Deine Papiere, auf deinem eigenen Server.

Starten in drei Schritten

Das Abbild liegt in der GitHub Container Registry, für amd64 und arm64. Es enthält Oberfläche, Server und Texterkennung zugleich in sechs Sprachen. Eine zweite Datenbank oder einen eigenen Webserver braucht nexpaper nicht.

1. Die Compose-Datei anlegen

   Leg einen Ordner an, etwa nexpaper, und darin diese Datei.

   docker-compose.ymlKopieren

   services:
     nexpaper:
       image: ghcr.io/derkezorm/nexpaper:latest
       container_name: nexpaper
       restart: unless-stopped
   
       ports:
         # Nur dieser Rechner erreicht nexpaper (127.0.0.1). Davor gehört ein
         # Reverse Proxy mit https, der an http://127.0.0.1:8560 weiterleitet.
         # Direkt im Heimnetz: "8560:8000" schreiben, aber nur in einem Netz,
         # dem du traust. Ohne https gehen Passwörter im Klartext hindurch.
         - "127.0.0.1:8560:8000"
   
       # Keine Rechte, die er nicht braucht: Der Start setzt nur die Besitzer
       # von /data und wechselt dann von root zum Benutzer nexpaper.
       security_opt:
         - no-new-privileges:true
       cap_drop:
         - ALL
       cap_add:
         - CHOWN
         - DAC_READ_SEARCH
         - SETUID
         - SETGID
   
       volumes:
         # Datenbank, Log, Sicherungen und eigene Sprachen. Eine lokale Platte,
         # nie eine SMB- oder NFS-Freigabe.
         - ./data:/data
         # Der Eingangsordner für einen Scanner (Einstellungen, Eingänge):
         # - /pfad/zu/scans:/data/eingang
   
       environment:
         PUID: 1000
         PGID: 1000
         TZ: Europe/Berlin
         # Hinter einem Proxy: die Adresse der Leute und die des Proxys.
         # NEXPAPER_PUBLIC_URL: https://papier.example.com
         # NEXPAPER_TRUSTED_PROXIES: 172.16.0.0/12
         # Den Einrichtungscode selbst wählen, statt ihn im Log zu suchen.
         # NEXPAPER_SETUP_TOKEN: such-dir-einen-langen-aus

2. Starten
   ShellKopieren

   docker compose up -d

3. Das erste Konto anlegen

   Öffne auf diesem Rechner http://127.0.0.1:8560. Die Seite „nexpaper einrichten“ fragt nach Name, Passwort und „Einrichtungscode“. Den Code schreibt nexpaper bei jedem Start ins Log, bis es eingerichtet ist:

   ShellKopieren

   docker logs nexpaper

   So nimmt niemand eine frische Instanz in Besitz, nur weil er sie zuerst gefunden hat. Wer das erste Konto anlegt, wird Betreiber. Das Passwort braucht mindestens zwölf Zeichen, und gleich danach richtet das Konto seinen zweiten Faktor ein. Danach zeigt nexpaper acht Wiederherstellungscodes, die du gut aufhebst.

nexpaper einrichten

Was der Rechner braucht

nexpaper ist für einen Haushalt oder eine kleine Firma gebaut, nicht für ein Rechenzentrum. Einen festen Mindestwert nennt das Projekt nicht; hier steht, was gemessen oder im Code festgelegt ist.

• Docker mit Compose auf Linux, amd64 oder arm64. Das passt zu einer NAS mit Intel, AMD oder ARM und zu einem Rechner mit 64-Bit-ARM.
• Eine lokale Platte für den Datenordner. Auf einer SMB- oder NFS-Freigabe sperrt SQLite nicht zuverlässig, und dann kann die Datenbank Daten verlieren. nexpaper warnt davor in den Einstellungen und beim Start im Log.
• Arbeitsspeicher: Im Leerlauf braucht nexpaper nach einer Messung auf einem Testserver etwa 100 MB, das ist nur ein ungefährer Wert. Das Abbild ist etwa 730 MB groß. Mehr kostet die Texterkennung. Sie liest immer nur ein Dokument auf einmal, und ein Bild braucht beim Entpacken etwa 150 MB (NEXPAPER_DECODE_SLOTS). Wie viel sie in Spitzen braucht, hängt von den Seiten ab und ist nicht neu gemessen. Der Betreiber kann den Speicher je Dokument begrenzen, ab Werk sind es 2.048 MB.
• Platz: Die Dokumente liegen als ganz normale Dateien. Die Datenbank wächst mit: eine Messung ergab etwa 21 KB je Dokument für Text und Suchindex zusammen, ein Haushalt mit 1.000 Dokumenten im Jahr hat nach zehn Jahren also etwa 210 MB. Eine Grenze für den Platz je Person gibt es nicht.
• https über einen Reverse Proxy, sobald jemand von außen kommt. Kamera, Push und Passkeys brauchen es auch im Heimnetz.
• Handys: nexpaper ist eine Web-App und lässt sich aus dem Browser auf den Startbildschirm legen. Eine App aus einem Store gibt es nicht. Auf dem iPhone kommt Push nur in der App auf dem Startbildschirm an, ab iOS 16.4.

Was im Datenordner liegt

Alles liegt in /data, das im Beispiel oben als ./data neben der Compose-Datei steht.

Hinter einem Proxy, mit https

Am besten bleibt nexpaper im eigenen Netz, und gehst du unterwegs über ein VPN hinein. Wer es doch aus dem Internet öffnet, geht diese Liste durch.

1. Erst einrichten, dann freigeben

   Leg das erste Konto aus deinem eigenen Netz an, mit dem Code aus dem Log. Erst danach leitest du einen Port weiter.

2. https am Proxy, nexpaper nur über ihn

   Lass den Port an 127.0.0.1 oder halte Proxy und nexpaper in einem Docker-Netz ohne veröffentlichten Port. HSTS schickt der Proxy, nicht nexpaper.

3. Adresse und Proxy nennen

   NEXPAPER_PUBLIC_URL ist die Adresse, unter der man nexpaper erreicht. Daraus entstehen Einladungslinks, die Rückkehr vom Anmeldeanbieter, Passkeys und der Kontakt für Push; die Einstellung „Öffentliche Adresse“ in der Oberfläche gewinnt, wenn sie gesetzt ist. NEXPAPER_TRUSTED_PROXIES nennt die Adresse oder das Netz des Proxys. Ohne diese Angabe scheint jede Anmeldung vom Proxy zu kommen, und der Schutz vor Raten hält alle für eine Person.

4. Cookies nur über https

   NEXPAPER_COOKIE_SECURE steht ab Werk auf auto und erkennt https auch am Kopf X-Forwarded-Proto des Proxys. on passt, wenn nexpaper ausschließlich über https erreicht wird; über http kann sich dann niemand mehr anmelden.

5. Der zweite Faktor bleibt Pflicht

   Ab Werk richtet jedes Konto mit Passwort direkt nach der Anmeldung einen ein, einen Code aus einer Authenticator-App; einen Passkey kann es danach dazulegen. Der Betreiber könnte das abschalten. Für einen Server im Internet lass es an.

6. Zu lassen, was du nicht brauchst

   API-Schlüssel und die KI sind ab Werk aus. Schalte nur ein, was du wirklich nutzt.

7. Betreiber-Einstellungen zu Hause lassen

   Mit NEXPAPER_OPERATOR_NETWORKS: "192.168.0.0/16" nimmt nexpaper Änderungen an den Einstellungen des Betreibers nur aus diesem Netz an, hinter einem Proxy zusammen mit NEXPAPER_TRUSTED_PROXIES.

8. Eine Fassung festhalten

   Nimm statt latest eine feste Fassung wie ghcr.io/derkezorm/nexpaper:1.1.0, aktualisiere mit Absicht und sichere vorher. Es gibt auch den Tag 1.1, der bei Fehlerkorrekturen mitwandert.

Auf Unraid und TrueNAS

Was du sichern musst

Zwei Dinge, die zusammengehören: die Sicherung von nexpaper und der Ordner mit den Dokumenten. Eins allein reicht nicht.

Updaten

docker compose pull
docker compose up -d

Alle Umgebungsvariablen

Hier steht nur, was vor dem ersten Start feststehen muss. Alles andere stellt der Betreiber in der Oberfläche ein.