Portainer instellen om Docker te beheren in 2026 (installatie, poorten en veilige toegang)

Portainer is een webdashboard dat je Docker-containers, images, volumes, netwerken en stacks vanuit de browser beheert, zodat je geen docker-commando's meer uit je hoofd hoeft te leren en gewoon kunt gaan klikken. Om het te draaien maak je een data-volume aan en start je één container die de Docker-socket mount; de UI is daarna te vinden op https://your-server:9443. Deze gids behandelt de exacte installatie van Portainer met Docker in 2026, welke poorten het gebruikt, hoe je er veilig bij komt (het deel dat de meeste tutorials overslaan) en wanneer je zonder beter af bent.

Wat is Portainer voor Docker?

Portainer is een lichtgewicht beheerinterface voor containerplatforms. Richt het op een Docker-host en het toont elke container, image, volume, netwerk en Compose-"stack" als iets wat je kunt inspecteren, starten, stoppen, updaten of uitrollen zonder de commandoregel aan te raken. Het praat met Docker via de socket van de host op /var/run/docker.sock, en zo ziet en bestuurt het alles wat daar draait. De officiële documentatie beschrijft het als het wegwerken van de complexiteit van containers achter een UI — geen CLI, geen handgeschreven YAML nodig voor het dagelijkse werk. Het draait zelf als één enkele container, ondersteunt meerdere gebruikers met rolgebaseerde toegang en werkt met standalone Docker, Docker Swarm en Kubernetes. In 2026 is Portainer afgestapt van de framing als "basale Docker-GUI" richting een "operationeel control plane", maar voor een enkele VPS blijft de praktische waarde onveranderd: een snelle, visuele manier om je stack te draaien.

Portainer installeren met Docker

De Community Edition installeren kost twee commando's. Maak eerst een benoemd volume aan zodat de data van Portainer herstarts en upgrades overleeft, en start daarna de servercontainer:

docker volume create portainer_data

docker run -d \
  -p 8000:8000 -p 9443:9443 \
  --name portainer \
  --restart=always \
  -v /var/run/docker.sock:/var/run/docker.sock \
  -v portainer_data:/data \
  portainer/portainer-ce:lts

Vastpinnen op de :lts-tag (in plaats van :latest) is de aanbeveling van het Portainer-team zelf voor productie, aangezien LTS-releases een langere ondersteuningsperiode krijgen. Zodra het draait, open je https://your-server-ip:9443 en maak je het adminaccount aan. Eén valkuil die de documentatie diep wegstopt: uit veiligheidsoverwegingen vergrendelt Portainer de initialisatie als je het adminwachtwoord niet binnen enkele minuten na de eerste start instelt, en moet je docker restart portainer uitvoeren voordat het je binnenlaat. Dit voorkomt dat een vreemde als eerste een onbeheerde instance claimt.

Liever Compose? Hetzelfde als een docker-compose.yml:

services:
  portainer:
    image: portainer/portainer-ce:lts
    container_name: portainer
    restart: always
    ports:
      - "9443:9443"
      - "8000:8000"
    volumes:
      - /var/run/docker.sock:/var/run/docker.sock
      - portainer_data:/data
volumes:
  portainer_data:

Welke poorten Portainer gebruikt

Portainer stelt een kleine, specifieke set poorten open. Voor een enkele host heb je alleen de eerste nodig.

Poort	Doel	Nodig?
9443	HTTPS-webinterface (standaard self-signed certificaat)	Ja
8000	TCP-tunnel voor Edge-agents op externe hosts	Alleen voor Edge-agents
9000	Verouderde platte HTTP-UI	Nee — verouderd, sla over

Houd het bij 9443. De oude HTTP-poort 9000 duikt nog steeds op in jaren oude tutorials, maar het configuratiescherm voor je hele host over onversleutelde HTTP serveren is een slecht idee — laat het uit. Als je alleen die ene lokale Docker-host beheert, kun je -p 8000:8000 ook weglaten; die is er enkel voor het terugverbinden van externe Edge-agents met de server.

Hoe je veilig bij Portainer komt

Dit is de stap die algemene installatiegidsen luchtig overslaan, en hij is belangrijker dan alle andere. Portainer mount de Docker-socket, wat betekent dat iedereen die de Portainer-UI bereikt in feite root op je host heeft — ze kunnen een privileged container starten en de machine overnemen. De regel is dus simpel: publiceer 9443 nooit rechtstreeks naar het publieke internet.

Drie veilige patronen, ongeveer op volgorde van gemak:

• Privé-mesh (aanbevolen). Zet de server op een Tailscale-netwerk en bereik 9443 uitsluitend over de tailnet. Er staat niets publiek open, en je krijgt een versleutelde verbinding vanaf je laptop of telefoon.
• Reverse proxy met echte TLS en authenticatie. Zet Caddy of Nginx Proxy Manager op 443 vóór Portainer, voeg een geldig certificaat toe en leg er een extra authenticatielaag overheen. Dit is de zet als een team browsertoegang nodig heeft zonder een VPN-client te installeren.
• SSH-tunnel. Voor incidentele toegang stuurt ssh -L 9443:localhost:9443 user@server de poort door naar je machine voor de duur van de sessie en niets meer.

Welke je ook kiest, hard de host eerst — de checklist voor het beveiligde eerste uur (firewall, alleen sleutelgebaseerde SSH, non-root gebruiker) is het fundament waarop een socket-mountende UI rust. Sluit 9443 in je firewall af voor alles behalve je VPN of proxy.

Is Portainer gratis? CE vs Business Edition

Ja — de Community Edition (portainer-ce) is volledig gratis en open source onder een zlib/MIT-achtige licentie, zonder nodelimiet en zonder betaalmuur voor de basisfuncties van containerbeheer. De betaalde Business Edition (portainer-be) voegt enterprisefuncties toe zoals uitgebreidere rolgebaseerde toegangscontrole, registrybeheer en support, en Portainer houdt die voor altijd gratis voor maximaal drie nodes zonder creditcard of aftellende proefperiode. Voor een enkele VPS of homelab is CE alles wat je nodig hebt; BE begint pas te tellen zodra je meerdere hosts beheert of een team met fijnmazige rechten.

Wanneer je Portainer beter niet gebruikt

Portainer verdient zijn plek voor visueel, ad-hoc beheer en kleine teams. Het past minder goed in twee gevallen. Als je infrastructuur in git leeft — Compose-bestanden of Kubernetes-manifests die geversioneerd zijn en via CI worden uitgerold — werkt het klikken van wijzigingen in een UI tegen die single-source-of-truth-discipline in; rol dan uit vanuit de repo en gebruik Portainer alleen-lezen, als je het al gebruikt. En als je een volledige platform-as-a-service-ervaring wilt (bouwen vanaf een git push, beheerde databases, automatische HTTPS), dan bestrijkt een tool als Coolify meer terrein dan een beheer-GUI. Portainer beheert containers; het bouwt of deployt je app niet vanaf de bron zoals een PaaS dat doet.

Veelgestelde vragen

Wat is Portainer voor Docker?

Portainer is een webgebaseerde UI waarmee je Docker-containers, images, volumes, netwerken en Compose-stacks vanuit een browser beheert in plaats van vanaf de commandoregel. Het maakt via de host-socket verbinding met Docker en kan standalone Docker, Swarm en Kubernetes beheren.

Moet ik Portainer of Docker gebruiken?

Het is geen of-of — Portainer draait bovenop Docker. Houd de Docker-engine als je runtime en voeg Portainer toe als je het visueel wilt beheren of teamgenoten gecontroleerde toegang wilt geven. Ben je thuis in de CLI en beheer je alles vanuit Compose-bestanden in git, dan heb je het misschien niet nodig.

Is Portainer gratis?

Ja. Portainer Community Edition is gratis en open source, zonder node- of featurelimieten voor het kernbeheer. De Business Edition voegt enterprisefuncties toe en is gratis voor maximaal drie nodes; daarboven is het betaald.

Wat is het verschil tussen Docker en Portainer?

Docker is de container-engine die de containers daadwerkelijk bouwt en draait. Portainer is een beheerlaag erbovenop — een dashboard om te bekijken en te besturen wat Docker draait. Docker doet het werk; Portainer geeft je een UI om het aan te sturen.

Sources

• Portainer Docs — Install CE with Docker on Linux — installatiecommando's, :lts-tag, poorten 9443/8000/9000
• Portainer Docs — Welcome / overview — wat Portainer beheert en hoe het verbinding maakt met de Docker-socket
• Portainer — Pricing — CE gratis, Business Edition gratis voor maximaal drie nodes
• Portainer Blog — Why we rebranded Portainer — herpositionering in 2026 van Docker-GUI naar control plane
• Portainer on Docker Hub — officiële portainer/portainer-ce image en tags