Nginx Proxy Manager on a VPS: the front door for everything else you self-hostNginx Proxy Manager auf einem VPS: die Eingangstür für alles andere, was du selbst hostest

What it actually isWas es eigentlich ist

Under the hood, Nginx Proxy Manager (NPM) is nginx doing what nginx has always done — terminating TLS and reverse-proxying to a backend — wrapped in a small Node.js app and a web UI that writes the nginx config for you. You add a proxy host, point it at an internal address and port, and NPM handles the vhost file, the Let's Encrypt certificate, and the renewal. It does not run your apps; it only sits in front of ones that are already running somewhere it can reach.Unter der Haube ist Nginx Proxy Manager (NPM) nginx, das tut, was nginx schon immer getan hat — TLS terminieren und als Reverse-Proxy zu einem Backend weiterleiten —, verpackt in eine kleine Node.js-App und eine Web-UI, die die nginx-Konfiguration für dich schreibt. Du fügst einen Proxy-Host hinzu, zeigst auf eine interne Adresse und einen Port, und NPM kümmert sich um die vhost-Datei, das Let's-Encrypt-Zertifikat und dessen Erneuerung. Es betreibt deine Apps nicht selbst; es steht nur vor Apps, die bereits irgendwo laufen, wo es sie erreichen kann.

Two things worth knowing before you install it. Recent releases default to an embedded SQLite database, so you don't need to wire up a separate MariaDB container the way older tutorials show. And the admin UI is a separate port from the sites it proxies — 81 by default, never 80 or 443. That separation is deliberate, and it's also the first thing to lock down.Zwei Dinge solltest du wissen, bevor du es installierst. Aktuelle Releases nutzen standardmäßig eine eingebettete SQLite-Datenbank, sodass du keinen separaten MariaDB-Container verkabeln musst, wie es ältere Anleitungen zeigen. Und die Admin-UI läuft auf einem eigenen Port, getrennt von den Sites, die sie proxt — standardmäßig 81, niemals 80 oder 443. Diese Trennung ist Absicht, und sie ist auch das Erste, was du absichern solltest.

The compose file, and putting apps on the same networkDie Compose-Datei, und Apps im selben Netzwerk zusammenbringen

services:
  npm:
    image: jc21/nginx-proxy-manager:2.11.3   # pin a real tag — check Docker Hub's tag list for the current release before you deploy
    restart: unless-stopped
    ports:
      - "80:80"
      - "443:443"
      - "127.0.0.1:81:81"
    volumes:
      - npm_data:/data
      - npm_letsencrypt:/etc/letsencrypt
    networks:
      - proxy

networks:
  proxy:
    name: proxy
    external: true

volumes:
  npm_data:
    name: npm_data
  npm_letsencrypt:
    name: npm_letsencrypt

Pin the volume names the same way the network is pinned. Compose otherwise prefixes unnamed volumes with a project name derived from the directory, so without the explicit name: lines the volumes NPM actually writes to won't literally be called npm_data and npm_letsencrypt — and the backup command later in this guide, which mounts those exact names, would silently create and archive empty ones instead of your real data.Pinne die Volume-Namen genauso, wie das Netzwerk gepinnt ist. Compose stellt unbenannten Volumes sonst einen Projektnamen voran, der sich aus dem Verzeichnis ableitet — ohne die expliziten name:-Zeilen würden die Volumes, in die NPM tatsächlich schreibt, also nicht wortwörtlich npm_data und npm_letsencrypt heißen. Der Backup-Befehl weiter unten in dieser Anleitung, der genau diese Namen mountet, würde dann stillschweigend leere Volumes anlegen und archivieren, statt deiner echten Daten.

Create the proxy network once, before the first docker compose up, so it isn't tied to NPM's own project and torn down if you ever docker compose down that stack:Lege das proxy-Netzwerk einmalig an, bevor du zum ersten Mal docker compose up ausführst, damit es nicht an NPMs eigenes Projekt gebunden ist und mit heruntergerissen wird, falls du diesen Stack jemals mit docker compose down stoppst:

docker network create proxy

Every app you want NPM to front needs to join that same network. In each app's own docker-compose.yml, add the same networks: - proxy block plus the external: true network declaration, then set the proxy host's Forward Hostname / IP in NPM to that service's name and its internal port — never 127.0.0.1, since from inside NPM's own container that means NPM itself, not the host.Jede App, die NPM vorschalten soll, muss demselben Netzwerk beitreten. Füge in der eigenen docker-compose.yml jeder App denselben Block networks: - proxy plus die Netzwerkdeklaration external: true hinzu, und setze dann die Forward Hostname / IP des Proxy-Hosts in NPM auf den Namen dieses Service und seinen internen Port — niemals 127.0.0.1, denn das bedeutet aus NPMs eigenem Container heraus NPM selbst, nicht den Host.

Lock down the admin UI immediatelySichere die Admin-UI sofort ab

First boot seeds a default admin account: admin@example.com, password changeme. NPM forces a password change on first login, but until you've done that the default credentials are public knowledge — they're in every install guide, this one included — and the login form itself is enough to give away that a box is running NPM. Log in, change the email and password immediately, and don't leave that step for later.Beim ersten Start wird ein Standard-Admin-Konto angelegt: admin@example.com, Passwort changeme. NPM erzwingt beim ersten Login einen Passwortwechsel, aber bis du das erledigt hast, sind die Standard-Zugangsdaten öffentlich bekannt — sie stehen in jeder Installationsanleitung, auch in dieser hier —, und schon das Login-Formular selbst verrät, dass auf einer Maschine NPM läuft. Logge dich ein, ändere E-Mail und Passwort sofort, und schiebe diesen Schritt nicht auf.

The compose file above binds port 81 to 127.0.0.1, so nothing on the open internet can reach the admin UI directly — only something on the same host, reached over an SSH tunnel:Die Compose-Datei oben bindet Port 81 an 127.0.0.1, sodass nichts aus dem offenen Internet die Admin-UI direkt erreichen kann — nur etwas auf demselben Host, erreichbar über einen SSH-Tunnel:

ssh -L 8181:127.0.0.1:81 you@your-vps

Then open http://127.0.0.1:8181 in your own browser. If you'd rather have the admin UI reachable directly instead of tunnelling every time, bind it to the VPS's public address and firewall port 81 down to your own IP with ufw — but binding to loopback and tunnelling is the safer default, and it's one line to change back if you decide you want it open later.Öffne dann http://127.0.0.1:8181 in deinem eigenen Browser. Wenn du die Admin-UI lieber direkt erreichbar hättest, statt jedes Mal zu tunneln, binde sie an die öffentliche Adresse des VPS und schränke Port 81 mit ufw auf deine eigene IP ein — aber die Bindung an Loopback plus Tunnel ist die sicherere Voreinstellung, und es ist nur eine Zeile, die du später zurückändern kannst, falls du sie doch offen haben willst.

Read this before you buy: ports 80/443 and the NAT-IPv4 catchLies das, bevor du kaufst: Ports 80/443 und die NAT-IPv4-Falle

NPM's whole job depends on 80 and 443 actually reaching the container, and that is not something every VPS plan hands you by default. Some plans forward 80 and 443 out of the box; others give you NAT IPv4 with a small number of forwarded ports that may not include them at all. Check what your specific plan forwards before you point a domain anywhere — never assume — at NAT IPv4, ports and forwarding.NPMs gesamte Aufgabe hängt davon ab, dass 80 und 443 den Container tatsächlich erreichen, und das ist nicht bei jedem VPS-Plan standardmäßig gegeben. Manche Pläne leiten 80 und 443 von Haus aus weiter; andere geben dir NAT-IPv4 mit einer kleinen Anzahl weitergeleiteter Ports, die diese unter Umständen gar nicht einschließt. Prüfe, was dein konkreter Plan weiterleitet, bevor du eine Domain irgendwohin zeigen lässt — geh nie davon aus — unter NAT IPv4, Ports und Weiterleitung.

Port 80 matters for two things: NPM's own HTTP-to-HTTPS redirect, and the HTTP-01 challenge Let's Encrypt uses by default to prove you control a domain. If 80 isn't reachable, that challenge has nothing to answer on and certificate issuance just fails. Port 443 is where every proxied site actually gets served, so without it nothing behind NPM is reachable from the outside no matter how the certificates were issued.Port 80 ist für zwei Dinge wichtig: NPMs eigene Weiterleitung von HTTP auf HTTPS, und die HTTP-01-Challenge, die Let's Encrypt standardmäßig nutzt, um zu beweisen, dass du eine Domain kontrollierst. Ist 80 nicht erreichbar, hat diese Challenge nichts, worauf sie antworten kann, und die Zertifikatsausstellung scheitert schlicht. Port 443 ist der Port, über den jede geproxte Site tatsächlich ausgeliefert wird — ohne ihn ist nichts hinter NPM von außen erreichbar, egal wie die Zertifikate ausgestellt wurden.

Two honest paths if your plan doesn't forward both:Zwei ehrliche Wege, falls dein Plan nicht beide weiterleitet:

• Get a dedicated IPv4. Then 80 and 443 are genuinely yours. On our plans that's arranged by e-mail, not self-service.Hol dir eine dedizierte IPv4. Dann gehören 80 und 443 wirklich dir. Bei unseren Plänen wird das per E-Mail organisiert, nicht per Selbstbedienung.
• Switch to a DNS-01 challenge for certificate issuance (covered below for wildcards), and confirm 443 is one of the ports your plan already forwards — a DNS challenge solves the certificate problem without needing 80 open, but 443 still has to be reachable for anyone to actually load a proxied site.Wechsle zu einer DNS-01-Challenge für die Zertifikatsausstellung (weiter unten für Wildcards behandelt), und stelle sicher, dass 443 zu den Ports gehört, die dein Plan bereits weiterleitet — eine DNS-Challenge löst das Zertifikatsproblem, ohne dass Port 80 offen sein muss, aber 443 muss trotzdem erreichbar sein, damit überhaupt jemand eine geproxte Site laden kann.

NAT IPv4 vs a dedicated IP covers the trade-off between NAT IPv4 and a dedicated address in more detail.NAT IPv4 vs. dedizierte IP behandelt den Trade-off zwischen NAT-IPv4 und einer dedizierten Adresse ausführlicher.

Proxy hosts and Let's Encrypt certificatesProxy-Hosts und Let's-Encrypt-Zertifikate

Once a domain's A record points at your VPS and 80/443 are reachable, adding a site is a form, not a config file. Under Proxy Hosts → Add Proxy Host: the domain name, the scheme (http is normal — NPM terminates TLS itself and talks plain HTTP to the backend on the internal network), the forward hostname (the service name from the shared network above) and forward port. Toggle Block Common Exploits on by default, and toggle Websockets Support on for anything that needs a persistent connection — a dashboard that updates live, a chat app, code-server's terminal — or the app will load and then silently stop updating.Sobald der A-Eintrag einer Domain auf deinen VPS zeigt und 80/443 erreichbar sind, ist das Hinzufügen einer Site ein Formular, keine Konfigurationsdatei. Unter Proxy Hosts → Add Proxy Host: der Domainname, das Schema (http ist normal — NPM terminiert TLS selbst und spricht im internen Netzwerk reines HTTP mit dem Backend), der Forward-Hostname (der Servicename aus dem geteilten Netzwerk von oben) und der Forward-Port. Schalte Block Common Exploits standardmäßig ein, und aktiviere Websockets Support für alles, was eine dauerhafte Verbindung braucht — ein Dashboard, das live aktualisiert, eine Chat-App, das Terminal von code-server —, sonst lädt die App und hört dann still auf, sich zu aktualisieren.

On the SSL tab, choose Request a new SSL Certificate, pick Let's Encrypt, accept the terms, and enable Force SSL and HTTP/2 Support. NPM handles renewal on its own from then on; the certificate and its private key live in the npm_letsencrypt volume, which is exactly why that volume needs backing up alongside npm_data, not on its own.Wähle auf dem Tab SSL Request a new SSL Certificate, entscheide dich für Let's Encrypt, akzeptiere die Bedingungen und aktiviere Force SSL und HTTP/2 Support. Die Erneuerung übernimmt NPM danach von selbst; das Zertifikat und sein privater Schlüssel liegen im Volume npm_letsencrypt, weshalb genau dieses Volume zusammen mit npm_data gesichert werden muss, nicht für sich allein.

Access listsAccess Lists

Not every proxy host should be open to the whole internet. Under Access Lists, you can define a list combining Authorization — plain username/password pairs, checked by nginx before a request ever reaches the backend — with Access rules that allow or deny by IP address or CIDR range. Build the list once, then attach it to any proxy host from that host's Details tab.Nicht jeder Proxy-Host sollte für das gesamte Internet offen sein. Unter Access Lists kannst du eine Liste definieren, die Authorization — einfache Benutzername/Passwort-Paare, von nginx geprüft, bevor eine Anfrage überhaupt das Backend erreicht — mit Access-Regeln kombiniert, die nach IP-Adresse oder CIDR-Bereich erlauben oder verweigern. Baue die Liste einmal, und hänge sie dann über den Tab Details des jeweiligen Hosts an jeden beliebigen Proxy-Host.

This is the right tool for an admin panel, a dashboard, or anything else that doesn't need to be public but also doesn't have its own login worth trusting on its own — a basic-auth wall in front of it costs nothing and stops casual scanning cold, even before a request reaches whatever's actually running behind it.Das ist das richtige Werkzeug für ein Admin-Panel, ein Dashboard oder alles andere, das nicht öffentlich sein muss, aber auch kein eigenes Login hat, dem du allein vertrauen würdest — eine Basic-Auth-Wand davor kostet nichts und stoppt beiläufiges Scannen zuverlässig, noch bevor eine Anfrage das erreicht, was tatsächlich dahinter läuft.

Wildcard certificates via DNS challengeWildcard-Zertifikate über DNS-Challenge

A single certificate can't cover *.example.com through an HTTP-01 challenge — the ACME protocol requires a DNS-01 challenge for any wildcard, full stop, regardless of what ports are open. NPM supports this directly: on the SSL tab, toggle Use a DNS Challenge, pick your DNS provider from the dropdown, and paste in the API credentials it asks for (a Cloudflare API token scoped to DNS edits, for example). NPM creates and removes a TXT record on your behalf through the provider's API to prove domain ownership, with no inbound port involved in the proof at all.Ein einzelnes Zertifikat kann *.example.com nicht über eine HTTP-01-Challenge abdecken — das ACME-Protokoll verlangt für jeden Wildcard zwingend eine DNS-01-Challenge, unabhängig davon, welche Ports offen sind. NPM unterstützt das direkt: Auf dem SSL-Tab aktivierst du Use a DNS Challenge, wählst deinen DNS-Provider aus dem Dropdown und trägst die angeforderten API-Zugangsdaten ein (zum Beispiel ein Cloudflare-API-Token mit Berechtigung für DNS-Änderungen). NPM legt in deinem Namen über die API des Providers einen TXT-Eintrag an und entfernt ihn wieder, um den Domainbesitz zu beweisen — dabei ist überhaupt kein eingehender Port am Beweis beteiligt.

This is also the cleanest way to run several subdomains — app1.example.com, app2.example.com — off one certificate instead of issuing a separate one per proxy host, and it works even on a plan where 80 isn't forwarded. It doesn't change the earlier point, though: the certificate proves you own the domain, but 443 still has to be reachable for a visitor to actually load anything behind it.Das ist auch der sauberste Weg, mehrere Subdomains — app1.example.com, app2.example.com — über ein einziges Zertifikat statt über jeweils eins pro Proxy-Host laufen zu lassen, und es funktioniert sogar bei einem Plan, bei dem 80 nicht weitergeleitet wird. Am vorherigen Punkt ändert das aber nichts: Das Zertifikat beweist, dass du die Domain besitzt, aber 443 muss trotzdem erreichbar sein, damit ein Besucher tatsächlich etwas dahinter laden kann.

Backups: two volumes, not oneBackups: zwei Volumes, nicht eins

Everything NPM knows lives in two places, and they're both small. npm_data holds the SQLite database — every proxy host, access list, and user you've configured — plus NPM's own generated nginx configuration. npm_letsencrypt holds the actual certificates and the ACME account keys Let's Encrypt issued against. Back up both together:Alles, was NPM weiß, liegt an zwei Orten, und beide sind klein. npm_data enthält die SQLite-Datenbank — jeden Proxy-Host, jede Access List und jeden Nutzer, den du konfiguriert hast — plus NPMs eigene generierte nginx-Konfiguration. npm_letsencrypt enthält die eigentlichen Zertifikate und die ACME-Account-Schlüssel, gegen die Let's Encrypt sie ausgestellt hat. Sichere beide zusammen:

docker compose stop npm
docker run --rm -v npm_data:/data -v npm_letsencrypt:/etc/letsencrypt -v "$(pwd)":/backup alpine:3.20 \
  tar czf /backup/npm-backup-$(date +%F).tar.gz /data /etc/letsencrypt
docker compose start npm

Copy that archive off the VPS — a backup on the same disk as the volumes it holds is not a backup. back up your VPS covers what off-machine backup looks like in practice. Losing npm_data alone means rebuilding every proxy host and access list by hand; losing npm_letsencrypt alone means Let's Encrypt reissuing certificates from scratch, which works but burns against its rate limits if it happens to several domains at once.Kopiere dieses Archiv vom VPS herunter — ein Backup auf derselben Platte wie die Volumes, die es enthält, ist kein Backup. Backup deines VPS beschreibt, wie Backup abseits der Maschine in der Praxis aussieht. Verlierst du allein npm_data, musst du jeden Proxy-Host und jede Access List von Hand neu aufbauen; verlierst du allein npm_letsencrypt, stellt Let's Encrypt die Zertifikate von Grund auf neu aus, was funktioniert, aber gegen die Rate-Limits läuft, wenn es mehrere Domains gleichzeitig trifft.

Honest sizingEhrliche Dimensionierung

NPM itself is genuinely light: the Node process, nginx, and an embedded SQLite database idle well under 200 MB combined, and issuing or renewing a certificate is a brief CPU blip, not a sustained load. On its own, NPM would run on the smallest tier without complaint.NPM selbst ist wirklich leichtgewichtig: Der Node-Prozess, nginx und eine eingebettete SQLite-Datenbank liegen im Leerlauf zusammen deutlich unter 200 MB, und das Ausstellen oder Erneuern eines Zertifikats ist ein kurzer CPU-Ausschlag, keine anhaltende Last. Für sich allein würde NPM klaglos auf der kleinsten Stufe laufen.

It's never on its own, though — the whole point is running it in front of other things, and those are what actually decide the tier. The Basic (2 vCPU / 2 GiB / 50 GB) is the honest floor for NPM plus two or three small apps behind it — something like Uptime Kuma, Vaultwarden, and a small Gitea instance, each idling under a few hundred megabytes on its own. Add something heavier — Nextcloud with real file storage, Immich indexing photos, a database-backed app with actual traffic — and that's a reason to move to the Standard (2 vCPU / 4 GiB / 80 GB), not a sign NPM itself has outgrown anything. Size for the apps behind the front door, not for the door.Für sich allein steht es aber nie — der ganze Sinn ist, es vor anderen Dingen zu betreiben, und die entscheiden eigentlich über die Stufe. Der Basic (2 vCPU / 2 GiB / 50 GB) ist die ehrliche Untergrenze für NPM plus zwei oder drei kleine Apps dahinter — etwa Uptime Kuma, Vaultwarden und eine kleine Gitea-Instanz, die für sich jeweils unter ein paar Hundert Megabyte im Leerlauf bleiben. Kommt etwas Schwereres dazu — Nextcloud mit echtem Dateispeicher, Immich beim Indizieren von Fotos, eine datenbankgestützte App mit echtem Traffic —, ist das ein Grund, zum Standard (2 vCPU / 4 GiB / 80 GB) zu wechseln, kein Zeichen, dass NPM selbst irgendetwas entwachsen wäre. Dimensioniere für die Apps hinter der Eingangstür, nicht für die Tür.

On overnight.hostBei overnight.host

Full disclosure: this is what we sell. The 2 GiB Basic runs Nginx Proxy Manager comfortably alongside two or three small self-hosted apps behind it; it's the apps you put behind it, not NPM itself, that decide whether you need the 4 GiB Standard instead.Zur vollen Transparenz: Das ist, was wir verkaufen. Der 2-GiB-Basic betreibt Nginx Proxy Manager bequem neben zwei oder drei kleinen selbst gehosteten Apps dahinter; die Apps, die du dahinter stellst, entscheiden, ob du stattdessen den 4-GiB-Standard brauchst, nicht NPM selbst.

Linux KVM VPS — EUR 4.99 to EUR 59.99 a month, on our own single-tenant bare metal in Dallas, TX and Charlotte, NC. Full hardware virtualisation (KVM), your own kernel, full root. Six tiers, vps-starter to vps-ultra. Starter is 1 vCPU, 1 GiB RAM, 25 GB disk.Linux-KVM-VPS — 4,99 bis 59,99 EUR im Monat, auf unserer eigenen Single-Tenant-Bare-Metal-Hardware in Dallas, TX und Charlotte, NC. Vollständige Hardware-Virtualisierung (KVM), eigener Kernel, volles Root. Sechs Tarife, vps-starter bis vps-ultra. Starter hat 1 vCPU, 1 GiB RAM, 25 GB Speicher.

You order in the shop, pay by card (Stripe) or SEPA bank transfer, and your login details are e-mailed to you once the service is set up. Support is e-mail, run by one person, with no guaranteed response time. All prices are final totals under the German small-business rule (§19 UStG); no VAT is added or shown.Du bestellst im Shop, zahlst per Karte (Stripe) oder SEPA-Überweisung, und deine Zugangsdaten werden dir per E-Mail zugeschickt, sobald der Dienst eingerichtet ist. Support läuft per E-Mail, von einer einzelnen Person betrieben, ohne garantierte Reaktionszeit. Alle Preise sind Endpreise. Gemäß § 19 UStG wird keine Umsatzsteuer ausgewiesen.

Order vps-basic → · Linux KVM VPS overviewvps-basic bestellen → · Übersicht Linux-KVM-VPS

Written by the person who runs overnight.host: a small, honest hosting company on dedicated bare metal — Linux VPS, game servers, web hosting. Live status at up.overnight.host.Geschrieben von der Person, die overnight.host betreibt: ein kleines, ehrliches Hosting-Unternehmen auf dedizierter Bare-Metal-Hardware — Linux-VPS, Gameserver, Webhosting. Live-Status unter up.overnight.host.