Immich

Установка не поменялась: тот же docker compose из четырех сервисов, те же переменные окружения, те же требования - минимум 6 ГБ RAM (рекомендуется 8) и 2-4 ядра. Ничего, что ломало бы обновление с v3.0.x, между версиями не вышло.

Поиск по лицам и объектам в v3.3 стал быстрее и точнее, но по умолчанию работает прежний режим, и требования к серверу те же. Как включить ускоренный режим - в разделе установки.

Вывод для тех, кто уже поставил: на v3.0.x обновиться стоит - с тех пор закрыта уязвимость средней серьезности: любой вошедший пользователь видел служебную статистику с чужими данными и скрытыми снимками, а установку оно не ломает (стек и требования те же).

Immich - это ваша личная замена облачной галереи. Ставите мобильное приложение (iOS или Android), включаете авто-бэкап - и все новые фото и видео с телефона улетают не в чужое облако, а на ваш сервер. Веб-интерфейс дает то же, к чему приучил Google Photos: ленту по датам, альбомы, общий доступ по ссылке, поиск по лицам и объектам через машинное обучение, карту со снимками по геометкам и «воспоминания».

По сути Immich заменяет связку Google Photos / Apple iCloud Photos / Amazon Photos - облачные галереи, где вы платите за место помесячно, а данные лежат у чужого вендора. Разница в модели: облако удобно, пока фото мало и подписка дешевая; на семейной фототеке в 1-2 ТБ это уже сотни рублей в месяц бесконечно, плюс риск, что аккаунт заблокируют или поменяют правила. Immich возвращает и файлы, и контроль на вашу сторону.

Immich - это не монолит, а набор из четырех контейнеров, которые поднимаются одним docker compose. immich-server - API и веб-интерфейс. immich-machine-learning - отдельный сервис ML: он и отвечает за поиск по лицам и объектам (модели CLIP). Postgres с векторным расширением vectorchord хранит метаданные и векторы для поиска. Redis (valkey) - очереди фоновых задач. Плюс мы поставили Caddy как reverse-proxy, чтобы повесить домен и автоматический TLS.

Практический вывод: тяжелая часть - это ML-сервис. Именно он держит память в простое и требует запаса RAM. Сами фото при этом лежат обычными файлами в каталоге библиотеки, а не в проприетарном формате - уйти с Immich можно, забрав папку с оригиналами.

Заказали Fatmetal Cloud Server на тарифе CPU4-RAM8-DISK100 (4 vCPU / 8 ГБ / 100 ГБ) с чистой Ubuntu - это попадает в рекомендации вендора (от 6 ГБ RAM, лучше 8, чтобы работал ML). Ставится официальным способом - docker compose.

1. Поставьте Docker и compose-плагин

   На чистой Ubuntu одной командой ставятся Docker Engine и плагин docker compose. Старый docker-compose не подходит - он устарел.

   curl -fsSL https://get.docker.com | sh

2. Скачайте compose-файл релиза и соберите .env

   Файл docker-compose.yml берем из релиза Immich. Готовый example.env с GitHub на части серверов не скачивается: ссылка отдает 302 и виснет. Поэтому .env собираем сами. Ускоренный режим распознавания из v3.3 включается строкой MACHINE_LEARNING_MODEL_REVISION=v2 в этом же .env; по умолчанию работает прежний.

   mkdir -p /opt/immich/library /opt/immich/postgres
   cd /opt/immich
   curl -fsSL -o docker-compose.yml \
     https://github.com/immich-app/immich/releases/download/v3.3.1/docker-compose.yml
   cat > .env <<'EOF'
   UPLOAD_LOCATION=/opt/immich/library
   DB_DATA_LOCATION=/opt/immich/postgres
   IMMICH_VERSION=v3.3.1
   DB_PASSWORD=смените-на-свой-пароль
   DB_USERNAME=postgres
   DB_DATABASE_NAME=immich
   TZ=Europe/Moscow
   EOF

3. Поднимите стек и дождитесь готовности

   Compose поднимет четыре контейнера; образы тянутся с ретраями, докачка иногда обрывается. Готовность проверяем по GET /api/server/ping: Postgres с векторным расширением стартует не мгновенно.

   docker compose pull
   docker compose up -d
   curl -s -o /dev/null -w '%{http_code}\n' http://127.0.0.1:2283/api/server/ping

4. Повесьте домен и TLS

   Caddy слушает 443 и сам получает сертификат Let's Encrypt по HTTP-01. Вместо ваш-домен подставьте свой адрес: по умолчанию на Fatmetal это имя из IP сервера, 79-133-178-10.fatmetal.net, либо ваш домен, направленный A-записью на этот сервер.

   cat > /opt/Caddyfile <<'EOF'
   ваш-домен {
     reverse_proxy 127.0.0.1:2283
   }
   EOF
   docker run -d --name immich-caddy --restart unless-stopped --network host \
     -v /opt/Caddyfile:/etc/caddy/Caddyfile -v caddy_data:/data caddy:2

Мы проверили не только веб-морду: зарегистрировали администратора и через API загрузили снимки - они сразу появились в ленте. То есть бэкап работает, а не только открывается форма входа.

В простое, с включенным ML, стек занимает ~3 ГБ RAM из 8. Главный едок - именно ML: контейнер machine-learning держит ~1,2 ГБ даже без активного поиска, потому что модели загружены и ждут. Дальше server (~0,8 ГБ) и Postgres (~0,46 ГБ). Redis и Caddy - копейки. Диск под саму систему и образы - 11 ГБ; данные Immich с парой снимков - 312 МБ.

Вывод по ресурсам простой: минимум - 6 ГБ RAM, оптимум - 8 ГБ и 4 ядра. На 4 ГБ Immich поднимется только с выключенным ML, а это ключевая фича - поиск по лицам и объектам. Экономить на CPU/RAM тут - значит терять то, ради чего Immich и ставят.

Это главный вопрос по Immich, и на нем легко ошибиться с тарифом. По умолчанию библиотека - это каталог на диске VM, и он растет вместе с числом фото плюс 10-20% сверху на превью и транскод. Соблазн - взять тариф с огромным диском. Так делать не нужно.

Почему именно так: диск VM конечен и дорог за гигабайт, а фототека растет годами. S3 масштабируется отдельно и дешевле за объем. Важно: нативного S3 как основного хранилища у Immich пока нет - обсуждение тянется не первый год, а апстрим относит S3 к резервному копированию, не к основной библиотеке. На практике библиотеку выносят на быстрый маунт (rclone или JuiceFS) либо держат на локальном быстром диске. Postgres при этом всегда держим на локальном SSD, не по сети, - иначе поиск и лента тормозят.

Итоговая раскладка тарифа: минимум - 6 ГБ RAM, 2 ядра, небольшой диск под ОС и БД; оптимум - 8 ГБ RAM, 4 ядра, а весь объем фото на быстром S3. Так вы платите за производительность, а не за медленный большой диск.

Пароль к Immich заранее нигде не лежит - это штатное поведение. Первый, кто откроет адрес сервера и зарегистрируется, становится администратором. Поэтому первый вход надо сделать сразу после установки, пока адрес знаете только вы, и задать себе логин с паролем. Дальше в разделе администрирования заводите остальных пользователей.

После этого ставите мобильное приложение Immich (App Store, Google Play или APK / F-Droid), указываете адрес своего сервера, входите под своим аккаунтом и включаете авто-бэкап. С этого момента фото с телефона льются на ваш сервер сами. Веб-морду и панель администрирования Immich полностью локализует на русский, так что настраивать удобно.

Критических уязвимостей в выпущенных версиях не было: единственная критическая (захват аккаунта через ссылку) затрагивала только сборки из ветки main, а не релизы. Все уязвимости прошлых релизов закрываются обновлением - отдельных действий после него не нужно.

Если у вас пара альбомов на телефоне и фото немного - Immich избыточен. Держать ради этого сервер с ML дороже и хлопотнее, чем купить внешний диск или остаться на бесплатном лимите облака.

Если вам критично сквозное шифрование (E2E), чтобы даже владелец сервера не видел фото, - смотрите Ente Photo: он про шифрование, Immich - про галерею, ML и авто-бэкап без E2E по умолчанию.

Если у вас уже развернут Nextcloud (у Fatmetal есть отдельный гайд) - возможно, хватит модуля Nextcloud Memories, не поднимая отдельный стек. Immich специализированнее и удобнее именно под фото, но это плюс лишний сервис в обслуживании.