Nextcloud en un VPS sin KYC — tus archivos en tu propio disco

Una instancia de dos personas cabe en 4 GB; generar vistas previas pide 32 GB. Instalación oficial en tu propio NVMe, Titan por $19.20/mes en plan anual, pagado en XMR.

El self-hosting cambia una suscripción por un cargo

El discurso del self-hosting suele dar a entender que la factura mensual desaparece; no desaparece, cambia de forma. Cambias una suscripción por puesto de un trozo alquilado y un título del que nadie te avisó: administrador. La parte de la plataforma en la factura es la máquina KVM, el puerto sin límite de tráfico y la IP; las instalaciones, las actualizaciones, las copias de seguridad y cualquier correo que el dominio atraiga quedan de tu lado de la línea, y el propio manual de administración de Nextcloud está escrito exactamente para ese lector.

Lo que alojas es el producto original, sin modificar: archivos, calendarios, contactos, enlaces para compartir y el Talk opcional para llamadas, comportándose tal como el proyecto los entrega. Los equipos apuntan un dominio al servidor para que los datos aterricen en un disco que controlan, con vistas previas, versionado y federación funcionando según la documentación, y el directorio de datos donde tú lo hayas puesto — /var/www/nextcloud/data por defecto. La facturación se liquida en cualquiera de 19 monedas, y en ningún punto del catálogo hay un nivel gestionado de Nextcloud que pretenda lo contrario: el root es el producto.

El balance honesto tiene dos columnas. El self-hosting compra: ninguna cuota por usuario que crece asiento a asiento, ningún escaneo de tus documentos por parte de una empresa publicitaria, ninguna situación de rehenes migratorios cuando un proveedor cambia sus condiciones. El self-hosting cuesta: noches de parches, planificación de capacidad y un buzón de abuse que ahora lleva tu dominio. Las familias y los equipos pequeños suelen encontrar el intercambio favorable precisamente porque los costes son trabajo programado y no sorpresas — pero prográmalos, porque la máquina no va a levantar la mano cuando algo venza.

El error clásico es importar las expectativas de la nube de consumo junto con los archivos. Un servidor alquilado no arregla tu esquema en silencio, no renombra tus fotos ni te envía un resumen mensual de lo que hizo por ti. Decide desde el primer día que las actualizaciones viven en tu calendario, que las pruebas de restauración viven en tu calendario, y que el botón de instantáneas es tu colega, no tu conserje. El resto de esta guía es ese calendario, desplegado en el orden en que el trabajo ocurre de verdad.

La primera entrada del calendario es el dimensionamiento, y dimensionar una instancia es sobre todo una conversación sobre RAM y no sobre disco — por eso la escalera de planes importa más que el titular de almacenamiento. La siguiente sección va primero con las cifras de memoria, porque son las que deciden si la instancia que instalas es la que te quedas.

La RAM, no el disco, decide qué plan sostiene la instancia

El almacenamiento es el número que todo el mundo multiplica y el que menos importa. Una fototeca de 200 GB descansa tranquila en el NVMe de cualquier plan; lo que duele a la instancia es el momento en que varios usuarios suben a la vez y el generador de vistas previas empieza a convertir JPEG y vídeo en miniaturas, que es un problema de CPU y RAM disfrazado de almacenamiento. Dimensiona el plan primero para el trabajo de miniaturas y segundo para el archivo, y la instancia se sentirá rápida mucho después de que la biblioteca deje de caber en un portátil.

La escalera, dicha sin rodeos: Core lleva 2 vCPU, 4 GB de DDR5 ECC y 80 GB de NVMe a $6/mes de lista, y sostiene sin quejarse una instancia tranquila de dos personas. Los 4 vCPU y 8 GB de Prime sobre 160 GB son el suelo declarado una vez que las vistas previas se disparan para varios usuarios. Titan — 8 vCPU, 32 GB ECC, 320 GB NVMe a $24/mes de lista, $19.20/mes en plan anual — es el techo práctico de la línea VPS y la respuesta cómoda para un hogar o un equipo pequeño. Empieza una instancia de dos personas en Core a $6/mes de lista — $4.80/mes en plan anual — y sube solo cuando la cola de miniaturas te lo diga, no cuando lo diga el marketing.

La aritmética de memoria que sobrevive al contacto con producción: la base de datos quiere un cuarto estable de la RAM, los trabajadores de PHP se comen unas decenas de megabytes cada uno bajo carga, y la generación de vistas previas de una ráfaga de vídeos de móvil se disparará con fuerza hasta que preview:generate-all vacíe la cola — ponlo en cron en lugar de bajo demanda para que el pico caiga donde tú lo programaste. Vigila la verdad con free -h durante una fiesta de subidas, no después. Las instancias rara vez mueren por disco; se tambalean en la swap y se agotan por timeout en PHP mientras el disco aún muestra la mitad de su capacidad.

El error es comprar disco que no puedes usar porque la RAM estrangula la aplicación: una biblioteca de 320 GB en un servidor de 4 GB genera vistas previas a la velocidad de las disculpas y agota el tiempo de espera de la interfaz web justo bajo la ráfaga de subidas para la que se compró ese almacenamiento. Cuando los archivos crecen hacia los terabytes, ese es territorio de disco dedicado — 2 x 2 TB en Summit o 2 x 1 TB en Forge — mientras la aplicación se queda en una máquina con la RAM apropiada, o todo se muda al metal junto en una tarde planificada.

Por qué importa aquí el suelo de la virtualización: los trabajadores de vistas previas, el cron y una base de datos todos dan por sentada la memoria que se les dice que es suya, y la virtualización completa es lo que hace que esos 8 GB sean honestos en vez de un conjunto de ráfaga que se evapora la primera noche ocupada. La historia de la supervivencia viene después — instantáneas frente a copias de seguridad — y correr de tu mano, en cualquier nivel que elijas.

Las instantáneas cubren una actualización fallida; tu copia de seguridad cubre un edificio muerto

Dos desastres distintos visten disfraces parecidos. Una migración que sale mal corrompe la instancia pero deja el edificio en pie — una instantánea tomada una hora antes la restaura en minutos. Un host muerto, un array averiado o una cuenta eliminada se llevan las instantáneas con la caja, y ninguna disciplina de instantáneas ayuda. El segundo desastre es el que la gente asegura demasiado tarde, normalmente exactamente una vez.

Las instantáneas viajan con los planes VPS como complemento en el momento del pago, y son la herramienta correcta para la escalera de actualizaciones: toma una antes de cada salto de versión, revierte en minutos si occ upgrade se atraganta con algo que las notas de la versión no anticiparon. Emparéjalas con una extracción cifrada a una segunda máquina en otra red — borg create o restic backup contra el directorio de datos y un volcado de la base de datos — y el escenario del incendio del edificio gana su propia salida. La documentación de Borg y de Restic asume exactamente esa forma: cifrada, deduplicada, programada y fuera de las instalaciones.

La dirección de la extracción importa tanto como la herramienta. Una copia de seguridad que el servidor Nextcloud puede escribir es una copia de seguridad que el ransomware puede cifrar desde dentro; una extracción desde una segunda máquina cuyas claves el servidor nunca ve no puede ser destruida por nada que pase en la caja. Programa el volcado con las herramientas propias de la base de datos, envíalo en la misma extracción y conserva un par de generaciones — el error de ayer y la calma de la semana pasada merecen ambos un punto de restauración que puedas alcanzar de verdad.

El error que acaba en pena es el archivo sin probar: un repositorio Borg que lleva un año teniendo éxito pero que nunca se ha montado, con una contraseña escrita en un archivo del mismo disco que protege. Restaura a una máquina de pruebas dos veces al año, cronometra el proceso y anota la contraseña en un sitio que no sea el servidor. Las restauraciones que has probado son la única métrica que cuenta; un archivo sin probar es una esperanza con nombre de archivo.

Con el dimensionamiento y la supervivencia resueltos, la instalación en sí es casi anticlimática — el manual oficial la cubre de principio a fin, y la disciplina principal es rechazar los atajos ingeniosos. Esa es la siguiente sección: qué camino de instalación tomar y qué frase de foro dejar en paz, para siempre, por muy persuasivo que parezca el hilo a medianoche.

La instalación con el manual oficial envejece mejor que un one-liner ingenioso

Nextcloud ofrece dos caminos documentados: la instalación clásica de PHP más base de datos, y la imagen de contenedores All-in-One que agrupa el stack tras su propia herramienta de gestión. Ambos los mantiene el proyecto, ambos están cubiertos paso a paso en el manual de administración, y ambos terminan en un lugar donde puedes depurar a las 2 de la madrugada. Los scripts que prometen el mismo resultado en un comando no los mantiene nadie a quien puedas abrir una incidencia.

El camino clásico está bien pisado: una versión de PHP soportada, una base de datos, el servidor web que prefieras, luego occ maintenance:install para asentar la configuración y el esquema, y TLS en tu propio dominio antes del primer inicio de sesión. Comprueba el estado cuando quieras con php occ status y la página de resumen integrada. Pon el directorio de datos y la base de datos en el NVMe local desde el principio — el disco de un servidor KVM es el almacenamiento más rápido de su edificio, y la base de datos siente cada milisegundo de cualquier cosa más lenta en la primera semana de uso real.

La imagen All-in-One cambia un poco de transparencia por mucha comodidad: contenedores para la base de datos, la aplicación y los trabajadores en segundo plano, con copias de seguridad y actualizaciones orquestadas por las herramientas del propio proyecto. Es un buen valor por defecto para operadores que no quieren aprender a afinar PHP; la instalación clásica enseña más y deja una huella más ligera en los planes pequeños. Ambas funcionan bien con 2 vCPU y 4 GB para una instancia pequeña — las reglas de dimensionamiento de la sección anterior aplican a cualquiera de los dos caminos sin modificación.

El error es mezclarlas: una instalación All-in-One editada a mano luego para convertirla en el esquema clásico, o un fragmento de foro ejecutado sobre cualquiera de los dos caminos porque parecía más rápido. Elige un solo camino, sigue su manual y deja cada desviación anotada en un archivo que viva fuera de la raíz web — /var/www es una buena prueba de esa regla. El público real de ese archivo eres tú del futuro durante una actualización, y tu yo del futuro no responde tickets ni recuerda el hilo que leíste a medias.

Elijas el camino que elijas, las actualizaciones que vengan después son la parte que decide si la instancia sigue siendo tuya en tres años. El proyecto avanza a un ritmo constante, y los operadores que se mantienen al día son los que convirtieron el día de actualización en un ritual — que es exactamente lo que describe la siguiente sección, paso a paso, en el orden que nunca falla.

El día de actualización es día de instantánea, por regla y no por humor

Las versiones de Nextcloud avanzan a un ritmo constante, y cada versión mayor espera actualizarse en secuencia en lugar de saltarse etapas. Trata el día de actualización como un ritual programado con un orden fijo — instantánea, modo mantenimiento, actualización, comprobaciones, restablecer el servicio — y el ritual convierte la ansiedad de versión en una ventana de 30 minutos que ya has hecho una docena de veces. Sáltate el ritual y cada actualización se convierte en un vuelo inaugural con pasajeros a bordo.

El orden completo: toma la instantánea; entra en occ maintenance:mode --on para que ningún usuario escriba a mitad de la migración; ejecuta el actualizador y luego occ upgrade; aplica los comandos de mantenimiento que nombren las notas de la versión, como occ db:add-missing-indices; inicia sesión como un usuario corriente y recorre archivos, recursos compartidos y vistas previas; luego sal del modo mantenimiento y vigila el registro durante una hora. Los capítulos de mantenimiento y copia de seguridad del manual oficial documentan este bucle; la instantánea es lo que lo vuelve tranquilo en lugar de valiente.

La reversión es donde la instantánea gana su sueldo. Una migración fallida en una caja con instantánea es un retroceso de diez minutos y una decisión serena sobre qué hacer diferente en el siguiente intento; el mismo fallo sin ella es un proyecto de arqueología sobre un disco en producción con usuarios refrescando una página rota. Haz instantánea antes de cada actualización aunque las notas de la versión sean aburridas — especialmente si son aburridas, porque las aburridas son la forma en que la complacencia se instala junto a la nueva versión.

El error es actualizar durante el pico de la tarde porque la notificación te molestaba, o apilar una actualización del sistema operativo del servidor y una versión mayor de Nextcloud en la misma ventana. Una variable por ventana, notificaciones agrupadas en una revisión mensual, y la entrada del calendario nombrada con honestidad — ventana de actualización, no actualización rápida — mantienen el ritual intacto durante años. Los usuarios perdonan un martes por la mañana planificado; recuerdan un jueves por la tarde sorpresa exactamente mientras sigan siendo usuarios.

Actualizaciones y copias de seguridad son la mitad de mantenimiento del trabajo; la otra mitad es un juicio que el manual no puede tomar por ti — dónde debe estar físicamente la caja y qué régimen legal debe sostener el disco. La geografía es la siguiente sección, y se elige una vez, deliberadamente, en lugar de heredarse de donde aterrizó el primer clic de pago.

Elige la bandera según el proceso que de verdad temes

El marketing de ubicaciones vende latencia; la realidad de las ubicaciones vende ley. Cada bandera del mapa factura el mismo precio base de lista, y las diferencias que importan son el peering bajo el suelo y el régimen legal sobre el disco. Elige preguntándote contra qué proceso te estás defendiendo de verdad — una demanda civil, un barrido indiscriminado, una queja de latencia de los usuarios — porque cada respuesta apunta a una ciudad distinta, y solo una de las tres trata de milisegundos.

Los atajos que funcionan: Zúrich cuando el requisito es el proceso judicial, con la FADP suiza y una postura fuera de la UE con un recargo del +35 por ciento; Reikiavik cuando quieres sin retención obligatoria de datos bajo un techo Tier IV, al +20 por ciento; Ámsterdam cuando los usuarios están en Europa occidental y los ida y vuelta por el AMS-IX importan más que nada legal. Noruega iguala el recargo y la postura de Islandia; Luxemburgo añade un régimen de confianza de datos al +15 por ciento. Las otras ocho banderas facturan a precio base de lista, y varias de ellas son excelentes.

La moneda es independiente de la bandera, por completo: XMR, BTC o cualquier red de USDT liquidan la misma factura en cualquiera de las 12 ciudades, y el paso del pago está cubierto por completo en la guía para pagar con Monero. La aritmética de la latencia es lo único universal: desde el centro de Europa, Ámsterdam y Fráncfort responden en milisegundos de un dígito; desde el este de Asia, Tokio, Hong Kong y Taipéi hacen lo mismo. Los usuarios notan 30 milisegundos en cada carga de página; nadie nota una jurisdicción hasta el día en que la necesita.

El error es elegir por estética — la caja de Islandia para un equipo en Singapur, la de Tokio para una familia en Berlín — y pagar el impuesto de latencia para siempre por una distinción que nadie audita nunca. Escribe tu modelo de amenazas en una frase, empareja la ciudad con él, y revísalo solo cuando cambie el modelo. Migrar entre banderas es posible, pero es trabajo de verdad; elegir una vez, con cuidado, sale más barato que migrar dos veces, con desgana.

Donde aterrice el disco, el dominio que apunte a él hereda obligaciones que la plataforma no absorbe: el buzón de abuse, la AUP y las categorías prohibidas en todas partes. Operar una instancia pública te convierte en una especie de editor — la siguiente sección trata del correo que lo demuestra, y del hábito que lo mantiene aburrido.

El buzón de abuse lo heredas con el dominio

Apunta un dominio a un servidor e internet empieza a escribirle: informes de rebote por el correo que no sabías que estaba retransmitiendo, reclamaciones de phishing cuando la contraseña de un usuario muere, avisos de copyright cuando alguien comparte lo que no debía. La plataforma entrega el correo; leerlo y responderlo forma parte de operar la instancia, y la destreza se transfiere directamente desde la guía sobre tickets de abuse y filtrado DDoS.

Lo que la política permite es más amplio de lo que la mayoría de consumidores asume: el contenido para adultos legal está permitido en estas máquinas, las herramientas de privacidad son tráfico normal, y la lista de prohibiciones es corta y absoluta — CSAM, phishing, spam y tráfico de ataque, en todos los planes, pagados con cualquier moneda, en las 12 ubicaciones. La AUP no se dobla por la facturación en cripto más de lo que se dobla por las tarjetas; el calendario de instantáneas y el trabajo de Borg siguen siendo tuyos, y también lo es mantenerse del lado correcto de la lista corta.

Para un operador de Nextcloud la exposición práctica suelen ser los recursos compartidos, no la aplicación: un enlace público a una carpeta de 4 GB se pega en un chat, el chat lo captura y con el tiempo llega un informe con una URL dentro. Responde con datos — el ID del recurso compartido, la marca de tiempo UTC, el permiso que revocaste — y el caso se cierra sobre hechos en un día. Mantener el inventario de archivos al día con occ files:scan tras migraciones grandes hace que esas respuestas sean instantáneas en lugar de arqueológicas.

El error es el silencio: el correo de abuse reenviado a una bandeja que nadie posee, el informe que envejece más allá del punto donde una respuesta factual aún sirve a alguien. Los departamentos de abuse escalan los casos sin respuesta según un calendario que no tiene nada que ver con tus planes de vacaciones. Pon el contacto abuse@ en la misma monitorización que tus copias de seguridad, responde con campos y soluciones, y el buzón se convierte en correspondencia rutinaria en lugar de un peligro permanente para todo el dominio.

Cumplimiento resuelto, la última superficie de ataque es una que configuras tú, normalmente dejando los valores por defecto en paz: enlaces para compartir que nunca caducan, vistas previas de todo para cualquiera, trabajos en segundo plano todavía ejecutándose en las cargas de página. La pasada de endurecimiento es corta porque los controles ya existen — la siguiente sección la recorre en el orden que primero reduce el riesgo de verdad.

Los enlaces para compartir son la superficie de ataque que configuras por defecto

Los incidentes memorables de Nextcloud casi nunca son exploits del kernel; son un enlace para compartir sin caducidad ni contraseña, sentado en un registro de chat público durante dos años. Los enlaces por defecto son cómodos y permanentes, que es exactamente la combinación que no quieres en una caja que administras tú mismo. La pasada de endurecimiento es corta porque los controles ya existen — el trabajo es decidir tus valores por defecto y hacerlos cumplir en la configuración, no escribir código.

Fija el suelo en la configuración: exige contraseñas en los enlaces públicos, limita la vida útil de los enlaces y desactiva por completo los recursos compartidos públicos en instancias que solo sirven a un equipo. Mueve los trabajos en segundo plano de AJAX a occ background:cron con una entrada de cron del sistema — el capítulo de trabajos en segundo plano del manual muestra la línea exacta — para que las vistas previas, la limpieza y el correo de actividad se ejecuten a reloj en lugar de en cargas de página. Luego apunta también el generador de vistas previas a un horario, porque una ráfaga de vídeos de móvil debe hacer cola en silencio, no provocar una estampida de trabajadores.

La pregunta del archivo vuelve en la capa de almacenamiento. Las fototecas y las copias de seguridad crecen hacia los terabytes diga lo que diga el documento fundacional, y cuando el NVMe del servidor se llena, las opciones honestas son podar o ir al metal. Mueve la biblioteca al dedicado Forge a $49/mes de lista — $39.20/mes en plan anual — y deja la aplicación donde está, o consolida todo en la misma caja con 2 x 1 TB de NVMe detrás de IPMI. Monta el volumen nuevo, migra los datos, ejecuta occ files:scan para reconstruir el inventario, y haz el cambio en una sola tarde planificada.

El error es endurecer una vez y nunca más — la pasada es un hábito, no un evento. Trimestralmente: relee los valores por defecto de compartición tras cada actualización mayor, porque las funciones nuevas traen valores por defecto nuevos; vuelve a ejecutar la auditoría de enlaces públicos; prueba la restauración de la copia de seguridad; y confirma que cron se disparó de verdad según el horario. Treinta minutos al trimestre es todo el precio de no convertirte en el cuento de advertencia del chat de grupo de otro, y es la partida más barata de esta guía.

Todo lo anterior repite un patrón que merece nombre: la plataforma elimina los riesgos de la clase del hosting, y las decisiones de juicio quedan tuyas por diseño. La sección final comprime el trabajo entero — pedir, instalar, operar — en el orden en que de verdad se ejecuta, desde un servidor vacío a una instancia estable sin huecos abiertos.

La instalación de Nextcloud, en el orden para ejecutarla

El trabajo entero cabe en una secuencia, y la secuencia empieza antes que el instalador. Pide el servidor con las reglas de dimensionamiento de la sección de RAM — dos usuarios tranquilos caben en el nivel de entrada, las vistas previas te empujan hacia arriba en la escalera — y fija la política de instantáneas el mismo día, porque la instantánea tomada antes de la primera actualización es la que salva la instancia. Elige la ubicación por el régimen legal que de verdad temes, no por la bandera que sale mejor en las fotos.

Segundo, instala desde el manual oficial — PHP más una base de datos, o la imagen All-in-One del proyecto — y pon occ maintenance:install en el centro de esa tarde en lugar de un script de un foro. TLS en tu propio dominio antes del primer inicio de sesión, el directorio de datos en el NVMe local, y los trabajos en segundo plano movidos a occ background:cron con una entrada del sistema mientras todavía no hay nada en juego. Todo lo que se configura antes de que lleguen los usuarios es una decisión; todo lo que se configura después es un riesgo con testigos.

Tercero, fija los horarios que hacen la instancia aburrida en el buen sentido: el generador de vistas previas en una cola en lugar de bajo demanda, los trabajos en segundo plano a reloj, y los valores por defecto de compartición — contraseñas en los enlaces públicos, vidas útiles limitadas — escritos en la configuración en lugar de quedarse como los ajustes de quien lo instaló por última vez. Audita los enlaces públicos el mismo día de cada mes para que el hábito sobreviva al vaivén del calendario y a los cambios de personal.

Cuarto, construye la copia de seguridad que sobrevive al edificio: una extracción cifrada con restic backup o Borg desde una segunda máquina en otra red, programada, con claves fuera del servidor, y con la restauración probada en una caja de pruebas dos veces al año. Las instantáneas cubren el día de actualización; la extracción cubre todo lo demás. Cronometra la restauración, anota la contraseña en un sitio que no sea el servidor, y el archivo deja de ser una esperanza con nombre de archivo.

Solo entonces entran los datos: rsync de la biblioteca, volcado y restauración de la base de datos, copia de la configuración, y reorienta el dominio una vez que la caja nueva pase una prueba de inicio de sesión real. Haz instantánea de la instancia importada antes de que el primer usuario inicie sesión, para que el camino de reversión exista desde el minuto uno de la vida en producción. Después, el estado estacionario es el bucle trimestral de la sección de endurecimiento — treinta minutos, cuatro comprobaciones — y la instancia sigue siendo tuya en todos los sentidos en que la versión por suscripción nunca lo fue.