярът за регистрация се появява само ако увеличите този брой, в Администрация, Системна конфигурация; 0 премахва всякакво ограничение.
• Акаунти, създадени от администратора: Администрация, Управление на потребителите, с езика, потребителското име, паролата и дали акаунтът е администраторски.
• Повторното удостоверяване се изисква преди чувствителни действия, като повишаване на потребител или прилагане на обновление, след 20 минути по подразбиране.
• Проверката на имейл адреса не е задължителна. Тя изисква SMTP сървър, настроен с mailer и smtp в data/config.php: документацията посочва, че изпращането чрез функцията mail на PHP още не се поддържа в официалните Docker образи.

За инстанция, споделена от няколко души, документацията съветва да отваряте акаунти за хора, на които имате доверие, и да държите инстанцията зад прокси или защитна стена, която блокира достъпа до вътрешните диапазони от адреси.

Мобилните приложения: API Google Reader и Fever

FreshRSS работи в браузъра, на големи и на малки екрани, както и в приложения за Android, iOS, Linux, Windows и macOS. Тези приложения използват едно от двете му API: Google Reader, което README оценява като най-доброто, и Fever, с по-ограничени функции, по-малко ефективно и по-малко сигурно.

1. Като администратор, в раздела Удостоверяване, включете опцията, която разрешава достъпа до API.
2. Всеки потребител задава API парола в профила си. Тя е отделна от основната парола, дава достъп до по-малко неща и е предвидена за по-малко сигурни ситуации.
3. В приложението въведете адреса https://rss.example.com/api/greader.php или https://rss.example.com/api/fever.php за Fever, с потребителското име и тази API парола.

За проверка връзката, показана до API паролата, в профила, отваря тестова страница: PASS при пълната проверка потвърждава, че всичко работи. Docker образът вече настройва Apache да приема кодирани наклонени черти, от които някои приложения се нуждаят; с Nginx пред него запазете предаването на заглавката Authorization.

README поддържа таблица на съвместимите приложения, с тяхната платформа, API и функции: Capy Reader и Readrops на Android, FeedFlow на мобилни устройства и компютри, RSS Guard и NewsFlash на компютри, ReadKit и Reeder Classic на iOS и macOS, наред с други.

SQLite, PostgreSQL, MySQL или MariaDB

FreshRSS има вградена SQLite, която Docker README описва като най-лесния вариант, с добра производителност. Страницата с изискванията препоръчва PostgreSQL 10 или по-нова и приема също MariaDB 10.6 и MySQL 8.0 или по-нови. Изборът се прави в съветника за инсталиране.

За PostgreSQL добавете тази услуга в compose.yaml, взета от файла docker-compose-db.yml на проекта, и тома db в списъка с томове. Паролата отива във файл .env, до compose.yaml:

  freshrss-db:
    image: postgres:18
    container_name: freshrss-db
    hostname: freshrss-db
    restart: unless-stopped
    logging:
      options:
        max-size: 10m
    volumes:
      - db:/var/lib/postgresql
    environment:
      POSTGRES_DB: freshrss
      POSTGRES_USER: freshrss
      POSTGRES_PASSWORD: ${DB_PASSWORD}

DB_PASSWORD='a-long-unique-password'

В съветника изберете PostgreSQL и въведете freshrss-db като хост, с потребителя, паролата и базата freshrss.

Можете да се върнете към този избор и по-късно. Документацията описва преминаването от една база към друга, например от MySQL към PostgreSQL, или към по-нова основна версия на PostgreSQL: cli/db-backup.php копира базата на всеки потребител във файл SQLite, после cli/db-restore.php я зарежда в новата база.

Резервните копия

README посочва, че FreshRSS се предоставя без каквато и да е гаранция: вашите резервни копия пазят абонаментите, статиите и настройките ви. Ето какво документацията моли да архивирате:

Томовете, при спряна услуга

Документацията смята за по-сигурно да спирате услугата по време на поддръжката. Docker томовете се копират с временен контейнер, по метода, описан в документацията на Docker:

docker compose stop freshrss
docker run --rm --volumes-from freshrss -v "$PWD":/backup ubuntu tar -czf /backup/freshrss-$(date +%F).tgz --exclude=data/cache -C /var/www/FreshRSS data extensions
docker compose start freshrss

Базите данни, при работеща услуга

От версия 1.29.1 FreshRSS умее сам да експортира базата на всеки потребител във файл SQLite, каквато и база да използвате, и да пази само най-новите. Включете този експорт в data/config.php:

'auto_sqlite_export' => [
    'enabled' => true,
    'retention' => 7,
],

После планирайте командата на сървъра, тук всяка нощ. Всяко изпълнение записва data/users/<user>/sqlite-backups/<date>.sqlite и изтрива файловете след последните седем:

20 2 * * * root docker exec --user www-data freshrss cli/export-sqlite-auto.php --quiet

С PostgreSQL добавете експорт със собствения инструмент на базата, както в Docker README. Опцията -T премахва терминала, който не е нужен на планирана задача:

docker compose exec -T freshrss-db pg_dump -U freshrss freshrss | gzip -9 > freshrss-postgres-$(date +%F).sql.gz

Експортът OPML, от интерфейса, архивира списъка ви с емисии, без някои настройки, присъщи на FreshRSS, като данните за достъп или правилата за извличане от страници. За пълно копие пазете експортите SQLite: поставени на диска на сървъра, те влизат и в нощните му резервни копия.

Възстановяване

1. Спрете FreshRSS с docker compose stop freshrss.
2. Заредете архива обратно в томовете: docker run --rm --volumes-from freshrss -v "$PWD":/backup ubuntu tar -xzf /backup/freshrss-YYYY-MM-DD.tgz -C /var/www/FreshRSS.
3. С външна база я възстановете от нейния експорт или от файловете SQLite с cli/db-restore.php --delete-backup --force-overwrite.
4. Стартирайте отново с docker compose start freshrss, после проверете, че емисиите и статиите ви са налице.

Повтаряйте това упражнение от време на време, върху копие: така проверявате, че резервното копие работи.

Обновленията

Docker README дава две команди, от папката на compose.yaml. Томовете остават на мястото си:

docker compose pull
docker compose up -d

FreshRSS публикува по два канала. Версиите с номер, етикет latest, излизат няколко пъти годишно, без определен календар, а поправките им не се пренасят към по-старите версии. Непрекъснатото издание, етикет edge, получава новите функции и поправки веднага щом бъдат добавени: от версия 1.30.0 проектът го препоръчва за по-бързи поправки на сигурността.

• Първо резервно копие: документацията иска резервно копие на data/, на разширенията и на базата данни преди всяко обновяване.
• Версия по версия: ако сте изостанали с няколко версии, минете през всяка от тях, например от 1.26.0 към 1.27.1 преди 1.28.1, като проверявате на всяка стъпка. С Docker етикети като 1.29.1 правят този път възможен.
• Последните версии: 1.30.4 от 21 октомври 2026 г. е четвъртата версия за сигурност в серията 1.30. Тя поправя уязвимости на PHP в образите Alpine, след 1.30.3, която прехвърли образа Debian по подразбиране на Debian 13.

За да следите новите версии, проектът публикува Atom емисия на своите версии: абонирайте за нея собствената си инстанция на FreshRSS.

Кой какво прави на Managed VPS

Самостоятелното хостване изисква да поддържате сървъра освен приложението. На Managed VPS нашите екипи поемат сървъра и следят проактивно вашата инстанция; FreshRSS остава ваш софтуер, с неговите настройки и данни.

Ако предпочитате нашите екипи да се намесват в самото приложение, тази услуга се фактурира на час или на фиксирана цена, с оферта, съобщена преди намесата.