Il contesto: perché uno stack self-hosted per una PMI
Quando un piccolo studio o una PMI italiana chiede di “riprendere il controllo” dei propri dati, la tentazione è rispondere con l’ennesimo abbonamento cloud. Ma esiste una via intermedia, fatta di software open source maturo che gira su hardware modesto e resta dentro i confini fisici e giuridici dell’azienda. In questo pezzo racconto la messa in produzione di uno stack composto da Beszel per il monitoring, Seafile per la condivisione file, Immich per le foto e Backrest (restic) per i backup, in un ambiente reale di piccole dimensioni.
La sintesi dell’esperienza è netta: la migrazione è stata semplice e indolore per un’azienda di piccole dimensioni, e ha dato modo di aggiornare l’infrastruttura e riportarla sotto controllo diretto. Ma “semplice” non significa “senza attenzioni”, e vale la pena entrare nel dettaglio.
Il setup reale e i grattacapi in esercizio
Lo stack è stato installato in container su un singolo host consolidato, la classica configurazione da piccolo ambiente dove non esiste il lusso di un cluster. Ogni servizio ha un profilo di carico diverso e va trattato di conseguenza:
- Beszel è il componente più leggero e “invisibile”: agent sugli host, dashboard centralizzata, footprint minimo. In un piccolo ambiente è esattamente quello che serve, senza il peso operativo di uno stack di metriche completo.
- Seafile regge bene la sincronizzazione quotidiana, ma sotto carico concorrente la variabile critica resta lo storage sottostante e la gestione della libreria: la sua architettura a blocchi è efficiente, però va monitorata la crescita del database e degli oggetti.
- Immich è il servizio più esigente: con librerie grandi e machine learning attivo per il riconoscimento, la fase di indicizzazione iniziale è pesante su CPU e RAM. Il consiglio pratico è pianificare l’import in orari a basso utilizzo e valutare se disattivare i modelli più onerosi finché la libreria non è a regime.
- Backrest orchestra restic in modo pulito. Il tema noto è la crescita del repository: senza una policy di retention seria e senza operazioni di prune programmate, lo spazio e i tempi delle operazioni aumentano. Configurata bene la retention, il comportamento è stabile e prevedibile.
Nessuna di queste criticità si è tradotta in un fermo: sono punti di attenzione operativa, non difetti bloccanti. È questa la differenza tra un progetto hobbistico e uno “pronto per la produzione”.
Il confronto con le alternative enterprise-lite
Un cliente, o un consulente esterno, si aspetterebbe i nomi “canonici”: Nextcloud, Zabbix, Veeam Agent. La scelta di questo stack nasce da trade-off concreti.
- Seafile vs Nextcloud: Nextcloud è una piattaforma-mondo, potente ma pesante da mantenere e capricciosa negli aggiornamenti. Seafile è più focalizzato, più veloce nella sync e più semplice da gestire per un singolo admin. Se al cliente serve però un ecosistema con calendario, contatti, editor collaborativo e mille app, lì sconsiglio Seafile e Nextcloud torna a essere la risposta giusta.
- Beszel vs Uptime Kuma/Zabbix: Zabbix è lo standard enterprise, ma è sovradimensionato per un host singolo e richiede competenze dedicate. Beszel dà il 90% del valore con il 10% dello sforzo. Per ambienti multi-sito o con SLA formali, però, Beszel non basta: lì serve Zabbix o soluzioni equivalenti.
- Backrest/restic vs Duplicati/Veeam Agent: restic è affidabile, deduplicato, cifrato e con un ecosistema solido; Backrest gli mette davanti una UI che rende gestibili schedulazione e retention. Veeam resta imbattibile per il bare-metal restore e gli ambienti Windows/virtualizzati: dove il cliente ragiona per macchine intere e non per file, non provo nemmeno a sostituirlo.
Le domande del CISO: restore, cifratura, manutenzione
Un CISO non chiede “hai i backup”, chiede “hai testato il restore”. Con restic il ripristino è di fatto la stessa operazione della verifica, ed è la cosa che va provata prima di dichiarare il sistema in produzione: un restore reale di un sottoinsieme di dati è veloce, un restore integrale dipende dalla dimensione del repository e dalla banda verso lo storage. La regola resta la stessa da vent’anni: un backup non testato non è un backup.
Sul fronte cifratura ed esposizione, i punti fermi sono: repository restic sempre cifrato a riposo, servizi non esposti direttamente su Internet ma dietro reverse proxy con TLS e, dove possibile, accesso via VPN o rete privata. Immich e Seafile non vanno mai lasciati “nudi” su IP pubblico.
Il vero rischio dei piccoli ambienti è però il bus factor pari a uno: se l’unico admin sei tu, la manutenzione va documentata, gli aggiornamenti pianificati e le credenziali custodite in modo che qualcun altro possa subentrare. Questa non è una questione tecnica, è continuità del servizio, e va messa nero su bianco.
Il verdetto
Per un piccolo studio o una PMI, questo stack conviene. La migrazione è stata semplice e indolore, ha permesso di aggiornare l’infrastruttura e di riportarla sotto controllo diretto, con costi ricorrenti bassi e dati in casa. Non è la risposta universale — dove servono ecosistemi completi, SLA formali o bare-metal restore, le alternative enterprise restano più adatte — ma nel suo perimetro è maturo e affidabile. Verdetto: 1, conviene muoversi, a patto di trattarlo come un sistema di produzione: retention configurata, restore testato, servizi cifrati e manutenzione documentata.