Case study · Infrastruktura i DevOps
Bastion: utwardzona flota aplikacji self-hosted
Jeden mini PC z produkcyjną flotą: reverse proxy, automatyczny TLS, bramka 2FA, monitoring, alerty, backupy i kilkanaście aplikacji, przy 99,9% uptime.
- Branża
- Inżynieria platform
- Czas realizacji
- w ciągłej eksploatacji
- Rok
- 2026
- Usługi
- DevOps, Hardening bezpieczeństwa, Monitoring
Problem
Domyślna odpowiedź na “gdzie to postawimy” to dziś stos chmurowych subskrypcji: każda bierze miesięczny abonament, każda trzyma kawałek twoich danych, każda to osobna historia bezpieczeństwa. Dla floty wewnętrznych narzędzi i produktów to wynajmowana złożoność. Alternatywa, przed którą wszyscy ostrzegają, czyli self-hosting, zawodzi w praktyce z jednego powodu: zwykle uprawia się go jak hobby, a nie jak operacje.
Co zbudowaliśmy
Platformę klasy produkcyjnej na własnym sprzęcie, prowadzoną tak, jakby coś od niej zależało. Każda aplikacja wdraża się tak samo i dziedziczy tę samą bazę bezpieczeństwa i obserwowalności:
- Jedne drzwi wejściowe. Reverse proxy Traefik terminuje TLS dla każdej aplikacji z automatycznym wystawianiem i odnawianiem certyfikatów Let’s Encrypt, a HSTS, nagłówki bezpieczeństwa i rate limiting nakłada middleware w całej flocie, nie dobra wola per aplikacja.
- Obrona w głąb. SSH tylko na klucze z jailami fail2ban, bramka 2FA na kody z Telegrama przed panelami administracyjnymi, izolacja sieci per aplikacja, żeby bazy danych nigdy nie były osiągalne z sieci proxy, i sekrety zamknięte w plikach env per aplikacja.
- Monitoring, który zakłada awarię. Trzy niezależne warstwy: metryki hosta z alertowaniem, black-boxowe testy dostępności każdej usługi i monitor bezpieczeństwa przeczesujący co pięć minut próby brute force, wyczerpywanie zasobów i martwe kontenery. Wszystko eskaluje na Telegram w ciągu chwil.
- Deploy jako wzorzec, nie sztuka. Każda aplikacja to repo gita z plikiem compose i produkcyjnym overlayem. Wdrożenie to pull, build, up. Wzorzec jest udokumentowany na tyle dobrze, że agent AI wykonuje go bez asysty.
Efekt
Zmierzone 99,9% uptime, miesięczny koszt hostingu w okolicach rachunku za prąd i kapitalizujący się zasób: każdy nowy produkt startuje w środowisku, w którym TLS, auth, monitoring i backupy już istnieją. Ta flota to również nasz dowód kompetencji: kiedy mówimy “wdrożymy to i będziemy utrzymywać”, tak właśnie wygląda utrzymanie.