Server Git milik Anda sendiri.
Repositori adalah bagan organisasi.

Hampir setiap perdebatan tentang self-hosting Git adalah perdebatan tentang kode sumber, padahal kode sumber adalah bagian yang paling tidak penting. Sebagian besarnya biasa-biasa saja, banyak di antaranya hanyalah lapisan tipis di atas library open-source, dan jika ia bocor besok, kerugian praktisnya biasanya hanya rasa malu, bukan kerugian nyata. Itulah sebabnya "kode saya tidak rahasia" terasa seperti jawaban yang lengkap — dan mengapa sebenarnya bukan.

Yang mengelilingi kode itulah bagian yang menarik. Sebuah repositori adalah catatan kerja yang bertanggal, beratribusi, dan beresolusi tinggi: timestamp commit yang menggambarkan kapan Anda tidur, baris co-author yang menggambarkan dengan siapa Anda bekerja, nama branch yang menggambarkan produk yang belum diumumkan siapa pun, issue tracker yang menggambarkan apa yang rusak dan separah apa, dan commit pertama yang menandai tanggal seluruh proyek itu dimulai. Baca seratus repositori dengan cara ini dan Anda bukan lagi membaca perangkat lunak — Anda sedang membaca sebuah perusahaan, roadmap-nya, jumlah karyawannya, dan masalahnya.

Di sebuah platform, catatan itu bukan lagi milik Anda dalam pengertian yang sesungguhnya. Ia berada di infrastruktur yang tidak Anda kendalikan, di bawah akun yang terikat pada identitas yang telah Anda verifikasi, di yurisdiksi yang proses hukumnya bisa menjangkaunya, dipindai oleh sistem yang cakupannya ditentukan oleh sebuah dokumen yang bisa diubah sewaktu-waktu. Tidak satu pun dari itu membutuhkan itikad buruk dari siapa pun: itu hanyalah konsekuensi dari menyewa tracker-nya. Empat skema, dan apa yang sebenarnya diungkap oleh masing-masing:

Baris ketiga adalah baris yang menjebak tim-tim yang mengira mereka sudah menyelesaikan masalah ini. Forge yang Anda instal sendiri, di sebuah mesin yang disewa dengan kartu korporat di bawah akun perusahaan yang terverifikasi, telah memindahkan aplikasinya keluar dari platform tetapi meninggalkan identitasnya persis di tempat semula. Itu adalah keuntungan nyata dalam hal kontrol, dan sama sekali bukan keuntungan dalam hal keterpaparan.

Dan baris keempat menyatakan biayanya sendiri secara terang-terangan, karena sebagian besar dari sisa panduan ini adalah tentang cara membayarnya. Mode kegagalan dari self-hosting bukanlah pengawasan, melainkan kehilangan. Sebuah platform menyimpan backup yang tidak pernah Anda pikirkan. Server Anda hanya menyimpan backup yang Anda konfigurasikan sendiri. Langkah 06 bukanlah polesan opsional di bagian akhir — itu adalah langkah yang membuat lima langkah lainnya aman.

Pesan mesinnya terlebih dahulu. Di panel: Order → VPS → Sentinel, image Debian 12, di bastion mana pun tempat Anda ingin riwayatnya berada — Helsinki, Stockholm, Oslo, atau Reykjavík. Tidak perlu alamat email untuk membuka akun, dan invoice-nya diselesaikan dalam Monero, Bitcoin, Lightning, atau aset lain yang didukung. Ini lebih penting di sini dibanding untuk sebagian besar beban kerja lainnya: forge adalah satu-satunya layanan yang seluruh nilai proposisinya justru adalah bahwa catatan pekerjaan Anda tidak terikat pada sebuah nama.

Setelah itu, jalankan checklist hardening jam pertama — SSH khusus kunci pada port yang telah dipindah, unattended upgrade, firewall default-deny — karena semua yang ada di bawah ini mengasumsikan sebuah mesin yang belum menjadi milik orang lain.

Arahkan sebuah hostname ke mesin itu — sebuah A record, dan AAAA jika Anda ingin bisa dijangkau lewat IPv6 — dan biarkan propagasinya selesai dulu sebelum Anda mulai, karena reverse proxy-nya akan mencoba memperoleh sertifikat untuk nama tersebut pada boot pertamanya, dan sebuah challenge yang gagal adalah cara yang membingungkan untuk memulai. Setelah itu, tulis aturan firewall-nya selagi belum ada apa pun yang listening.

Masalah dua-SSH. Forge menggunakan SSH untuk Git, dan server Anda sudah menggunakan SSH untuk administrasi. Keduanya tidak bisa sama-sama memiliki port 22, dan mencampur keduanya adalah cara orang berakhir dengan daemon administratif yang juga harus memahami Git. Pisahkan keduanya: administrasi di port yang sudah dipindah dari panduan hardening, Git di port publik khusus yang dipetakan ke dalam container. 2222 adalah pilihan konvensional dan tidak ada yang sakral soal itu.

ufw default deny incoming
ufw allow 47222/tcp                  # administrative SSH, moved
ufw allow 80/tcp                     # ACME HTTP-01 challenge
ufw allow 443/tcp                    # the web interface
ufw allow 2222/tcp                   # git over SSH, into the container
ufw enable
ufw status numbered

# Nothing else is open. In particular: PostgreSQL stays on the Docker
# network and is never published to the host, let alone the internet.

Instal Docker dari repository resminya, bukan dari paket distro, supaya Compose v2 tersedia dan versinya mutakhir. Setelah itu, buat sebuah direktori untuk stack ini dan jadikan itu satu-satunya tempat di mesin yang menyimpan state — inilah direktori yang di-backup oleh langkah 06.

curl -fsSL https://get.docker.com | sh
docker compose version

install -d -m 0750 /srv/forgejo
cd /srv/forgejo

Tempelkan kunci publik Anda ke pengaturan profil, lalu beri tahu klien Anda di mana forge itu berada. Karena Git berjalan di port non-standar, sebuah entri di SSH config Anda sepadan dengan tiga puluh detik yang dibutuhkan — itu menjaga agar port-nya tidak perlu muncul di setiap URL yang akan Anda ketik, dan membuat remote-nya portabel.

# ~/.ssh/config
Host git.example.com
    Port 2222
    User git
    IdentityFile ~/.ssh/id_ed25519

# Then, in any repository:
git remote set-url origin git@git.example.com:you/project.git
git push -u origin main
ssh -T git@git.example.com        # expect a greeting, not a shell

Perintah terakhir itulah yang memberi tahu Anda apakah port mapping, server SSH container, dan kunci Anda semuanya sudah selaras. Pesan salam dari Forgejo berarti seluruh rantainya berfungsi. Sebuah prompt kata sandi berarti Anda malah mencapai sshd administratif milik host, dan port mapping-nya keliru.

Sekarang, tanda tangani commit Anda. Ini adalah langkah yang dilewatkan oleh sebagian besar panduan self-hosting, padahal pada forge yang self-hosted, langkah ini justru lebih penting dibanding pada sebuah platform. Kolom author pada sebuah commit adalah teks bebas — siapa pun yang bisa melakukan push bisa menuliskan nama Anda di sana. Sebuah tanda tangan adalah bukti bahwa kunci tertentu yang membuat commit tertentu, dan bukti itu tetap berlaku bahkan setelah server tempatnya di-push telah diretas, dimigrasikan, atau dibuang. Git bisa menandatangani dengan kunci SSH yang sudah Anda miliki, jadi tidak perlu lagi memutar lewat PGP:

git config --global gpg.format ssh
git config --global user.signingkey ~/.ssh/id_ed25519.pub
git config --global commit.gpgsign true
git config --global tag.gpgsign true

git commit --allow-empty -m "signed"
git log --show-signature -1

Setelah itu, tambahkan kunci publik yang sama sekali lagi di forge, sebagai signing key, bukan authentication key. Forgejo memverifikasi tanda tangannya di sisi server dan menampilkan commit tersebut sebagai verified; tanpa entri kedua itu, forge tidak memiliki cara untuk menghubungkan tanda tangan itu dengan akun Anda, dan setiap commit akan tampil sebagai unverified meskipun sudah ditandatangani dengan benar.

Deploy key, untuk mesin-mesin yang hanya membaca. Server produksi, mesin build, atau sebuah mirror tidak membutuhkan akun pengguna di forge. Berikan deploy key sebagai gantinya: sepasang kunci yang ditambahkan ke satu repositori, read-only kecuali Anda secara eksplisit memberi izin write, dan tidak memberi akses apa pun lagi ke bagian lain instance tersebut. Mencabutnya cukup dengan menghapus satu entri. Ini adalah kebiasaan tunggal paling efektif untuk menjaga forge self-hosted tetap rapi, karena akun pengguna mengumpulkan izin dari waktu ke waktu, sedangkan deploy key tidak bisa begitu.

Migrasi dari sebuah platform adalah momen yang baik untuk melakukan semua ini dengan benar. Alur New Migration milik Forgejo mengambil URL repositori dan sebuah token akses, lalu membawa serta branch, tag, issue, komentar, label, milestone, release, dan pull request. Jalankan satu repositori dulu untuk melihat bentuk hasilnya, perkirakan rate limit API akan memperlambat batch yang besar, dan biarkan sumbernya tetap read-only selama beberapa minggu alih-alih menghapusnya di hari yang sama.

Git luar biasa pemaaf di sini, dan ada baiknya bersikap presisi tentang alasannya. Setiap clone adalah salinan lengkap dari riwayatnya, jadi selama satu developer saja memiliki working copy yang mutakhir, kodenya akan bertahan hidup melampaui server itu sendiri. Itu benar-benar melegakan, dan itu mencakup persis satu dari dua hal yang dipegang oleh forge Anda. Yang satunya lagi — issue, diskusi pull request, thread review, release, halaman wiki, pengguna, tim, izin, riwayat CI — hanya ada di dalam database, tidak ada seorang pun yang punya salinannya, dan biasanya itulah bagian yang butuh waktu tiga tahun untuk terkumpul.

Pertama, sebuah push mirror. Gratis, dan berjalan dengan sendirinya. Di sebuah repositori: Settings → Mirror settings → tambahkan push mirror dengan URL dan sebuah token akses untuk tujuannya. Forgejo kemudian mereplikasi setiap branch dan tag setelah setiap push, ke Forgejo kedua, ke Codeberg, atau ke sebuah platform yang telah Anda putuskan untuk dijadikan sekadar etalase, bukan rumah. Satu peringatan yang layak dinyatakan dengan jelas: sebuah push mirror mempublikasikan ulang riwayat dengan setia, termasuk sebuah secret yang sebenarnya ingin Anda hapus.

Lalu backup sungguhan, yang bukan arsip bawaan. Forgejo menyediakan perintah forgejo dump yang mengemas konfigurasi, repositori, data, dan sebuah dump database ke dalam satu file zip. Ini adalah hal yang sungguh berguna untuk diserahkan ke seorang maintainer saat melaporkan bug. Tetapi ini bukan yang seharusnya Anda andalkan untuk bangkit kembali dari kematian: SQL yang dihasilkannya memiliki masalah yang sudah lama diketahui saat re-import, dan arsipnya menulis ulang seluruh kumpulan repositori pada setiap kali dijalankan, yang pada instance sungguhan berarti sebuah file besar yang ditulis dari nol setiap malam. Gunakan jalur yang membosankan tapi bisa diverifikasi ini sebagai gantinya — dump database-nya dengan tool bawaan database itu sendiri, dan backup direktori data-nya sebagai file-file:

#!/bin/sh
# /usr/local/bin/forgejo-backup — run from a systemd timer, nightly
set -eu
cd /srv/forgejo

# 1. Consistent database dump, written next to the data.
docker compose exec -T db pg_dump -U forgejo -Fc forgejo > ./db.dump

# 2. Everything that matters, to an encrypted offsite repository.
restic backup ./data ./db.dump ./docker-compose.yml ./.env ./Caddyfile

# 3. Retention, then prove the repository is still readable.
restic forget --keep-daily 7 --keep-weekly 4 --keep-monthly 12 --prune
restic check

Kirim ke sebuah mesin di yurisdiksi yang berbeda dari forge-nya, lewat repositori append-only sehingga sebuah kompromi pada forge tidak bisa menghapus riwayatnya sendiri — panduan backup terenkripsi adalah versi panjang dari tiga baris di atas, termasuk systemd timer dan pembatasan key append-only-nya.

Lalu pulihkan sekali, dengan sengaja. Pesan sebuah VPS uji coba, pulihkan snapshot-nya ke situ, jalankan file Compose yang sama terhadap direktori data yang telah dipulihkan, muat dump database-nya, arahkan sebuah entri hosts-file ke situ, dan masuk (sign in). Hitung waktu keseluruhan prosesnya. Angka itu — bukan sekadar keberadaan job backup-nya — adalah posisi pemulihan Anda yang sesungguhnya, dan semua orang yang pernah melakukan latihan ini menemukan setidaknya satu hal yang hilang dari daftar include-nya pada percobaan pertama.

# restic keeps absolute paths, so the stack reappears under the target.
restic restore latest --target /srv/restore
cd /srv/restore/srv/forgejo

docker compose up -d db                # empty volume: the entrypoint creates the database
docker compose exec -T db pg_restore -U forgejo -d forgejo \
  --clean --if-exists --no-owner < db.dump

docker compose up -d                   # then sign in and walk the issue tracker

Upgrade, secara singkat. Kunci image-nya ke sebuah versi major, bukan ke :latest, supaya sebuah pull yang tidak diawasi tidak bisa membawa Anda melewati breaking change sementara Anda tidur. Baca release notes sebelum melintasi batas versi major, ambil snapshot dulu, dan ingat bahwa migrasi database berjalan pada start pertama versi baru — dan itu adalah pintu satu arah. Auto-update ala Watchtower adalah ide yang bagus untuk situs statis, tetapi ide yang buruk untuk mesin yang menyimpan setiap branch yang Anda miliki.

Empat pemeriksaan sebelum Anda menyatakannya selesai. Keluar (sign out), lalu pastikan instance-nya tidak menawarkan cara apa pun untuk membuat akun. Dari sebuah browser tanpa sesi, pastikan sebuah repositori pribadi benar-benar tidak terlihat, bukan sekadar terlarang. Pastikan runner-nya tidak bisa membaca direktori data forge. Dan pastikan pemeriksaan restic terakhir lolos — job backup yang gagal secara diam-diam adalah yang dimiliki semua orang, sampai hari mereka benar-benar membutuhkannya.