Kör Twenty, CRM med öppen källkod, med Podman utan root

Det här sätter du upp

Twenty är ett CRM-system: det håller reda på företagen ni jobbar med, personerna där och affärerna ni hoppas vinna, med anteckningar, uppgifter och filer på var och en. Det ser ut och fungerar ungefär som ett kalkylark, med vyer som du filtrerar, sorterar och grupperar, en tavla för affärerna och en sökning som täcker allt. Du kan lägga till egna fält och objekt, och det har ett API, webhooks och arbetsflöden för automatisering.

Twenty utvecklas öppet på GitHub av Twenty.com PBC, ett bolag registrerat i Delaware i USA, som också säljer det som en tjänst på nätet. Det är öppen källkod under licensen AGPL-3.0. Några funktioner, till exempel enkel inloggning och granskningsloggar, kräver en betald licensnyckel och är märkta Organization i inställningarna.

Här körs Twenty som en pod under en egen användare som heter twenty, från Twentys officiella avbild, med PostgreSQL för data och Valkey för jobbkön, bakom Caddy från Podman-guiden.

Varje steg nedan har körts på en nyinstallerad Melonslab VC-P Alloy (2 vCPU, 8 GB) med Debian 13:

• Twenty 2.46.0 startade med PostgreSQL 16 och Valkey 9. Det första kontot skapades via en SSH-tunnel innan Twenty gick att nå från internet. Efteråt nekades en registrering utifrån.
• Ett företag, en person, en affär, en anteckning och en uppgift skapades, och en fil bifogades till personen. Sökningen hittade ett ord i anteckningens text.
• En kollega gick med via en inbjudan och en till via inbjudningslänken. Med länken avstängd nekades en tredje.
• Tvåfaktorsautentisering fungerade, och listan över enheter visade varje besökares riktiga adress, över IPv4 och IPv6, och struntade i en förfalskad X-Forwarded-For-header.
• En webhook nådde en annan app på samma server med inställningen i steg 10, och Twenty visade fortfarande varje besökares riktiga adress.
• Gränssnittet visades på svenska.
• Utan e-post skrevs inbjudningar och återställningar av lösenord till workerns logg i stället, som steg 9 beskriver.
• En brevlåda på en testserver för e-post kopplades in med Connect via IMAP/SMTP, och ett mejl från en kund importerades och visades hos den personen. En e-postserver på en privat adress nekades tills den tilläts, som steg 9 visar.
• Twentys inbyggda arbetsflöde sparade en kopia av varje ny person i sin körlogg, och kopian låg kvar efter att personen hade raderats för gott. Steg 7 visar hur du stoppar det.
• Med telemetrin avstängd skickade servern ingenting till Twenty när en användare registrerade sig. Med den påslagen kontaktade den twenty-telemetry.com.
• En uppdatering från Twenty 2.45.8 till 2.46.0 gick igenom med podman auto-update. Twenty återställdes från en säkerhetskopia till tomma volymer, och allt startade igen av sig självt efter en omstart av servern.

Podden använde omkring 1,5 GB minne när den hade lugnat sig, nästan allt för Twentys server och dess worker, med omkring 730 MB var; PostgreSQL och Valkey använde tillsammans omkring 50 MB. Direkt efter en start var det omkring 2,2 GB. Avbilderna tar omkring 1,8 GB disk.

Innan du börjar

Du behöver:

• en server uppsatt som i Podman-guiden, med Caddy igång, och minst 4 GB minne;
• en A-post och en AAAA-post för crm.example.com som pekar på din server.

Exemplen använder crm.example.com för Twenty och 203.0.113.10 för serverns IPv4-adress, som ip -brief address show eth0 visar. Byt ut dem genomgående.

1. Skapa användaren

Som root:

useradd -m -s /bin/bash twenty
loginctl enable-linger twenty
machinectl shell twenty@

Allt fram till steg 5 körs som twenty.

2. Skapa hemligheterna

openssl rand -hex 24 | tr -d '\n' | podman secret create twenty-db-password -
podman secret inspect --showsecret --format 'postgres://twenty:{{.SecretData}}@127.0.0.1:5432/twenty' twenty-db-password | tr -d '\n' | podman secret create twenty-db-url -
openssl rand -base64 32 | tr -d '\n' | podman secret create twenty-encryption-key -

Den första raden skapar databaslösenordet. Twenty läser det som en del av en databasadress, så den andra raden bygger den adressen med lösenordet i och sparar den som en egen hemlighet. Den tredje skapar krypteringsnyckeln, som Twenty använder för sessioner, tvåfaktorshemligheter och lösenorden till anslutna konton. Utan den är en återställd säkerhetskopia till liten nytta, så steg 11 sparar en kopia. Alla tre lagras av Podman, inte i filerna nedan.

3. Definiera podden

mkdir -p ~/.config/containers/systemd
cd ~/.config/containers/systemd

Skapa twenty.pod:

[Pod]
PodName=twenty
# Only Caddy, on this server, can reach Twenty: the port is not open to the internet.
PublishPort=127.0.0.1:8117:3000

[Install]
WantedBy=default.target

Skapa twenty-db.container:

[Container]
ContainerName=twenty-db
Image=docker.io/library/postgres:16
Pod=twenty.pod
Volume=twenty-db:/var/lib/postgresql/data
Environment=POSTGRES_DB=twenty POSTGRES_USER=twenty
Secret=twenty-db-password,type=env,target=POSTGRES_PASSWORD
HealthCmd=pg_isready -U twenty -d twenty
HealthInterval=10s
Notify=healthy
AutoUpdate=registry

[Service]
Restart=always

Skapa twenty-redis.container:

[Container]
ContainerName=twenty-redis
Image=docker.io/valkey/valkey:9-alpine
Pod=twenty.pod
Exec=--maxmemory-policy noeviction
AutoUpdate=registry

[Service]
Restart=always

Skapa twenty-server.container:

[Unit]
Requires=twenty-db.service twenty-redis.service
After=twenty-db.service twenty-redis.service

[Container]
ContainerName=twenty-server
Image=docker.io/twentycrm/twenty:v2
Pod=twenty.pod
Volume=twenty-files:/app/packages/twenty-server/.local-storage
Environment=SERVER_URL=http://localhost:8117 TRUST_PROXY=203.0.113.10
Environment=TELEMETRY_ENABLED=false
Environment=REDIS_URL=redis://127.0.0.1:6379 STORAGE_TYPE=local
Secret=twenty-db-url,type=env,target=PG_DATABASE_URL
Secret=twenty-encryption-key,type=env,target=ENCRYPTION_KEY
HealthCmd=curl -fs http://127.0.0.1:3000/healthz
HealthInterval=10s
Notify=healthy
AutoUpdate=registry

[Service]
Restart=always
TimeoutStartSec=900

Och twenty-worker.container:

[Unit]
Requires=twenty-server.service
After=twenty-server.service

[Container]
ContainerName=twenty-worker
Image=docker.io/twentycrm/twenty:v2
Pod=twenty.pod
Exec=yarn worker:prod
Volume=twenty-files:/app/packages/twenty-server/.local-storage
Environment=SERVER_URL=http://localhost:8117
Environment=TELEMETRY_ENABLED=false
Environment=REDIS_URL=redis://127.0.0.1:6379 STORAGE_TYPE=local
Environment=DISABLE_DB_MIGRATIONS=true DISABLE_CRON_JOBS_REGISTRATION=true
Secret=twenty-db-url,type=env,target=PG_DATABASE_URL
Secret=twenty-encryption-key,type=env,target=ENCRYPTION_KEY
AutoUpdate=registry

[Service]
Restart=always

Vad inställningarna gör:

• Servern levererar webbappen och API:et. Workern kör allt i bakgrunden: e-postutskick, importer, arbetsflöden och schemalagda jobb. De använder samma avbild och behöver samma inställningar, så en ändring i den ena hör oftast hemma i den andra också. Bara servern uppdaterar databasen.
• SERVER_URL är adressen som Twenty sätter i länkar, till exempel i inbjudningar. Den är http://localhost:8117 tills vidare, så att du kan skapa ditt konto via en SSH-tunnel i steg 4; steg 5 byter den till https://crm.example.com.
• TRUST_PROXY är adressen som Twenty litar på när den får veta besökarens riktiga adress. Caddys anslutningar kommer in i podden från serverns egen IPv4-adress, som Podman-guiden förklarar, så det är den du anger. Utan den visar listan över enheter i varje användares profil 203.0.113.10 för alla. Om du ger användaren twenty filen containers.conf från steg 10 anger du 10.0.2.0 i stället.
• TELEMETRY_ENABLED=false hindrar servern från att skicka e-postadressen och namnet på varje ny användare till Twenty. Steg 10 har detaljerna.
• Valkey är en fork av Redis med öppen källkod, som Twenty använder för sin jobbkö och cache. noeviction hindrar den från att slänga jobb i kön när minnet tar slut, som Twenty kräver.
• Filer du bifogar och bilder du laddar upp hamnar i volymen twenty-files; allt annat ligger i databasen.
• Taggen v2 följer varje version av Twenty 2. PostgreSQL ligger kvar på 16, den version som Twentys egen installation använder.

Starta den:

systemctl --user daemon-reload
systemctl --user start twenty-pod
systemctl --user enable --now podman-auto-update.timer

Vid första starten laddas omkring 1,8 GB avbilder ner, och sedan behöver Twenty några minuter för att sätta upp sin databas. Servern väntar på databasen och workern på servern. Twenty är klar när det här skriver ut active:

systemctl --user is-active twenty-worker

4. Skapa ditt konto via en SSH-tunnel

Tills det finns en arbetsyta skapar den som först öppnar Twenty en och blir dess administratör. Skapa din nu, medan Twenty bara går att nå från själva servern.

Öppna en tunnel till servern från din egen dator och låt den vara öppen:

ssh -L 8117:127.0.0.1:8117 root@203.0.113.10

Gå till http://localhost:8117 i webbläsaren och välj Continue with Email. Fyll i din e-postadress, välj Continue, sedan ett lösenord på minst 8 tecken, och Sign up. Twenty frågar sedan efter ett Name för arbetsytan, till exempel företagets namn, och du väljer Create workspace. Erbjuder den en app att installera väljer du Skip. Fyll i First Name och Last name, välj Continue och sedan Skip och Skip anyway vid Invite your team.

Twenty öppnar arbetsytan med fem exempelföretag, som Airbnb och Stripe, och personer och affärer som hör till dem. Ditt konto är arbetsytans administratör och det enda som har Admin Panel. Stäng tunneln med exit.

5. Sätt Caddy framför

Som twenty ger du Twenty dess publika adress och startar om:

cd ~/.config/containers/systemd
sed -i 's|http://localhost:8117|https://crm.example.com|' twenty-server.container twenty-worker.container
systemctl --user daemon-reload
systemctl --user restart twenty-server twenty-worker

Omstarten tar omkring två minuter: servern går igenom sin databas varje gång den startar.

Gå tillbaka till root med exit, byt till machinectl shell caddy@ och lägg till det här blocket sist i ~/Caddyfile:

crm.example.com {
    reverse_proxy 127.0.0.1:8117
}

Starta om Caddy med systemctl --user restart caddy, öppna https://crm.example.com och logga in med din e-postadress och ditt lösenord.

6. Kontrollera vem som kommer in

När det finns en arbetsyta kan ingen registrera sig på egen hand: en adress utan inbjudan får "User does not have access to this workspace". Folk går med på två sätt, båda under Settings > Members > Invite:

• Invite by email skickar en inbjudan till en adress, som gäller i 30 dagar. Tills e-posten fungerar (steg 9) skickas inbjudan inte, men länken finns i workerns logg.
• Invite by link är en länk som låter alla som har den gå med. Använder du den inte stänger du av Invite by Link under Settings > General > Security. Länken svarar då "You do not have permission to perform this action."

Nya medlemmar får rollen Member: de ser och ändrar alla poster, men arbetsytans inställningar finns inte i deras meny. Settings > Members > Roles visar vad varje roll får göra, och du kan skapa egna roller.

Under Settings > Profile kan varje användare slå på Two Factor Authentication med en autentiseringsapp och se sina Devices: webbläsarna som är inloggade, med adressen var och en senast användes från. Under Settings > General > Security kan du kräva tvåfaktorsautentisering för alla.

7. Företag, personer och affärer

Menyn till vänster har dina poster: Companies, People, Opportunities (affärerna), Tasks och Notes. Så här kommer du igång:

1. Ta bort exemplen: öppna Companies, markera rutan högst upp i listan för att välja alla, öppna menyn med ⋮ uppe till höger och välj Delete Companies. Gör likadant under People och Opportunities. I samma meny finns See deleted Companies om du vill ha tillbaka något.
2. Companies > Create, skriv namnet, till exempel Björkvägen Bygg AB, och tryck Enter. Posten öppnas till höger, där du fyller i dess fält.
3. People > Create, skriv förnamnet, Tab och efternamnet. På personens post kopplar pennan bredvid Company personen till ett företag.
4. Opportunities > Create lägger till en affär, med Amount, Stage och Close date. Välj All Opportunities ovanför listan och sedan By Stage för att se affärerna som en tavla med en kolumn för varje fas.

Varje post har flikarna Timeline och Tasks, och under More finns Notes och Files, där Add file bifogar en fil från din dator. Sökningen uppe till vänster hittar poster på namn och anteckningar på deras text.

Under Settings > Data model kan du lägga till fält på alla objekt, till exempel organisationsnummer på företag, och skapa egna objekt. Under Settings > Experience ställer du in tidszon och datumformat.

Twenty har ett aktivt arbetsflöde från start, Create company when adding a new person. Det körs varje gång en person skapas eller ändras, och dess körlogg under Workflows > Workflow Runs sparar en kopia av hela posten, med namn, e-postadress och titel. Det spelar roll när någon ber dig radera sina uppgifter. Raderar du personen, även med Permanently destroy Person under See deleted People, ligger kopian kvar. Ingen kan radera en körning för hand, inte ens en administratör: Twenty svarar "You do not have permission to perform this workflow action". Enligt Twentys kod tar den själv bort avslutade körningar när de är 14 dagar gamla; det har vi inte väntat ut. Med inställningarna i den här guiden misslyckas arbetsflödet dessutom redan i första steget och skapar inga företag, eftersom dess kodsteg kräver en funktion som är avstängd från början. Använder du det inte öppnar du Workflows > Workflows > Create company when adding a new person och väljer Deactivate. Sedan hamnar nya och ändrade personer inte längre i körloggen. Mejl som importerats från en inkopplad brevlåda (steg 9) ligger också kvar när personen raderas. Lägg till personens adress i Blocklist under Settings > Accounts, så raderar Twenty mejlen den har importerat från den adressen.

8. Använd Twenty på svenska

Twenty är översatt till svenska. En användare vars webbläsare är inställd på svenska får det från första inloggningen; alla andra väljer Swedish under Settings > Experience > Language. Menyer, knappar och namnen på standardobjekten byts då ut, så att Companies blir Företag och Opportunities Affärsmöjligheter.

9. E-post

Twenty skickar e-post för inbjudningar, återställning av lösenord och länken Change Password i varje profil. Den här guiden sätter inte upp e-post, och utan den skriver Twenty varje meddelande till workerns logg i stället för att skicka det. Inget visar något fel: Forgot your password? svarar "If this email is registered, a password reset link has been sent", och en inbjudan visas som skickad i listan. För att hitta länken, som twenty:

podman logs twenty-worker 2>&1 | grep -E 'Sent email to|https://[^ ]*/(invite|reset-password)/' | grep -vE '<|href'

För att skicka e-post pekar du Twenty mot din e-postleverantörs SMTP-server. Som twenty sparar du SMTP-lösenordet som en hemlighet:

printf %s 'the-smtp-password' | podman secret create twenty-smtp-password -

Lägg sedan till de här raderna i både twenty-server.container och twenty-worker.container, under de andra Secret=-raderna, med din egen server, ditt konto och din avsändaradress:

Environment=EMAIL_DRIVER=SMTP EMAIL_SMTP_HOST=smtp.example.com EMAIL_SMTP_PORT=587
Environment=EMAIL_SMTP_USER=crm@example.com EMAIL_FROM_ADDRESS=crm@example.com "EMAIL_FROM_NAME=Exempel AB"
Secret=twenty-smtp-password,type=env,target=EMAIL_SMTP_PASSWORD

Starta om som i steg 5 och prova Forgot your password? på inloggningssidan. På port 587 går Twenty över till TLS med STARTTLS när servern erbjuder det, vilket e-postleverantörer gör; för port 465, som använder TLS från början, byter du port. Kommer inget e-postmeddelande fram visar podman logs twenty-worker felet. Vi kontrollerade inställningarna mot en testserver på samma maskin, utan TLS, inte mot en riktig e-postleverantör.

Varje användare kan också koppla in sin egen brevlåda, så att mejlen visas på posterna för de inblandade personerna. Under Settings > Accounts väljer du Connect via IMAP/SMTP och fyller i brevlådans IMAP-server, för att läsa, och SMTP-server, för att skicka, var och en med port och Connection security. Twenty testar båda innan den sparar. På nästa sida väljer du hur mycket av varje mejl andra användare får se (Metadata, standardvalet, visar bara tiden och vilka som var med) och vilka personer Twenty skapar själv, och sedan Add account. Vi kopplade in en brevlåda på en testserver för e-post, och ett mejl från en kund importerades och visades hos den personen. Gmail och Microsoft 365 får egna knappar där, men bara med en app registrerad hos Google eller Microsoft, vilket inte tas upp här.

Twenty nekar e-postservrar på privata adresser, som 192.168.1.10, så att användare inte kan nå andra maskiner i ditt nätverk genom den. För att koppla in en sådan lägger du till en rad med dess namn eller adress i både twenty-server.container och twenty-worker.container, med komma mellan flera, och startar om som i steg 5:

Environment=OUTBOUND_HTTP_ALLOWED_INTERNAL_HOSTS=mail.internal.example.com

En e-postserver på en publik adress, som hos e-postleverantörer, behöver inget.

10. Externa tjänster

Med inställningarna från steg 3 avlyssnade vi serverns DNS-uppslagningar och utgående anslutningar medan Twenty startade, stod oanvänt och medan användare registrerade sig och poster skapades. Det här såg vi:

• Telemetri. Som standard skickar servern, varje gång en användare registrerar sig, användarens e-postadress, namn och arbetsyta, och din servers adress, till twenty-telemetry.com, som drivs av Twenty. Med TELEMETRY_ENABLED=false skickade den ingenting. Utan raden visade vår avlyssning en uppslagning av twenty-telemetry.com vid nästa registrering.
• Appkatalogen. När workern startar, och varje timme därefter, hämtar den listan över appar för Settings > Apps från registry.npmjs.org, npm:s paketregister som drivs av GitHub, och unpkg.com, en publik spegel av det. Den skickar inget om era data. Det finns ingen inställning för att stänga av det.

Webbläsaren gör några anrop på egen hand:

• Företagslogotyper laddas från twenty-icons.com, som drivs av Twenty och får domännamnet för varje företag du tittar på.
• Varje gång Twenty laddas hämtas dess egen logotyp från twentyhq.github.io, på GitHub, även efter att du har laddat upp en logotyp för arbetsytan under Settings > General.
• E-postmeddelandena som Twenty skickar visar dess logotyp från app.twenty.com, som laddas när mottagaren öppnar meddelandet.

Webhooks, under Settings > MCP & APIs, anropar de adresser du anger, och funktionerna under AI kräver en nyckel från en AI-leverantör, som den här guiden inte sätter upp.

En webhook till en annan app på samma server, till exempel n8n, nådde i stället Twenty själv, och en AddHost-rad hjälpte inte, eftersom Twenty vägrar den privata adress som raden ger. Använd den andra lösningen i steg 8 i Podman-guiden: som twenty skapar du ~/.config/containers/containers.conf som där, ändrar TRUST_PROXY=203.0.113.10 i twenty-server.container till TRUST_PROXY=10.0.2.0, eftersom Caddys anslutningar då kommer från den adressen, och startar om:

systemctl --user daemon-reload
systemctl --user restart twenty-pod

I vårt test kom webhooken fram, och listan över enheter visade fortfarande varje besökares riktiga adress.

11. Säkerhetskopiera

Som twenty:

umask 077
mkdir -p ~/backup
podman exec twenty-db pg_dump -U twenty twenty > ~/backup/twenty-db.sql
podman volume export twenty-files > ~/backup/twenty-files.tar
podman secret inspect --showsecret --format '{{.SecretData}}' twenty-encryption-key > ~/backup/encryption-key.txt

Det är databasen, med alla poster, användare och inställningar, de bifogade filerna och krypteringsnyckeln. Dumpen körs medan Twenty fortsätter att fungera. Kopiera ~/backup till en annan maskin, till exempel med restic, och förvara den säkert: den innehåller alla era kunddata och nyckeln.

För att återställa till en tom pod, som twenty, med säkerhetskopian i ~/backup:

systemctl --user stop twenty-pod
podman volume rm twenty-db twenty-files
podman volume create twenty-files
podman volume import twenty-files ~/backup/twenty-files.tar
systemctl --user start twenty-db
podman exec -i twenty-db psql -U twenty -d twenty -q -o /dev/null < ~/backup/twenty-db.sql
systemctl --user start twenty-server twenty-worker

Genom att bara starta databasen först läses säkerhetskopian in innan Twenty sätter upp en tom databas. Raden med psql skriver inte ut något när allt går bra. På en ny server skapar du nyckeln från säkerhetskopian i stället för en ny i steg 2, och hoppar över steg 4:

tr -d '\n' < ~/backup/encryption-key.txt | podman secret create twenty-encryption-key -

12. Uppdatera

podman auto-update letar en gång om dagen efter nya avbilder av Twenty, PostgreSQL och Valkey och startar om podden när någon har ändrats. Twenty uppdaterar sin databas när servern startar, vilket tar några minuter efter en uppdatering. För att uppdatera direkt:

podman auto-update

Twenty kan hoppa över versioner: från 2.45.8 gick vår uppdatering direkt till 2.46.0. För att se att databasen är uppdaterad efteråt:

podman exec twenty-server yarn command:prod upgrade:status 2>&1 | grep Workspaces:

Det skriver ut Workspaces: 1 up to date, 0 behind, 0 failed (1 total). Vill du hellre uppdatera för hand byter du v2 i både twenty-server.container och twenty-worker.container mot en version, till exempel v2.46.0, tar bort deras rader AutoUpdate=registry och byter version när du vill uppdatera. Ta i båda fallen en säkerhetskopia först, och läs versionsinformationen på GitHub före större uppdateringar. Ett byte till Twenty 3 kräver en ny tagg.

Felsökning

systemctl --user start twenty-pod blir klart, men sidan laddas inte. Twenty håller fortfarande på att starta. systemctl --user is-active twenty-worker skriver ut active när den är klar, och journalctl --user -u twenty-server -f visar vad servern gör.

Inbjudningslänkar börjar med http://localhost:8117. SERVER_URL är fortfarande den för tunneln. Gör första delen av steg 5.

Varje enhet i profilen har serverns egen adress. TRUST_PROXY saknas eller anger fel adress. Den måste vara serverns IPv4-adress, inte 127.0.0.1, eller 10.0.2.0 om användaren twenty har containers.conf från steg 10. Rätta den i twenty-server.container, kör sedan daemon-reload och starta om som i steg 5. Inloggningar via SSH-tunneln visar alltid serverns adress.

Att koppla in en brevlåda misslyckas med "The server address you entered is not allowed". E-postservern har en privat adress. Tillåt den med OUTBOUND_HTTP_ALLOWED_INTERNAL_HOSTS, som steg 9 visar. Adresser som börjar med 169.254. nekas även när de står med, och det gör även host.containers.internal, som pekar på en sådan. För en e-postserver på samma maskin använder du en annan av serverns adresser, och anger den om den är privat.

En inbjuden kollega får inget e-postmeddelande. E-post är inte uppsatt: länken finns i workerns logg, som steg 9 visar. Med e-post uppsatt visar podman logs twenty-worker SMTP-felet.