Alojar FreshRSS en un VPS administrado: sus feeds RSS en su propio servidor

Qué hace FreshRSS

FreshRSS es un agregador de feeds RSS autoalojado, escrito en PHP. Su README lo describe como ligero, fácil de usar, potente y personalizable, traducido a más de veinte idiomas. Es una aplicación multiusuario, con un modo de lectura anónimo y etiquetas personalizadas.

• La lectura: sus suscripciones ordenadas en categorías, etiquetas, favoritos y búsquedas guardadas.
• WebSub: FreshRSS recibe al instante los nuevos artículos de las fuentes compatibles, que los envían en lugar de esperar a la siguiente actualización.
• La extracción de páginas web: para un sitio sin feed RSS ni Atom, FreshRSS lee la propia página con reglas XPath, y también sabe leer documentos JSON.
• El uso compartido: una selección de artículos puede volver a publicarse en HTML, RSS u OPML.
• Las aplicaciones: una API para las aplicaciones móviles y de escritorio, una interfaz de línea de comandos y extensiones.

FreshRSS lo desarrolla su comunidad en GitHub, y su sitio oficial lo publica la comunidad FreshRSS. Las extensiones viven en un repositorio aparte, y la documentación se dirige a usuarios, administradores y desarrolladores.

Lo que permite la licencia AGPL-3.0

FreshRSS se publica bajo la GNU Affero General Public License, versión 3: su manifiesto composer.json la declara como AGPL-3.0, y su README enlaza al texto de la licencia. Ese texto afirma un permiso ilimitado para ejecutar el programa sin modificar. Puede, por tanto, usar la imagen publicada por el proyecto para su empresa y su equipo, sin ninguna licencia que comprar.

El artículo 13 añade una condición propia de la AGPL: si modifica el programa, su versión debe ofrecer a todos los que la usan a distancia, por la red, el modo de obtener gratuitamente su código fuente. Una extensión de terceros añadida al volumen extensions sigue su propia licencia.

La instalación con Docker Compose

El proyecto publica sus imágenes oficiales en Docker Hub, con el nombre freshrss/freshrss, junto con un archivo Compose de ejemplo. En un servidor con Docker instalado, cree una carpeta llamada freshrss y coloque en ella este compose.yaml, tomado de ese archivo y del README de Docker:

volumes:
  data:
  extensions:

services:
  freshrss:
    image: freshrss/freshrss:latest
    container_name: freshrss
    hostname: freshrss
    restart: unless-stopped
    logging:
      options:
        max-size: 10m
    volumes:
      - data:/var/www/FreshRSS/data
      - extensions:/var/www/FreshRSS/extensions
    ports:
      - 127.0.0.1:8080:80
    environment:
      TZ: UTC
      CRON_MIN: '3,33'
      TRUSTED_PROXY: 172.16.0.1/12 192.168.0.1/16
    healthcheck:
      test: ["CMD", "cli/health.php"]
      timeout: 10s
      start_period: 60s
      start_interval: 11s
      interval: 75s
      retries: 3

docker compose up -d

• Un puerto publicado en 127.0.0.1: FreshRSS solo es accesible a través del proxy inverso, colocado en el mismo servidor. El archivo de ejemplo del proyecto publica el puerto 8080 para un uso local; aquí, la dirección 127.0.0.1 lo reserva al proxy.
• El volumen data guarda la configuración, las cuentas y, con SQLite, la base de datos de cada usuario. El README señala que contiene todos los datos personales. Docker Compose lo nombra a partir de la carpeta: freshrss_data.
• El volumen extensions guarda las extensiones de terceros, si añade alguna.
• TZ recibe la zona horaria del servidor, en formato PHP; su valor por defecto es UTC.
• TRUSTED_PROXY conserva el valor del archivo de ejemplo: los rangos privados de los que llegan las peticiones del proxy. Decide qué dirección se anota en los registros, la del visitante o la del proxy.
• La comprobación de estado ejecuta cli/health.php a intervalos regulares, para que Docker sepa si la instancia responde.

La etiqueta latest, la predeterminada, sigue la última versión numerada; edge sigue la versión continua; una etiqueta como 1.30.4 fija una versión, y el sufijo -alpine ofrece lo mismo sobre una base Alpine en lugar de Debian. La sección de actualizaciones vuelve sobre esta elección.

Terminar la instalación

Una vez instalado el proxy inverso, abra su dirección HTTPS: el asistente de instalación pregunta el idioma, comprueba el servidor, propone la elección de la base de datos y crea después la cuenta de administrador, con su contraseña y el método de inicio de sesión. SQLite funciona sin nada que preparar. La instalación se hace también desde la línea de comandos, con cli/do-install.php y cli/create-user.php, ejecutados mediante docker exec --user www-data freshrss.

En cuanto a recursos, el README pide un servidor ligero, con Linux o Windows, y señala que FreshRSS funciona incluso en una Raspberry Pi 1, con tiempos de respuesta inferiores a un segundo, con 150 feeds y 22.000 artículos. El tamaño depende del número de usuarios, de feeds y de artículos conservados. En un VPS administrado, descríbanos su uso y le recomendamos el tamaño adecuado.

HTTPS: el proxy inverso

Para producción, el README de Docker aconseja un proxy inverso en el servidor anfitrión, que se encarga de HTTPS. Elija primero un nombre de dominio o un subdominio, como rss.example.com, que apunte al servidor con registros A y AAAA. El proyecto recomienda Traefik y publica para él un archivo Compose completo, con los certificados de Let’s Encrypt y la redirección de HTTP a HTTPS; también da ejemplos para Apache, Nginx y Caddy.

Con Caddy

Caddy obtiene el certificado y activa HTTPS por sí mismo. Este bloque sigue el ejemplo de la documentación para un subdominio, dirigido aquí al puerto publicado en local:

rss.example.com {
  reverse_proxy 127.0.0.1:8080
}

Con Nginx y Certbot

Este bloque sigue el ejemplo de Nginx del README de Docker para la raíz de un dominio, reducido al puerto 80 para que Certbot pueda instalar HTTPS. Las dos últimas líneas transmiten la cabecera Authorization, que necesita la API de Google Reader:

upstream freshrss {
  server 127.0.0.1:8080;
  keepalive 64;
}

server {
  listen 80;
  listen [::]:80;
  server_name rss.example.com;

  location / {
    proxy_pass http://freshrss/;
    proxy_redirect off;
    proxy_buffering off;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_set_header X-Forwarded-Port $server_port;
    proxy_read_timeout 90;

    proxy_set_header Authorization $http_authorization;
    proxy_pass_header Authorization;
  }
}

Certbot instala después el certificado y se encarga de renovarlo:

sudo certbot --nginx

La dirección pública: base_url

FreshRSS guarda su dirección pública en base_url, en el archivo data/config.php. La API y WebSub dependen de ella: compruebe que contiene su dirección en https. El README de Docker muestra dónde encontrar este archivo en el volumen:

docker volume inspect freshrss_data
sudo nano /var/lib/docker/volumes/freshrss_data/_data/config.php
docker compose restart freshrss

'base_url' => 'https://rss.example.com/',

La actualización de los feeds: CRON_MIN

FreshRSS recupera los nuevos artículos con su script app/actualize_script.php. La imagen Docker incluye una tarea programada que lo ejecuta en los minutos indicados en CRON_MIN. Sin esta variable, o con un valor vacío, la tarea queda desactivada y los feeds dejan de actualizarse por sí solos.

• El ritmo: el proyecto recomienda unas dos ejecuciones por hora, por ejemplo 13,43; */20 también sirve.
• El límite: el script no actualiza el mismo feed más de una vez cada veinte minutos, así que un calendario más apretado no aporta nada.
• El tiempo real: WebSub toma el relevo para las fuentes compatibles. Necesita una dirección pública, leída en base_url, y el asistente de instalación lo activa cuando el servidor dispone de una.

Otro método documentado: una tarea programada en el servidor anfitrión, que llama al script dentro del contenedor. En ese caso, quite CRON_MIN de compose.yaml, para conservar un único método:

7,37 * * * * root docker exec --user www-data freshrss php ./app/actualize_script.php > /tmp/FreshRSS.log 2>&1

Desde la versión 1.30.0, FreshRSS rechaza por defecto las direcciones de la red local, como 127.0.0.1, para protegerse de la falsificación de peticiones del lado del servidor. Un servicio vecino que produce feeds, como RSS-Bridge, se autoriza mediante la variable INTERNAL_HOST_ALLOWLIST, con la forma rss-bridge:80, o en la configuración del sistema. El valor * elimina toda comprobación, y la documentación lo considera inseguro.

Las cuentas y el inicio de sesión

Durante la instalación, FreshRSS propone el inicio de sesión por formulario, que requiere JavaScript. Es el método por defecto y conviene a la mayoría de las instancias. La documentación describe otros:

La documentación advierte de que FreshRSS confía en cualquier dirección indicada en TRUSTED_PROXY: un proxy mal protegido permitiría a un atacante fijar la cabecera y obtener un acceso de administrador. Aquí, el puerto solo escucha en 127.0.0.1, lo que lo reserva al proxy del propio servidor. La documentación desaconseja también cualquier instancia sin autenticación en cuanto el servidor es accesible desde fuera de su red.

Los registros y los usuarios

• Cerrados por defecto: la configuración fija el número de cuentas en 1, la del administrador. El formulario de registro solo aparece si aumenta ese número, en Administración, Configuración del sistema; 0 elimina cualquier límite.
• Las cuentas creadas por el administrador: Administración, Gestión de usuarios, con el idioma, el nombre de usuario, la contraseña y si la cuenta es de administrador.
• La nueva autenticación se exige antes de las acciones sensibles, como dar a un usuario el rol de administrador o aplicar una actualización, al cabo de 20 minutos por defecto.
• La validación de la dirección de correo es opcional. Necesita un servidor SMTP, configurado con mailer y smtp en data/config.php: la documentación indica que el envío mediante la función mail de PHP aún no está disponible dentro de las imágenes Docker oficiales.

Para una instancia compartida entre varias personas, la documentación aconseja abrir las cuentas a personas de confianza y mantener la instancia detrás de un proxy o un cortafuegos que bloquee el acceso a los rangos de direcciones internos.

Las aplicaciones móviles: las API de Google Reader y Fever

FreshRSS funciona en el navegador, tanto en pantallas grandes como pequeñas, y en aplicaciones para Android, iOS, Linux, Windows y macOS. Estas aplicaciones usan una de sus dos API: Google Reader, que el README considera la mejor, y Fever, con funciones más limitadas, menos eficaz y menos segura.

1. Como administrador, en la sección Autenticación, active la opción que permite el acceso a la API.
2. Cada usuario define una contraseña de API en su perfil. Es distinta de la contraseña principal, da acceso a menos cosas y está pensada para las situaciones menos seguras.
3. En la aplicación, introduzca la dirección https://rss.example.com/api/greader.php, o https://rss.example.com/api/fever.php para Fever, con el nombre de usuario y esa contraseña de API.

Para comprobarlo, el enlace que aparece junto a la contraseña de API, en el perfil, abre una página de prueba: PASS en la comprobación completa confirma que todo funciona. La imagen Docker ya configura Apache para aceptar las barras codificadas, que algunas aplicaciones necesitan; con Nginx delante, conserve la transmisión de la cabecera Authorization.

El README mantiene una tabla de aplicaciones compatibles, con su plataforma, su API y sus funciones: Capy Reader y Readrops en Android, FeedFlow en móvil y escritorio, RSS Guard y NewsFlash en escritorio, ReadKit y Reeder Classic en iOS y macOS, entre otras.

SQLite, PostgreSQL, MySQL o MariaDB

FreshRSS incluye SQLite, que el README de Docker describe como la opción más sencilla, con buen rendimiento. La página de requisitos recomienda PostgreSQL 10 o posterior, y acepta también MariaDB 10.6 y MySQL 8.0 o posterior. La elección se hace en el asistente de instalación.

Para PostgreSQL, añada este servicio a compose.yaml, tomado del archivo docker-compose-db.yml del proyecto, y el volumen db a la lista de volúmenes. La contraseña va en un archivo .env, junto a compose.yaml:

  freshrss-db:
    image: postgres:18
    container_name: freshrss-db
    hostname: freshrss-db
    restart: unless-stopped
    logging:
      options:
        max-size: 10m
    volumes:
      - db:/var/lib/postgresql
    environment:
      POSTGRES_DB: freshrss
      POSTGRES_USER: freshrss
      POSTGRES_PASSWORD: ${DB_PASSWORD}

DB_PASSWORD='a-long-unique-password'

En el asistente, elija PostgreSQL e indique freshrss-db como host, con el usuario, la contraseña y la base freshrss.

Puede revisar esta elección más adelante. La documentación describe el paso de una base de datos a otra, de MySQL a PostgreSQL por ejemplo, o a una versión mayor más reciente de PostgreSQL: cli/db-backup.php copia la base de cada usuario en un archivo SQLite, y cli/db-restore.php la carga después en la nueva base.

Las copias de seguridad

El README precisa que FreshRSS se ofrece sin ninguna garantía: sus copias de seguridad conservan sus suscripciones, sus artículos y sus ajustes. Esto es lo que la documentación pide copiar:

Los volúmenes, con el servicio detenido

La documentación considera más seguro detener el servicio durante las operaciones de mantenimiento. Los volúmenes Docker se copian con un contenedor temporal, el método que describe la documentación de Docker:

docker compose stop freshrss
docker run --rm --volumes-from freshrss -v "$PWD":/backup ubuntu tar -czf /backup/freshrss-$(date +%F).tgz --exclude=data/cache -C /var/www/FreshRSS data extensions
docker compose start freshrss

Las bases de datos, con el servicio en marcha

Desde la versión 1.29.1, FreshRSS sabe exportar él mismo la base de cada usuario a un archivo SQLite, sea cual sea la base de datos que use, y conservar solo las más recientes. Active esta exportación en data/config.php:

'auto_sqlite_export' => [
    'enabled' => true,
    'retention' => 7,
],

Programe después el comando en el servidor, aquí cada noche. Cada ejecución escribe data/users/<user>/sqlite-backups/<date>.sqlite y elimina los archivos que superan los siete últimos:

20 2 * * * root docker exec --user www-data freshrss cli/export-sqlite-auto.php --quiet

Con PostgreSQL, añada una exportación con la herramienta propia de la base, como en el README de Docker. La opción -T prescinde del terminal, que una tarea programada no necesita:

docker compose exec -T freshrss-db pg_dump -U freshrss freshrss | gzip -9 > freshrss-postgres-$(date +%F).sql.gz

La exportación OPML, desde la interfaz, guarda su lista de feeds, sin algunos ajustes propios de FreshRSS, como los accesos o las reglas de extracción de páginas. Para una copia completa, conserve las exportaciones SQLite: colocadas en el disco del servidor, entran también en sus copias de seguridad nocturnas.

Restaurar

1. Detenga FreshRSS con docker compose stop freshrss.
2. Vuelva a cargar el archivo en los volúmenes: docker run --rm --volumes-from freshrss -v "$PWD":/backup ubuntu tar -xzf /backup/freshrss-YYYY-MM-DD.tgz -C /var/www/FreshRSS.
3. Con una base de datos externa, restáurela a partir de su exportación, o de los archivos SQLite con cli/db-restore.php --delete-backup --force-overwrite.
4. Vuelva a arrancar con docker compose start freshrss y compruebe después que sus feeds y sus artículos están ahí.

Repita este ejercicio de vez en cuando, sobre una copia: así comprueba que una copia de seguridad funciona.

Las actualizaciones

El README de Docker da dos comandos, desde la carpeta del compose.yaml. Los volúmenes se quedan en su sitio:

docker compose pull
docker compose up -d

FreshRSS publica en dos canales. Las versiones numeradas, etiqueta latest, salen algunas veces al año, sin calendario fijo, y sus correcciones no se trasladan a las versiones anteriores. La versión continua, etiqueta edge, recibe las nuevas funciones y las correcciones a medida que llegan: desde la versión 1.30.0, el proyecto la recomienda para obtener antes los parches de seguridad.

• Primero, la copia de seguridad: la documentación pide una copia de data/, de las extensiones y de la base de datos antes de cada actualización.
• Versión a versión: si lleva varias versiones de retraso, pase por cada una, por ejemplo de la 1.26.0 a la 1.27.1 antes de la 1.28.1, comprobando en cada paso. Con Docker, las etiquetas como 1.29.1 hacen posible este recorrido.
• Las versiones recientes: la 1.30.4 del 21 de octubre de 2026 es la cuarta versión de seguridad de la serie 1.30. Corrige vulnerabilidades de PHP en las imágenes Alpine, después de la 1.30.3, que pasó la imagen Debian predeterminada a Debian 13.

Para seguir las nuevas versiones, el proyecto publica un feed Atom de sus versiones: suscriba a él su propia instancia de FreshRSS.

Quién hace qué en un VPS administrado

El autoalojamiento exige mantener el servidor además de la aplicación. En un VPS administrado, nuestros equipos se encargan del servidor y siguen su instancia de forma proactiva; FreshRSS sigue siendo su software, con sus ajustes y sus datos.

Si prefiere que nuestros equipos intervengan en la propia aplicación, ese servicio se factura por horas o a precio cerrado, con un presupuesto comunicado antes de la intervención.