# just.locker

[just.locker](https://specus.ai/de/just-locker)

Status: Beta

> Eine selbst gehostete Steuerungsebene und PaaS. Sie bindet Ihre vorhandenen Server ein, statt Ihnen fremde Server zu vermieten.

Eine selbst gehostete Steuerungsebene und PaaS. Sie bindet Ihre eigenen Server über SSH ein, sichert sie ab und stellt Deployments, Netzwerke, Secrets, Backups und Abrechnung auf Infrastruktur bereit, die Ihnen weiterhin gehört.

## Ihre Server, unter einer Steuerungsebene.

just.locker ist eine selbst gehostete Steuerungsebene und PaaS. Sie bindet Ihre vorhandenen Server ein, statt Ihnen fremde Server zu vermieten: Maschinen, Anbieterkonten und Domains bleiben Ihre, die Steuerungsebene läuft darüber.

## Eine neue Maschine, sauber eingerichtet.

### Einbindung über SSH

Bindet eine neue Maschine eines beliebigen Anbieters über SSH ein.

### Ein eigener Schlüssel

Erzeugt und installiert einen eigenen ed25519-Schlüssel und deaktiviert die Passwortanmeldung.

### Von Anfang an abgesichert

Sichert den Server mit ufw, fail2ban, unattended-upgrades und Docker ab.

### Zugangsdaten im Tresor

Alle bei der Einbindung erzeugten Zugangsdaten landen im Tresor.

## Aus einem Git-Repository oder einem Image.

### Quellen

Ein Git-Repository oder ein vorhandenes OCI-Image verknüpfen. Builds über Dockerfile, Compose, Railpack, Nixpacks oder das statische Verfahren.

### Automatisches Deployment nach einem Push

Über HMAC-geprüfte Webhooks, mit Git-Polling als Ersatz, wenn ein Webhook die Steuerungsebene nicht erreicht.

### Container betreiben

Live-Buildprotokolle, Rollback mit einem Klick, Start, Stopp und Neustart von Containern, Protokolle und Befehlsausführung sowie ein interaktives Terminal.

### Unabhängige Builds

Builds laufen unabhängig und überstehen deshalb einen API-Neustart. Der Worker verbindet sich anschließend wieder mit dem laufenden Build.

## Öffentlich, wo nötig; standardmäßig privat.

### Eingehender Zugriff

Traefik pro Domain mit Let’s Encrypt oder Cloudflare Tunnel.

Das verwaltete Traefik wird über einen festen Digest referenziert und verwendet einen gefilterten Docker-API-Proxy mit Lesezugriff statt des direkten Sockets.

### VPN

Mandantenfähiges WireGuard mit standardmäßiger Verweigerung je Benutzer, Projektrolle und Ressource sowie privaten Anwendungs-VIPs.

Ein hybrider Modus kombiniert öffentlichen eingehenden Zugriff mit reinem VPN-Zugriff.

## Verschlüsselte Pakete, dokumentierte Releases.

### Was gesichert wird

Geplante, mit age verschlüsselte Backups von Docker-Volumes und logischen Datenbank-Exports mit einem deterministischen, authentifizierten Manifest.

### Speicherziel

Eine eingebundene Storage Box oder S3-kompatibler Speicher. Zugangsdaten bleiben auf den Tresor beschränkt; nur verschlüsselte Pakete verlassen den Server.

### Server ersetzen

Stellt Datenbanken und Volumes wieder her und deployt anschließend das gespeicherte unveränderliche Release.

## Jede Offenlegung ist ein Ereignis.

Ein AES-256-GCM-Tresor mit einer ACL pro Secret. Als sensible Zugangsdaten eingestufte Secrets darf nur ein Superadmin mit ausdrücklicher Begründung offenlegen.

## Zwei getrennte Ebenen.

### Ihre eigene Buchführung

Kunden, wiederkehrende Leistungen und Rechnungen mit einer Übersicht des monatlich wiederkehrenden Umsatzes (MRR).

### Ihre deployten Projekte

SaaS-Abrechnung mit anbieterunabhängigen Produkten und Preisen, gehosteter Zahlungsabwicklung, Abonnements, Erstattungen und Zugriffsrechten über Stripe Connect oder Paddle.

## Es aktualisiert sich, oder kehrt zurück.

### Selbstaktualisierung

ECDSA-signiert und über Digest festgelegt, nach Vorabprüfungen, einem Datenbank-Backup und einer Zustandsprüfung, mit automatischem Rollback.

### Wechsel von Coolify

Eine Migration in zwei Phasen vereinheitlicht eine vorhandene Coolify-Installation und führt danach die Umstellung durch.

## Was es noch nicht kann.

### Nur neue Projekte

Produktionsbetrieb mit kritischen Daten erfordert einen repräsentativen Canary-Test mit Beobachtungsphase, vereinbarte RPO und RTO sowie regelmäßige Wiederherstellungstests.

### Keine Builds aus Quellcode

Builds aus Quellcode werden erst zugelassen, wenn ein kurzlebiger Builder ohne Root-Rechte existiert. Images werden deshalb bereits fertig gebaut bereitgestellt.

## Die technische Grundlage.

- .NET 10
- Angular 22
- ASP.NET Core BFF with YARP
- Flutter
- PostgreSQL
- Redis

## Starten Sie ein Projekt.

[Projekt starten](https://specus.ai/de#contact)

[hello@specus.ai](mailto:hello@specus.ai)