Dimensionner un VPS pour Jellyfin, Navidrome et Immich

Pourquoi une seule machine pour quatre médiathèques

Ce que vous gagnez à tout regrouper

• Un seul point d'entrée — un reverse proxy, un sous-domaine par service, des certificats obtenus et renouvelés automatiquement.
• Une RAM mutualisée — Navidrome et Audiobookshelf consomment peu, la mémoire laissée libre par l'un profite aux pics de l'autre.
• Un plan de sauvegarde unique — quatre dossiers de configuration, un dump PostgreSQL, un script.
• Une montée en charge verticale — quand la bibliothèque grossit, vous augmentez RAM, vCPU et disque du même VPS sans réinstaller la pile.
• Un accès root complet — vous choisissez la distribution, vous réglez le noyau, vous installez ce que la pile exige.

Le budget mémoire et processeur, service par service

Budget de réservation par service

Faites défiler le tableau

Le budget disque : calculez en Go avant de choisir

Ne pas transcoder : la règle qui protège le petit VPS

Assembler la pile : un réseau, un proxy, un sous-domaine par service

1. 01

   Créer les dossiers, les droits et le réseau partagé

   Séparez médias, photos et configurations, donnez la propriété à l'utilisateur 1000 et créez le réseau que partageront tous les conteneurs :

   sudo mkdir -p /srv/media/video /srv/media/music /srv/media/audiobooks /srv/photos /srv/stack/media /srv/stack/immich
sudo mkdir -p /srv/stack/jellyfin/config /srv/stack/jellyfin/cache /srv/stack/navidrome/data /srv/stack/audiobookshelf/config /srv/stack/audiobookshelf/metadata
sudo chown -R 1000:1000 /srv/stack /srv/photos
sudo chmod -R a+rX /srv/media
docker network create edge

2. 02

   Pointer quatre sous-domaines vers le VPS

   Créez quatre enregistrements A (jellyfin, music, books, photos) vers l'IPv4 du VPS. Caddy obtient les certificats seulement si les enregistrements A ou AAAA pointent vers le serveur et si les ports 80 et 443 sont ouverts de l'extérieur.

3. 03

   Écrire le compose des trois services légers

   Dans /srv/stack/media/compose.yaml, déclarez Jellyfin, Navidrome et Audiobookshelf. Aucun port n'est publié : seul Caddy parle au réseau edge. Les médias sont montés en lecture seule pour Jellyfin et Navidrome.

   services:
jellyfin:
image: jellyfin/jellyfin
user: 1000:1000
volumes:
- /srv/stack/jellyfin/config:/config
- /srv/stack/jellyfin/cache:/cache
- /srv/media/video:/media:ro
restart: unless-stopped
networks: [edge]
navidrome:
image: navidrome/navidrome:latest
user: 1000:1000
volumes:
- /srv/stack/navidrome/data:/data
- /srv/media/music:/music:ro
restart: unless-stopped
networks: [edge]
audiobookshelf:
image: ghcr.io/advplyr/audiobookshelf:latest
user: 1000:1000
volumes:
- /srv/stack/audiobookshelf/config:/config
- /srv/stack/audiobookshelf/metadata:/metadata
- /srv/media/audiobooks:/audiobooks
restart: unless-stopped
networks: [edge]

4. 04

   Ajouter Caddy au même fichier

   Complétez le fichier avec le service du proxy, puis les déclarations du réseau externe et du volume des certificats :

   caddy:
image: caddy:2
ports:
- "80:80"
- "443:443"
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- caddy_data:/data
restart: unless-stopped
networks: [edge]
networks:
edge:
external: true
volumes:
caddy_data:

5. 05

   Écrire le Caddyfile, un bloc par service

   Dans /srv/stack/media/Caddyfile, un nom de domaine suffit à déclencher le TLS automatique, et Caddy redirige HTTP vers HTTPS tout seul :

   jellyfin.votre-domaine.com {
reverse_proxy jellyfin:8096
}
music.votre-domaine.com {
reverse_proxy navidrome:4533
}
books.votre-domaine.com {
reverse_proxy audiobookshelf:80
}
photos.votre-domaine.com {
reverse_proxy immich_server:2283
}

6. 06

   Installer Immich avec son compose officiel

   Téléchargez les deux fichiers de la dernière version, et ne modifiez pas le compose lui-même :

   cd /srv/stack/immich
wget -O docker-compose.yml https://github.com/immich-app/immich/releases/latest/download/docker-compose.yml
wget -O .env https://github.com/immich-app/immich/releases/latest/download/example.env

   Dans .env, réglez les trois valeurs ci-dessous (le mot de passe n'accepte que des lettres et des chiffres) :

   UPLOAD_LOCATION=/srv/photos/library
DB_DATA_LOCATION=/srv/stack/immich/postgres
DB_PASSWORD=<mot-de-passe-A-Za-z0-9>

7. 07

   Brancher Immich sur le réseau commun

   Créez /srv/stack/immich/docker-compose.override.yml. Docker Compose le fusionne automatiquement avec le fichier officiel, qui reste intact et remplaçable à chaque mise à jour :

   services:
immich-server:
networks: [default, edge]
networks:
edge:
external: true

8. 08

   Démarrer et vérifier chaque entrée

   Lancez les deux piles, attendez l'émission des certificats, puis testez en-têtes HTTP et TLS. Vous devez obtenir un code 2xx ou 3xx sur HTTPS, jamais une erreur de certificat :

   cd /srv/stack/media && docker compose up -d
cd /srv/stack/immich && docker compose up -d

   curl -I https://jellyfin.votre-domaine.com
curl -I https://photos.votre-domaine.com

9. 09

   Mesurer, puis régler Immich

   Pendant l'indexation, relevez docker stats --no-stream et la charge du processeur. Si la mémoire frôle le plafond, désactivez une fonction d'apprentissage automatique (recherche intelligente, reconnaissance faciale) dans les réglages d'administration, ou baissez la concurrence des tâches sans la porter au-delà du nombre de cœurs.

Sauvegarder chaque service, restaurer avant d'en avoir besoin

Plan de sauvegarde par service

• Immich, base — un dump compressé hors du VPS : docker exec -t immich_postgres pg_dump --clean --if-exists --dbname=immich --username=postgres | gzip > "/srv/backup/immich-db.sql.gz", en adaptant nom de base et utilisateur à votre .env.
• Immich, fichiers — library, upload et profile copiés avec rsync vers un stockage distant ; thumbs et encoded-video peuvent être régénérés.
• Jellyfin — le dossier /srv/stack/jellyfin/config (bibliothèques, utilisateurs, métadonnées), conteneur arrêté le temps de l'archive. Le cache se reconstruit.
• Navidrome — /srv/stack/navidrome/data (base, listes de lecture, cache) ; la musique elle-même est votre source de vérité et se sauvegarde comme un dossier de fichiers.
• Audiobookshelf — /config et /metadata : la base SQLite et la progression d'écoute vivent dans le premier, les sauvegardes internes dans le second.
• La restauration se teste — rejouez la procédure officielle d'Immich, détaillée au-dessus, sur une machine de test avant de vous y fier.

Dépannage : mémoire saturée, droits refusés, envois coupés

Les erreurs rencontrées et leur remède

• Immich redémarre en boucle sur un petit plan — le noyau tue le conteneur d'apprentissage automatique (cherchez out of memory dans dmesg). Désactivez la recherche intelligente et la reconnaissance faciale, ou passez à un plan avec au moins 8 Go.
• can't set healthcheck.start_interval as feature require Docker Engine v25 or later — votre Docker est trop ancien. Mettez-le à jour, ou commentez la ligne start_interval dans la section database du compose, comme l'indique la documentation d'Immich.
• Téléversements de vidéos coupés après une minute — la documentation d'Immich relève un code 499 derrière Traefik avec le délai de lecture par défaut de 60 secondes, et recommande 600 secondes. Vérifiez le délai de votre proxy.
• Navidrome : unable to open database file — le dossier /data n'est pas accessible en écriture. Donnez-en la propriété à l'identifiant défini par la directive user.
• Navidrome démarre mais la bibliothèque reste vide, avec permission denied dans les journaux — le dossier de musique n'est pas lisible : appliquez chmod -R a+rX sur /srv/media/music.
• Jellyfin ne voit pas les films — l'utilisateur 1000 du conteneur ne peut pas lire le dossier monté. Testez avec docker exec jellyfin ls /media et corrigez les droits ; PUID et PGID ne fonctionnent pas avec ces images, seule la directive user compte.

Quel plan pour quelle médiathèque

Faites défiler le tableau

La documentation officielle et la suite