# just.locker

[just.locker](https://specus.ai/it/just-locker)

Stato: Beta

> Un piano di controllo self-hosted e PaaS. Adotta i server che già possiedi piuttosto che affittare quelli di qualcun altro.

Un piano di controllo self-hosted e PaaS. Adotta i tuoi server su SSH, li rende più resistenti e ti offre distribuzioni, reti, segreti, backup e fatturazione sull'infrastruttura che continui a possedere.

## I tuoi server, sotto un piano di controllo.

just.locker è un piano di controllo self-hosted e PaaS. Gestisce i server che già possiedi invece di affittarti i server di qualcun altro. Le macchine, gli account dei provider e i domini rimangono tuoi e il piano di controllo viene eseguito sopra di essi.

## Un nuovo server, configurato correttamente.

### Configurazione del server su SSH

Imposta una nuova macchina da qualsiasi provider tramite SSH.

### La propria chiave

Genera la propria chiave ed25519, la installa e disabilita l'autenticazione tramite password.

### Protetto fin dal primo momento

Rafforza la sicurezza del server con ufw, fail2ban, unattended-upgrades e Docker.

### Credenziali nel vault

Ogni credenziale generata durante la configurazione del server viene archiviata nel vault.

## Da un Git remoto o da un'immagine.

### Fonti

Collegare un Git remoto o un'immagine OCI esistente. Crea tramite Dockerfile, Compose, Railpack, Nixpacks o il percorso statico.

### Distribuzione automatica su push

Attraverso webhook verificati da HMAC, con un fallback git-poll quando un webhook non può raggiungere il piano di controllo.

### Utilizzare il contenitore

Registri di compilazione in tempo reale, rollback con un clic, avvio, arresto e riavvio del contenitore, registri del contenitore ed esecuzione dei comandi, oltre a un terminale interattivo.

### Build indipendenti dall’API

Le compilazioni vengono eseguite in modo indipendente in modo che continuino dopo un riavvio dell'API. Il worker si riconnette quindi alla build in esecuzione.

## Pubblico dove deve essere, privato per impostazione predefinita.

### Ingresso

Traefik per dominio con Let’s Encrypt o Cloudflare Tunnel.

La versione gestita di Traefik è fissata dal suo digest. Utilizza un proxy API Docker filtrato e di sola lettura invece dell'accesso diretto al socket.

### VPN

WireGuard multi-tenant con criteri di negazione predefiniti per utente, ruolo e risorsa del progetto e VIP delle applicazioni private.

Una modalità ibrida mantiene l'ingresso pubblico accanto all'accesso solo VPN.

## Backup cifrati, versioni registrate.

### Di cosa viene eseguito il backup

Backup pianificati dei volumi Docker ed esportazioni logiche dei database, cifrati con age e accompagnati da un manifest deterministico autenticato.

### Dove va

I backup vanno su uno Storage Box montato o su uno storage compatibile con S3. Le credenziali rimangono limitate al vault. Solo i file di backup crittografati lasciano il server.

### Sostituire il server

Ripristina i database e i volumi, quindi ridistribuisce la versione immutabile registrata.

## Ogni visualizzazione di un segreto viene registrata.

Un vault AES-256-GCM con un ACL per ogni segreto. I segreti classificati come credenziali sensibili possono essere rivelati solo da un superadmin, con un motivo esplicito.

## Due strati, tenuti separati.

### I tuoi conti

Clienti, servizi ricorrenti e fatture, con una vista MRR.

### I progetti che implementi

Fatturazione SaaS con prodotti e prezzi neutrali rispetto al provider, checkout in hosting, abbonamenti, rimborsi e diritti, tramite Stripe Connect o Paddle.

## Si aggiorna da solo, o ripristina la versione precedente.

### Aggiornamenti automatici

Gli auto-aggiornamenti sono firmati con ECDSA e corretti da digest. Richiedono controlli di preflight, un backup del database e un controllo dello stato, con rollback automatico.

### Migrazione da Coolify

La migrazione avviene in due fasi: prima viene normalizzata l’installazione Coolify esistente, poi si passa al nuovo sistema.

## Quello che non farà ancora.

### Solo progetti greenfield

La produzione con dati critici richiede un test canary rappresentativo, un periodo prolungato di osservazione, RPO e RTO concordati e prove periodiche di ripristino.

### Nessuna compilazione dal sorgente

Le compilazioni dal codice sorgente vengono rifiutate finché non è disponibile un costruttore temporaneo senza privilegi di root. Le immagini sono quindi fornite pre-costruite.

## Su cosa è costruito.

- .NET 10
- Angular 22
- ASP.NET Core BFF with YARP
- Flutter
- PostgreSQL
- Redis

## Avviare un progetto.

[Avvia un progetto](https://specus.ai/it#contact)

[hello@specus.ai](mailto:hello@specus.ai)