Firefly III op engem Managed VPS hosten: Är Finanzen op Ärem Server

Wat Firefly III mécht

Firefly III ass e Programm fir d’Gestioun vu perséinleche Finanzen, fir d’Selwerhosten geduecht. Hien hält Är Ausgaben an Äert Akommes fest, mat Budgeten, Kategorien an Tags, fir datt Dir gesitt, wou Äert Geld higeet. Säi README beschreift en als komplett selwer gehost an isoléiert: hie kontaktéiert keen externe Server, soulaang Dir him dat net ausdrécklech sot.

• D’Buchhaltung: duebel Buchféierung, Verméigenskonten, Verbindlechkeeten an all Wärung, déi Dir wëllt.
• D’Automatiséierung: widderhuelend Transaktiounen, a Reegelen, déi Dir selwer schreift, fir all Transaktioun anzeuerdnen.
• De Suivi: Budgeten, Spuerbéchse fir op en Zil hin ze spueren, Rapporten iwwer Akommes an Ausgaben, Grafiken.
• D’Sécherheet: Zwee-Faktor-Authentifiséierung fir all Kont.
• D’Oppenheet: eng REST-JSON-API, déi bal déi ganz Applikatioun ofdeckt, an derzou Webhooks.

Eng Instanz hält esou vill Benotzer, wéi Dir wëllt, jidderee mat enger finanzieller Verwaltung, déi komplett vun deenen anere getrennt ass. D’Dokumentatioun beschreift e Modell, fir eng eenzeg Verwaltung ze deelen, deen de Moment an der Entwécklung ass.

Wat d’AGPL-Lizenz erlaabt

Firefly III gëtt ënner der GNU Affero General Public License, Versioun 3 oder, no Ärer Wiel, all spéiderer Versioun publizéiert: dat ass den SPDX-Identifiant AGPL-3.0-or-later a sengem Fichier composer.json. Den Text erkläert eng onbegrenzt Erlaabnes, de net geännerte Programm lafen ze loossen. Dir kënnt also d’Image notzen, déi de Projet publizéiert, fir Iech selwer, Är Famill oder Är Entreprise, ouni eng Lizenz ze kafen.

Den Artikel 13 setzt eng Bedingung derbäi, déi der AGPL eegen ass: wann Dir de Programm ännert, muss Är Versioun all deenen, déi se iwwer d’Netz op Distanz notzen, d’Méiglechkeet ginn, hire Quellcode gratis ze kréien. Den Data Importer steet ënner der selwechter Lizenz.

D’Installatioun mat Docker Compose

D’Dokumentatioun nennt Docker Compose deen einfachste Wee, fir Firefly III z’installéieren. Op engem Server, wou Docker installéiert ass, erstellt Dir en Dossier a luet déi dräi offiziell Fichieren dran erof, am Rohformat: hir Abstänn zielen, an d’Dokumentatioun freet, se net aus dem Browser ze kopéieren.

mkdir firefly-iii && cd firefly-iii
curl -o docker-compose.yml https://raw.githubusercontent.com/firefly-iii/docker/main/docker-compose.yml
curl -o .env https://raw.githubusercontent.com/firefly-iii/firefly-iii/main/.env.example
curl -o .db.env https://raw.githubusercontent.com/firefly-iii/docker/main/database.env

• docker-compose.yml beschreift dräi Servicer: app, d’Applikatioun, db, eng MariaDB-Datebank, an cron, déi geplangten Aufgab.
• .env hält d’Astellunge vu Firefly III, dorënner de Verschlësselungsschlëssel an den Zougang zur Datebank.
• .db.env hält d’Astellunge vun der Datebank. Behaalt déi zwee Nimm: de Compose-Fichier verweist iwwer env_file op si.

D’Astellungen, déi virum éischte Start z’änneren sinn

Generéiert zwou Zeecheketten vun 32 Zeechen mam Befehl, deen am Fichier .env steet: eng fir de Schlëssel, eng fir d’Passwuert vun der Datebank.

head /dev/urandom | LC_ALL=C tr -dc 'A-Za-z0-9' | head -c 32 && echo

SITE_OWNER=you@example.com
APP_KEY=
DB_PASSWORD=
APP_URL=https://finances.example.com

MYSQL_PASSWORD=

• APP_KEY verschlësselt Är Sessiounen. Hien ass genee 32 Zeechen laang, ouni Spezialzeeche wéi =, #, < oder >, an de Fichier freet, en ganz sécher opzebewahren.
• DB_PASSWORD an .env an MYSQL_PASSWORD an .db.env kréien dee selwechte Wäert.
• SITE_OWNER: Är Adress, déi bei e puer Feeler de Benotzer ugewise gëtt, déi keng Administrateure sinn.
• APP_URL: d’ëffentlech Adress vun Ärer Instanz. De Fichier erkläert, datt se dozou déngt, verschidden Ufroen ze validéieren an d’Linken an den E-Mailen opzebauen.
• TZ: Är Zäitzon, am Format vun der tz-Datebank, wéi d’Beispill am Fichier et weist.

Wielt d’Passwuert vun der Datebank virum éischte Start. D’Datebank späichert et an hirem Volume, soubal se erstallt ass: ännert Dir et duerno, passt et net méi, an d’Docker-FAQ bitt just ee Wee eraus, d’Container an d’Volumen ze läschen an nei unzefänken.

E lokal publizéierte Port

Den offizielle Fichier publizéiert d’Applikatioun um Port 80 vun alle Adresse vum Server. Fir se iwwer HTTPS hannert engem Reverse Proxy op der selwechter Maschinn ze servéieren, ännert dës eenzeg Zeil am Service app:

ports:
  - 127.0.0.1:8080:8080

docker compose -f docker-compose.yml up -d --pull=always
docker compose -f docker-compose.yml logs -f

Beim éischte Start erstellt a migréiert de Container d’Datebank selwer. Wann d’Installatioun fäerdeg ass, seet Firefly III Iech am Logbuch Merci fir d’Installatioun: gitt dann op de Reverse Proxy weider.

• Den Tag latest follegt der leschter stabiler Versioun. En Tag wéi version-6.7.9 fixéiert eng Versioun; de Projet läscht déi al no ongeféier sechs Méint.
• D’Architekturen: d’Images ginn fir linux/amd64 a linux/arm64 gebaut.
• D’Volumen: firefly_iii_upload hält d’Unhäng, firefly_iii_db d’Datebank.

D’Dokumentatioun gëtt keng Zuel fir den Aarbechtsspäicher un; hir Docker-FAQ proposéiert PHP_MEMORY_LIMIT=512M oder méi, wann PHP net genuch Späicher huet. D’Gréisst hänkt vun der Zuel vun de Benotzer, dem Volume vun den Transaktiounen an dem Data Importer of. Op engem Managed VPS beschreift Dir eis Äre Gebrauch, a mir recommandéieren Iech déi passend Gréisst.

HTTPS an de Reverse Proxy

Firefly III servéiert d’Applikatioun iwwer HTTP um Port 8080 am Container, an HTTPS läit beim Reverse Proxy, deen dovirsteet. D’Applikatioun liest den Header X-Forwarded-Proto, fir ze wëssen, datt de Besucher iwwer HTTPS komm ass, soulaang se dem Proxy vertraut:

TRUSTED_PROXIES=*

D’Docker-FAQ ass op dësem Punkt kloer: ouni TRUSTED_PROXIES=* bleiwen d’Linken op http, d’Formulairen an d’Grafike funktionéieren net méi, an d’CSP-Sécherheetsheader versoen. Mam Port, deen op 127.0.0.1 publizéiert ass, erreecht nëmmen de Proxy vum Server selwer d’Applikatioun. Erstellt de Container no all Ännerung am Fichier .env nei:

docker compose up -d --force-recreate app

Mat Caddy

Caddy kritt d’Zertifikat vu Let’s Encrypt vu sech aus, a seng Direktiv reverse_proxy setzt standardméisseg d’Header X-Forwarded-For, X-Forwarded-Proto an X-Forwarded-Host:

finances.example.com {
  reverse_proxy 127.0.0.1:8080
}

Mat Nginx a Certbot

Dëse Block hëlt d’Header aus der Installatiouns-FAQ op, an d’Puffer, déi si géint 502-Feeler proposéiert, wann d’Applikatioun en Token an engem laangen Header zeréckschéckt. Hie lauschtert um Port 80, fir datt Certbot HTTPS ariichte kann:

server {
    listen 80;
    listen [::]:80;
    server_name finances.example.com;

    client_max_body_size 64M;
    proxy_buffer_size 128k;
    proxy_buffers 4 256k;
    proxy_busy_buffers_size 256k;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Server $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_read_timeout 300s;
    }
}

Certbot setzt duerno d’Zertifikat a këmmert sech drëms, et ze erneieren:

sudo certbot --nginx

• En eegenen Domainnumm: servéiert Firefly III ënner sengem eegenen Numm, wéi finances.example.com. D’FAQ mierkt un, datt Laravel eng blank IPv6-Adress an der URL net analyséiert.
• D’Feeler 431: d’FAQ féiert se op eng ze kleng Limit fir d’Gréisst vun den Headeren um Proxy zeréck, déi verschidden Aktiounen, wéi d’Umeldung, versoe léisst.

Den éischte Kont an d’Registréierungen

Deen éischte Benotzer, deen sech registréiert, gëtt de Proprietär vun der Instanz. Aus Sécherheetsgrënn mécht d’Registréierung sech duerno vu selwer zou: déi meescht Leit installéieren Firefly III just fir sech selwer.

1. Mécht Är HTTPS-Adress op, soubal de Proxy äntwert, an erstellt Äre Kont: hie kritt d’Roll vum Proprietär.
2. Aktivéiert d’Zwee-Faktor-Authentifiséierung an Ärem Profil, a behaalt déi aacht Backup-Coden, déi se uweist.
3. Fir d’Instanz fir aner Leit opzemaachen, gitt op /settings, mécht d’Konfiguratiounsoptioune vu Firefly III op, hëlt den Haken bei der Optioun ewech, déi d’Registréierung desaktivéiert, a späichert.

• D’Zwee-Faktor-Authentifiséierung hänkt vun der Auer of: d’FAQ seet, datt en Zäitënnerscheed tëscht dem Handy an dem Server se versoe léisst.
• D’Umeldung iwwer Ären Identitéitsprovider: mat AUTHENTICATION_GUARD=remote_user_guard vertraut Firefly III engem Authentifiséierungsproxy, deen dovirsteet, wéi Authelia oder Authentik, an de Benotzer an engem Header weidergëtt.
• D’Zougangstokens: OAuth-Clienten a perséinlech API-Tokens ginn aus dem Profil erstallt.

De Cron-Job

Verschidde Funktiounen funktionéieren nëmme mat enger geplangter Aufgab: d’Auto-Budgeten, d’widderhuelend Transaktiounen, d’Warnunge fir Abonnementer an aktuell Wiesselcoursen. D’Docker-Image leeft cron net vu sech aus; den offizielle Fichier setzt dofir e klenge Service cron derbäi, deen d’Applikatioun all Dag um 3 Auer moies opruff.

Hie mellt sech mat engem statesche Token un. Generéiert eng drëtt Zeechekette mam selwechte Befehl, a leet se an .env of:

STATIC_CRON_TOKEN=

Dësen Token ass genee 32 Zeechen laang: de Code vun der Versioun 6.7.9 akzeptéiert keng aner Längt. Hei ass de Service, esou wéi den offizielle Fichier en deklaréiert; dat duebelt $$ ass gewollt a verweist op d’Zeilen TZ a STATIC_CRON_TOKEN vum Fichier .env:

cron:
  image: alpine
  restart: always
  container_name: firefly_iii_cron
  env_file: .env
  init: true
  command: ["sh", "-c", "apk add tzdata && \
    (ln -s /usr/share/zoneinfo/$$TZ /etc/localtime || true) && \
    echo \"0 3 * * * wget -qO- http://app:8080/api/v1/cron/$$STATIC_CRON_TOKEN;echo\" \
    | crontab - && \
    exec crond -f -L /dev/stdout"]
  networks:
    - firefly_iii
  depends_on:
    - app

Eng eenzeg Aufgab geet duer fir all d’Benotzer vun der Instanz. Fir ze kontrolléieren, ob se gelaf ass, liest d’Logbuch vum Container: all Aufgab mellt sech am JSON zeréck, mat job_fired a job_succeeded.

docker logs firefly_iii_cron

Fir se vun Hand ze lancéieren, freet d’Docker-FAQ, iwwer de Benotzer www-data ze goen amplaz iwwer root: d’FAQ verbënnt dës Fal mat Rechtefeeler op de Logfichieren:

docker exec --user www-data firefly_iii_core /usr/local/bin/php /var/www/html/artisan firefly-iii:cron --force

MariaDB, PostgreSQL oder SQLite

Den offizielle Fichier liwwert MariaDB mat, mat der Image mariadb:lts. Firefly III ënnerstëtzt och PostgreSQL an SQLite, déi mat DB_CONNECTION an .env gewielt ginn:

DB_CONNECTION=pgsql
DB_HOST=db
DB_PORT=5432

Fir PostgreSQL weist d’Dokumentatioun de Service db och op d’Image postgres, déi PostgreSQL 18 installéiert, a mountt säi Volume op /var/lib/postgresql. An .db.env ginn d’Variabelen MYSQL_* zu POSTGRES_USER, POSTGRES_DB a POSTGRES_PASSWORD.

Maacht dës Wiel, ier Dir Är éischt Transaktiounen agitt. D’FAQ seet, datt e Wiessel vun enger Datebank op eng aner méiglech bleift, ouni vu Firefly III selwer ënnerstëtzt ze ginn, an datt den Export vun der Applikatioun net all d’Donnéeë mathëlt.

Den Data Importer

De Firefly III Data Importer ass e separat Tool, mat senger eegener Installatioun a sengen eegenen Aktualiséierungen; seng Versioun 2.3.5 ass den 23. September 2026 erauskomm. Hien importéiert CSV- a CAMT.053-Fichieren, a ka Transaktiounen och iwwer Datelieferante vun Drëtten direkt bei Äre Banken ofruffen, jidderee mat sengen eegene Konditiounen.

Den offiziellen Docker-Repository liwwert en an engem zweete Fichier, docker-compose-importer.yml, deen déiselwecht Servicer behält an importer derbäisetzt. Seng Astellunge kommen an e Fichier .importer.env, aus dem .env.example vum Importer geholl. Servéiert en ënner sengem eegenen Domainnumm, mat engem lokal publizéierte Port an engem zweete Proxy-Block: d’FAQ freet, en net an en Ënnerverzeechnes ze setzen.

FIREFLY_III_URL=http://app:8080
VANITY_URL=https://finances.example.com
TRUSTED_PROXIES=*

• FIREFLY_III_URL: déi intern Adress vun der Applikatioun, déi den Importer iwwer d’Docker-Netz erreecht.
• VANITY_URL: d’ëffentlech Adress vu Firefly III, déi, déi Är Benotzer kennen.
• Den OAuth-Client: erstellt an Ärem Firefly-III-Profil e Client, deem seng Callback-URL d’Adress vum Importer ass, gefollegt vun /callback, an hëlt den Haken bei „Confidential“ ewech. Den Importer freet dann no senger Client-ID.
• Méi Benotzer: loosst FIREFLY_III_ACCESS_TOKEN eidel a behaalt FIREFLY_III_URL; all Benotzer mellt sech dann mat sengem eegene Kont beim Importer un.

D’E-Mailen: d’SMTP-Konfiguratioun

Standardméisseg schreift MAIL_MAILER=log d’Messagen an d’Logbicher, amplaz se ze schécken. Fir Notifikatiounen ze kréien, wéi d’Warnunge fir Abonnementer, riicht de Versand an .env an. D’Dokumentatioun freet, ëmmer MAIL_FROM a SITE_OWNER z’änneren, well soss keng E-Mail erausgeet.

Op engem Simafri-VPS geet de Versand iwwer en authentifizéierte SMTP-Relais, um Port 587: d’Adress vun engem E-Mail-Kont, deen Dir schonn hutt, oder Simafri Suite.

MAIL_MAILER=smtp
MAIL_HOST=smtp.example.com
MAIL_PORT=587
MAIL_FROM=finances@example.com
MAIL_USERNAME=finances@example.com
MAIL_PASSWORD=account_password
MAIL_ENCRYPTION=tls

• MAIL_ENCRYPTION akzeptéiert null, ssl, starttls oder tls, jee no Ärem Provider; de Code vun der Versioun 6.7.9 fällt op tls zeréck, wann de Wäert eidel ass.
• Den Test: d’Säit /settings/notifications schéckt eng Test-E-Mail, soubal de Container nei erstallt ass.
• Aner Kanäl: d’Notifikatioune kënnen och op Slack goen, an op Discord oder Mattermost iwwer hir Webhook-URL, gefollegt vun /slack.

D’Backups

Firefly III huet keng integréiert Backup-Routine: d’Dokumentatioun recommandéiert d’Tools vum System selwer, a weist drop hin, datt d’Exportfunktioun vun der Applikatioun keng Backup ass. Mat Docker ass dat hei ze behalen:

D’Datebank, wärend de Service leeft

Mat MariaDB exportéiert mariadb-dump d’Datebank, ouni de Service ze stoppen; seng Optioun --single-transaction gëtt eng kohärent Kopie vun den InnoDB-Tabellen, ouni se ze spären. Aus dem Dossier vum Compose-Fichier lancéiert, liest de Befehl d’Zougangsdaten aus dem Ëmfeld vum Container:

docker exec firefly_iii_db sh -c 'mariadb-dump --single-transaction -u"$MYSQL_USER" -p"$MYSQL_PASSWORD" "$MYSQL_DATABASE"' > firefly-$(date +%F).sql

Mat PostgreSQL geet déiselwecht Iddi iwwer pg_dump:

docker exec firefly_iii_db sh -c 'pg_dump -U "$POSTGRES_USER" "$POSTGRES_DB"' > firefly-$(date +%F).sql

Plangt dësen Export um Server op d’mannst eemol am Dag, a sortéiert d’Fichieren, déi sech opstapelen.

D’Volumen, wann de Service gestoppt ass

D’Dokumentatioun archivéiert all Volume mat engem Container, deen nëmmen dofir gestart an duerno geläscht gëtt. Docker Compose setzt de Projetnumm virun d’Nimm vun de Volumen, an dat ass standardméisseg den Numm vum Dossier: kontrolléiert déi genee Nimm, ier Dir d’Archiv lancéiert.

docker volume ls
docker compose stop
docker run --rm -v "firefly-iii_firefly_iii_db:/tmp" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -czvf /backup/firefly_db.tar /tmp
docker run --rm -v "firefly-iii_firefly_iii_upload:/tmp" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -czvf /backup/firefly_upload.tar /tmp
docker compose start

E falsch geschriwwenen Numm vun engem Volume léist kee Feeler aus: Docker erstellt ënner dësem Numm en eidele Volume an archivéiert en, wat déi viregt Backup iwwerschreift. D’Dokumentatioun freet, virun all Archiv ze kontrolléieren, datt de Volume existéiert.

Behaalt eng Kopie vun .env an dësen Archiven ausserhalb vum Server, verschlësselt, well se de Schlëssel an d’Zougangsdate vun der Datebank enthält. Um Disk vum Server geluecht, kommen dës Fichieren och an seng Backups vun der Nuecht.

Restauréieren

D’Dokumentatioun restauréiert e Volume mam ëmgedréinte Befehl, wann de Service gestoppt ass; de Volume vun den Unhäng gëtt op déiselwecht Manéier restauréiert:

docker run --rm -v "firefly-iii_firefly_iii_db:/recover" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -xvf /backup/firefly_db.tar -C /recover --strip 1

En SQL-Export gëtt an déi lafend Datebank nees agelueden:

docker exec -i firefly_iii_db sh -c 'mariadb -u"$MYSQL_USER" -p"$MYSQL_PASSWORD" "$MYSQL_DATABASE"' < firefly-YYYY-MM-DD.sql

Restauréiert och .env mat sengem APP_KEY, start dann nei a mécht Är Konten op. D’Dokumentatioun widderhëlt et no all Method: dat Éischt, wat ee mat enger Backup mécht, ass se ze restauréieren, fir ze kontrolléieren, datt se funktionéiert.

Aktualiséierungen a Migratiounen

Firefly III aktualiséiert sech selwer, souguer vu Versiounen esou al wéi 4.7, a migréiert seng Datebank beim Start vum Container. D’Dokumentatioun warnt, datt e puer Aktualiséierungen Donnéeën ewechhuelen oder botzen, a freet virun all Aktualiséierung eng Backup vun der Datebank an de Volumen, besonnesch beim Wiessel op eng nei Haaptversioun. Aus dem Dossier vum Compose-Fichier:

docker compose stop
docker compose pull
docker compose -f docker-compose.yml up -d --remove-orphans

• De Rhythmus: vun der 6.7.0 vum 14. September 2026 bis zur 6.7.9 vum 11. Oktober 2026 sinn zéng Versiounen a véier Wochen erauskomm. Verfollegt d’Release Notes: zënter der 6.7.8 resüméiert eng Fënster an der Applikatioun déi wichtegst Ännerunge vun der installéierter Versioun.
• D’Versioun 6.7.0 huet eng nei Interface bruecht; hire Motor fir Reegelausdréck ass standardméisseg ausgeschalt a gëtt an /settings nees ageschalt.
• De Compose-Fichier: wann Dir en nei eroflued, kontrolléiert d’Versioun vun der Datebank, déi en deklaréiert. D’Dokumentatioun warnt, datt eng nei Haaptversioun vu MariaDB de Volume vun där aler eventuell net iwwerhëlt.
• Eng Migratioun, déi net gegraff huet: zënter der 6.4.19 läscht php artisan correction:rollback-single-migration déi lescht Migratiounsentrée, ouni d’Donnéeën unzepaken, an php artisan migrate lancéiert se dann nach eng Kéier, am Container.
• Signéiert Versiounen: de Projet signéiert seng Versiounen, wat Dir mat sengem PGP-Schlëssel kontrolléiere kënnt.

Den Importer gëtt op déiselwecht Manéier aktualiséiert, mat docker compose rm -f tëscht dem Stoppen an dem Eroflueden vun den Images, laut senger Dokumentatioun.

Wien mécht wat op engem Managed VPS

Selwer hosten heescht, de Server zousätzlech zur Applikatioun ze halen. Op engem Managed VPS huelen eis Equippen de Server an d’Hand a verfollegen Är Instanz proaktiv; Firefly III bleift Är Software, mat sengen Astellungen an Äre Finanzdonnéeën.

Wann Dir léiwer wëllt, datt eis Equippen an der Applikatioun selwer intervenéieren, gëtt dës Prestatioun op Stonnebasis oder pauschal verrechent, mat engem Käschtevirschlag, deen Iech virun der Interventioun matgedeelt gëtt.