企业级设计平台Penpot自部署实战：从环境搭建到安全配置全流程

企业设计团队仍在为设计工具的高昂订阅费用和数据安全担忧？Penpot作为开源设计与原型平台，提供了100%自主可控的私有化部署方案。本文将带领您完成从环境准备到生产级配置的全流程，帮助团队快速落地企业专属的设计协作平台。

部署前准备：环境与工具清单

自部署Penpot需确保服务器满足以下基础条件：

• 操作系统：Linux内核（推荐Ubuntu 20.04+或CentOS 8+）
• 硬件配置：最低2核4GB内存（生产环境建议4核8GB）
• 存储需求：至少20GB可用空间（含数据库与用户资产）
• 网络要求：开放80/443端口，支持HTTPS配置

核心依赖组件包括：

• Docker Engine 20.10+
• Docker Compose v2+
• Git工具链
• Nginx/Caddy反向代理（可选）

系统架构示意图

官方部署文档：docs/technical-guide/getting-started/index.md

基础部署：3步启动Docker容器

1. 环境初始化

通过官方脚本快速安装Docker环境：

# Ubuntu系统示例
sudo apt update && sudo apt install -y docker.io docker-compose-plugin
sudo systemctl enable --now docker

2. 获取配置文件

克隆Penpot仓库并进入部署目录：

git clone https://gitcode.com/GitHub_Trending/pe/penpot.git
cd penpot/docker/images

3. 启动服务集群

使用Docker Compose启动完整服务栈：

# 启动默认配置（含PostgreSQL和Redis）
docker compose -p penpot -f docker-compose.yaml up -d

服务启动后可通过docker ps验证容器状态，正常情况下会运行3个核心容器：

• penpot-penpot-backend-1（应用后端）
• penpot-penpot-frontend-1（Web前端）
• penpot-penpot-exporter-1（导出服务）

核心配置：从可用到好用的关键步骤

访问控制与域名配置

编辑docker-compose.yaml设置公开访问地址：

# 在environment部分添加
PENPOT_PUBLIC_URI: "https://design.yourcompany.com"

邮件服务集成

启用SMTP实现用户注册与通知功能：

# 启用SMTP标志
PENPOT_FLAGS: "enable-smtp"
# SMTP服务器配置
PENPOT_SMTP_HOST: "smtp.yourcompany.com"
PENPOT_SMTP_PORT: 587
PENPOT_SMTP_USERNAME: "[e-mail]"
PENPOT_SMTP_PASSWORD: "your-smtp-password"
PENPOT_SMTP_TLS: "true"

安全加固：禁用公开注册

企业环境建议关闭公开注册并使用域名白名单：

# 禁用开放注册
PENPOT_FLAGS: "disable-registration enable-email-whitelist"
# 允许的企业邮箱域名
PENPOT_REGISTRATION_DOMAIN_WHITELIST: "yourcompany.com,design.yourcompany.com"

数据管理：备份与升级策略

自动化备份方案

创建定时任务备份PostgreSQL数据卷：

# 备份脚本示例 backup-penpot.sh
docker run --rm -v penpot_postgres_data:/source -v $(pwd):/backup alpine \
  tar -czf /backup/penpot-postgres-$(date +%Y%m%d).tar.gz -C /source .

版本升级流程

安全升级到指定版本的步骤：

# 拉取目标版本镜像
PENPOT_VERSION=2.4.3 docker compose pull
# 应用更新并重启
PENPOT_VERSION=2.4.3 docker compose up -d

注意：从1.x升级到2.x需执行数据库迁移： docker exec -ti penpot-penpot-backend-1 ./run.sh app.migrations.v2

高级部署：生产环境优化方案

HTTPS配置（Nginx示例）

创建反向代理配置文件/etc/nginx/sites-available/penpot：

server {
  listen 443 ssl;
  server_name design.yourcompany.com;
  
  ssl_certificate /etc/letsencrypt/live/design.yourcompany.com/fullchain.pem;
  ssl_certificate_key /etc/letsencrypt/live/design.yourcompany.com/privkey.pem;
  
  # WebSocket支持
  location /ws/notifications {
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_pass http://localhost:9001/ws/notifications;
  }
  
  # 主应用代理
  location / {
    proxy_set_header Host $http_host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-Proto $scheme;
    proxy_pass http://localhost:9001/;
  }
}

HTTPS配置验证

资源扩展：S3兼容存储集成

配置MinIO/AWS S3存储用户上传资产：

PENPOT_ASSETS_STORAGE_BACKEND: "assets-s3"
PENPOT_STORAGE_ASSETS_S3_REGION: "us-east-1"
PENPOT_STORAGE_ASSETS_S3_BUCKET: "penpot-assets"
AWS_ACCESS_KEY_ID: "your-access-key"
AWS_SECRET_ACCESS_KEY: "your-secret-key"
# 自托管MinIO需添加
PENPOT_STORAGE_ASSETS_S3_ENDPOINT: "https://minio.yourcompany.com"

故障排查与监控

日志查看与问题诊断

查看应用关键日志的命令：

# 后端应用日志
docker logs -f penpot-penpot-backend-1
# 数据库查询日志
docker exec -ti penpot-postgres-1 tail -f /var/log/postgresql/postgresql-14-main.log

常见问题排查参考官方故障排除指南。

性能监控建议

推荐添加Prometheus监控配置：

# 在backend服务添加
PENPOT_FLAGS: "enable-metrics"
PENPOT_METRICS_URI: "/metrics"

结语：企业设计系统的自主可控之路

通过本文档完成Penpot自部署后，您已获得：

• 100%数据私有性的设计协作平台
• 无限扩展的用户许可与团队空间
• 与Figma兼容的设计功能与文件格式
• 完整的二次开发能力与API集成

后续可深入探索：

• 团队管理与权限配置：用户指南
• 设计系统组件库建设：组件管理
• 自动化工作流集成：Webhook配置

立即访问https://design.yourcompany.com开始企业设计系统的自主可控之旅！

本文档配置示例基于Penpot 2.4.3版本，所有配置项详细说明参见官方配置指南