Hostovanie Firefly III na Managed VPS: vaše financie na vašom serveri

Čo Firefly III robí

Firefly III je správca osobných financií určený na vlastnú prevádzku. Sleduje vaše výdavky a príjmy pomocou rozpočtov, kategórií a štítkov, aby ste videli, kam idú vaše peniaze. README ho opisuje ako úplne samostatne hostovaný a izolovaný: nekontaktuje žiadny externý server, kým mu to výslovne nepovolíte.

• Účtovníctvo: podvojné účtovanie, účty aktív, záväzky a akákoľvek mena, ktorú chcete.
• Automatizácia: opakované transakcie a pravidlá, ktoré si napíšete na zatriedenie každej transakcie.
• Prehľad: rozpočty, pokladničky na sporenie na konkrétny cieľ, prehľady príjmov a výdavkov, grafy.
• Zabezpečenie: dvojfaktorové overenie pre každý účet.
• Otvorenosť: REST JSON API, ktoré pokrýva takmer celú aplikáciu, a k tomu webhooky.

Jedna inštancia hostí ľubovoľný počet používateľov, každého s finančnou administráciou úplne oddelenou od ostatných. Dokumentácia opisuje model na zdieľanie jednej administrácie, ktorý je momentálne vo vývoji.

Čo umožňuje licencia AGPL

Firefly III vychádza pod licenciou GNU Affero General Public License, verzia 3 alebo podľa vašej voľby akákoľvek neskoršia verzia: to je identifikátor SPDX AGPL-3.0-or-later v jeho súbore composer.json. Text potvrdzuje neobmedzené povolenie spúšťať nezmenený program. Obraz zverejnený projektom teda môžete používať pre seba, svoju rodinu alebo svoju firmu bez licencie, ktorú by ste museli kupovať.

Článok 13 dopĺňa podmienku vlastnú AGPL: ak program upravíte, vaša verzia musí všetkým, ktorí ju používajú na diaľku, cez sieť, ponúknuť možnosť získať jej zdrojový kód zadarmo. Importér údajov vychádza pod tou istou licenciou.

Inštalácia pomocou Docker Compose

Dokumentácia označuje Docker Compose za najjednoduchší spôsob inštalácie Firefly III. Na serveri s nainštalovaným Dockerom vytvorte priečinok a stiahnite doň tri oficiálne súbory v surovej podobe: na medzerách v nich záleží a dokumentácia žiada nekopírovať ich z prehliadača.

mkdir firefly-iii && cd firefly-iii
curl -o docker-compose.yml https://raw.githubusercontent.com/firefly-iii/docker/main/docker-compose.yml
curl -o .env https://raw.githubusercontent.com/firefly-iii/firefly-iii/main/.env.example
curl -o .db.env https://raw.githubusercontent.com/firefly-iii/docker/main/database.env

• docker-compose.yml opisuje tri služby: app, samotnú aplikáciu, db, databázu MariaDB, a cron, naplánovanú úlohu.
• .env obsahuje nastavenia Firefly III vrátane šifrovacieho kľúča a prístupu k databáze.
• .db.env obsahuje nastavenia databázy. Ponechajte oba názvy: súbor Compose sa na ne odvoláva cez env_file.

Nastavenia, ktoré treba zmeniť pred prvým spustením

Príkazom uvedeným v súbore .env vygenerujte dva reťazce s 32 znakmi: jeden pre kľúč, druhý pre heslo databázy.

head /dev/urandom | LC_ALL=C tr -dc 'A-Za-z0-9' | head -c 32 && echo

SITE_OWNER=you@example.com
APP_KEY=
DB_PASSWORD=
APP_URL=https://finances.example.com

MYSQL_PASSWORD=

• APP_KEY šifruje vaše relácie. Má presne 32 znakov, bez špeciálnych znakov ako =, #, < alebo >, a súbor žiada uchovávať ho veľmi bezpečne.
• DB_PASSWORD v .env a MYSQL_PASSWORD v .db.env majú rovnakú hodnotu.
• SITE_OWNER: vaša adresa, zobrazená pri niektorých chybách používateľom, ktorí nie sú správcami.
• APP_URL: verejná adresa vašej inštancie. Súbor vysvetľuje, že slúži na overovanie niektorých požiadaviek a na tvorbu odkazov v e-mailoch.
• TZ: vaše časové pásmo vo formáte databázy tz, ako ukazuje príklad v súbore.

Heslo databázy si zvoľte pred prvým spustením. Databáza si ho uloží do svojho zväzku hneď pri vytvorení: ak ho neskôr zmeníte, prestane sedieť a Docker FAQ ponúka jediné východisko, odstrániť kontajnery aj zväzky a začať odznova.

Port publikovaný lokálne

Oficiálny súbor publikuje aplikáciu na porte 80 všetkých adries servera. Ak ju chcete obsluhovať cez HTTPS za reverznou proxy na tom istom stroji, zmeňte v službe app tento jediný riadok:

ports:
  - 127.0.0.1:8080:8080

docker compose -f docker-compose.yml up -d --pull=always
docker compose -f docker-compose.yml logs -f

Pri prvom spustení kontajner sám vytvorí databázu a vykoná jej migrácie. Keď je inštalácia hotová, Firefly III vám v zázname poďakuje za inštaláciu: prejdite na reverznú proxy.

• Značka latest sleduje poslednú stabilnú verziu. Značka ako version-6.7.9 pripne verziu; staré značky projekt odstraňuje približne po šiestich mesiacoch.
• Architektúry: obrazy sa zostavujú pre linux/amd64 a linux/arm64.
• Zväzky: firefly_iii_upload uchováva prílohy, firefly_iii_db databázu.

Dokumentácia neuvádza nároky na pamäť; jej Docker FAQ odporúča PHP_MEMORY_LIMIT=512M alebo viac, ak PHP dôjde pamäť. Veľkosť závisí od počtu používateľov, objemu transakcií a importéra údajov. Na spravovanom VPS (Managed VPS) nám opíšte svoje použitie a odporučíme vám vhodnú veľkosť.

HTTPS a reverzná proxy

Firefly III obsluhuje aplikáciu cez HTTP na porte 8080 vnútri kontajnera a HTTPS zabezpečuje reverzná proxy pred ním. Aplikácia číta hlavičku X-Forwarded-Proto, aby vedela, že návštevník prišiel cez HTTPS, pokiaľ proxy dôveruje:

TRUSTED_PROXIES=*

Docker FAQ je v tomto bode jednoznačné: bez TRUSTED_PROXIES=* zostávajú odkazy na http, formuláre a grafy prestávajú fungovať a bezpečnostné hlavičky CSP zlyhávajú. S portom publikovaným na 127.0.0.1 sa k aplikácii dostane len proxy samotného servera. Po každej zmene súboru .env kontajner znova vytvorte:

docker compose up -d --force-recreate app

S Caddy

Caddy získa certifikát Let’s Encrypt sám a jeho direktíva reverse_proxy predvolene nastavuje hlavičky X-Forwarded-For, X-Forwarded-Proto a X-Forwarded-Host:

finances.example.com {
  reverse_proxy 127.0.0.1:8080
}

S Nginx a Certbotom

Tento blok preberá hlavičky z inštalačného FAQ a vyrovnávacie pamäte, ktoré odporúča proti chybám 502, keď aplikácia vracia token v dlhej hlavičke. Počúva na porte 80, aby HTTPS mohol zapnúť Certbot:

server {
    listen 80;
    listen [::]:80;
    server_name finances.example.com;

    client_max_body_size 64M;
    proxy_buffer_size 128k;
    proxy_buffers 4 256k;
    proxy_busy_buffers_size 256k;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header X-Forwarded-Host $host;
        proxy_set_header X-Forwarded-Server $host;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_read_timeout 300s;
    }
}

Certbot potom nainštaluje certifikát a postará sa o jeho obnovu:

sudo certbot --nginx

• Vlastné doménové meno: Firefly III obsluhujte pod vlastným menom, napríklad finances.example.com. FAQ upozorňuje, že Laravel nespracuje holú adresu IPv6 v URL.
• Chyby 431: FAQ ich pripisuje príliš nízkemu limitu veľkosti hlavičiek na proxy, kvôli ktorému zlyhávajú niektoré akcie, napríklad prihlásenie.

Prvý účet a registrácie

Prvý používateľ, ktorý sa zaregistruje, sa stáva vlastníkom inštancie. Z bezpečnostných dôvodov sa registrácie potom samy zatvoria: väčšina ľudí inštaluje Firefly III len pre seba.

1. Hneď ako proxy odpovedá, otvorte svoju adresu HTTPS a vytvorte si účet: získa rolu vlastníka.
2. Vo svojom profile zapnite dvojfaktorové overenie a uschovajte osem záložných kódov, ktoré zobrazí.
3. Ak chcete inštanciu otvoriť ďalším ľuďom, prejdite na /settings, otvorte konfiguračné voľby Firefly III, zrušte zaškrtnutie voľby, ktorá vypína registrácie, a uložte.

• Dvojfaktorové overenie sa opiera o hodiny: FAQ uvádza, že časový rozdiel medzi telefónom a serverom spôsobí jeho zlyhanie.
• Prihlásenie cez vášho poskytovateľa identity: s AUTHENTICATION_GUARD=remote_user_guard Firefly III dôveruje overovacej proxy umiestnenej pred ním, napríklad Authelia alebo Authentik, ktorá mu odovzdá používateľa v hlavičke.
• Prístupové tokeny: klienti OAuth a osobné tokeny API sa vytvárajú z profilu.

Úloha cron

Viacero funkcií funguje len s naplánovanou úlohou: automatické rozpočty, opakované transakcie, upozornenia na predplatné a aktuálne výmenné kurzy. Obraz Docker sám cron nespúšťa; oficiálny súbor na to pridáva malú službu cron, ktorá aplikáciu volá každý deň o 3:00.

Overuje sa statickým tokenom. Tým istým príkazom vygenerujte tretí reťazec a vložte ho do .env:

STATIC_CRON_TOKEN=

Tento token má presne 32 znakov: kód verzie 6.7.9 inú dĺžku neprijme. Takto službu deklaruje oficiálny súbor; zdvojené $$ je zámerné a odkazuje na riadky TZ a STATIC_CRON_TOKEN súboru .env:

cron:
  image: alpine
  restart: always
  container_name: firefly_iii_cron
  env_file: .env
  init: true
  command: ["sh", "-c", "apk add tzdata && \
    (ln -s /usr/share/zoneinfo/$$TZ /etc/localtime || true) && \
    echo \"0 3 * * * wget -qO- http://app:8080/api/v1/cron/$$STATIC_CRON_TOKEN;echo\" \
    | crontab - && \
    exec crond -f -L /dev/stdout"]
  networks:
    - firefly_iii
  depends_on:
    - app

Jedna úloha stačí pre všetkých používateľov inštancie. Či prebehla, zistíte zo záznamu kontajnera: každá úloha sa ohlási v JSON, s job_fired a job_succeeded.

docker logs firefly_iii_cron

Ak ju chcete spustiť ručne, Docker FAQ žiada použiť používateľa www-data, a nie root: s touto nástrahou FAQ spája chyby oprávnení na súboroch záznamov:

docker exec --user www-data firefly_iii_core /usr/local/bin/php /var/www/html/artisan firefly-iii:cron --force

MariaDB, PostgreSQL alebo SQLite

Oficiálny súbor dodáva MariaDB s obrazom mariadb:lts. Firefly III podporuje aj PostgreSQL a SQLite, ktoré sa volia cez DB_CONNECTION v .env:

DB_CONNECTION=pgsql
DB_HOST=db
DB_PORT=5432

Pre PostgreSQL dokumentácia nasmeruje službu db aj na obraz postgres, ktorý nainštaluje PostgreSQL 18, a jej zväzok pripojí na /var/lib/postgresql. V .db.env sa z premenných MYSQL_* stanú POSTGRES_USER, POSTGRES_DB a POSTGRES_PASSWORD.

Túto voľbu urobte skôr, než zadáte prvé transakcie. FAQ uvádza, že prechod z jednej databázy na inú je možný, hoci ho samotný Firefly III nepodporuje, a že export aplikácie neprenáša všetky údaje.

Importér údajov (Data Importer)

Firefly III Data Importer je samostatný nástroj s vlastnou inštaláciou a vlastnými aktualizáciami; jeho verzia 2.3.5 vyšla 23. septembra 2026. Importuje súbory CSV a CAMT.053 a vie aj sťahovať transakcie z vašich bánk cez externých poskytovateľov údajov, každého s vlastnými podmienkami.

Oficiálny repozitár Docker ho dodáva v druhom súbore, docker-compose-importer.yml, ktorý zachováva tie isté služby a pridáva importer. Jeho nastavenia patria do súboru .importer.env, prevzatého zo súboru .env.example importéra. Obsluhujte ho pod vlastným doménovým menom, s portom publikovaným lokálne a druhým blokom proxy: FAQ žiada neumiestňovať ho do podpriečinka.

FIREFLY_III_URL=http://app:8080
VANITY_URL=https://finances.example.com
TRUSTED_PROXIES=*

• FIREFLY_III_URL: interná adresa aplikácie, na ktorú sa importér dostane cez sieť Docker.
• VANITY_URL: verejná adresa Firefly III, tá, ktorú poznajú vaši používatelia.
• Klient OAuth: vo svojom profile Firefly III vytvorte klienta, ktorého adresa spätného volania je adresa importéra nasledovaná /callback, a zrušte zaškrtnutie „Confidential“. Importér si potom vypýta jeho ID klienta.
• Viacero používateľov: nechajte FIREFLY_III_ACCESS_TOKEN prázdny a ponechajte FIREFLY_III_URL; každý používateľ sa potom do importéra prihlási vlastným účtom.

E-maily: konfigurácia SMTP

Predvolene MAIL_MAILER=log zapisuje správy do záznamov namiesto ich odosielania. Ak chcete dostávať upozornenia, napríklad na predplatné, nastavte odosielanie v .env. Dokumentácia žiada vždy zmeniť MAIL_FROM a SITE_OWNER, inak žiadny e-mail neodíde.

Na VPS Simafri odosielanie prechádza cez overené relé SMTP na porte 587: adresa poštového účtu, ktorý už máte, alebo Simafri Suite.

MAIL_MAILER=smtp
MAIL_HOST=smtp.example.com
MAIL_PORT=587
MAIL_FROM=finances@example.com
MAIL_USERNAME=finances@example.com
MAIL_PASSWORD=account_password
MAIL_ENCRYPTION=tls

• MAIL_ENCRYPTION prijíma null, ssl, starttls alebo tls podľa vášho poskytovateľa; kód verzie 6.7.9 pri prázdnej hodnote použije tls.
• Skúška: stránka /settings/notifications odošle testovací e-mail, keď je kontajner znova vytvorený.
• Ďalšie kanály: upozornenia môžu ísť aj do Slacku a do Discordu alebo Mattermostu cez ich adresu webhooku nasledovanú /slack.

Zálohy

Firefly III nemá zabudovaný postup zálohovania: dokumentácia odporúča nástroje samotného systému a upozorňuje, že funkcia exportu v aplikácii nie je záloha. S Dockerom treba uchovávať toto:

Databáza pri bežiacej službe

Pri MariaDB exportuje mariadb-dump databázu bez zastavenia služby; jeho voľba --single-transaction dáva konzistentnú kópiu tabuliek InnoDB bez ich zamknutia. Príkaz spustený z priečinka so súborom Compose načíta prístupové údaje z prostredia kontajnera:

docker exec firefly_iii_db sh -c 'mariadb-dump --single-transaction -u"$MYSQL_USER" -p"$MYSQL_PASSWORD" "$MYSQL_DATABASE"' > firefly-$(date +%F).sql

Pri PostgreSQL sa ten istý postup robí cez pg_dump:

docker exec firefly_iii_db sh -c 'pg_dump -U "$POSTGRES_USER" "$POSTGRES_DB"' > firefly-$(date +%F).sql

Tento export naplánujte na serveri aspoň raz denne a súbory, ktoré sa hromadia, prebierajte.

Zväzky pri zastavenej službe

Dokumentácia archivuje každý zväzok pomocou jednorazového kontajnera. Docker Compose pridáva pred názvy zväzkov názov projektu, ktorým je predvolene názov priečinka: pred spustením archivácie si overte presné názvy.

docker volume ls
docker compose stop
docker run --rm -v "firefly-iii_firefly_iii_db:/tmp" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -czvf /backup/firefly_db.tar /tmp
docker run --rm -v "firefly-iii_firefly_iii_upload:/tmp" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -czvf /backup/firefly_upload.tar /tmp
docker compose start

Chybne napísaný názov zväzku nevyvolá žiadnu chybu: Docker pod týmto názvom vytvorí prázdny zväzok a zarchivuje ho, čím prepíše predchádzajúcu zálohu. Dokumentácia žiada pred každou archiváciou overiť, že zväzok existuje.

Kópiu súboru .env a týchto archívov uchovávajte mimo servera, šifrovane, keďže obsahuje kľúč a prístupové údaje k databáze. Uložené na disku servera sa tieto súbory dostanú aj do jeho nočných záloh.

Obnova

Dokumentácia obnovuje zväzok opačným príkazom pri zastavenej službe; zväzok s prílohami sa obnovuje rovnako:

docker run --rm -v "firefly-iii_firefly_iii_db:/recover" -v "$HOME/backups/firefly:/backup" \
    ubuntu tar -xvf /backup/firefly_db.tar -C /recover --strip 1

Export SQL sa načíta späť do bežiacej databázy:

docker exec -i firefly_iii_db sh -c 'mariadb -u"$MYSQL_USER" -p"$MYSQL_PASSWORD" "$MYSQL_DATABASE"' < firefly-YYYY-MM-DD.sql

Obnovte aj .env s jeho APP_KEY, potom znova spustite a otvorte svoje účty. Dokumentácia to opakuje pri každej metóde: prvé, čo so zálohou urobiť, je obnoviť ju a overiť tak, že funguje.

Aktualizácie a migrácie

Firefly III sa aktualizuje sám, dokonca aj z verzií starých ako 4.7, a pri štarte kontajnera vykoná migrácie svojej databázy. Dokumentácia upozorňuje, že niektoré aktualizácie údaje odstraňujú alebo čistia, a pred každou z nich žiada zálohu databázy a zväzkov, najmä pri prechode medzi hlavnými verziami. Z priečinka so súborom Compose:

docker compose stop
docker compose pull
docker compose -f docker-compose.yml up -d --remove-orphans

• Tempo: od 6.7.0 zo 14. septembra 2026 po 6.7.9 z 11. októbra 2026 vyšlo za štyri týždne desať verzií. Sledujte poznámky k vydaniu: od 6.7.8 zhŕňa okno v aplikácii hlavné zmeny nainštalovanej verzie.
• Verzia 6.7.0 priniesla nové rozhranie; jej nástroj na výrazy v pravidlách je predvolene vypnutý a znova sa zapína v /settings.
• Súbor Compose: ak ho stiahnete znova, skontrolujte verziu databázy, ktorú deklaruje. Dokumentácia upozorňuje, že nová hlavná verzia MariaDB nemusí prevziať zväzok tej starej.
• Migrácia, ktorá neprebehla: od 6.4.19 odstráni php artisan correction:rollback-single-migration poslednú položku migrácie bez zásahu do údajov a php artisan migrate ju potom spustí znova, vnútri kontajnera.
• Podpísané vydania: projekt svoje vydania podpisuje a overiť ich môžete jeho kľúčom PGP.

Importér sa aktualizuje rovnako, podľa jeho dokumentácie s docker compose rm -f medzi zastavením a stiahnutím obrazov.

Kto čo robí na Managed VPS

Hostovanie na vlastnom serveri vyžaduje popri aplikácii starať sa aj o server. Na Managed VPS preberajú server naše tímy a vašu inštanciu proaktívne sledujú; Firefly III zostáva vaším softvérom, s vašimi nastaveniami a finančnými údajmi.

Ak by ste uprednostnili, aby naše tímy zasiahli priamo v aplikácii, táto služba sa fakturuje hodinovo alebo paušálne, s cenovou ponukou oznámenou pred zásahom.