Deploy es: der Poor-Man’s-Stack

Ein kleiner Cloud-Server mit 4 GB RAM - der Supabase-Stack ist der hungrige Mieter, und 2 GB plus Swap funktionieren bis zu dem Tag, an dem sie es nicht tun. Jeder Budget-Anbieter taugt; nimm einen mit Rechenzentrum in der Nähe deiner Spieler.

Zwei DNS-A-Records beim Registrar: einer für die App (app.example.com oder die nackte Domain), einer für die API (api.example.com), beide auf die Kiste.

Nur SSH-Keys (Passwort-Login aus), eine Firewall, die genau 22, 80 und 443 erlaubt, automatische Sicherheitsupdates. Docker und Docker Compose vom offiziellen Install-Skript.

Deren docker-Verzeichnis klonen und vor dem ersten Start jedes Secret ändern: das Postgres-Passwort, das JWT-Secret und die daraus generierten Anon- und Service-Keys. Die Defaults sind öffentlich bekannt - ein Stack mit ihnen gestartet steht jedem offen, der dasselbe README gelesen hat.

Studio und alles Administrative weg von den öffentlichen Ports - per SSH-Tunnel erreichbar oder hinter Auth im Reverse Proxy, nie blank. Danach die Migrationen aus dem kxb-Repository gegen deine Datenbank einspielen.

Das Repository liefert ein Dockerfile; die Registry des armen Mannes ist keine Registry - das Image wird auf dem Server gebaut. Eines muss zur Bauzeit stimmen, nicht zur Laufzeit: Die NEXT_PUBLIC_*-Variablen (deine Supabase-URL und der Anon-Key) werden beim Build ins Client-Bundle gebacken. Sie hinterher zu setzen ändert nichts und scheitert lautlos.

Den Container mit restart unless-stopped laufen lassen, nur auf localhost lauschend - das öffentliche Gesicht hat der Proxy.

Caddy existiert für genau solche Setups: ein paar Zeilen, die deine zwei Hostnamen auf die zwei lokalen Ports abbilden, und die TLS-Zertifikate holt und erneuert es selbst. Es gibt wirklich nichts weiter zu tun - kein certbot, kein Cron, kein openssl.

Signup-Bestätigungen brauchen SMTP. Ein kostenloses Transaktionsmail-Kontingent reicht in dieser Größe locker - die Zugangsdaten im Auth-Service eintragen und einen Test-Signup schicken, bevor irgendwer von der Seite erfährt.

Kenn die Default-Limits: Selbst gehostetes GoTrue kommt mit konservativen Raten (Größenordnung Dutzende Mails pro Stunde, mit Cooldown pro Adresse). Für einen leisen Launch fein; heb sie bewusst an, wenn echte Leute kommen - nicht in Panik, während sie es tun.

Ein nächtlicher pg_dump, komprimiert, weg von der Kiste kopiert - eine 1-€-Storage-Box oder irgendein Object Storage reicht. Den Restore einmal testen, an einem Tag, an dem du ihn nicht brauchst. Day-Two-Betrieb ist dann eine Schleife: pull, rebuild, restart - und das Deploy ist die Minute, in der du sie laufen lässt.

Bevor die Domain irgendwo öffentlich auftaucht: die Impressums-Platzhalter aus dem Starter-Guide, und das Kapitel zum rechtlichen Grundgerüst. Eine deployte Seite ist eine veröffentlichte Seite.