Alojar PocketBase en un VPS: guía completa

PocketBase es un backend-as-a-service de código abierto distribuido como un único binario: sin Postgres separado, sin Redis, sin una pila compleja que orquestar. Todo funciona sobre SQLite, lo que lo hace perfectamente adecuado para un VPS de gama de entrada.

Al autoalojarlo, mantienes el control total de los datos de tus usuarios y sus archivos, sin depender de un Firebase o Supabase administrado con cuotas y latencia que pueden ser problemáticas según tu región. Un VPS te da una IP fija, un dominio personalizado y copias de seguridad que controlas completamente.

Como PocketBase escribe en una única carpeta pb_data, tu estrategia de backup se reduce a copiar ese directorio, lo que simplifica enormemente la operación comparado con un clúster de base de datos clásico.

PocketBase es extremadamente ligero. Aquí lo que necesitas según tu carga:

Mínimo absoluto: 1 vCPU, 512 MB de RAM. Suficiente para un proyecto en desarrollo o una aplicación pequeña con menos de 1.000 usuarios activos.

Recomendado en producción: 1 vCPU, 1 GB de RAM. PocketBase gestiona sin dificultad un proyecto de tamaño pequeño a mediano con esta configuración.

Para volúmenes altos: 2 vCPU, 2 GB de RAM. El límite suele ser la escritura concurrente en SQLite, no la CPU.

En cuanto al almacenamiento, planifica 20 a 40 GB SSD NVMe según el volumen de archivos. Evita sistemas de archivos de red (NFS) que pueden corromper la base de datos.

Software requerido: Docker 24+ y Docker Compose v2, un dominio apuntando a la IP del VPS mediante un registro A, un proxy inverso (Caddy, Nginx o Traefik) para gestionar TLS.

PocketBase soporta nativamente OAuth2 con varios proveedores: Google, GitHub, GitLab, Discord, Twitter/X, Microsoft, Apple y otros. La configuración se hace íntegramente desde la interfaz de administración.

Para Google OAuth:
1. Abre la Google Cloud Console, crea un proyecto y activa la API "OAuth consent screen".
2. En "Credentials", crea un "OAuth 2.0 Client ID" de tipo "Web application".
3. Añade https://app.your-domain.com/api/oauth2-redirect como URI de redirección autorizada.
4. Copia el Client ID y el Client secret.
5. En PocketBase /_/, ve a Settings → Auth providers → Google, actívalo y pega tus credenciales.

Para GitHub OAuth:
1. En GitHub, ve a Settings → Developer settings → OAuth Apps → New OAuth App.
2. Indica https://app.your-domain.com como Homepage URL y https://app.your-domain.com/api/oauth2-redirect como Authorization callback URL.
3. Copia el Client ID y genera un Client Secret.
4. Activa GitHub en Settings → Auth providers de PocketBase.

Cada proveedor activo aparecerá automáticamente en la página de login generada por PocketBase. Tu frontend solo necesita llamar a pb.collection('users').authWithOAuth2({ provider: 'google' }) mediante el SDK JavaScript.

PocketBase almacena todo en la carpeta pb_data: la base de datos SQLite (pb_data/data.db), los archivos subidos (pb_data/storage/) y los logs. Una copia de seguridad completa es simplemente archivar esa carpeta.

Método 1 — cron simple: añade esta línea a tu crontab (crontab -e) para un archivo diario a las 3am:

0 3 * * * tar czf /var/backups/pocketbase-$(date +\%F).tar.gz /opt/pocketbase/pb_data && find /var/backups -name 'pocketbase-*.tar.gz' -mtime +7 -delete

Método 2 — copias de seguridad integradas de PocketBase: desde /_/, ve a Settings → Backups. PocketBase puede crear archivos de pb_data desde el admin o mediante la API (POST /api/backups).

Método 3 — rclone a S3: para copia automática fuera del servidor:

0 4 * * * rclone sync /opt/pocketbase/pb_data your-remote:pocketbase-backup/

Conserva siempre una copia fuera del servidor — si el disco falla, una copia solo local no sirve de nada.

Puerto ya en uso: si docker compose up falla con bind: address already in use, verifica con ss -tlnp | grep ':80' qué servicio ocupa el puerto. Detén nginx o Apache (systemctl stop nginx) o cambia sus puertos.

Permisos en pb_data: PocketBase corre como usuario nobody (UID 65534) en el contenedor oficial. Si montaste una carpeta creada por root, el proceso no puede escribir. Corrige con chown -R 65534:65534 /opt/pocketbase/pb_data.

/_/ inaccesible tras el arranque: verifica que el proxy inverso apunte al nombre del servicio Docker (pocketbase:8090) y no a localhost:8090.

Actualizar PocketBase: cambia el tag de la imagen en docker-compose.yml luego docker compose pull && docker compose up -d. PocketBase aplica migraciones de esquema automáticamente. Haz una copia de seguridad de pb_data antes de cualquier actualización mayor.

Certificado Let's Encrypt no obtenido: Caddy necesita los puertos 80 y 443 accesibles desde Internet. Verifica tu firewall (ufw status).

CLI de administración: PocketBase expone una CLI para operaciones comunes. Desde el contenedor: docker exec -it pocketbase_pocketbase_1 /pb/pocketbase --help.

Colecciones personalizadas: en /_/, crea tus colecciones (equivalentes a tablas) definiendo campos tipados. Las reglas de API se expresan en sintaxis PocketBase (@request.auth.id != "" para restringir a usuarios autenticados).

Hooks (JavaScript del lado del servidor): desde PocketBase v0.17, puedes extender el backend con scripts JavaScript del lado del servidor (pb_hooks/*.pb.js). Ejemplos: enviar un email al crear un usuario, validar datos complejos, disparar un webhook. Estos hooks son archivos montados en el contenedor:

volumes:
  - ./pb_data:/pb_data
  - ./pb_hooks:/pb_hooks

SDK JavaScript: el SDK oficial (npm install pocketbase) simplifica las llamadas desde tu frontend React, Vue o móvil. Gestiona la autenticación, el refresco del token y las suscripciones en tiempo real (pb.collection('tasks').subscribe('*', callback)).