Tout se passe bien tant qu’on est chez soi. Puis un jour, depuis le bureau, on veut vérifier si le portail est fermé — et la question arrive : comment joindre Home Assistant depuis l’extérieur ?
La réponse rapide existe : rediriger le port 8123 de la box vers le serveur. C’est aussi la pire. Une interface d’administration domotique exposée en direct sur Internet est scannée dans l’heure, attaquée en continu, et un seul mot de passe faible ou une seule faille non corrigée donne les clés de la maison — littéralement, si les serrures sont connectées.
Voici les quatre options saines, de la plus recommandée à la plus « clé en main ».
Option 1 — Le VPN WireGuard : la référence
Le principe : au lieu d’exposer Home Assistant, on expose un unique service durci, conçu pour ça — un serveur VPN. Le téléphone établit un tunnel chiffré vers la maison et se comporte ensuite comme s’il était sur le réseau local.
WireGuard s’est imposé pour de bonnes raisons :
- un seul port UDP à ouvrir, qui ne répond rien aux paquets non authentifiés — invisible aux scans ;
- une cryptographie moderne et une surface d’attaque minuscule ;
- une consommation batterie négligeable et une reconnexion instantanée en 4G/5G.
Il s’installe en module complémentaire Home Assistant, sur la box si elle le propose (les Freebox le gèrent nativement), sur un NAS ou dans un conteneur. Côté téléphone, l’application officielle importe la configuration par QR code, et l’option on-demand active le tunnel automatiquement dès qu’on quitte le Wi-Fi de la maison.
Le prix à payer : une IP publique joignable (ou un DynDNS), et dix minutes de configuration de plus que les options suivantes.
Option 2 — Tailscale ou ZeroTier : le VPN sans configuration réseau
Même idée que WireGuard — Tailscale l’utilise d’ailleurs sous le capot — mais sans ouvrir le moindre port : chaque machine s’enregistre auprès d’un service de coordination, et les tunnels s’établissent en pair-à-pair même derrière une box récalcitrante ou du CGNAT (le cas de plus en plus fréquent en 4G/5G fixe et chez certains opérateurs fibre).
C’est la meilleure option quand on ne contrôle pas son adresse IP publique. La nuance de taille pour un blog qui s’appelle Domotique Locale : le plan de contrôle est un service tiers. Les données passent en pair-à-pair chiffré, mais l’annuaire des machines dépend d’un cloud. Headscale, l’implémentation auto-hébergée du serveur de coordination, réconcilie les deux mondes pour ceux qui veulent aller au bout de la démarche.
Option 3 — Le reverse proxy : pour partager, pas pour soi
Nom de domaine, certificat TLS automatique, et un reverse proxy (Nginx Proxy
Manager, Caddy, Traefik) qui publie ha.mondomaine.fr en HTTPS.
C’est la seule option qui permette un accès depuis n’importe quel navigateur sans rien installer — utile pour un proche qui garde la maison, ou pour les webhooks d’intégrations externes. Mais l’interface reste publiquement joignable : ce choix n’est défendable qu’avec l’authentification à deux facteurs activée, des mises à jour suivies, et idéalement une restriction d’accès (géoblocage, allow-list d’IP, ou authentification au niveau du proxy).
Pour un usage purement personnel, le VPN reste supérieur : même service rendu, surface d’attaque en moins.
Option 4 — Home Assistant Cloud (Nabu Casa) : payer pour ne pas y penser
L’option officielle : quelques euros par mois, zéro port ouvert, zéro configuration, l’accès distant passe par les serveurs de Nabu Casa, et l’abonnement finance directement le développement de Home Assistant.
C’est un excellent choix pour un foyer qui veut que « ça marche » — avec les assistants vocaux en prime. C’est aussi, par construction, une dépendance à un cloud, fût-il celui des développeurs du projet. Chacun place le curseur.
Tableau de décision
| Profil | Option |
|---|---|
| À l’aise avec sa box, IP publique disponible | WireGuard |
| Derrière CGNAT, ou zéro envie de toucher au routeur | Tailscale |
| Besoin d’un accès navigateur pour des tiers | Reverse proxy + 2FA |
| Priorité à la simplicité, soutien au projet | Nabu Casa |
Dans tous les cas
Trois réflexes, quelle que soit l’option retenue :
- activer l’authentification à deux facteurs sur tous les comptes Home Assistant — c’est dans le profil utilisateur, et ça prend deux minutes ;
- créer des comptes séparés par personne, sans droits d’administration pour ceux qui n’en ont pas besoin ;
- surveiller les échecs de connexion : l’intégration
login attemptset une notification suffisent à repérer une tentative d’intrusion.
Et avant d’ouvrir la maison vers l’extérieur, s’assurer qu’elle survivrait à un pépin : c’est le rôle de la stratégie de sauvegarde 3-2-1.