دیفای

سخت‌افزار لازم

• حداقل رم: ۴ گیگابایت — پیشنهادی: ۸ گیگابایت
• کارت گرافیک لازم نیست
• حداقل رسمی ۲ هستهٔ پردازنده و ۴ گیگابایت رم است و Docker Compose نسخهٔ 2.24 یا بالاتر لازم است. این فقط برای خود Dify است (۱۶ کانتینر، حدود ۲٫۸ گیگابایت ایمیج فشرده)؛ برای یک تیم ۴ هسته و ۸ گیگابایت رم راحت‌تر است (تخمین ما، نه عدد رسمی). مدل زبانی روی Ollama یا vLLM سخت‌افزار جدا می‌خواهد؛ نیاز آن را در صفحهٔ همان مدل ببینید.

نصب و اجرا

1. ۱

   میرور داخلی Docker Hub را تنظیم کنیدلینوکس

   echo '{ "registry-mirrors": ["https://docker.arvancloud.ir"] }' | sudo tee /etc/docker/daemon.json && sudo systemctl restart docker && docker compose versionکپی

   به‌جای آروان می‌توانید docker.iranserver.com یا docker-mirror.liara.ir بگذارید؛ چک‌سام ایمیج‌ها را بررسی کنید. Docker Compose باید 2.24 یا بالاتر باشد.

2. ۲

   کد نسخهٔ پایدار را از گیت‌هاب بگیریدلینوکس

   git clone --branch 1.17.1 --depth 1 https://github.com/langgenius/dify.git && cd dify/docker && cp .env.example .envکپی

   شمارهٔ آخرین نسخه را از صفحهٔ Releases بردارید.

3. ۳

   ایمیج Weaviate را به Docker Hub برگردانیدلینوکس

   printf 'services:\n weaviate:\n image: semitechnologies/weaviate:1.39.2\n' > docker-compose.override.yamlکپی

   پیش‌فرض cr.weaviate.io است که میرورهای Docker Hub پوشش نمی‌دهند. راه دیگر: VECTOR_STORE=pgvector همراه PGVECTOR_HOST=pgvector و بقیهٔ متغیرهای PGVECTOR_* در ‎.env.

4. ۴

   کلیدهای پیش‌فرض را عوض کنید و تماس‌های بیرونی را ببندیدلینوکس

   for v in DIFY_AGENT_API_TOKEN DIFY_AGENT_SERVER_SECRET_KEY PLUGIN_DAEMON_KEY PLUGIN_DIFY_INNER_API_KEY; do sed -i "s|^$v=.*|$v=$(python3 -c 'import secrets; print(secrets.token_urlsafe(32))')|" .env; done; sed -i 's|^INIT_PASSWORD=.*|INIT_PASSWORD=ChangeThis-2026|; s|^CHECK_UPDATE_URL=.*|CHECK_UPDATE_URL=|; s|^WEAVIATE_DISABLE_TELEMETRY=.*|WEAVIATE_DISABLE_TELEMETRY=true|' .envکپی

   INIT_PASSWORD (حداکثر ۳۰ حرف) صفحهٔ نصب را قفل می‌کند؛ مقدار خودتان را بگذارید. رمزهای DB_PASSWORD و REDIS_PASSWORD را هم پیش از اولین اجرا عوض کنید.

5. ۵

   Dify را بالا بیاوریدلینوکس

   docker compose up -d && docker compose psکپی

   ۱۶ کانتینر بالا می‌آید و حدود ۲٫۸ گیگابایت ایمیج دریافت می‌شود؛ وضعیت Exited برای init_permissions عادی است. بعد http://IP-سرور/install را باز کنید و حساب مدیر را بسازید.

6. ۶

   Ollama را روی شبکه باز کنید و مدل بگیریدلینوکس

   sudo mkdir -p /etc/systemd/system/ollama.service.d && printf '[Service]\nEnvironment="OLLAMA_HOST=0.0.0.0:11434"\n' | sudo tee /etc/systemd/system/ollama.service.d/override.conf && sudo systemctl daemon-reload && sudo systemctl restart ollama && ollama pull qwen3.5:9b && ollama pull bge-m3کپی

   پورت 11434 را با فایروال فقط برای سرور Dify باز بگذارید. bge-m3 بردارساز چندزبانه برای اسناد فارسی است.

7. ۷

   افزونهٔ Ollama را نصب و به مدل وصل کنید

   در Integrations > Model Provider افزونهٔ Ollama را از Marketplace (یا با بستهٔ آفلاین مرحلهٔ بعد) نصب کنید. Base URL را http://IP-شبکه:11434 بگذارید؛ localhost کار نمی‌کند و host.docker.internal روی لینوکس تعریف نشده. مدل چت را با Function call روشن و bge-m3 را از نوع Text Embedding اضافه کنید و در Default Models پیش‌فرض کنید.

8. ۸

   بستهٔ آفلاین افزونه را روی سیستمی با اینترنت بسازیدلینوکس

   curl -L -o ollama.difypkg https://marketplace.dify.ai/api/v1/plugins/langgenius/ollama/1.0.2/download && git clone https://github.com/junjiem/dify-plugin-repackaging.git && cd dify-plugin-repackaging && ./plugin_repackaging.sh -p manylinux2014_x86_64 local ../ollama.difypkgکپی

   خروجی ollama-offline.difypkg وابستگی‌های پایتونی را هم دارد. این ابزار غیررسمی و جامعه‌محور است و Python 3.12 می‌خواهد. راه دیگر: PIP_MIRROR_URL=https://package-mirror.liara.ir/repository/pypi/simple در ‎.env سرور (آزموده نشده).

9. ۹

   بستهٔ آفلاین را روی سرور نصب کنیدلینوکس

   sed -i 's|^FORCE_VERIFYING_SIGNATURE=.*|FORCE_VERIFYING_SIGNATURE=false|; s|^PLUGIN_MAX_PACKAGE_SIZE=.*|PLUGIN_MAX_PACKAGE_SIZE=524288000|; s|^NGINX_CLIENT_MAX_BODY_SIZE=.*|NGINX_CLIENT_MAX_BODY_SIZE=500M|' .env && docker compose up -dکپی

   بعد در Integrations > Install plugin گزینهٔ Local package را بزنید و فایل را بارگذاری کنید. بعد از نصب، FORCE_VERIFYING_SIGNATURE را دوباره true کنید و اگر Marketplace لازم ندارید MARKETPLACE_ENABLED=false بگذارید.

دانلود

• Dify (GitHub Releases) ↗رسمی

  کد و فایل‌های Docker Compose؛ نسخهٔ zip هم برای شبکه‌های محدود هست

• Docker Hub: langgenius ↗رسمی
• Dify Marketplace ↗رسمی

  افزونه‌های مدل و ابزار

• dify-plugin-repackaging (GitHub) ↗غیررسمی

  ابزار جامعه برای ساخت بستهٔ آفلاین افزونه با وابستگی‌ها

• Helm chart جامعه (dify-helm) ↗غیررسمی

  برای Kubernetes؛ نسخهٔ رسمی Kubernetes فقط در Enterprise است

نکات امنیتی

• پیش از اولین اجرا INIT_PASSWORD را بگذارید؛ وگرنه هر کس زودتر به ‎/install برسد مدیر می‌شود.
• کلیدهای پیش‌فرض ‎.env را عوض کنید: DIFY_AGENT_API_TOKEN، DIFY_AGENT_SERVER_SECRET_KEY، PLUGIN_DAEMON_KEY، PLUGIN_DIFY_INNER_API_KEY و رمز پیش‌فرض difyai123456 پایگاه داده و Redis؛ این مقادیر در مخزن عمومی‌اند.
• فقط پورت 80/443 را باز بگذارید و HTTPS جلویش بگذارید؛ پورت 5003 (اشکال‌زدایی افزونه) هم به‌طور پیش‌فرض روی همهٔ کارت‌های شبکه باز است و باید با فایروال بسته شود.
• همیشه آخرین نسخه را نصب کنید؛ در ۲۰۲۶ چند آسیب‌پذیری بحرانی عبور از مرز مستأجرها (مثل CVE-2026-41947 و CVE-2026-41948، رفع‌شده در 1.14.2 و 1.15.0) وصله شد.
• پراکسی SSRF دسترسی به IPهای داخلی را می‌بندد؛ برای صدا زدن API داخلی شرکت فقط همان محدوده را در SSRF_PROXY_ALLOW_PRIVATE_IPS مجاز کنید.
• عامل جدید (بتا) در سندباکس فرمان اجرا می‌کند و به گفتهٔ Dify مرز امنی بین کاربران غیرقابل‌اعتماد نیست؛ فقط به کارمندان مطمئن بدهید.
• FORCE_VERIFYING_SIGNATURE را جز هنگام نصب بستهٔ آفلاین خودتان true نگه دارید و در تنظیمات Integrations نصب افزونه را به مدیران محدود کنید (پیش‌فرض: همه).
• ALLOW_REGISTER و ALLOW_CREATE_WORKSPACE را false نگه دارید تا ثبت‌نام فقط با دعوت باشد.

برای شرکت‌ها و سازمان‌ها

نسخهٔ رایگان یک فضای کاری دارد با چهار نقش (مالک، مدیر، ویرایشگر، کاربر عادی) و دسترسی جدا برای هر پایگاه دانش. SSO، چند فضای کاری، نقش سفارشی، برند سفارشی وب‌اپ و Kubernetes با دسترس‌پذیری بالا فقط در Enterprise است. دعوت اعضا با ایمیل است، اما لینک دعوت را می‌شود کپی کرد؛ بازیابی رمز بدون ایمیل با docker exec -it docker-api-1 flask reset-password انجام می‌شود. برای وصل شدن جریان‌کارها به API داخلی، SSRF_PROXY_ALLOW_PRIVATE_IPS را تنظیم کنید. از پوشهٔ volumes و پایگاه داده پشتیبان بگیرید و پیش از هر ارتقا یادداشت‌های نسخه را بخوانید (مثلاً 1.17.1 ارتقای مرحله‌ای Weaviate می‌خواهد). اجرای چند فضای کاری برای مشتری‌های جدا مجوز تجاری می‌خواهد.

مدل‌هایی که با این برنامه اجرا می‌شوند

• کوئن ۳.۵ (آفلاین)
• جما ۴ (آفلاین)
• جی‌پی‌تی اواس‌اس (آفلاین)
• بی‌جی‌ای ام۳ (آفلاین)
• کوئن ۳ امبدینگ (آفلاین)