خادم Git خاص بك.
المستودع هو الهيكل التنظيمي.

يكاد كل جدال حول الاستضافة الذاتية لـ Git يكون جدالًا حول الشيفرة المصدرية، وهي الجزء الأقل أهمية على الإطلاق. معظمها عادي لا يلفت الانتباه، وجزء كبير منها ليس سوى طبقة رقيقة فوق مكتبات مفتوحة المصدر، ولو تسرّبت غدًا فإن الضرر العملي سيكون عادة إحراجًا لا أذى حقيقيًا. لهذا السبب تبدو عبارة "شيفرتي ليست سرًا" وكأنها إجابة كاملة، ولماذا هي ليست كذلك.

ما يحيط بالشيفرة هو الجزء المثير للاهتمام. المستودع سجل عمل مؤرَّخ ومنسوب وعالي الدقة: طوابع زمنية للالتزامات تصف متى تنام، وأسطر تأليف مشترك تصف مع من تعمل، وأسماء فروع تصف منتجات لم يُعلن عنها أحد، ومتتبع مشكلات يصف ما هو معطل ومدى سوئه، والتزام أول يحدد تاريخ المشروع كله. اقرأ مئة مستودع بهذه الطريقة ولن تكون تقرأ برمجيات بعد ذلك — بل ستكون تقرأ شركة، وخارطة طريقها، وعدد موظفيها، ومتاعبها.

على منصة ما، ذلك السجل ليس ملكك بأي معنى حقيقي. إنه موجود على بنية تحتية لا تتحكم بها، تحت حساب مرتبط بهوية تحققت منها، في ولاية قضائية تصل إليها إجراءاتها القانونية، وتفحصه أنظمة يحدد نطاقها مستند يمكن تعديله. لا شيء من هذا يتطلب سوء نية من أحد: إنه ببساطة ما يعنيه استئجار متتبع المشكلات. أربعة ترتيبات، وما يكشفه كل منها فعليًا:

الصف الثالث هو الصف الذي يوقع في الفخ الفرق التي تظن أنها حلت هذه المسألة بالفعل. منصة ثبّتّها بنفسك، على جهاز مستأجَر ببطاقة الشركة تحت حساب شركة موثّق، تكون قد نقلت التطبيق خارج المنصة الخارجية وتركت الهوية بالضبط حيث كانت. هذا مكسب حقيقي في التحكم ولا مكسب على الإطلاق في التعرض.

ويوضح الصف الرابع تكلفته الخاصة بصراحة، لأن بقية هذا الدليل تدور في معظمها حول دفع تلك التكلفة. نمط الفشل في الاستضافة الذاتية ليس المراقبة، بل الفقدان. المنصة تحتفظ بنسخ احتياطية لا تفكر فيها أبدًا. أما خادمك فيحتفظ بالنسخ الاحتياطية التي أعددتها أنت. الخطوة 06 ليست لمسة تجميلية اختيارية في النهاية — إنها الخطوة التي تجعل الخطوات الخمس الأخرى آمنة.

اطلب الخادم أولًا. في لوحة التحكم: Order → VPS → Sentinel، بصورة Debian 12، في أي حصن (bastion) تريد أن يقيم فيه التاريخ — هلسنكي، أو ستوكهولم، أو أوسلو، أو ريكيافيك. لا حاجة إلى عنوان بريد إلكتروني لفتح الحساب، وتُسوّى الفاتورة بعملة Monero أو Bitcoin أو عبر Lightning أو أي أصل آخر مدعوم. هذا الأمر أكثر أهمية هنا منه في معظم أعباء العمل الأخرى: فالمنصة هي الخدمة الوحيدة التي يقوم عرضها بأكمله على أن سجل عملك غير مرتبط باسم.

ثم نفّذ قائمة تحصين الساعة الأولى — SSH بالمفاتيح فقط على منفذ مُنقول، وترقيات دون إشراف، وجدار حماية يرفض كل شيء افتراضيًا — لأن كل ما يلي يفترض خادمًا ليس ملكًا لشخص آخر أصلًا.

وجّه اسم مضيف نحو الخادم — سجل A، وسجل AAAA إذا أردت الوصول إليه عبر IPv6 — ودعه ينتشر قبل أن تبدأ، لأن الوكيل العكسي سيحاول الحصول على شهادة لذلك الاسم في أول مرة يُقلع فيها، وفشل التحقق طريقة مربكة للبدء. ثم اكتب قواعد جدار الحماية بينما لا شيء يستمع بعد.

مشكلة SSH المزدوجة. تتحدث المنصة بـ SSH من أجل Git، وخادمك يتحدث بـ SSH بالفعل من أجل الإدارة. لا يمكن أن يمتلك كلاهما المنفذ 22، والخلط بينهما هو كيف ينتهي الأمر بالناس إلى خدمة إدارية تحتاج أيضًا إلى فهم Git. أبقهما منفصلين: الإدارة على المنفذ المنقول من دليل التحصين، وGit على منفذ عام مخصص يُطابَق إلى الحاوية. 2222 هو الاختيار المتعارف عليه ولا شيء مقدّس فيه.

ufw default deny incoming
ufw allow 47222/tcp                  # administrative SSH, moved
ufw allow 80/tcp                     # ACME HTTP-01 challenge
ufw allow 443/tcp                    # the web interface
ufw allow 2222/tcp                   # git over SSH, into the container
ufw enable
ufw status numbered

# Nothing else is open. In particular: PostgreSQL stays on the Docker
# network and is never published to the host, let alone the internet.

ثبّت Docker من المستودع الرسمي بدلًا من حزمة التوزيعة، حتى يكون Compose v2 متوفرًا والإصدار حديثًا. ثم أنشئ دليلًا للمكدس واجعله المكان الوحيد على الخادم الذي يحمل الحالة — وهو الدليل الذي تنسخه الخطوة 06 احتياطيًا.

curl -fsSL https://get.docker.com | sh
docker compose version

install -d -m 0750 /srv/forgejo
cd /srv/forgejo

الصق مفتاحك العام في إعدادات الملف الشخصي، ثم علّم عميلك بمكان إقامة المنصة. ولأن Git على منفذ غير قياسي، فإن إدخالًا في إعدادات SSH لديك يستحق الثواني الثلاثين — فهو يُبقي المنفذ خارج كل عنوان ستكتبه لاحقًا ويجعل المستودعات البعيدة قابلة للنقل.

# ~/.ssh/config
Host git.example.com
    Port 2222
    User git
    IdentityFile ~/.ssh/id_ed25519

# Then, in any repository:
git remote set-url origin git@git.example.com:you/project.git
git push -u origin main
ssh -T git@git.example.com        # expect a greeting, not a shell

ذلك الأمر الأخير هو ما يخبرك ما إذا كان تعيين المنفذ وخادم SSH في الحاوية ومفتاحك متفقة جميعًا. رسالة ترحيب من Forgejo تعني أن السلسلة كلها تعمل. أما طلب كلمة مرور فيعني أنك وصلت بدلًا من ذلك إلى sshd الإداري للمضيف، وأن تعيين المنفذ خاطئ.

الآن وقّع التزاماتك. هذه هي الخطوة التي تتجاهلها معظم أدلة الاستضافة الذاتية، وهي أكثر أهمية على منصة مستضافة ذاتيًا منها على منصة خارجية. حقل مؤلف الالتزام نص حر — يستطيع أي شخص يمكنه الدفع أن يكتب اسمك فيه. التوقيع إثبات أن مفتاحًا محددًا هو من أنشأ التزامًا محددًا، ويظل إثباتًا حتى بعد أن يتعرض الخادم الذي دُفع إليه للاختراق أو الترحيل أو التخلص منه. يستطيع Git التوقيع بمفتاح SSH الذي تملكه بالفعل، فلم يعد هناك حاجة إلى الالتفاف عبر PGP:

git config --global gpg.format ssh
git config --global user.signingkey ~/.ssh/id_ed25519.pub
git config --global commit.gpgsign true
git config --global tag.gpgsign true

git commit --allow-empty -m "signed"
git log --show-signature -1

ثم أضف المفتاح العام نفسه مرة ثانية في المنصة، كمفتاح توقيع لا كمفتاح مصادقة. يتحقق Forgejo من التوقيع من جهة الخادم ويعرض الالتزام كمُوثَّق؛ ودون ذلك الإدخال الثاني لا توجد وسيلة لربط التوقيع بحسابك، ويظهر كل التزام كغير موثَّق حتى لو كان موقّعًا بشكل صحيح.

مفاتيح النشر، للأجهزة التي تقرأ فقط. خادم الإنتاج، أو خادم البناء، أو المرآة لا يحتاج أي منها إلى حساب مستخدم على المنصة. امنحه بدلًا من ذلك مفتاح نشر: زوج مفاتيح يُضاف إلى مستودع واحد، للقراءة فقط ما لم تمنح صلاحية الكتابة صراحة، ولا يمنح وصولًا إلى أي شيء آخر في النسخة. إلغاؤه هو مجرد حذف إدخال واحد. هذه هي العادة الأكثر فعالية على الإطلاق للحفاظ على نظافة منصة مستضافة ذاتيًا، لأن حسابات المستخدمين تتراكم عليها الصلاحيات بينما لا يمكن ذلك لمفاتيح النشر.

الترحيل من منصة خارجية لحظة جيدة للقيام بكل هذا بشكل صحيح. يأخذ مسار الترحيل الجديد في Forgejo عنوان مستودع ورمز وصول وينقل معه الفروع والوسوم والمشكلات والتعليقات والتصنيفات والمعالم والإصدارات وطلبات السحب. شغّله على مستودع واحد أولًا لترى شكل النتيجة، وتوقع أن تُبطئ حدود معدل استخدام واجهة برمجة التطبيقات الدفعات الكبيرة، وأبقِ المصدر للقراءة فقط لبضعة أسابيع بدلًا من حذفه في اليوم نفسه.

يتميّز Git بتسامح غير معتاد هنا ويستحق الأمر التوضيح الدقيق للسبب. كل نسخة مستنسخة هي نسخة كاملة من التاريخ، فطالما أن مطورًا واحدًا لديه نسخة عمل حديثة، تنجو الشيفرة من زوال الخادم. هذا أمر مطمئن فعلًا، وهو يغطي بالضبط واحدًا من الأمرين اللذين تحتفظ بهما منصتك. أما الآخر — المشكلات، ونقاشات طلبات السحب، وخيوط المراجعة، والإصدارات، وصفحات الويكي، والمستخدمون، والفرق، والصلاحيات، وتاريخ التكامل المستمر — فلا يوجد إلا في قاعدة البيانات، ولا يملك أحد نسخة منه، وهو عادة الجزء الذي استغرق ثلاث سنوات ليتراكم.

أولًا، مرآة دفع. إنها مجانية وتُشغّل نفسها بنفسها. في مستودع: Settings → Mirror settings → أضف مرآة دفع بالعنوان ورمز وصول للوجهة. عندئذ يُكرّر Forgejo كل فرع ووسم بعد كل عملية دفع، إلى Forgejo ثانٍ، أو إلى Codeberg، أو إلى منصة قررت الإبقاء عليها كواجهة عرض لا كموطن رئيسي. تحذير واحد يستحق القول بوضوح: مرآة الدفع تعيد نشر التاريخ بأمانة، بما في ذلك أي سرّ كنت تنوي إزالته.

ثم نسخة احتياطية حقيقية، وهي ليست الأرشيف المدمج. يوفّر Forgejo أمر forgejo dump الذي يحزم الإعدادات والمستودعات والبيانات وتفريغًا لقاعدة البيانات في ملف zip واحد. إنه أمر مفيد فعلًا لتسليمه لمشرف عند الإبلاغ عن عِلّة. لكنه ليس ما ينبغي أن تعتمد عليه للعودة من الموت: فملف SQL الذي ينتجه له مشكلات معروفة منذ زمن طويل عند إعادة الاستيراد، ويعيد الأرشيف كتابة مجموعة المستودعات بأكملها في كل تشغيل، وهو ما يعني على نسخة حقيقية ملفًا كبيرًا يُكتب من الصفر كل ليلة. استخدم بدلًا من ذلك المسار المُمل والقابل للتحقق — فرّغ قاعدة البيانات بأداتها الخاصة، وانسخ دليل البيانات احتياطيًا كملفات:

#!/bin/sh
# /usr/local/bin/forgejo-backup — run from a systemd timer, nightly
set -eu
cd /srv/forgejo

# 1. Consistent database dump, written next to the data.
docker compose exec -T db pg_dump -U forgejo -Fc forgejo > ./db.dump

# 2. Everything that matters, to an encrypted offsite repository.
restic backup ./data ./db.dump ./docker-compose.yml ./.env ./Caddyfile

# 3. Retention, then prove the repository is still readable.
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune
restic check

أرسلها إلى جهاز في ولاية قضائية مختلفة عن المنصة، عبر مستودع للإلحاق فقط بحيث لا يستطيع اختراق المنصة محو تاريخه الخاص — دليل النسخ الاحتياطي المشفر هو النسخة المطولة من السطور الثلاثة أعلاه، بما في ذلك مؤقت systemd وقيد المفتاح المخصص للإلحاق فقط.

ثم استعدها مرة واحدة، عن قصد. اطلب خادم VPS تجريبيًا، واستعد اللقطة إليه، وشغّل نفس ملف Compose في مواجهة دليل البيانات المستعاد، وحمّل تفريغ قاعدة البيانات، ووجّه إدخالًا في ملف hosts نحوه وسجّل الدخول. احسب الوقت الذي استغرقه كل ذلك. ذلك الرقم — لا مجرد وجود مهمة النسخ الاحتياطي — هو موقفك الحقيقي في الاستعادة، وكل من قام بهذا التمرين وجد على الأقل شيئًا واحدًا مفقودًا من قائمة التضمين في المرة الأولى.

# restic keeps absolute paths, so the stack reappears under the target.
restic restore latest --target /srv/restore
cd /srv/restore/srv/forgejo

docker compose up -d db                # empty volume: the entrypoint creates the database
docker compose exec -T db pg_restore -U forgejo -d forgejo \
  --clean --if-exists --no-owner < db.dump

docker compose up -d                   # then sign in and walk the issue tracker

الترقيات، باختصار. ثبّت الصورة على إصدار رئيسي بدلًا من :latest، حتى لا يعبر بك سحب تلقائي دون إشراف تغييرًا كاسرًا بينما أنت نائم. اقرأ ملاحظات الإصدار قبل عبور حد رئيسي، وخذ لقطة أولًا، وتذكر أن ترحيل قاعدة البيانات يعمل عند أول بدء تشغيل للإصدار الجديد — وهو باب باتجاه واحد. التحديث التلقائي على طريقة Watchtower فكرة جيدة لموقع ثابت وفكرة سيئة للجهاز الذي يحتفظ بكل فرع تملكه.

أربعة فحوصات قبل أن تعتبر الأمر منتهيًا. سجّل الخروج وتأكد من أن النسخة لا تقدّم أي وسيلة لإنشاء حساب. من متصفح بلا جلسة، تأكد من أن المستودع الخاص غير مرئي لا مجرد ممنوع. تأكد من أن المُشغّل لا يستطيع قراءة دليل بيانات المنصة. وتأكد من نجاح آخر فحص لـ restic — فمهمة النسخ الاحتياطي التي تفشل بصمت هي التي يملكها الجميع، إلى أن يأتي اليوم الذي يحتاجونها فيه.