Euer Tagebuch, auf eurem eigenen Server.

Starten in drei Schritten

Das Abbild liegt in der GitHub Container Registry, für amd64 und arm64. Es enthält Oberfläche und Server zugleich; eine zweite Datenbank oder einen eigenen Webserver braucht nexdiary nicht.

1. Die Compose-Datei anlegen

   Leg einen Ordner an, etwa nexdiary, und darin diese Datei.

   docker-compose.ymlKopieren

   services:
     nexdiary:
       image: ghcr.io/derkezorm/nexdiary:latest
       container_name: nexdiary
       restart: unless-stopped
   
       ports:
         # Nur dieser Rechner erreicht nexdiary (127.0.0.1). Davor gehört ein
         # Reverse Proxy mit https, der an http://127.0.0.1:8550 weiterleitet.
         # Direkt im Heimnetz: "8550:8000" schreiben, aber nur in einem Netz,
         # dem du traust. Ohne https gehen Passwörter im Klartext hindurch.
         - "127.0.0.1:8550:8000"
   
       # Keine Rechte, die er nicht braucht: Der Start setzt nur die Besitzer
       # von /data und wechselt dann von root zum Benutzer nexdiary.
       security_opt:
         - no-new-privileges:true
       cap_drop:
         - ALL
       cap_add:
         - CHOWN
         - DAC_READ_SEARCH
         - SETUID
         - SETGID
   
       volumes:
         # Eine lokale Platte, nie eine SMB- oder NFS-Freigabe.
         - ./data:/data
   
       environment:
         PUID: 1000
         PGID: 1000
         TZ: Europe/Berlin
         # Hinter einem Proxy: die Adresse der Leute und die des Proxys.
         # NEXDIARY_PUBLIC_URL: https://tagebuch.example.com
         # NEXDIARY_TRUSTED_PROXIES: 172.16.0.0/12
         # Den Einrichtungscode selbst wählen, statt ihn im Log zu suchen.
         # NEXDIARY_SETUP_TOKEN: such-dir-einen-langen-aus

2. Starten
   ShellKopieren

   docker compose up -d

3. Das erste Konto anlegen

   Öffne auf diesem Rechner http://127.0.0.1:8550. Die Seite „nexdiary einrichten“ fragt nach Name, Passwort und Einrichtungscode. Den Code schreibt nexdiary bei jedem Start ins Log, bis es eingerichtet ist:

   ShellKopieren

   docker logs nexdiary

   So nimmt niemand eine frische Instanz in Besitz, nur weil er sie zuerst gefunden hat. Wer das erste Konto anlegt, wird Betreiber. Das Passwort braucht mindestens zwölf Zeichen, und gleich danach richtet das Konto seinen zweiten Faktor ein. Danach zeigt nexdiary acht Wiederherstellungscodes, die du gut aufhebst.

Was der Rechner braucht

nexdiary ist für einen Haushalt gebaut, nicht für ein Rechenzentrum. Einen gemessenen Mindestwert für den Arbeitsspeicher gibt es nicht; was viel braucht, steht hier mit Zahlen aus dem Code.

• Docker mit Compose auf Linux, amd64 oder arm64. Das passt zu einer NAS mit Intel, AMD oder ARM und zu einem Rechner mit 64-Bit-ARM.
• Eine lokale Platte für den Datenordner. Auf einer SMB- oder NFS-Freigabe sperrt SQLite nicht zuverlässig, und dann kann die Datenbank kaputtgehen.
• Arbeitsspeicher: Eine Passwortprüfung belegt bis zu 64 MiB, höchstens vier laufen zugleich. Ein Foto braucht beim Entpacken etwa 150 MB, und ab Werk wird immer nur eines entpackt (NEXDIARY_DECODE_SLOTS). Ein Jahr als Buch setzt der Server eines nach dem anderen.
• Platz: Fotos speichert nexdiary neu gezeichnet als WebP, höchstens 2560 Pixel an der langen Seite, dazu eine kleine Vorschau. Jede Person darf ab Werk 5 GB belegen; das stellst du unter Einstellungen, Konten, „Speicher je Person“ ein, 0 heißt unbegrenzt.
• https über einen Reverse Proxy, sobald jemand von außen kommt. Push und Passkeys brauchen es auch im Heimnetz.
• Handys: nexdiary ist eine Web-App und lässt sich aus dem Browser auf den Startbildschirm legen. Eine App aus einem Store gibt es nicht. Auf dem iPhone kommt Push nur in der App auf dem Startbildschirm an, ab iOS 16.4.

Hinter einem Proxy, mit https

Viele möchten nexdiary auch von unterwegs öffnen, und dafür ist es gemacht. Bevor du es nach draußen öffnest, geh diese Liste durch.

1. Erst einrichten, dann freigeben

   Leg das erste Konto aus deinem eigenen Netz an, mit dem Code aus dem Log. Erst danach leitest du einen Port weiter.

2. https am Proxy, nexdiary nur über ihn

   Lass den Port an 127.0.0.1 oder halte Proxy und nexdiary in einem Docker-Netz ohne veröffentlichten Port. HSTS schickt der Proxy, nicht nexdiary.

3. Adresse und Proxy nennen

   NEXDIARY_PUBLIC_URL ist die Adresse, unter der die Familie nexdiary erreicht. Daraus entstehen Einladungslinks, die Rückkehr vom Anmeldeanbieter, Passkeys und der Kontakt für Push; die Einstellung „Öffentliche Adresse“ in der Oberfläche gewinnt, wenn sie gesetzt ist. NEXDIARY_TRUSTED_PROXIES nennt die Adresse oder das Netz des Proxys. Ohne diese Angabe scheint jede Anmeldung vom Proxy zu kommen, und der Schutz vor Raten hält alle für eine Person.

4. Cookies nur über https

   NEXDIARY_COOKIE_SECURE steht ab Werk auf auto und erkennt https auch am Kopf X-Forwarded-Proto des Proxys. on passt, wenn nexdiary ausschließlich über https erreicht wird; über http kann sich dann niemand mehr anmelden.

5. Der zweite Faktor bleibt Pflicht

   Ab Werk richtet jedes Konto mit Passwort direkt nach der Anmeldung einen ein, einen Code aus einer Authenticator-App; einen Passkey kann es danach dazulegen. Der Betreiber könnte das abschalten. Für einen Server im Internet lass es an.

6. Zu lassen, was du nicht brauchst

   KI, Immich und API-Token sind ab Werk aus, das automatische Ausformulieren am Morgen auch. Schalte nur ein, was die Familie wirklich nutzt.

7. Betreiber-Einstellungen zu Hause lassen

   Mit NEXDIARY_OPERATOR_NETWORKS: "192.168.0.0/16" nimmt nexdiary Änderungen an den Einstellungen des Betreibers nur aus diesem Netz an, hinter einem Proxy zusammen mit NEXDIARY_TRUSTED_PROXIES.

8. Eine Fassung festhalten

   Nimm statt latest eine feste Fassung wie ghcr.io/derkezorm/nexdiary:0.5.0, aktualisiere mit Absicht und sichere vorher.

nexdiary prüft sich selbst

Unter Einstellungen, Anmeldung steht ganz oben die Karte „Bereit fürs Internet?“. Jedes Mal, wenn du die Seite öffnest, prüft nexdiary acht Punkte selbst und sagt bei jedem, was zu tun ist, wenn er nicht erfüllt ist.

• „Öffentliche Adresse mit https“ und „Sitzungen und Cookies“
• „Zweiter Faktor für alle“ und „Dein eigenes Konto“, also ob du selbst einen hast
• „Schutz vor Raten“, den nexdiary an einer Kopie ausprobiert, und „Hinter dem Proxy“, ob die echten Adressen der Besucher ankommen
• „Einträge verschlüsselt“ und „Hauptschlüssel gesichert“

Einstellungen

Auf Unraid

Was du sichern musst

Zwei Dinge, getrennt voneinander: den Datenordner mit seinen Sicherungen und den Hauptschlüssel. Ohne den Hauptschlüssel lässt sich keine Sicherung lesen, auch nicht von dir.

Updaten

docker compose pull
docker compose up -d

Wenn jemand sein Passwort vergessen hat

Niemand setzt das Passwort für jemand anderen, auch der Betreiber nicht. Wer seines vergessen hat, bekommt einen Link und wählt damit selbst ein neues. Der Link gilt einmal und 24 Stunden.

docker exec -it -u nexdiary nexdiary python -m app.reset_link dein-name

Alle Umgebungsvariablen

Hier steht nur, was vor dem ersten Start feststehen muss. Alles andere stellt der Betreiber in der Oberfläche ein.