Tout se passe bien tant qu’on est chez soi. Puis un jour, depuis le bureau, on veut vérifier si le portail est fermé — et la question arrive : comment joindre Home Assistant depuis l’extérieur ?
Rediriger le port de Home Assistant sur la box rend son interface publiquement joignable. Cela demande une protection HTTPS et un suivi de sécurité rigoureux. Pour un usage personnel, un VPN évite cette exposition directe. La procédure ci-dessous est documentaire : aucun tunnel ni test 4G n’a été réalisé pour cette publication.
Voici les quatre options saines, de la plus recommandée à la plus « clé en main ».
Schéma pédagogique : il ne représente pas une capture de notre installation.
Option 1 — Le VPN WireGuard : la référence
Le principe : au lieu d’exposer Home Assistant, on expose un unique service durci, conçu pour ça — un serveur VPN. Le téléphone établit un tunnel chiffré vers la maison et se comporte ensuite comme s’il était sur le réseau local.
WireGuard s’est imposé pour de bonnes raisons :
- un seul port UDP à ouvrir, qui ne répond rien aux paquets non authentifiés — sans exposer directement Home Assistant ;
- une cryptographie moderne et une surface d’attaque minuscule ;
- un client disponible sur les principaux systèmes ; consommation et reconnexion dépendent du téléphone et du réseau.
Il s’installe en module complémentaire Home Assistant, sur la box si elle le propose (les Freebox le gèrent nativement), sur un NAS ou dans un conteneur. Côté téléphone, l’application officielle importe la configuration par QR code, et l’option on-demand active le tunnel automatiquement dès qu’on quitte le Wi-Fi de la maison.
Le prix à payer : une IP publique joignable et, si elle est dynamique, un service DNS dynamique. Le DNS dynamique ne contourne pas le CGNAT. La configuration dépend du routeur et du réseau.
Option 2 — Tailscale ou ZeroTier : le VPN sans configuration réseau
Même idée que WireGuard — Tailscale l’utilise d’ailleurs sous le capot — mais sans ouvrir le moindre port : chaque machine s’enregistre auprès d’un service de coordination, et les tunnels s’établissent en pair-à-pair même derrière une box récalcitrante ou du CGNAT (le cas de plus en plus fréquent en 4G/5G fixe et chez certains opérateurs fibre).
C’est la meilleure option quand on ne contrôle pas son adresse IP publique. La nuance de taille pour un blog qui s’appelle Domotique Locale : le plan de contrôle est un service tiers. Les données passent dans un tunnel chiffré, directement ou via un relais si nécessaire, mais l’annuaire des machines dépend d’un cloud. Headscale, l’implémentation auto-hébergée du serveur de coordination, réconcilie les deux mondes pour ceux qui veulent aller au bout de la démarche.
Option 3 — Le reverse proxy : pour partager, pas pour soi
Nom de domaine, certificat TLS automatique, et un reverse proxy (Nginx Proxy
Manager, Caddy, Traefik) qui publie ha.mondomaine.fr en HTTPS.
Cette option permet un accès depuis un navigateur sans rien installer — utile pour un proche qui garde la maison, ou pour les webhooks d’intégrations externes. Mais l’interface reste publiquement joignable : ce choix n’est défendable qu’avec l’authentification à deux facteurs activée, des mises à jour suivies, et idéalement une restriction d’accès (géoblocage, allow-list d’IP, ou authentification au niveau du proxy).
Pour un usage purement personnel, le VPN reste supérieur : même service rendu, surface d’attaque en moins.
Option 4 — Home Assistant Cloud (Nabu Casa) : payer pour ne pas y penser
L’option officielle : quelques euros par mois, zéro port ouvert, zéro configuration, l’accès distant passe par les serveurs de Nabu Casa, et l’abonnement finance directement le développement de Home Assistant.
C’est un excellent choix pour un foyer qui veut que « ça marche » — avec les assistants vocaux en prime. C’est aussi, par construction, une dépendance à un cloud, fût-il celui des développeurs du projet. Chacun place le curseur.
Tableau de décision
| Profil | Option |
|---|---|
| À l’aise avec sa box, IP publique disponible | WireGuard |
| Derrière CGNAT, ou zéro envie de toucher au routeur | Tailscale |
| Besoin d’un accès navigateur pour des tiers | Reverse proxy + 2FA |
| Priorité à la simplicité, soutien au projet | Nabu Casa |
Dans tous les cas
Trois réflexes, quelle que soit l’option retenue :
- activer l’authentification à deux facteurs sur tous les comptes Home Assistant — c’est dans le profil utilisateur, et ça prend deux minutes ;
- créer des comptes séparés par personne, sans droits d’administration pour ceux qui n’en ont pas besoin ;
- examiner les échecs de connexion et les journaux dans les paramètres système. Une absence d’alerte ne constitue pas une preuve de sécurité.
Et avant d’ouvrir la maison vers l’extérieur, s’assurer qu’elle survivrait à un pépin : c’est le rôle de la stratégie de sauvegarde 3-2-1.
Pas à pas : Tailscale sur Home Assistant OS
Prérequis : HAOS avec accès administrateur, un compte Tailscale protégé, un téléphone compatible et une sauvegarde récupérable. L’intégration Home Assistant nommée Tailscale observe le réseau ; l’application communautaire Tailscale installe le client VPN. Ne les confondez pas.
- Depuis la documentation de l’application communautaire, ouvrez son bouton d’installation, installez-la, démarrez-la et consultez ses journaux.
- Ouvrez son interface Web sur ordinateur pour authentifier HAOS dans votre compte Tailscale. Vérifiez son apparition dans la console des machines.
- Installez le client Tailscale sur le téléphone et connectez-le au même réseau privé, en suivant le démarrage officiel.
- Relevez l’adresse Tailscale de HAOS. Utilisez cette adresse avec le port réellement configuré dans Home Assistant. Ne supposez pas que le nom
homeassistant.localfonctionnera hors du LAN. - Coupez le Wi-Fi du téléphone, activez le VPN et ouvrez cette adresse en données mobiles. Identifiez-vous avec votre compte Home Assistant. Vérifiez un capteur de confort avant toute commande sensible.
- Déconnectez le VPN : la même adresse privée ne doit plus permettre la connexion depuis la 4G. Réactivez-le pour consulter le tableau de bord.
Laissez les options de publication publique telles que Funnel désactivées. Aucun partage du LAN entier ni nœud de sortie n’est nécessaire pour accéder à HAOS lui-même. Vérifiez l’expiration de sa clé et les règles d’accès dans Tailscale avant un départ prolongé. Pour cet accès direct, le réglage utilisateur « accès local uniquement » de Home Assistant peut bloquer un compte : consultez la section réseau de la documentation communautaire citée.
Selon la documentation actuelle d’accès distant Home Assistant, les nouvelles installations HAOS depuis 2026.8 utilisent le port 80, les anciennes conservent généralement 8123 et les autres types utilisent 8123. Relevez votre valeur dans les paramètres réseau ; l’URL peut donc être http://ADRESSE_TAILSCALE ou http://ADRESSE_TAILSCALE:8123, selon votre installation. Le tunnel chiffre le trajet VPN ; cette adresse HTTP privée ne doit pas être publiée sur Internet.
| Symptôme | Vérification prioritaire |
|---|---|
| Adresse locale accessible en Wi-Fi, rien en 4G | VPN connecté sur le téléphone et HAOS visible dans la console |
| Machine VPN joignable mais interface absente | Port réel, règles d’accès et compte limité au LAN |
| Adresse numérique fonctionne, nom échoue | DNS du réseau privé ; conserver l’adresse numérique pour le diagnostic |
| Coupure après plusieurs semaines | Expiration de clé, connexion Internet du domicile, journaux de l’application |
| Plus aucun accès, même à domicile | Diagnostiquer HAOS en local avant le tunnel |
Tailscale conserve une dépendance à un service de coordination, et l’accès distant dépend de la connexion du domicile. Le fonctionnement local des automatisations ne garantit pas leur consultation à distance. Pour un VPN autonome, retenez plutôt WireGuard sur un routeur compatible et suivez sa notice ; aucune redirection générique ne peut convenir à toutes les box.
Les protections des comptes sont décrites dans la documentation d’authentification Home Assistant.