Hoste Umami på en Managed VPS: din webanalyse på din egen server

Hvad Umami gør

Umami er en platform med åben kildekode til web- og produktanalyse. Dens dokumentation beskriver et værktøj, der samler trafik, kampagner, de besøgendes adfærd, konverteringer, fastholdelse og omsætning, fra det første besøg til de resultater, der betyder noget for din virksomhed. Den er skrevet i TypeScript på Next.js, og dens Docker-image kører under en konto uden særlige rettigheder.

• Tilgangen: sidevisninger, besøgende, henvisninger, lande, enheder og aktivitet i realtid med UTM-kampagner, korte links og sporingspixels.
• Adfærden: egne hændelser, forløb, afspilning af sessioner, heatmaps, segmenter, kohorter og fastholdelse.
• Konverteringen: mål, tragte, attribution og opfølgning på omsætning pr. side og pr. kampagne.
• Delingen: dashboards, teams, en offentlig delingsadresse, et API og en MCP-server med læseadgang til din AI-assistent.
• Moderne websites: FAQ'en angiver, at Umami selv sporer navigationen mellem sider i single page-applikationer uden ekstra indstillinger.

Én instans sporer flere websites: hvert får sit eget id og sit eget sporingsscript, og dine kolleger finder rundt via konti og teams.

Hvad MIT-licensen tillader

Umami udgives under MIT-licensen i navnet Umami Software, Inc. Den giver gratis ret til at bruge, kopiere, ændre, sammenflette, udgive, distribuere, underlicensere og sælge kopier af softwaren. Du kan altså køre den for din virksomhed og for dine kunders websites uden at skulle købe en licens.

Dens eneste betingelse: copyrightmeddelelsen og tilladelsesmeddelelsen følger med alle kopier eller væsentlige dele af softwaren. Som enhver MIT-licens leverer den softwaren «som den er», uden garanti.

Cookies og persondata: hvad projektet siger

Dokumentationen præsenterer Umami som analyse uden cookies, uden sporing på tværs af websites og uden automatisk indsamling af persondata. Selvhostet holder den din analyse på din egen server: du bestemmer, hvor den ligger, og hvor længe den bliver.

Tre indstillinger i sporingsscriptet går længere, hvis du ønsker det: data-exclude-search fjerner søgeparametrene fra de registrerede adresser, data-exclude-hash fjerner hashen, og data-do-not-track slår sporingen fra for browsere, der angiver præferencen Do Not Track. Dokumentationen bemærker, at denne sidste indstilling ikke i sig selv er en komplet løsning til håndtering af samtykke.

Hvis du identificerer indloggede besøgende med data-distinct-id eller umami.identify(), anbefaler dokumentationen et internt bruger-id eller en hash frem for en e-mailadresse: værdien kan læses i sidens HTML.

Installation med Docker Compose og PostgreSQL

Repositoryet leverer en docker-compose.yml, der starter Umami og dens PostgreSQL-database. Siden version 3 er PostgreSQL den eneste understøttede database, mindst i version 12.14, og dokumentationen anbefaler at sætte den til tidszonen UTC. På en server, hvor Docker er installeret, opretter du en mappe og begynder med dens hemmeligheder, genereret tilfældigt med openssl, som dokumentationen foreslår:

cat > .env <<EOF
POSTGRES_PASSWORD=$(openssl rand -hex 24)
APP_SECRET=$(openssl rand -hex 32)
TWO_FACTOR_ENCRYPTION_KEY=$(openssl rand -hex 32)
EOF
chmod 600 .env

Læg derefter denne compose.yaml ved siden af. Den følger projektets fil i version 3.4.1 med to ændringer: hemmelighederne kommer fra filen .env, og porten publiceres kun på 127.0.0.1.

services:
  umami:
    image: ghcr.io/umami-software/umami:latest
    ports:
      - "127.0.0.1:3000:3000"
    environment:
      DATABASE_URL: postgresql://umami:${POSTGRES_PASSWORD}@db:5432/umami
      APP_SECRET: ${APP_SECRET}
      TWO_FACTOR_ENCRYPTION_KEY: ${TWO_FACTOR_ENCRYPTION_KEY}
    depends_on:
      db:
        condition: service_healthy
    init: true
    restart: always
    healthcheck:
      test: ["CMD-SHELL", "curl http://localhost:3000/api/heartbeat"]
      interval: 5s
      timeout: 5s
      retries: 5
  db:
    image: postgres:15-alpine
    environment:
      POSTGRES_DB: umami
      POSTGRES_USER: umami
      POSTGRES_PASSWORD: ${POSTGRES_PASSWORD}
    volumes:
      - umami-db-data:/var/lib/postgresql/data
    restart: always
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U $${POSTGRES_USER} -d $${POSTGRES_DB}"]
      interval: 5s
      timeout: 5s
      retries: 5
volumes:
  umami-db-data:

docker compose up -d
curl -s http://127.0.0.1:3000/api/heartbeat

• DATABASE_URL: den eneste obligatoriske variabel, forbindelsesstrengen til databasen. Den hexadecimale adgangskode indsættes, som den er; en adgangskode med specialtegn ville kræve procentkodning.
• APP_SECRET: en tilfældig streng, der sikrer godkendelsestokens, unik for hver installation. I koden til version 3.4.1 indgår den også i beregningen af sessions-id'er: hold den stabil.
• TWO_FACTOR_ENCRYPTION_KEY: 64 hexadecimale tegn, der krypterer hemmelighederne til tofaktorgodkendelse. Uden den kan ingen slå tofaktorgodkendelse til.
• Ved opstart kontrollerer containeren forbindelsen til databasen og dens version og anvender derefter selv skemaets migreringer. Ved første kørsel opretter den tabellerne og kontoen admin. Sonden /api/heartbeat svarer {"ok":true}, når Umami er klar.
• Tagget latest følger den senest udgivne version. Projektets registry udgiver også versionstags, som 3.4.1, til at fastlåse den, du kører.

Installationsdokumentationen opgiver intet tal for hukommelse eller CPU. Størrelsen afhænger af trafikken på de sporede websites og af den mængde data, du gemmer. På en Managed VPS beskriver du blot din brug for os, og vi anbefaler den størrelse, der passer.

HTTPS: reverse proxyen

Umami lytter over HTTP på port 3000, og dokumentationen foreslår at servere den bag din webserver via en reverse proxy. Giv den sit eget underdomæne, som stats.example.com, der peger på serveren med A- og AAAA-records. At servere Umami under en sti går via BASE_PATH, en variabel, der læses, når applikationen bygges: med det udgivne image er underdomænet den direkte vej.

Proxyen skal også videregive den besøgendes adresse. Umami læser den i de headere, den modtager, blandt andet X-Real-IP og X-Forwarded-For: den bruger den til at skelne de besøgende fra hinanden og til at bestemme deres land. Hvis din proxy bruger en anden header, angiver CLIENT_IP_HEADER dens navn.

Med Caddy

Caddy henter selv certifikatet fra Let's Encrypt og slår HTTPS til. Dens direktiv reverse_proxy sætter som standard X-Forwarded-For: disse tre linjer er alt, hvad der skal til.

stats.example.com {
  reverse_proxy 127.0.0.1:3000
}

Med Nginx og Certbot

Denne blok følger Nginx-eksemplet fra Umamis dokumentation og lytter på port 80, så Certbot kan sætte HTTPS op:

server {
  listen 80;
  listen [::]:80;
  server_name stats.example.com;

  location / {
    proxy_pass http://127.0.0.1:3000;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
  }
}

Certbot installerer derefter certifikatet og sørger for at forny det:

sudo certbot --nginx

Det første login: administratorkontoen og tofaktorgodkendelse

Når Umami opretter sin database, åbner den en administratorkonto: brugernavn admin, adgangskode umami. Dokumentationen beder dig om at ændre denne adgangskode ved dit første login.

1. Åbn din HTTPS-adresse, og log ind med admin og umami.
2. Åbn Settings fra profilknappen i sidepanelet, derefter Profile, og klik på Change password.
3. Under fanen Security slår du tofaktorgodkendelse til: scan QR-koden med din godkendelsesapp, indtast den sekscifrede kode, og gem derefter de ti backupkoder et sikkert sted, da de kun vises én gang.

• Krav om tofaktorgodkendelse: en administrator kan kræve den for hele instansen, for én bruger eller for ét team fra administrationssiderne.
• Forsøgene: fem forkerte koder spærrer for nye forsøg i 15 minutter.
• Dit teams konti: administrationssiderne styrer brugere, websites og teams for hele instansen.

Opbevar TWO_FACTOR_ENCRYPTION_KEY sammen med dine backups: dokumentationen advarer om, at hvis denne nøgle mistes eller ændres, bliver de gemte hemmeligheder ulæselige, og hver bruger skal så tilmelde sig tofaktorgodkendelse igen.

Tilføj et website og dets sporingsscript

1. Under Websites klikker du på Add website.
2. Giv websitet et navn og derefter dets domæne: Umami bruger det til at filtrere dine egne sider ud af listen over henvisninger.
3. Åbn Edit på websitet, og kopiér koden fra afsnittet Tracking code.
4. Indsæt den i <head> på dine sider, og besøg derefter dit website: dataene vises straks på dashboardet.

<script defer src="https://stats.example.com/script.js" data-website-id="your-website-id"></script>

• Vises der intet? Dokumentationen foreslår fanen netværk i browserens udviklerværktøjer: forespørgslerne til din instans skal gå ud uden fejl.
• Next.js: tilføj koden med komponenten next/script frem for et almindeligt <script>-tag.
• data-domains begrænser sporingen til dine produktionsdomæner, hvilket holder dine testmiljøer uden for statistikken.
• Dine egne besøg udelukkes website for website fra browserens konsol med localStorage.setItem('umami.disabled', 1).

Et scriptnavn efter eget valg

Visse annonceblokkere blokerer alt, der ligner analyse. Selvhostet serveres Umami allerede fra dit eget domæne, og to variabler går længere: TRACKER_SCRIPT_NAME giver scriptet et andet navn end script.js, og COLLECT_API_ENDPOINT omdøber indsamlingsendpointet i stedet for /api/send. Scriptet kalder derefter selv det nye endpoint; kun kilden i sporingskoden ændres på dine sider.

TRACKER_SCRIPT_NAME: "stats.js"
COLLECT_API_ENDPOINT: "/api/collect"

Nyttige indstillinger

Disse miljøvariabler lægges i tjenesten umami i compose.yaml, og derefter genskaber docker compose up -d containeren, så de tages i betragtning:

Backup

Alt, hvad Umami gemmer, ligger i dens PostgreSQL-database: konti, websites, teams og analyse. Eksportér den hver dag og lige før hver opdatering: selvhostet opbevares disse data uden tidsbegrænsning. Ved siden af databasen rummer filen .env de hemmeligheder, der gør den brugbar:

Eksportér databasen, mens den kører

pg_dump laver en konsistent eksport, mens databasen er i brug. Det tilpassede format, -Fc, er komprimeret og gendannes med pg_restore:

docker compose exec -T db pg_dump -U umami -d umami -Fc > umami-$(date +%F).dump

Planlæg denne kommando på serveren mindst én gang om dagen, ryd op i eksporterne, som hober sig op, og send en kopi et andet sted hen. Lagt på serverens disk indgår disse eksporter også i dens natlige backup.

Gendan

1. Stop Umami, og lad databasen køre: docker compose stop umami.
2. Gendan eksporten i databasen, så de eksisterende objekter erstattes.
3. Start Umami igen, og kontrollér derefter, at dine websites og deres analyse er der.

docker compose stop umami
docker compose exec -T db pg_restore -U umami -d umami --clean --if-exists < umami-YYYY-MM-DD.dump
docker compose start umami

Gentag denne øvelse en gang imellem på en kopi: sådan kontrollerer du, at en backup virker.

Opdateringer

Dokumentationen giver to kommandoer, fra mappen med compose.yaml. Databasen bliver i sit volumen:

docker compose pull
docker compose up --force-recreate -d

Ved genstart anvender containeren selv skemaets migreringer. Version 3.4.0 fra den 17. september 2026 havde to af dem med, til annoteringer og API-nøgler; version 3.4.1 fra den 23. oktober 2026 har ingen. Efter en større opgradering, som overgangen til version 3, foreslår dokumentationen at køre ANALYZE i PostgreSQL, så dashboardene får deres hastighed tilbage:

docker compose exec db psql -U umami -d umami -c "ANALYZE;"

• Versionsnoterne fortæller, hvad hver version ændrer. Version 3.4.1 er en sikkerhedsrettelse, der opdaterer Next.js og Node.js-basisimaget; dens noter beder alle selvhostede instanser om at opgradere ved at hente imaget igen.
• Fra en version 2 på MySQL: version 3 understøtter ikke længere MySQL. Projektets migreringsguide flytter dataene til PostgreSQL på version 2.19.0, før opgraderingen til version 3.
• Selve PostgreSQL: behold filens tag postgres:15-alpine. Overgangen til en ny hovedversion af PostgreSQL kræver en eksport og en gendannelse eller pg_upgrade.

Hvem gør hvad på en Managed VPS

Selvhosting kræver, at du holder serveren ud over selve applikationen. På en Managed VPS tager vores teams sig af serveren og følger din instans proaktivt; Umami forbliver din software, med dens indstillinger og data.

Hvis du foretrækker, at vores teams griber ind i selve applikationen, faktureres den ydelse pr. time eller som fast pris, med et overslag oplyst før indgrebet.