Instalar Dokploy: Autoaloja tu SaaS y Olvídate de Vercel y Heroku

Dokploy es una PaaS gratuita, de código abierto y autoalojada que sustituye a Vercel, Heroku y Netlify en tu propio servidor. Esta guía de instalación de Dokploy recorre todo el camino en un VPS de Hetzner o Hostinger: proteger SSH, añadir swap, bloquear ataques de fuerza bruta con CrowdSec, ejecutar el script de instalación, apuntar un dominio a Traefik y, después, desplegar tu primera app y base de datos.

Tú conservas los datos y tú decides la factura; a cambio, te encargas de los parches, las copias de seguridad y la guardia.

¿Quieres apps gratuitas de código abierto para ejecutar encima? Explora la sección de autoalojadas en toolhunt.net.

Qué necesitas antes de instalar Dokploy

El script de instalación instala Docker, toma los puertos 80 y 443, y se niega a arrancar si algo más ya está escuchando en 80, 443 o 3000. Necesita un servidor limpio.

Funciones de Dokploy: Una alternativa gratuita a Vercel y Heroku

Dokploy cubre las piezas que de otro modo conectarías a mano:

• Aplicaciones en Node.js, PHP, Python, Go, Ruby o sitios estáticos, además de cualquier cosa con un Dockerfile, desplegadas desde GitHub, GitLab, Gitea o una imagen directa.
• Stacks de Docker Compose. Pega un archivo compose y Dokploy lo ejecuta. Consulta cómo desplegar una app de Docker Compose en Dokploy.
• PostgreSQL, MySQL, MariaDB, MongoDB y Redis gestionados, con copias de seguridad programadas.
• Enrutado y TLS con Traefik: asocia un dominio en el panel y Traefik enruta al contenedor y solicita un certificado de Let’s Encrypt.
• Monitorización por servicio de CPU, memoria, disco y red. Para más, monitoriza tu servidor y uptime como un profesional con Beszel y Uptime Kuma.
• Copias de seguridad programadas de bases de datos y volúmenes a almacenamiento compatible con S3. Copias de seguridad de Dokploy con Cloudflare R2 cubre la configuración de R2.
• Despliegues multi-nodo: añade servidores y escala servicios con Docker Swarm.
• Plantillas de un clic para n8n, Uptime Kuma, Plausible y apps similares.

Lo que Dokploy no es. Es una PaaS de panel único en tu VPS, no una red edge global: sin CDN delante de cada petición, sin despliegue de vista previa por pull request, sin SLA gestionado, y un VPS es un único dominio de fallo. Si necesitas servir recursos estáticos en todo el mundo, añade un CDN a propósito. Bunny.net es la opción más barata que uso para eso. Cuando empiezas a apilar archivos compose, actualizar stacks de Docker Compose en Dokploy pasa a formar parte de tu semana. ¿Aún eligiendo herramienta? Coolify es la otra alternativa gratuita a Heroku y Netlify.

Instalar Dokploy en un VPS: Guía paso a paso

Vídeo: Recorrido de la instalación de Dokploy

Vídeo anterior

El segundo recorrido es anterior a la interfaz actual del panel, así que algunos menús han cambiado de sitio. Los pasos escritos a continuación son la referencia.

Prepara un VPS para Dokploy (Hetzner y Hostinger)

Elige una región cercana a tus usuarios, escoge un plan sin panel de hosting y añade tu clave pública SSH al crearlo en lugar de una contraseña de root.

Los precios de los VPS subieron en general en 2026 — si estás reconsiderando un servidor alquilado, mira qué cambió y cuándo gana un mini PC.

Yo uso Hetzner por defecto por precio y API, y Hostinger para un KVM sin panel con NVMe fuera de la UE. Si necesitas más ubicaciones, Vultr funciona igual. La reseña de Hetzner Cloud cubre la creación de la cuenta, y monitorizar los recursos del servidor y Docker merece un marcador.

ssh root@your_vps_ip
lsb_release -a

Si eso muestra algo que no sea Ubuntu 22.04/24.04 LTS o Debian, reconstruye el VPS ahora.

Actualizar los paquetes del sistema

sudo apt update && sudo apt upgrade -y
apt list --upgradable

Idealmente no queda nada por actualizar. Si se instaló una actualización del kernel, reinicia ahora — hacerlo a mitad de la instalación significa reiniciar Swarm y Traefik después.

sudo reboot

Crear un usuario sudo para el acceso SSH

# Crear nuevo usuario
adduser dragos

# Añadir el usuario al grupo sudo
usermod -aG sudo dragos

Usa un solo nombre y mantenlo igual en cada comando de abajo.

Configurar sudo sin contraseña

# Añadir dragos a sudoers con NOPASSWD
echo "dragos ALL=(ALL) NOPASSWD:ALL" | sudo tee /etc/sudoers.d/dragos

# Establecer los permisos correctos en el archivo sudoers
sudo chmod 0440 /etc/sudoers.d/dragos

Un archivo sudoers mal formado te deja fuera de sudo por completo, así que verifica que sea válido:

sudo visudo -c

NOPASSWD está bien en un VPS de un solo usuario donde las claves son la única vía de entrada. En un servidor compartido convierte un usuario de app comprometido en root instantáneo.

Copiar la clave SSH de root al nuevo usuario

# Crear el directorio .ssh para el nuevo usuario
mkdir -p /home/dragos/.ssh

# Copiar las claves autorizadas
cp /root/.ssh/authorized_keys /home/dragos/.ssh/

# Establecer propietario y permisos correctos
chown -R dragos:dragos /home/dragos/.ssh
chmod 700 /home/dragos/.ssh
chmod 600 /home/dragos/.ssh/authorized_keys

Un propietario incorrecto aquí solo te dará Permission denied (publickey) en el cliente, así que comprueba:

ls -la /home/dragos/.ssh

drwx------ en el directorio, -rw------- en authorized_keys.

Probar la conexión SSH con el nuevo usuario

Abre una nueva ventana de terminal y mantén abierta tu sesión de root:

ssh dragos@your_vps_ip
sudo whoami

Deshabilitar el acceso SSH de root

sudo nano /etc/ssh/sshd_config

Establece:

PermitRootLogin no

O permite root solo desde una IP conocida si lo necesitas para un segundo nodo de Dokploy:

Match User root
    PermitRootLogin yes
    AllowUsers root@<ip-address>

Guarda (Ctrl+X, luego Y, luego Enter), verifica la configuración y reinicia SSH:

sudo sshd -t
sudo systemctl restart ssh

Si systemctl dice que la unidad no existe, en esa imagen es sshd. Luego abre una tercera terminal y confirma que ssh dragos@your_vps_ip sigue funcionando. Si no, usa tu sesión de root aún abierta para poner PermitRootLogin yes y revisa de nuevo los permisos de la clave. La guía completa de endurecimiento del servidor SSH cubre el resto.

Limitar el tiempo de espera de las sesiones SSH

Añade a /etc/ssh/sshd_config:

ClientAliveInterval 900
ClientAliveCountMax 0

Luego sudo systemctl restart ssh. Esto cierra las sesiones inactivas tras 15 minutos. ClientAliveCountMax 0 las corta de golpe, así que un apt upgrade largo sobre un wifi inestable muere a mitad de camino — usa 3 en ese caso.

Añadir swap a tu VPS

El swap es lo que evita que un pico de memoria haga que el OOM killer mate tu base de datos:

sudo fallocate -l 2G /swapfile
sudo chmod 600 /swapfile
sudo mkswap /swapfile
sudo swapon /swapfile
echo '/swapfile none swap sw 0 0' | sudo tee -a /etc/fstab

Dale un tamaño cercano a la RAM: 2 GB para un servidor de 4 GB, más si el servidor es más pequeño. Que sea una red de seguridad, no una muleta:

echo 'vm.swappiness=10' | sudo tee /etc/sysctl.d/99-swappiness.conf
sudo sysctl --system
free -h
swapon --show

Después reinicia una vez mientras el servidor aún es desechable — si /etc/fstab está mal, quieres descubrirlo ahora. ¿Ya está usando swap? Averigua qué procesos están usando tu swap antes de culpar a la app.

Protege tu servidor con CrowdSec

CrowdSec bloquea ataques de fuerza bruta, escaneos de puertos y reincidentes, y protege SSH de fábrica. Los conceptos están en cómo proteger un servidor VPS con CrowdSec.

Instalar CrowdSec

curl -s https://install.crowdsec.net | sudo sh
sudo apt update && sudo apt install crowdsec

Instalar el Firewall Bouncer con iptables

sudo apt install crowdsec-firewall-bouncer-iptables -y
sudo iptables -L

Deberías ver CROWDSEC_CHAIN creada y activa:

Chain INPUT (policy ACCEPT)
target     prot opt source               destination
CROWDSEC_CHAIN  all  --  anywhere             anywhere

Chain CROWDSEC_CHAIN (1 references)
target     prot opt source               destination
DROP       all  --  anywhere             anywhere             match-set crowdsec-blacklists src

Configurar las reglas del firewall

Permite solo lo que el servidor sirve:

# Permitir conexiones establecidas
sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# Permitir loopback
sudo iptables -A INPUT -i lo -j ACCEPT

# Permitir SSH (puerto 22)
sudo iptables -A INPUT -p tcp --dport 22 -j ACCEPT

# Permitir HTTP (puerto 80)
sudo iptables -A INPUT -p tcp --dport 80 -j ACCEPT

# Permitir HTTPS (puerto 443)
sudo iptables -A INPUT -p tcp --dport 443 -j ACCEPT

# Permitir Dokploy (puerto 3000)
sudo iptables -A INPUT -p tcp --dport 3000 -j ACCEPT

# Descartar el resto del tráfico entrante
sudo iptables -P INPUT DROP

-P INPUT DROP establece la política por defecto en lugar de añadir una regla DROP, así que la cadena de CrowdSec mantiene su posición y evalúa el tráfico primero.

Hacer persistentes las reglas del firewall

sudo apt install iptables-persistent -y

Responde Yes a guardar las reglas IPv4 e IPv6 actuales, y después:

sudo netfilter-persistent save

Tras cualquier cambio posterior: sudo netfilter-persistent save && sudo netfilter-persistent reload.

Verificar la instalación de CrowdSec

# Comprobar el estado de CrowdSec
sudo systemctl status crowdsec

# Listar colecciones activas (debería incluir crowdsecurity/sshd)
sudo cscli collections list

# Verificar que el bouncer del firewall está activo
sudo cscli bouncers list

La colección crowdsecurity/sshd se instala automáticamente. Vuelve al día siguiente y comprueba la otra mitad de la historia:

sudo cscli decisions list
sudo iptables -L CROWDSEC_CHAIN -n -v

Baneos en el primer comando, contadores de paquetes en el segundo. Un bouncer activo con cero decisiones tras una semana suele significar que tu puerto SSH no es el que están escaneando, o que tu proveedor filtra aguas arriba.

Probar la protección de CrowdSec

# Ver las reglas gestionadas por CrowdSec
sudo iptables -L CROWDSEC_CHAIN -n -v

# Ver todas las reglas del firewall
sudo iptables -L -n -v

Cuando CrowdSec bloquea una IP, aparece en estas cadenas.

Comandos útiles de CrowdSec

# Ver bloqueos/baneos activos
sudo cscli decisions list

# Ver alertas de seguridad recientes
sudo cscli alerts list

# Ver métricas de seguridad
sudo cscli metrics

# Monitorizar logs en tiempo real
sudo tail -f /var/log/crowdsec.log

Instalar Dokploy en Ubuntu (Docker y Traefik)

Servidor actualizado, usuario protegido, swap activado, CrowdSec vigilando. La instalación es un solo comando:

curl -sSL https://dokploy.com/install.sh | sh

El script instala Docker e inicializa Swarm, despliega Traefik como proxy inverso para todo lo que despliegues después, y arranca el panel en el puerto 3000. El empaquetado ha cambiado entre versiones, así que verifícalo en tu propio servidor:

docker ps
curl -I http://localhost:3000

docker ps debería mostrar el contenedor de Dokploy y Traefik (si tu versión incluye una unidad systemd en su lugar, systemctl status dokploy). Cualquier respuesta HTTP de curl -I demuestra que el panel está escuchando. Después abre http://your_vps_ip:3000 para la pantalla de configuración inicial.

Cuando falla, lo hace de una de estas maneras:

• curl: command not found — apt install -y curl en imágenes mínimas.
• El script rechaza tu versión del SO — reconstruye con Ubuntu LTS; no intentes saltarte la comprobación.
• Puerto 3000 en uso — ss -tulpn | grep 3000, luego detén ese servicio o empieza de cero.
• 80/443 ocupados por Nginx, Apache o un panel — systemctl stop nginx es un parche temporal, no una solución.
• Sin espacio en disco — df -h.
• Abortó a mitad, Swarm arriba pero sin panel — vuelve a ejecutar el mismo comando; se puede reejecutar. Verifica con docker ps.

Apunta tu dominio o subdominio a Dokploy

Dale un nombre al panel y un wildcard a tus apps, para que los próximos diez despliegues no necesiten tocar el DNS.

1. Registro A para el panel — dokploy.yourdomain.com → IPv4 del VPS.
2. Registro A wildcard para las apps — *.apps.yourdomain.com → la misma IP.

Type: A
Name: dokploy
Value: your_vps_ip
TTL: 3600

Type: A
Name: *.apps
Value: your_vps_ip
TTL: 3600

Verifica antes de esperar a los certificados:

dig +short dokploy.yourdomain.com

Debe devolver la IP de tu VPS. Luego carga https://dokploy.yourdomain.com y confirma que el certificado es un Let’s Encrypt real, no un aviso de autofirmado. Traefik lo solicita automáticamente una vez asociado el dominio.

Si el certificado no se emite: el DNS no se ha propagado (dig de nuevo, ojo al TTL), el puerto 80 está cerrado y el reto HTTP-01 falla, o has alcanzado el límite de peticiones de Let’s Encrypt y toca esperar. Por debajo, Traefik es un proxy inverso gobernado por labels — la guía de proxy inverso Traefik en Docker explica el modelo de enrutado.

Empieza a desplegar apps en el panel de Dokploy

1. Abre el panel — http://your_vps_ip:3000, o https://dokploy.yourdomain.com una vez que DNS y TLS resuelvan.
2. Crea la cuenta de administrador — la pantalla de primer arranque. Hazlo antes de que el panel sea público, o quien encuentre el puerto 3000 será dueño de tu servidor.
3. Crea un proyecto — una carpeta para apps y bases de datos relacionadas.
4. Despliega algo — elige una vía de las de abajo.
5. Añade una base de datos — PostgreSQL, MySQL, MariaDB, MongoDB o Redis, creada y con contraseña gestionada desde el panel.
6. Asocia un dominio — pestaña Domains, elige el hostname, guarda. Traefik se encarga del resto.

En cuanto exista una base de datos, el orden importa: automatiza las copias de seguridad de Dokploy con Cloudflare R2 antes de que entre información real. Una base de datos sin copia de seguridad no está desplegada, está en peligro.

Solución de problemas comunes de la instalación de Dokploy

df -h
docker info

ss -tulpn | grep 3000
sudo iptables -L INPUT -n --line-numbers

iptables -P INPUT ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT
netfilter-persistent save

docker network inspect dokploy-network

free -h
docker stats --no-stream

Antes de depurar nada, ejecuta el chequeo de salud de una línea:

docker ps && curl -I https://dokploy.yourdomain.com && free -h

Endurecimiento, copias de seguridad y notas de operación para un servidor Dokploy

Una capa más que vale la pena en un servidor que sirve a internet público: NextDNS cubre el filtrado a nivel DNS (redes de malware, anuncios y rastreo) mientras CrowdSec cubre SSH y el host.

Preguntas frecuentes

Conclusión

Ahora tienes tu propia PaaS pequeña: un usuario sudo en lugar de root, SSH cerrado, swap configurado, CrowdSec bloqueando intentos de fuerza bruta, Dokploy instalado con Docker y Traefik, un dominio con certificado real, y una primera app más base de datos funcionando.

Lo siguiente, en el orden en que yo lo haría: copias de seguridad de la base de datos a almacenamiento compatible con S3, luego Beszel y Uptime Kuma para que los problemas te encuentren primero, y después una segunda app desde un stack de Docker Compose — ahí es donde el panel empieza a pagarse solo.

¿Aún indeciso? La comparativa Coolify vs Dokploy vs Kamal 2 cubre dónde encaja cada PaaS autoalojada.