Open WebUI: что это и как развернуть корпоративный ИИ-чат

Open WebUI — это открытый веб-интерфейс для работы с LLM (большими языковыми моделями). Его разворачивают на своем сервере и подключают локальные ИИ-модели или готовые по API. 

Open WebUI связывает пользователя с языковой моделью: передает ей запросы и возвращает полученные ответы. Через единый интерфейс можно работать сразу с несколькими моделями и переключаться между ними.

Возможности платформы не ограничиваются общением с ИИ. Open WebUI поддерживает загрузку и обработку документов, работу с базами знаний и поиск информации с помощью RAG. Доступные функции зависят от версии платформы, конфигурации и подключенных расширений.

Открытый веб-интерфейс для LLM: как он устроен

Open WebUI работает как посредник между пользователем и языковой моделью. Пользователь вводит запрос в чате, Open WebUI передает его выбранной модели, получает ответ и отображает его в интерфейсе. При этом сама платформа не генерирует ответы — за это отвечает подключенная модель.

Компоненты Open WebUI:

• Браузерное приложение (Frontend). Это пользовательская часть, которая отображает чат, собирает параметры генерации, управляет историей диалогов.

• Серверная часть (Backend). Инструменты, отвечающие за логику приложения, маршрутизацию запросов и работу с базами данных. 

• База данных. Хранилище для учетных записей, истории диалогов, шаблонов промптов и пресетов LLM. 

• Инференс-движки. Локальные inference-серверы и среды: Ollama (нативный протокол + OpenAI-совместимый endpoint), vLLM и LocalAI (подключаются через OpenAI-совместимый API), LM Studio (десктопное приложение со встроенным inference-сервером и OpenAI-совместимым API). Также — облачные API. 

Дополнительно можно использовать модуль веб-поиска, RAG для работы с базами данных и документами, прослойку для интеграции с API. Также доступна контейнеризация, позволяющая объединить веб-интерфейс, движки и базы данных в изолированную экосистему для компании. 

С какими моделями работает: Ollama и OpenAI-совместимые API

Благодаря поддержке Ollama и OpenAI через интерфейс можно работать почти со всеми популярными нейросетями. Можно подключать как локальные модели, так и коммерческие облачные. 

• Через Ollama можно запускать Llama, Qwen, DeepSeek и Gemma. Достаточно установить движок, загрузить нужную модель и подключить ее. Генерация ответов будет выполняться на вашем «железе». 

• Для облачных моделей настраивается подключение через OpenAI-совместимый API. Таким способом доступны модели, для которых провайдер предоставляет OpenAI-совместимый endpoint: например, GPT (через OpenAI API), DeepSeek и Qwen (при наличии соответствующего режима у провайдера). Для коммерческих моделей с проприетарным форматом API (например, нативный Anthropic Claude API) может потребоваться адаптер или прокси. Для подключения потребуются ключ доступа и адрес API.

Open WebUI позволяет организовать контролируемое пространство с готовыми к бизнес-задачам ИИ-ассистентами и настраиваемыми политиками безопасности. Безопасность не является свойством по умолчанию: необходима явная конфигурация — отключение самостоятельной регистрации (ENABLE_SIGNUP=false), настройка TLS, ограничение доступа к API и регулярный аудит прав. 

Несколько моделей в одном интерфейсе

Это удобно, когда для задач нужны разные нейросети. Через один интерфейс можно использовать несколько моделей и легко переключаться между ними. Примеры применения в корпоративных сценариях:

• Сравнение ответов. Можно попросить две модели подготовить отчет или описание товара, а затем выбрать лучший результат. 

• Выбор модели под задачи. Одну можно использовать для анализа кода, другую — для написания простых текстов. 

• Создание ассистентов. Можно сделать цифровых помощников для написания кода или текстов в стиле компании, ответов по внутренним инструкциям. В настройках нужно задать промпты и параметры генерации, разрешить вызов инструментов и доступ к базе знаний. 

Сценарии работы можно настраивать централизованно, не переключаясь между сервисами. Главное — проверить, какие модели и инструменты доступны. 

База знаний и ответы по документам (RAG)

На основе корпоративных документов можно создать базу знаний, к которой модель будет обращаться при подготовке ответов. В нее загружают инструкции, внутренние регламенты, шаблоны договоров, техническую документацию и другие материалы компании.

Технология RAG помогает искать информацию в больших массивах документов. Когда пользователь задает вопрос, система находит подходящие по смыслу фрагменты и передает их языковой модели. LLM использует эти материалы как дополнительный контекст и формирует ответ. При необходимости пользователь может также увидеть ссылки на источники.

Пользователи, роли и SSO

Open WebUI поддерживает многопользовательский режим. Можно создать для каждого пользователя отдельные учетные записи либо объединить сотрудников в группы и настроить для них доступ к нужным моделям и инструментам. Это позволит разделить роли и права доступа. Например, отделу продаж можно открыть ИИ-ассистента для аналитики, разработчикам — помощника для написания и проверки кода. 

Для удобного подключения можно настроить единый вход — SSO. Это позволит сотрудникам использовать существующую систему авторизации, например, OIDC и LDAP. Пользователь под своими учетными данными пройдет проверку в привычной системе, которая перебросит его в Open WebUI. 

Функции, инструменты и пайплайны

Если стандартного чат-бота недостаточно, Open WebUI можно расширить плагинами или своим кодом. Важно различать три ключевых механизма.

Tools (инструменты). Python-скрипты, которые дают модели новые возможности: веб-поиск, вызовы API, выполнение кода. Модель вызывает инструмент во время генерации ответа. 

Functions (функции). Расширения самой платформы Open WebUI, которые изменяют ее поведение. Включают подтипы:

• Pipes — добавляют нового провайдера или модель в селектор моделей.

• Filters — обрабатывают входящие/исходящие сообщения (маскирование PII, инъекция системного текста, логирование, перевод).

• Actions — добавляют интерактивные кнопки в интерфейс сообщений.

Pipelines (пайплайны) — устаревший (legacy) механизм, не рекомендованный для новых развертываний. Официальная документация Open WebUI прямо указывает: «Pipelines are legacy, do not use for new deployments». Репозиторий Pipelines архивирован, новые релизы, исправления ошибок и обновления безопасности не выпускаются. 

Для новых развертываний Open WebUI рекомендуется использовать Tools и Functions. Они позволяют расширять возможности модели и самой платформы без отдельного worker-контейнера. Pipelines считаются устаревшим механизмом: репозиторий проекта архивирован, новые версии, исправления ошибок и обновления безопасности не выпускаются. Поэтому использовать их в новых инсталляциях не рекомендуется. 

Модель для работы через Open WebUI можно развернуть локально либо использовать в облаке. Выбирайте в зависимости от требований к обработке данных, нагрузки и доступных ресурсов. 

Open WebUI + Ollama на своем сервере с GPU

Ollama позволяет запустить языковую модель на своем сервере. 

Этот вариант подходит, если вы хотите самостоятельно управлять инфраструктурой и держать данные под контролем. Нужно подобрать сервер под прогнозируемую нагрузку, иначе на пике мощностей может не хватить. 

Open WebUI + модели по API в облаке

В этом сценарии Open WebUI через API отправляет запросы облачному провайдеру, на инфраструктуре которого разворачивается модель. Такой вариант подходит для быстрого старта и доступа к разным LLM без покупки оборудования. 

Это удобный вариант для теста моделей и многозадачности. Расходы зависят от тарифов провайдера, конкретной LLM, объема входных/выходных токенов. Перед подключением сервиса проверьте свои требования к конфиденциальности данных и аттестацию выбранной платформы. 

Open WebUI + своя модель в ML Inference

В этом сценарии Open WebUI отвечает за пользовательский интерфейс, а языковая модель работает отдельно — на вычислительных ресурсах, которые компания может настраивать под свои задачи. Для ее развертывания можно использовать сервис Evolution ML Inference. Она обеспечивает запуск и обслуживание модели, а Open WebUI обращается к ней через API: передает запросы пользователей и получает ответы.

Такой подход позволяет независимо настраивать интерфейс и вычислительные ресурсы для работы модели. При выборе решения важно проверить, какие модели и форматы оно поддерживает, как организовано масштабирование и какие требования предъявляются к API.

Ниже — этапы установки от подготовки сервера до подключения модели.

Что понадобится: ВМ, Docker, домен

Перед установкой подготовьте сервер, где будет работать программное обеспечение. Нужны:

• Виртуальная машина (ВМ) для запуска Open WebUI. Выберите операционную систему, например, Ubuntu и выделите мощности. Если нет своей ВМ, можно арендовать у провайдера.

• Docker — программа для запуска приложения в контейнерах. С ее помощью проще установить, обновлять и перезапускать Open WebUI. Для настройки параметров приложения можно использовать Docker Compose.

• Домен и HTTPS. Домен нужен, чтобы интерфейс открывался по отдельному адресу, который отличается от IP-адреса сервера. HTTPS защищает данные при передаче. Для его настройки используют веб-сервер Nginx и TLS-сертификат.

Если языковая модель работает на отдельном сервере или подключается через облачный API, Open WebUI можно развернуть на собственной ВМ без установки модели на нее.

Запуск через Docker Compose

Установите Docker и Docker Compose на машину (в качестве ОС для примера берем Ubuntu). Убедитесь, что запущен Docker. Создайте файл compose.yaml и добавьте  туда конфигурацию Open WebUI. Пример: 

Docker загружает образ Open WebUI, открывает порт 3000 и сохраняет данные приложения в отдельном томе. Затем зайдите в файл и выполните команду для загрузки:

Откройте интерфейс, введите адрес http://IP-адрес-сервера:3000. Если все в порядке, создайте учетную запись администратора, ограничьте доступ к приложению и настройте HTTPS.  

HTTPS через Nginx и Let's Encrypt

Настройте HTTPS для защиты соединения. Действуйте так:

1. Привяжите домен к серверу. В настройках DNS укажите IP-адрес виртуальной машины. 

2. Установите Nginx. Он будет принимать запросы пользователей по HTTPS и перенаправлять их в контейнер Open WebUI на порт 3000. 

3. Получите сертификат. Установите Certbot и выпустите сертификат Let's Encrypt. 

4. Проверьте подключение. Откройте домен в браузере по адресу https://ai.example.ru и убедитесь, что соединение защищено.

Не забывайте своевременно проверять, продлен ли сертификат Let's Encrypt. Можно настроить автоматическое обновление через Certbot . 

Подключение модели по OpenAI-совместимому API

Если модель работает на отдельном сервере или у провайдера, нужно подключить 

API. Алгоритм такой:

1. Откройте Open WebUI и перейдите в Settings → Admin Settings → Connections.

2. В разделе подключений OpenAI API добавьте новое соединение.

3. Укажите URL API и ключ доступа при использовании облачной модели.

4. Проверьте соединение и сохраните настройки.

Убедитесь, что модель появилась в списке доступных. Если она запущена на другой виртуальной машине, укажите сетевой адрес сервера. 

Перед запуском корпоративного ИИ-чата настройте авторизацию и права пользователей, а также защиту сервера. Это поможет контролировать, кто может пользоваться приложением и работать с корпоративными данными.

Отключить самостоятельную регистрацию и настроить роли

Если интерфейс используется только сотрудниками, отключите открытую регистрацию в настройках Open WebUI. Администратор сможет добавлять новых пользователей вручную либо через настроенную корпоративную авторизацию. 

Разделите права доступа. Административные функции оставьте только ответственным сотрудникам, остальным назначьте минимально достаточные для работы полномочия. 

Open WebUI использует три базовые роли: Admin (полный доступ), User (стандартный пользователь с ограниченными правами) и Pending (доступ заблокирован до одобрения администратором). Роль по умолчанию для новых пользователей задается переменной окружения DEFAULT_USER_ROLE: 

Значение pending рекомендуется, если вы оставляете самостоятельную регистрацию: новый пользователь не сможет войти, пока администратор не повысит его до user или admin. Дополнительные права внутри роли User (например, «Can Delete Chats», «Can Use Web Search») настраиваются через Groups и Global Default Permissions. 

После всех настроек проверьте доступ к данным. Убедитесь, что сотрудники видят только разрешенные модели, инструменты и документы. Периодически пересматривайте права при изменениях в структуре компании или проекта. 

Закрыть SSH и ограничить доступ группами безопасности

Разрешите подключение к серверу по протоколу SSH только с доверенных IP-адресов или через VPN. Вместо авторизации по паролю используйте SSH-ключи. Разрешите вход под учетной записью root только для администратора. 

Настройте группы безопасности и разрешите входящий трафик только на необходимые порты. Для HTTPS это обычно 443. Убедитесь, что порт недоступен напрямую из интернета. 

Двухфакторная аутентификация (MFA). Администратор может обязать всех пользователей вводить код из приложения-аутентификатора при входе. Настройка: Settings → Admin → Authentication → Multi-factor authentication → Require an authenticator for all users или переменная окружения ENABLE_MFA=true (применяется при первом запуске, далее приоритет у настройки в панели). При включении MFA каждый пользователь при следующем входе настраивает аутентификатор по QR-коду и получает 10 резервных кодов.

Для работы MFA необходимы:

• WEBUI_AUTH=true (по умолчанию);

• ENABLE_PERSISTENT_CONFIG=true (по умолчанию);

• стабильный ключ шифрования: секреты аутентификаторов хранятся в БД в зашифрованном виде. Ключ берется из WEBUI_SECRET_KEY или из MFA_ENCRYPTION_KEY (если задан). Смена этого ключа после начала использования MFA сделает существующие аутентификаторы нечитаемыми — Open WebUI откажется запускаться с ошибкой ValueError: Stored MFA secrets cannot be decrypted.

При использовании SSO (OIDC/LDAP) можно разрешить обход MFA для пользователей, входящих через провайдера с собственным вторым фактором. Для этого предназначены переключатели Allow OAuth sign-in without an authenticator (MFA_ALLOW_OAUTH_BYPASS) и Allow trusted-header sign-in without an authenticator (MFA_ALLOW_TRUSTED_HEADER_BYPASS).

SCIM 2.0 (автоматический провижининг пользователей). Для интеграции с корпоративным IdP (Okta, Azure AD / Microsoft Entra ID, Google Workspace) Open WebUI поддерживает SCIM 2.0 — автоматическое создание, обновление и деактивацию учетных записей и групп. Функция является экспериментальной, API может меняться между релизами.

SCIM настраивается только через переменные окружения (в UI настроек нет):

SCIM_AUTH_PROVIDER обязателен: он связывает провижиненных через SCIM пользователей с их OAuth/SSO-аккаунтами. SCIM-endpoint для настройки в IdP: https://<ваш-домен>/api/v1/scim/v2/, аутентификация — Authorization: Bearer <SCIM_TOKEN>. Токен следует генерировать криптостойко и хранить как секрет, поскольку он дает доступ к операциям управления пользователями. 

Все три решения позволяют работать с языковыми моделями, но рассчитаны на разные сценарии.

LibreChat подойдет, если важны агентские сценарии и интеграция с MCP-инструментами. 

Open WebUI предлагает широкие возможности для работы с корпоративными данными: поддерживает RAG, базы знаний, командные пространства и инструменты администрирования, включая RBAC, SCIM и MFA.

LM Studio ориентирована прежде всего на локальный запуск и тестирование моделей. В ней есть графический интерфейс для загрузки моделей из Hugging Face и настройки параметров генерации. Кроме того, LM Studio предоставляет локальный API-сервер, совместимый с OpenAI API. Через него к запущенным моделям могут обращаться другие приложения, в том числе Open WebUI.

Чтобы было проще выбрать, сравните решения по разным параметрам:

* LM Studio распространяется как проприетарное ПО, но с июля 2025 г. решение бесплатно для коммерческого использования. LM Studio также может выступать локальным инференс-бэкендом с OpenAI-совместимым API для Open WebUI.

** Ядро распространяется под BSD-3-Clause. С v0.6.6 добавлены условия защиты бренда. Для white-labeling или удаления брендинга в развертываниях с более чем 50 пользователями требуется enterprise-лицензия, для внутренних инсталляций с 50 или менее пользователями ребрендинг разрешен. 

Open WebUI можно подключить к сервису Evolution Foundation Models, чтобы работать с облачными языковыми моделями через единый интерфейс. 

Модели на российских серверах с оплатой за токены

Evolution Foundation Models предоставляет доступ к готовым LLM через OpenAI-совместимый API. В каталоге доступно более 20 моделей, включая GigaChat, DeepSeek и Qwen. После подключения API Open WebUI можно использовать для отправки запросов к выбранным моделям и просмотра ответов.

Инфраструктура платформы Cloud.ru Evolution размещается в российских дата-центрах уровня Tier III. Платформа аттестована по УЗ-1 и соответствует требованиям 152-ФЗ в части инфраструктуры размещения и обработки данных. Если используются внешние модели, запросы к которым маршрутизируются через сторонние API, условия обработки данных необходимо дополнительно проверять у соответствующих провайдеров.

Пошаговое руководство по развертыванию в Cloud.ru Evolution

Для подключения Open WebUI к Evolution Foundation Models подготовлена пошаговая инструкция. В ней описаны основные этапы настройки: подготовка виртуальной машины, установка Docker, развертывание приложения в контейнерах и подключение веб-интерфейса к языковым моделям через API.

Руководство поможет самостоятельно настроить связку Open WebUI и Evolution Foundation Models и адаптировать конфигурацию под свои задачи.

Заключение

Open WebUI помогает создать единое пространство для работы с ИИ внутри компании. Через общий интерфейс сотрудники могут обращаться к разным языковым моделям, работать с корпоративной базой знаний и использовать инструменты, необходимые для решения рабочих задач. При этом компания может самостоятельно выбирать модели, настраивать права доступа и определять, где будет работать ИИ: на собственной инфраструктуре или через облачные сервисы. 

FAQ

• Open WebUI бесплатный?

  Интерфейс можно использовать бесплатно. Расходы будут на облачные модели, аренду серверов или собственные мощности, дополнительные сервисы и плагины. 

• Можно ли подключить к Open WebUI модели по API, а не через Ollama?

  Да. Open WebUI нативно поддерживает Ollama и OpenAI-совместимые API (через них — vLLM, LM Studio, LocalAI, GroqCloud, Mistral, OpenRouter и др.). Для провайдеров с проприетарным форматом API, не совместимым с OpenAI (например, нативный API Anthropic), может потребоваться дополнительная адаптация через Functions или прокси.

• Какой сервер нужен для Open WebUI?

  Требования к железу зависят от используемых функций, ресурсов, количества пользователей. Для локального развертывания моделей часто нужен сервер с GPU. 

• Как загрузить документы и настроить базу знаний в Open WebUI?

  В интерфейсе можно создать базу знаний, загрузить документы и подключить к LLM. Если используется RAG, нужно настроить обработку документов и модель эмбеддингов для поиска фрагментов.

• Чем Open WebUI отличается от LibreChat?

  Open WebUI удобен для командной работы с инструментами, базами знаний и корпоративной административной функциональностью (RBAC, SCIM, MFA). LibreChat больше ориентирован на агентские сценарии и MCP-инструменты; он также поддерживает сравнение моделей, но это не является его ключевым отличием.  

• Как ограничить доступ к Open WebUI только для сотрудников? 

  Можно создать для каждого сотрудника или групп сотрудников отдельные учетные записи с ролями и привилегиями. Для корпоративного доступа подключить единый вход SSO.