Créer son ChatGPT privé sur un VPS avec Open WebUI

Open WebUI est une interface de discussion open source, proche de celle de ChatGPT, que vous installez sur votre propre serveur. Elle se branche sur les API d'OpenAI, de Mistral ou d'autres fournisseurs, ou sur des modèles qui tournent directement sur votre VPS grâce à Ollama. Vous gardez vos conversations sur votre serveur, vous gérez vos utilisateurs et vous choisissez vos modèles. Ce guide explique ce que cela protège vraiment, quel serveur prévoir et comment l'installer proprement.

1. Deux façons de l'utiliser

Les deux modes peuvent cohabiter : un modèle local pour les textes sensibles, une API pour les demandes complexes. Pour le détail des performances sans carte graphique, voir Ollama sur un VPS sans GPU.

2. Ce que « privé » veut dire ici

Soyons précis, car c'est le point le plus souvent mal compris :

• Vos conversations et vos comptes sont stockés sur votre serveur, et non dans un compte chez un éditeur.
• Avec une API, chaque message part malgré tout chez le fournisseur pour être traité. Lisez ses conditions, notamment sur la conservation des données et l'entraînement des modèles.
• Avec Ollama, rien ne quitte le serveur : c'est la seule option vraiment fermée.
• La sécurité du serveur devient votre responsabilité : mises à jour, accès, sauvegardes.

3. Installation manuelle avec Docker

Partez d'un VPS Linux sécurisé (voir les premiers pas) avec Docker. Générez une clé secrète, puis lancez le conteneur :

SECRET=$(openssl rand -hex 32)
docker run -d -p 127.0.0.1:3000:8080 \
  --add-host=host.docker.internal:host-gateway \
  -v open-webui:/app/backend/data \
  -e WEBUI_SECRET_KEY=$SECRET \
  --name open-webui --restart always \
  ghcr.io/open-webui/open-webui:main

Le préfixe 127.0.0.1 est important : le port n'est accessible que depuis le serveur lui-même. Docker contourne souvent les règles d'UFW lorsqu'il publie un port, il vaut donc mieux ne pas compter sur le pare-feu seul. Le volume open-webui contient vos discussions, vos utilisateurs et vos réglages : il survit aux mises à jour.

4. Accès sécurisé en HTTPS

Placez un reverse proxy devant l'application. Avec Nginx, un nom de domaine et Let's Encrypt, suivez Nginx et SSL, puis faites pointer votre site vers le conteneur :

location / {
    proxy_pass http://127.0.0.1:3000;
    proxy_http_version 1.1;
    proxy_set_header Upgrade $http_upgrade;
    proxy_set_header Connection "upgrade";
    proxy_set_header Host $host;
    proxy_set_header X-Forwarded-Proto $scheme;
}

Les deux lignes Upgrade et Connection servent aux WebSockets, utilisés pour l'affichage des réponses en temps réel.

Créez votre compte aussitôt. Le premier compte devient administrateur, et les inscriptions se ferment ensuite automatiquement. Pour inviter des personnes, activez « New Sign Ups » dans les réglages d'administration : les nouveaux comptes attendent alors votre validation.

5. Brancher une API

Dans Paramètres → Admin → Connections, cliquez sur le + à côté de la gestion des connexions OpenAI, puis saisissez l'URL et votre clé. Open WebUI fonctionne avec toute API compatible OpenAI :

Fixez un plafond de dépenses dans la console du fournisseur, surtout si plusieurs personnes utilisent l'interface. Notez qu'un abonnement grand public, comme ChatGPT Plus, n'inclut pas l'API : celle-ci est facturée séparément, à la consommation.

6. Ajouter des modèles locaux avec Ollama

curl -fsSL https://ollama.com/install.sh | sh
ollama run llama3.2:3b

Par défaut, Ollama n'écoute que sur 127.0.0.1, ce qui ne suffit pas pour un conteneur Docker. Faites-le écouter sur l'interface du pont Docker, ou utilisez la préinstallation Ollama + Open WebUI qui règle ce point. Quelle que soit la méthode, le port 11434 ne doit jamais être ouvert sur Internet : Ollama n'a pas d'authentification propre.

Commencez par un petit modèle. La RAM disponible doit dépasser largement la taille du modèle, et le nombre de vCPU détermine en grande partie la vitesse des réponses.

7. Quel VPS prévoir

Prenez du stockage NVMe : les modèles pèsent plusieurs gigaoctets et sont chargés depuis le disque. Les offres sont sur la page VPS pour agents IA.

8. Mises à jour et sauvegardes

Open WebUI évolue vite. Pour mettre à jour, récupérez la nouvelle image et recréez le conteneur en réutilisant le même volume et la même clé secrète :

docker pull ghcr.io/open-webui/open-webui:main
docker rm -f open-webui
# puis relancez la commande docker run, avec la même WEBUI_SECRET_KEY

Conservez la clé dans un fichier protégé : sans elle, les sessions ouvertes sont déconnectées. Sauvegardez le volume open-webui, qui contient tout l'historique. Voir les sauvegardes avec Borg.

Questions fréquentes