Tu propio servidor Git.
El repositorio es el organigrama.

Casi todos los argumentos sobre el autoalojamiento de Git giran en torno al código fuente, y el código fuente es la parte que menos importa. La mayor parte es poco destacable, buena parte de él es una capa fina sobre bibliotecas de código abierto, y si se filtrara mañana el daño práctico normalmente sería vergüenza más que perjuicio real. Por eso «mi código no es secreto» suena como una respuesta completa, y por eso no lo es.

Lo que rodea al código es la parte interesante. Un repositorio es un registro de trabajo fechado, atribuido y de alta resolución: las marcas de tiempo de los commits describen cuándo duermes, las líneas de coautoría describen con quién trabajas, los nombres de las ramas describen productos que nadie ha anunciado, un gestor de incidencias describe qué está roto y hasta qué punto, y un primer commit fecha el proyecto entero. Lee cien repositorios así y ya no estás leyendo software — estás leyendo una empresa, su hoja de ruta, su plantilla y sus problemas.

En una plataforma, ese registro no es tuyo en ningún sentido relevante. Reside en una infraestructura que no controlas, bajo una cuenta ligada a una identidad que verificaste, en una jurisdicción cuyo proceso legal puede alcanzarlo, escaneado por sistemas cuyo alcance fija un documento que se puede modificar. Nada de esto exige mala fe por parte de nadie: es simplemente lo que significa alquilar el gestor de seguimiento. Cuatro configuraciones, y lo que cada una revela en realidad:

La tercera fila es la que atrapa a los equipos que creen que ya han resuelto esto. Una forja que has instalado tú mismo, en una máquina alquilada con una tarjeta corporativa bajo una cuenta de empresa verificada, ha sacado la aplicación de la plataforma y ha dejado la identidad exactamente donde estaba. Eso es una ganancia real en control y ninguna ganancia en exposición.

Y la cuarta fila expone su propio coste sin rodeos, porque el resto de esta guía trata sobre todo de pagarlo. El modo de fallo del autoalojamiento no es la vigilancia, es la pérdida. Una plataforma guarda copias de seguridad en las que nunca piensas. Tu servidor guarda las copias de seguridad que tú configuraste. El paso 06 no es el acabado opcional del final — es el paso que hace seguros a los otros cinco.

Pide primero la máquina. En el panel: Order → VPS → Sentinel, imagen Debian 12, en el bastión en el que quieras que viva el historial — Helsinki, Stockholm, Oslo o Reykjavík. No hace falta ninguna dirección de correo para abrir la cuenta, y la factura se salda en Monero, Bitcoin, Lightning o cualquier otro activo admitido. Esto importa aquí más que en la mayoría de las cargas de trabajo: una forja es el único servicio cuya propuesta de valor entera consiste en que el registro de tu trabajo no esté ligado a un nombre.

Después ejecuta la lista de verificación de endurecimiento de la primera hora — SSH solo con clave en un puerto distinto del habitual, actualizaciones desatendidas, un cortafuegos que deniega por defecto — porque todo lo que sigue asume una máquina que todavía no es de otra persona.

Apunta un nombre de host hacia la máquina — un registro A, y un AAAA si quieres que sea accesible por IPv6 — y deja que se propague antes de empezar, porque el proxy inverso intentará obtener un certificado para ese nombre la primera vez que arranque, y un desafío fallido es una forma confusa de empezar. Luego escribe las reglas del cortafuegos mientras todavía no hay nada escuchando.

El problema de los dos SSH. Una forja habla SSH para Git, y tu servidor ya habla SSH para la administración. Los dos no pueden ser dueños del puerto 22, y mezclarlos es como la gente acaba con un demonio administrativo que también tiene que entender Git. Mantenlos separados: la administración en el puerto cambiado de la guía de endurecimiento, Git en un puerto público dedicado que se redirige al contenedor. El 2222 es la elección convencional y no tiene nada de sagrado.

ufw default deny incoming
ufw allow 47222/tcp                  # administrative SSH, moved
ufw allow 80/tcp                     # ACME HTTP-01 challenge
ufw allow 443/tcp                    # the web interface
ufw allow 2222/tcp                   # git over SSH, into the container
ufw enable
ufw status numbered

# Nothing else is open. In particular: PostgreSQL stays on the Docker
# network and is never published to the host, let alone the internet.

Instala Docker desde el repositorio oficial en lugar del paquete de la distribución, para que Compose v2 esté presente y la versión sea actual. Luego crea un directorio para la pila y conviértelo en el único lugar de la máquina que retiene estado — es el directorio que respalda el paso 06.

curl -fsSL https://get.docker.com | sh
docker compose version

install -d -m 0750 /srv/forgejo
cd /srv/forgejo

Pega tu clave pública en los ajustes del perfil, y luego enséñale a tu cliente dónde vive la forja. Como Git está en un puerto no estándar, una entrada en tu configuración de SSH vale los treinta segundos que cuesta — mantiene el puerto fuera de cada URL que vayas a escribir, y hace que los remotos sean portables.

# ~/.ssh/config
Host git.example.com
    Port 2222
    User git
    IdentityFile ~/.ssh/id_ed25519

# Then, in any repository:
git remote set-url origin git@git.example.com:you/project.git
git push -u origin main
ssh -T git@git.example.com        # expect a greeting, not a shell

Ese último comando es el que te dice si el mapeo de puertos, el servidor SSH del contenedor y tu clave están todos de acuerdo. Un saludo de Forgejo significa que toda la cadena funciona. Una solicitud de contraseña significa que en realidad has llegado al sshd administrativo del host, y que el mapeo de puertos está mal.

Ahora firma tus commits. Este es el paso que se saltan la mayoría de las guías de autoalojamiento, y en una forja autoalojada importa más que en una plataforma. El campo de autor de un commit es texto libre — cualquiera que pueda hacer push puede escribir tu nombre en él. Una firma es la prueba de que una clave concreta hizo un commit concreto, y sigue siendo prueba después de que el servidor al que se subió haya sido comprometido, migrado o desechado. Git puede firmar con la clave SSH que ya tienes, así que ya no hace falta ningún rodeo por PGP:

git config --global gpg.format ssh
git config --global user.signingkey ~/.ssh/id_ed25519.pub
git config --global commit.gpgsign true
git config --global tag.gpgsign true

git commit --allow-empty -m "signed"
git log --show-signature -1

Luego añade la misma clave pública una segunda vez en la forja, como clave de firma en lugar de clave de autenticación. Forgejo verifica la firma en el servidor y muestra el commit como verificado; sin esa segunda entrada no tiene forma de conectar la firma con tu cuenta, y cada commit aparece como no verificado aunque esté firmado correctamente.

Claves de despliegue, para las máquinas que solo leen. Un servidor de producción, una máquina de compilación o un espejo no necesitan una cuenta de usuario en la forja. Dales en su lugar una clave de despliegue: un par de claves añadido a un repositorio, de solo lectura salvo que concedas escritura explícitamente, que no da acceso a nada más en la instancia. Revocarla es borrar una entrada. Este es, con diferencia, el hábito más eficaz para mantener ordenada una forja autoalojada, porque las cuentas de usuario acumulan permisos y las claves de despliegue no pueden hacerlo.

Migrar desde una plataforma es un buen momento para hacer todo esto como es debido. El flujo New Migration de Forgejo toma una URL de repositorio y un token de acceso, y trae consigo ramas, etiquetas, incidencias, comentarios, etiquetas, hitos, lanzamientos y pull requests. Ejecuta primero un repositorio para ver la forma del resultado, cuenta con que los límites de tasa de la API frenen los lotes grandes, y mantén el origen en solo lectura durante unas semanas en lugar de borrarlo el mismo día.

Git es inusualmente indulgente aquí, y merece la pena precisar por qué. Cada clon es una copia completa del historial, así que mientras un desarrollador tenga una copia de trabajo actualizada, el código sobrevive al servidor. Eso es genuinamente tranquilizador, y cubre exactamente una de las dos cosas que retiene tu forja. La otra — incidencias, discusiones de pull requests, hilos de revisión, lanzamientos, páginas de wiki, usuarios, equipos, permisos, historial de CI — solo existe en la base de datos, nadie tiene un clon de ella, y suele ser la parte que ha tardado tres años en acumularse.

Primero, un espejo push. Es gratis y se ejecuta solo. En un repositorio: Settings → Mirror settings → añade un espejo push con la URL y un token de acceso para el destino. Forgejo replica entonces cada rama y etiqueta después de cada push, hacia un segundo Forgejo, hacia Codeberg, o hacia una plataforma que hayas decidido conservar como escaparate en lugar de como hogar. Una advertencia que conviene decir sin rodeos: un espejo push vuelve a publicar el historial fielmente, incluido un secreto que querías eliminar.

Luego una copia de seguridad real, que no es el archivo integrado. Forgejo incluye un comando forgejo dump que empaqueta la configuración, los repositorios, los datos y un volcado de la base de datos en un único zip. Es algo genuinamente útil que entregarle a quien mantiene el proyecto al reportar un fallo. No es aquello en lo que deberías confiar para resucitar de entre los muertos: el SQL que produce tiene problemas conocidos y de larga data al reimportarlo, y el archivo reescribe todo el conjunto de repositorios en cada ejecución, lo que en una instancia real significa un archivo grande escrito desde cero cada noche. Usa en su lugar la vía aburrida y verificable — vuelca la base de datos con la propia herramienta de la base de datos, y respalda el directorio de datos como archivos:

#!/bin/sh
# /usr/local/bin/forgejo-backup — run from a systemd timer, nightly
set -eu
cd /srv/forgejo

# 1. Consistent database dump, written next to the data.
docker compose exec -T db pg_dump -U forgejo -Fc forgejo > ./db.dump

# 2. Everything that matters, to an encrypted offsite repository.
restic backup ./data ./db.dump ./docker-compose.yml ./.env ./Caddyfile

# 3. Retention, then prove the repository is still readable.
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune
restic check

Envíala a una máquina en una jurisdicción distinta de la forja, a través de un repositorio de solo anexado para que un compromiso de la forja no pueda borrar su propio historial — la guía de copias de seguridad cifradas es la versión larga de las tres líneas de arriba, incluyendo el temporizador de systemd y la restricción de clave de solo anexado.

Luego restáurala una vez, a propósito. Pide un VPS de prueba, restaura la instantánea en él, levanta el mismo archivo de Compose contra el directorio de datos restaurado, carga el volcado de la base de datos, apunta una entrada del archivo hosts hacia él e inicia sesión. Cronometra todo el proceso. Ese número — no la mera existencia de la tarea de copia de seguridad — es tu posición real de recuperación, y todo el que ha hecho este ejercicio se ha encontrado al menos una cosa que faltaba en la lista de inclusión la primera vez.

# restic keeps absolute paths, so the stack reappears under the target.
restic restore latest --target /srv/restore
cd /srv/restore/srv/forgejo

docker compose up -d db                # empty volume: the entrypoint creates the database
docker compose exec -T db pg_restore -U forgejo -d forgejo \
  --clean --if-exists --no-owner < db.dump

docker compose up -d                   # then sign in and walk the issue tracker

Actualizaciones, brevemente. Fija la imagen a una versión mayor en lugar de :latest, para que una descarga desatendida no te haga cruzar un cambio incompatible mientras duermes. Lee las notas de la versión antes de cruzar un límite de versión mayor, toma antes una instantánea, y recuerda que una migración de base de datos se ejecuta en el primer arranque de la nueva versión — lo cual es una puerta sin retorno. La actualización automática al estilo Watchtower es una buena idea para un sitio estático y una mala idea para la máquina que retiene todas tus ramas.

Cuatro comprobaciones antes de darlo por terminado. Cierra sesión y confirma que la instancia no ofrece ninguna manera de crear una cuenta. Desde un navegador sin sesión, confirma que un repositorio privado es invisible y no simplemente está prohibido. Confirma que el ejecutor no puede leer el directorio de datos de la forja. Y confirma que el último restic check pasó — la tarea de copia de seguridad que falla en silencio es la que todo el mundo tiene, hasta el día en que la necesita.