Self-hosting n8n on a VPS: the setup, and the three things that bite latern8n selbst hosten auf einem VPS: das Setup und die drei Dinge, die dich später ärgern

What n8n actually needsWas n8n tatsächlich braucht

n8n is a Node application plus a database. Out of the box the database is SQLite — a single file inside the data directory — which is genuinely fine for a personal instance. Everything else is a reverse proxy and a certificate.n8n ist eine Node-Anwendung plus eine Datenbank. Ab Werk ist die Datenbank SQLite — eine einzelne Datei im Datenverzeichnis —, was für eine persönliche Instanz wirklich in Ordnung ist. Alles andere ist ein Reverse-Proxy und ein Zertifikat.

Memory is the honest constraint. Idle, n8n sits comfortably under 1 GiB. Load comes from concurrent executions and from the size of the payloads moving through them: a workflow that pulls a 50 MB CSV into memory is a different animal from one that posts a webhook to Slack. Start at 1 GiB, watch it, size up when you actually see pressure.Der Arbeitsspeicher ist die ehrliche Grenze. Im Leerlauf bleibt n8n bequem unter 1 GiB. Last entsteht durch gleichzeitige Ausführungen und durch die Größe der Payloads, die dabei durchlaufen: Ein Workflow, der eine 50-MB-CSV in den Speicher zieht, ist ein anderes Tier als einer, der einen Webhook an Slack schickt. Starte mit 1 GiB, beobachte es, und dimensioniere hoch, sobald du tatsächlich Druck siehst.

One thing that is not obvious until it bites: n8n is not a bot. A Discord bot only makes outbound connections, so it will run anywhere. n8n's whole point is Webhook nodes, and those need inbound HTTPS on a public hostname.Eine Sache, die nicht offensichtlich ist, bis sie zuschlägt: n8n ist kein Bot. Ein Discord-Bot baut nur ausgehende Verbindungen auf und läuft deshalb überall. Der ganze Sinn von n8n sind Webhook-Nodes, und die brauchen eingehendes HTTPS auf einem öffentlichen Hostnamen.

Read this before you buy: the NAT IPv4 catchLies das, bevor du kaufst: die NAT-IPv4-Falle

Cheap VPS plans very often give you NAT IPv4 — a shared public address with a handful of forwarded ports — rather than an address of your own. If you get a forwarded port like 41022 instead of ports 80 and 443, a plain https://n8n.example.com will not work, because you do not own 443 on that address.Günstige VPS-Tarife geben dir sehr oft NAT-IPv4 — eine geteilte öffentliche Adresse mit einer Handvoll weitergeleiteter Ports — statt einer eigenen Adresse. Bekommst du einen weitergeleiteten Port wie 41022 statt der Ports 80 und 443, funktioniert ein einfaches https://n8n.example.com nicht, weil dir Port 443 auf dieser Adresse nicht gehört.

Three honest ways out:Drei ehrliche Auswege:

• Get a dedicated IPv4. Then 80 and 443 are yours and everything below works unchanged. On our plans that is available on request by e-mail, not as a self-service add-on.Hol dir eine dedizierte IPv4. Dann gehören dir 80 und 443, und alles Folgende funktioniert unverändert. Bei unseren Tarifen ist das auf Anfrage per E-Mail verfügbar, nicht als Self-Service-Add-on.
• Terminate TLS somewhere you already control and forward to your VPS port — a small reverse proxy on a machine that does have 443, or a tunnel from a provider you already use.Terminiere TLS irgendwo, das du schon kontrollierst, und leite an den Port deines VPS weiter — ein kleiner Reverse-Proxy auf einer Maschine, die 443 hat, oder ein Tunnel von einem Anbieter, den du schon nutzt.
• Skip webhooks entirely. Schedule and polling triggers make only outbound calls, so NAT is irrelevant. A surprising number of workflows never need a webhook at all.Verzichte ganz auf Webhooks. Schedule- und Polling-Trigger machen nur ausgehende Aufrufe, NAT spielt also keine Rolle. Überraschend viele Workflows brauchen überhaupt nie einen Webhook.

Worth reading first: NAT IPv4 vs a dedicated IP and NAT IPv4, ports and forwarding.Lesenswert vorab: NAT IPv4 vs. dedizierte IP und NAT IPv4, Ports und Weiterleitung.

Step 1: a clean machineSchritt 1: eine saubere Maschine

Deploy an Ubuntu LTS image, then do the boring part properly before anything else touches the internet — create a non-root user, put your SSH key on it, disable password login, and let the firewall default to deny. Our own walkthroughs for that are connect to your VPS over SSH and secure your VPS.Setze ein Ubuntu-LTS-Image auf, und erledige dann den langweiligen Teil ordentlich, bevor irgendetwas sonst das Internet berührt — leg einen Non-Root-User an, hinterlege deinen SSH-Key, deaktiviere den Passwort-Login und lass die Firewall standardmäßig blockieren. Unsere eigenen Anleitungen dazu sind über SSH mit deinem VPS verbinden und deinen VPS absichern.

Point an A record at the machine (n8n.example.com) and let DNS settle before you ask a certificate authority for anything.Richte einen A-Record auf die Maschine (n8n.example.com) und lass DNS sich setzen, bevor du eine Zertifizierungsstelle um irgendetwas bittest.

Step 2: docker composeSchritt 2: Docker Compose

Pin a version tag. latest will eventually pull a release with a breaking change on a night you were not planning to debug anything.Pinne einen Versions-Tag. latest zieht irgendwann ein Release mit einer Breaking Change, ausgerechnet in einer Nacht, in der du nichts debuggen wolltest.

services:
  n8n:
    image: docker.n8n.io/n8nio/n8n:1.80.3   # pin it, don't use :latest
    restart: unless-stopped
    environment:
      - N8N_HOST=n8n.example.com
      - N8N_PORT=5678
      - N8N_PROTOCOL=https
      - WEBHOOK_URL=https://n8n.example.com/
      - N8N_ENCRYPTION_KEY=${N8N_ENCRYPTION_KEY}
      - GENERIC_TIMEZONE=Europe/Berlin
      - TZ=Europe/Berlin
      - N8N_RUNNERS_ENABLED=true
      - EXECUTIONS_DATA_PRUNE=true
      - EXECUTIONS_DATA_MAX_AGE=168
    volumes:
      - n8n_data:/home/node/.n8n
    ports:
      - "127.0.0.1:5678:5678"

volumes:
  n8n_data:

Two details in there are deliberate. The port is bound to 127.0.0.1, so the only thing that can reach n8n is the reverse proxy on the same host — not the whole internet, and not a stray scanner that found port 5678. And N8N_RUNNERS_ENABLED=true switches on task runners, which recent versions expect; leave it off and you get a deprecation warning in the log on every boot.Zwei Details darin sind Absicht. Der Port ist an 127.0.0.1 gebunden, sodass nur der Reverse-Proxy auf demselben Host n8n erreichen kann — nicht das ganze Internet, und kein Scanner, der zufällig Port 5678 gefunden hat. Und N8N_RUNNERS_ENABLED=true schaltet Task-Runner ein, die neuere Versionen erwarten; lässt du es aus, bekommst du bei jedem Boot eine Deprecation-Warnung im Log.

Put the key in a .env file next to the compose file, not in the compose file itself:Leg den Key in eine .env-Datei neben der Compose-Datei ab, nicht in der Compose-Datei selbst:

printf 'N8N_ENCRYPTION_KEY=%s\n' "$(openssl rand -hex 32)" > .env
chmod 600 .env

Step 3: HTTPSSchritt 3: HTTPS

Caddy is the shortest path, because it gets and renews the certificate without being asked:Caddy ist der kürzeste Weg, weil es das Zertifikat holt und erneuert, ohne dass man es bitten muss:

n8n.example.com {
    reverse_proxy 127.0.0.1:5678
}

That is the entire config. nginx plus certbot works equally well and is worth it if you are already running nginx — you need proxy_pass, the usual Upgrade/Connection headers for the editor's websocket, and a client_max_body_size big enough for whatever files your workflows move.Das ist die gesamte Konfiguration. nginx plus certbot funktioniert genauso gut und lohnt sich, wenn du ohnehin schon nginx betreibst — du brauchst proxy_pass, die üblichen Upgrade/Connection-Header für das WebSocket des Editors und eine client_max_body_size, die groß genug für die Dateien ist, die deine Workflows bewegen.

Step 4: the three things that biteSchritt 4: die drei Dinge, die zubeißen

1. The encryption key. n8n encrypts every saved credential with N8N_ENCRYPTION_KEY. If you never set one, it generates a key on first boot and writes it into .n8n/config inside the volume. Restore that volume onto a fresh host without that file and every credential you saved is unreadable — the workflows are all still there, quietly failing to authenticate. Set the key explicitly and store a copy somewhere that is not the same disk.1. Der Encryption Key. n8n verschlüsselt jede gespeicherte Credential mit N8N_ENCRYPTION_KEY. Setzt du nie einen, erzeugt es beim ersten Boot einen Key und schreibt ihn nach .n8n/config im Volume. Stellst du dieses Volume auf einem neuen Host wieder her, ohne diese Datei, ist jede gespeicherte Credential unlesbar — die Workflows sind alle noch da, scheitern aber still an der Authentifizierung. Setze den Key explizit und bewahre eine Kopie an einem Ort auf, der nicht dieselbe Festplatte ist.

2. WEBHOOK_URL. If it does not exactly match the public HTTPS address, the Webhook node happily shows you a URL nobody outside can reach, and the third-party service posts into nothing. This is the single most common "n8n is broken" report, and it is always a one-line fix.2. WEBHOOK_URL. Stimmt sie nicht exakt mit der öffentlichen HTTPS-Adresse überein, zeigt dir der Webhook-Node bereitwillig eine URL, die niemand von außen erreichen kann, und der Drittanbieter-Dienst postet ins Leere. Das ist die mit Abstand häufigste Meldung „n8n ist kaputt“, und es ist immer ein Ein-Zeilen-Fix.

3. The executions table. Every run is stored. Left alone, a chatty workflow will grow the database until the disk fills and the symptom is "n8n won't start". EXECUTIONS_DATA_PRUNE=true with EXECUTIONS_DATA_MAX_AGE (hours) and EXECUTIONS_DATA_PRUNE_MAX_COUNT fixes it before it happens. Do it on day one; it is free.3. Die Executions-Tabelle. Jeder Lauf wird gespeichert. Sich selbst überlassen, lässt ein geschwätziger Workflow die Datenbank wachsen, bis die Festplatte voll ist, und das Symptom ist „n8n startet nicht mehr“. EXECUTIONS_DATA_PRUNE=true mit EXECUTIONS_DATA_MAX_AGE (Stunden) und EXECUTIONS_DATA_PRUNE_MAX_COUNT behebt das, bevor es passiert. Mach es am ersten Tag; es kostet nichts.

Step 5: when SQLite stops being enoughSchritt 5: wenn SQLite nicht mehr reicht

SQLite is one writer at a time. Once you have several workflows firing concurrently, or you want a database you can back up with a dump rather than a file copy, move to Postgres:SQLite erlaubt immer nur einen Schreiber gleichzeitig. Sobald mehrere Workflows gleichzeitig feuern, oder du eine Datenbank willst, die du per Dump statt per Dateikopie sicherst, wechsle zu Postgres:

      - DB_TYPE=postgresdb
      - DB_POSTGRESDB_HOST=postgres
      - DB_POSTGRESDB_PORT=5432
      - DB_POSTGRESDB_DATABASE=n8n
      - DB_POSTGRESDB_USER=n8n
      - DB_POSTGRESDB_PASSWORD=${POSTGRES_PASSWORD}

Do it before you have data you care about. There is no supported in-place migration from the SQLite store to Postgres; the realistic path afterwards is exporting workflows and credentials and importing them into a fresh instance, and credentials only survive that if you carry the same encryption key. If you are running Postgres on the same box, run a database on your VPS covers the sizing and the backup habits.Mach das, bevor du Daten hast, an denen dir etwas liegt. Es gibt keine unterstützte In-Place-Migration vom SQLite-Store zu Postgres; der realistische Weg danach ist, Workflows und Credentials zu exportieren und in eine frische Instanz zu importieren, und Credentials überleben das nur, wenn du denselben Encryption Key mitnimmst. Läuft Postgres auf derselben Maschine, deckt eine Datenbank auf deinem VPS betreiben die Dimensionierung und die Backup-Gewohnheiten ab.

Step 6: backups and updatesSchritt 6: Backups und Updates

Two things need to survive the machine dying: the volume and the encryption key.Zwei Dinge müssen den Tod der Maschine überleben: das Volume und der Encryption Key.

docker run --rm \
  -v n8n_data:/data:ro \
  -v "$PWD":/backup \
  alpine tar czf /backup/n8n-$(date +%F).tar.gz -C /data .

Copy that off the server. A backup that lives on the same disk as the thing it backs up is a file, not a backup — see back up your VPS for what we actually recommend, including what is and is not included by default.Kopiere das vom Server herunter. Ein Backup, das auf derselben Festplatte liegt wie das, was es sichert, ist eine Datei, kein Backup — sieh dir Backup deines VPS an für das, was wir tatsächlich empfehlen, einschließlich dessen, was standardmäßig enthalten ist und was nicht.

Updating is docker compose pull && docker compose up -d, but bump the pinned tag deliberately and read the release notes first. n8n moves quickly and node behaviour does change between minor versions.Updaten ist docker compose pull && docker compose up -d, aber ändere den gepinnten Tag bewusst und lies vorher die Release Notes. n8n bewegt sich schnell, und das Verhalten von Nodes ändert sich durchaus zwischen Minor-Versionen.

A note on the licenceEine Anmerkung zur Lizenz

n8n is fair-code, not open source in the OSI sense. It ships under the Sustainable Use License: self-hosting it for your own or your company's internal purposes is explicitly fine, which is what nearly everyone reading this is doing. What the licence restricts is offering n8n to third parties as a service. If your plan is to run instances for clients, read the licence terms properly first rather than assuming — it is a short document and it is worth the ten minutes.n8n ist Fair-Code, nicht Open Source im Sinne der OSI. Es erscheint unter der Sustainable Use License: Es für die eigenen oder die internen Zwecke deines Unternehmens selbst zu hosten, ist ausdrücklich erlaubt — das ist es, was fast jeder tut, der das hier liest. Was die Lizenz einschränkt, ist, n8n Dritten als Dienst anzubieten. Willst du Instanzen für Kunden betreiben, lies die Lizenzbedingungen vorher gründlich, statt es anzunehmen — es ist ein kurzes Dokument, und die zehn Minuten lohnen sich.

On overnight.hostBei overnight.host

Full disclosure: this is what we sell. A 1 GiB Starter is enough for a personal n8n; move up a tier when you add Postgres or run workflows that carry real payloads.Zur vollen Transparenz: Das ist, was wir verkaufen. Ein 1-GiB-Starter reicht für ein persönliches n8n; steige eine Stufe höher, sobald du Postgres hinzufügst oder Workflows mit echten Datenmengen laufen lässt.

Linux KVM VPS — EUR 4.99 to EUR 59.99 a month, on our own single-tenant bare metal in Dallas, TX and Charlotte, NC. Full hardware virtualisation (KVM), your own kernel, full root. Six tiers, vps-starter to vps-ultra. Starter is 1 vCPU, 1 GiB RAM, 25 GB disk.Linux-KVM-VPS — 4,99 bis 59,99 EUR im Monat, auf unserer eigenen Single-Tenant-Bare-Metal-Hardware in Dallas, TX und Charlotte, NC. Vollständige Hardware-Virtualisierung (KVM), eigener Kernel, volles Root. Sechs Tarife, vps-starter bis vps-ultra. Starter hat 1 vCPU, 1 GiB RAM, 25 GB Speicher.

You order in the shop, pay by card (Stripe) or SEPA bank transfer, and your login details are e-mailed to you once the service is set up. Support is e-mail, run by one person, with no guaranteed response time. All prices are final totals under the German small-business rule (§19 UStG); no VAT is added or shown.Du bestellst im Shop, zahlst per Karte (Stripe) oder SEPA-Überweisung, und deine Zugangsdaten werden dir per E-Mail zugeschickt, sobald der Dienst eingerichtet ist. Support läuft per E-Mail, von einer einzelnen Person betrieben, ohne garantierte Reaktionszeit. Alle Preise sind Endpreise. Gemäß § 19 UStG wird keine Umsatzsteuer ausgewiesen.

Order vps-starter → · Linux KVM VPS overviewvps-starter bestellen → · Übersicht Linux-KVM-VPS

Written by the person who runs overnight.host: a small, honest hosting company on dedicated bare metal — Linux VPS, game servers, web hosting. Live status at up.overnight.host.Geschrieben von der Person, die overnight.host betreibt: ein kleines, ehrliches Hosting-Unternehmen auf dedizierter Bare-Metal-Hardware — Linux-VPS, Gameserver, Webhosting. Live-Status unter up.overnight.host.