docker self-hosting raspberry pi home server

Il punto è che affidare i propri dati, le proprie comunicazioni e persino il proprio divertimento a servizi centralizzati significa consegnare le chiavi della propria sovranità tecnologica a poche corporation che rispondono più agli azionisti che agli utenti. Nel 2026 il costo dei piani cloud è esploso, le politiche di utilizzo sono diventate più restrittive e la sorveglianza di massa è ormai la norma, non l’eccezione. Se vuoi riprenderti il controllo, non serve aspettare una rivoluzione politica: basta un Raspberry Pi, Docker e la voglia di costruire qualcosa di tuo. Questa guida pratica ti mostra come trasformare una piccola scheda ARM in un home server potente, flessibile e rispettoso della tua privacy, usando strumenti open source che mettono il potere nelle tue mani.

Negli ultimi mesi abbiamo visto un’impennata di progetti dedicati al self‑hosting su hardware low‑cost: da Coolify, che promette un’esperienza tipo‑PaaS con pochi click, a Portainer, che semplifica la gestione dei container tramite interfaccia web, fino a Traefik, il reverse proxy che si configura da solo grazie alle etichette Docker. Questi strumenti non sono solo comodi, rappresentano una risposta concreta al capitalismo delle piattaforme: invece di pagare un abbonamento mensile a Google o Amazon, investi qualche decina di euro in hardware e ottieni un’infrastruttura che puoi modificare, ispezionare e far girare dove vuoi, senza chiedere il permesso a nessuno.

Il risparmio è evidente: un Raspberry Pi 4 con 8 GB di RAM costa intorno ai 70 €, mentre un VPS equivalente su un provider medio può superare i 15 € al mese, cioè oltre 180 € l’anno. Aggiungi il consumo energetico ridotto (meno di 5 W in idle) e il fatto che non sei vincolato a termini di servizio che possono cambiare da un giorno all’altro, e il vantaggio diventa chiaro. Ma oltre al denaro, c’è la questione politica: chi controlla il tuo server controlla i tuoi dati, le tue conversazioni, le tue foto, le tue password. Con un home server autogestito, quel controllo torna a te.

Nella pratica, vedremo come installare Docker sul Raspberry Pi, configurare un reverse proxy con Traefik per gestire i certificati HTTPS tramite Let’s Encrypt, distribuire un pannello di gestione come Portainer o Coolify, e ospitare servizi essenziali come Nextcloud per il file sharing, Vaultwarden per la gestione delle password, Jellyfin per lo streaming multimediale e Gitea per il tuo Git personale. Alla fine avrai un sistema che non solo ti fa risparmiare, ma ti rende indipendente dalle grandi tech e dalle loro logiche di sorveglianza e profitto.

perché scegliere docker e raspberry pi per il tuo home server

Docker non è soltanto una tecnologia di containerizzazione: è un modello di pensiero che incoraggia l’isolamento, la riproducibilità e la sovranità sul software che esegui. Quando avvii un container, ottieni un ambiente che contiene tutto ciò che serve all’applicazione — librerie, dipendenze, configurazioni — senza interferire con il sistema host. Questo significa che puoi testare, aggiornare o rimuovere un servizio senza rischiare di rompere l’intero server, una proprietà fondamentale per chi vuole sperimentare senza paura.

Il Raspberry Pi, soprattutto nei modelli 4 e 400 con architettura ARMv8, offre abbastanza potenza per eseguire diversi container contemporaneamente, mantenendo un consumo energetico ridicolo rispetto a un server x86 tradizionale. La comunità attorno a Raspberry Pi è enorme: trovi immagini ufficiali di Raspberry Pi OS, guide dettagliate per l’installazione di Docker, e numerosi progetti open source ottimizzati per ARM. Questo ecosistema riduce drasticamente la frizione tecnica: non devi perdere giorni a compilare da sorgente o a risolvere incompatibilità di architettura.

Dal punto di vista politico, l’uso di hardware a basso costo e software libero spezza il ciclo di dipendenza dalle Big Tech. Quando il tuo server gira su una scheda che possiedi fisicamente, nessun provider può sospendere il tuo account per motivi arbitrari, nessun algoritmo può decidere di mostrarti o nasconderti contenuti, e nessun contratto di servizio può cambiarti le condizioni senza il tuo consenso. È una forma di autodifesa tecnologica: ti riprendi il controllo della catena di fornitura, dall’hardware al software, e lo metti al servizio della tua comunità, della tua famiglia o dei tuoi progetti personali.

Un aspetto spesso sottovalutato è la resilienza. Un home server basato su Docker può essere clonato con pochi comandi: basta esportare i volumi dei container e l’immagine di configurazione per replicare lo stesso ambiente su un altro Raspberry Pi, su un vecchio laptop o persino su una macchina virtuale in caso di emergenza. Questa portabilità è un’arma contro la centralizzazione: se un provider decide di chiudere il servizio o aumenta i prezzi, tu puoi semplicemente spostare il tuo stack altrove, senza perdita di dati o di funzionalità.

Infine, c’è la questione dell’apprendimento. Gestire un home server ti costringe a capire come funzionano le reti, i sistemi di file, la sicurezza e l’orchestrazione dei container. Queste competenze sono trasferibili a molti altri contesti, dallo sviluppo professionale all’attivismo digitale. In un mondo dove la conoscenza è potere, imparare a tenere in piedi la propria infrastruttura è un atto di resistenza e di autonomia.

stack consigliato: coolify, portainer, traefik e servizi essenziali

Per partire con il piede giusto, ti consigliamo di installare prima Docker e Docker Compose sul tuo Raspberry Pi. La procedura è ben documentata sul sito ufficiale di Docker: basta aggiungere il repository ufficiale, installare il pacchetto docker-ce e aggiungere l’utente pi al gruppo docker per evitare di usare sudo ogni volta. Dopo il riavvio, verifica con docker run hello-world che tutto funzioni.

Una volta Docker pronto, il primo strato da aggiungere è un reverse proxy che gestisca il traffico HTTP/HTTPS e si occupi automaticamente dei certificati Let’s Encrypt. Traefik è la scelta più adatta per un ambiente Docker‑centrico: legge le etichette dei container e crea le regole di routing senza bisogno di file di configurazione statici. Basta avviare Traefik in un container dedicato, montare il socket di Docker (/var/run/docker.sock) e fornire un file traefik.yml con le impostazioni di base (entrypoint HTTP e HTTPS, provider Docker, e il provider ACME per Let’s Encrypt). Da quel momento, ogni nuovo container che espone le etichette traefik.enable=true, traefik.http.routers.{name}.rule=Host(`{nome}`) e traefik.http.routers.{name}.tls=true sarà automaticamente raggiungibile tramite HTTPS con certificato valido.

Il secondo livello è il pannello di gestione. Qui hai due ottime alternative: Portainer, più maturo e con un’interfaccia ricca di funzionalità (stack, template, gestione degli utenti), e Coolify, più recente ma pensato per chi vuole un’esperienza tipo‑PaaS con deploy con un click e supporto nativo per database, cache e applicazioni web. Entrambi si installano come container Docker, espongono una porta sulla rete locale e si proteggono tramite autenticazione. Se il tuo obiettivo è avere il massimo controllo e la possibilità di creare template personalizzati, Portainer è la scelta più solida; se preferisci un flusso di lavoro più snello e ti piace l’idea di “push‑to‑deploy” da un repository Git, Coolify potrebbe farti risparmiare tempo.

Con il reverse proxy e il pannello di gestione in piedi, puoi iniziare a popolare il tuo home server con i servizi che realmente ti servono. Ecco una breve panoramica di quattro pilasti del self‑hosting, tutti disponibili come immagini Docker ufficiali o community‑maintained e ottimizzati per ARM:

• Nextcloud: la tua alternativa a Google Drive e Dropbox. Oltre al file sharing, offre calendario, contatti, note e un ricco ecosistema di app. Puoi montare un disco esterno USB o un NAS per lo storage e abilitare la crittografia lato server per proteggere i dati a riposo.
• Vaultwarden: l’implementazione leggera e open source di Bitwarden, perfetta per gestire le password della famiglia o del piccolo team. È estremamente parco in risorse (meno di 50 MB di RAM) e supporta l’autenticazione a due fattori tramite TOTP o WebAuthn.
• Jellyfin: il media server che ti permette di trasmettere film, serie e musica verso qualsiasi dispositivo, senza dipendere da Plex o Emby e senza dover sottoscrivere alcun piano premium. Supporta il transcoding hardware sulle GPU più recenti, ma funziona benissimo anche in modalità software su Raspberry Pi 4.
• Gitea: un servizio Git leggero, simile a GitHub ma auto‑hostato, con issue tracker, pull request e CI/CD básico tramite azioni. Ideale per tenere sotto controllo i propri script, i file di configurazione o i progetti open source a cui contribuisci.

Per ciascuno di questi servizi, la configurazione di base prevede la creazione di un file docker-compose.yml che definisca il container, le variabili d’ambiente (come il dominio, le credenziali di amministratore e le impostazioni di storage), e le etichette Traefik necessarie per l’esposizione HTTPS. Un esempio minimale per Nextcloud potrebbe apparire così:

version: '3'
services:
  nextcloud:
    image: nextcloud:latest-apache
    container_name: nextcloud
    restart: unless-stopped
    volumes:
      - nextcloud_data:/var/www/html
      - ./config:/var/www/html/config
    environment:
      - MYSQL_PASSWORD=example
      - MYSQL_DATABASE=nextcloud
      - MYSQL_USER=nextcloud
      - MYSQL_HOST=db
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.nextcloud.rule=Host(`nextcloud.tuodominio.it`)"
      - "traefik.http.routers.nextcloud.tls=true"
  db:
    image: mariadb:latest
    container_name: nextcloud_db
    restart: unless-stopped
    volumes:
      - db_data:/var/lib/mysql
    environment:
      - MYSQL_ROOT_PASSWORD=example
      - MYSQL_PASSWORD=example
      - MYSQL_DATABASE=nextcloud
      - MYSQL_USER=nextcloud
volumes:
  nextcloud_data:
  db_data:

Analogamente, Vaultwarden richiede soltanto poche variabili (ad esempio ADMIN_TOKEN per accedere all’interfaccia di amministrazione) e un volume per i dati crittografati. Jellyfin punta a una cartella media montata da un disco esterno, mentre Gitea necessita di un volume per i repository e opzionalmente un servizio di posta per le notifiche.

Una volta avviati i stack con docker compose up -d, Traefik si occuperà di ottenere i certificati Let’s Encrypt (assicurati che le porte 80 e 443 siano forwardate dal tuo router al Raspberry Pi e che il dominio punti al tuo indirizzo IP pubblico). Dopo qualche minuto, potrai accedere a https://nextcloud.tuodominio.it, https://vaultwarden.tuodominio.it e così via, con il lucchetto verde che indica una connessione cifrata e fidata.

Il bello di questo approccio è la modularità: se un giorno decidi di sostituire Nextcloud con Seafile o di aggiungere un servizio di monitoraggio come Netdata, basta creare un nuovo servizio nel docker-compose.yml, etichettarlo per Traefik e il gioco è fatto. Non devi toccare il sistema host, non devi ricompilare kernel, non devi preoccuparti di dipendenze in conflitto.

sicurezza, backup e manutenzione: tenere il server al sicuro e aggiornato

Un home server, per quanto piccolo, è comunque un bersaglio potenziale per attacchi automatizzati: botnet che cercano porte SSH aperte, tentativi di brute force su servizi web, exploit su versioni obsolete di Docker o delle immagini containerizzate. La buona notizia è che, con qualche accorgimento di base, puoi alzare notevolmente il livello di difesa senza dover diventare un esperto di sicurezza informatica.

Prima di tutto, cambia la porta SSH di default (22) verso una porta non standard (ad esempio 2222) e disabilita l’accesso con password, affidandoti esclusivamente all’autenticazione chiave pubblica. Questo elimina la maggior parte degli attacchi di tipo credential stuffing. Inoltre, installa e configura fail2ban per bloccare automaticamente gli IP che tentano ripetutamente l’accesso non riuscito a SSH, al pannello di gestione o a qualsiasi servizio esposto.

Il firewall è il tuo primo muro di difesa. Su Raspberry Pi OS puoi usare ufw (Uncomplicated Firewall) con poche regole: consenti il traffico sulle porte 80 e 443 (HTTP/HTTPS), sulla porta SSH scelta e, se necessario, sulla porta del tuo pannello di gestione (ad esempio 9000 per Portainer). Blocca tutto il resto in entrata. Ricorda di attivare il logging per tenere traccia di eventuali tentativi sospetti.

Gli aggiornamenti sono fondamentali. Docker stesso rilascia regolarmente patch di sicurezza; eseguire sudo apt update && sudo apt upgrade docker-ce ti mantiene allineato. Per le immagini dei container, adottare una strategia di rinnovo periodico è semplice: aggiungi una riga di cron che esegua docker compose pull seguito da docker compose up -d per ogni stack, oppure usa strumenti come Watchtower che controlla automaticamente la disponibilità di nuove versioni e le applica senza interruzione del servizio (con la dovuta cautela, testando prima in un ambiente di staging se possibile).

Il backup è l’assicurazione ultima contro guasti hardware, errori umani o attacchi ransomware. La strategia più solida combina snapshot dei volumi Docker e copie fuori sede. Puoi usare rsync per sincronizzare la cartella che contiene i volumi (/var/lib/docker/volumes) verso un disco esterno USB o un servizio di storage remoto (ad esempio un bucket S3 compatibile con MinIO). Per maggiore granularità, strumenti come restic o duplicati permettono di creare backup incrementali, crittografati e deduplicati, con la possibilità di ripristinare singoli file o interi volumi in pochi minuti.

Non dimenticare la sorveglianza passiva: abilita il logging di Docker (docker events) e instrada i log verso un sistema centralizzato come Elasticsearch o semplicemente verso un file di rotazione con logrotate. Monitorare l’uso della CPU, della memoria e dello spazio su disco con netdata o Prometheus + Grafana ti avvisa prima che un problema diventi critico.

Infine, adotta una mentalità di difesa in profondità: non fidarti mai di un singolo strato di sicurezza. Combina l’isolamento dei container (Docker già offre namespace e cgroups), le regole di firewall, l’autenticazione forte, gli aggiornamenti tempestivi e i backup regolari. In questo modo, anche se uno strato dovesse fallire, gli altri continueranno a proteggere i tuoi dati e la tua privacy.

Con queste pratiche, il tuo Raspberry Pi trasforma da semplice hobbyist board a un vero e proprio nodo di sovranità tecnologica, capace di resistere alle pressioni del capitalismo di sorveglianza e di offrirti un spazio digitale dove sei tu a decidere le regole.