Die Home-Assistant-App über Cloudflare, an ein Zertifikat gebunden, im kostenlosen Tarif

Das Problem, Home Assistant von außen zu erreichen

Home Assistant steuert hier das Haus: das Licht, die Heizung, die Klimaanlage, die Ladestation fürs Auto, die Alarme. Über die App auf dem Telefon wird all das unterwegs benutzt, und über sie weiß das Haus auch, wo die Telefone sind, weil die App im Hintergrund Standort und Sensoren meldet.

Also muss es funktionieren, wenn niemand zu Hause ist. Die Frage ist, wie.

Die übliche Antwort ist, Home Assistant mit einem Hostnamen und einer Anmeldeseite ins Internet zu stellen. Das funktioniert. Es heißt auch, dass jeder auf dem Planeten die Anmeldeseite erreichen, Passwörter dagegen ausprobieren und abklopfen kann, was dahinter sitzt. Eine Anmeldeseite ist ein Passwort zwischen dem Internet und den Schlössern deiner Haustür.

Das wollte ich nicht. Die Anforderungen waren kurz:

• Keine öffentlich erreichbare Anmeldeseite. Nichts antwortet, wenn das Gerät nicht eins von unseren ist.
• Die Home-Assistant-App muss im Hintergrund weiterlaufen, ohne dass jemand sich durch eine Anmeldung tippt.
• Nichts Zusätzliches auf den Telefonen. Kein VPN-Agent.
• Cloudflares kostenloser Tarif. Der Tunnel ist schon da.

Diese vier schließen die meisten üblichen Optionen aus, bevor du überhaupt anfängst.

Was jede Option tatsächlich bringt

Die Doku von Home Assistant selbst nennt die Wege hinein: Home Assistant Cloud, ein VPN, einen Reverse Proxy oder Portweiterleitung¹. Cloudflare fügt eigene Varianten der letzten beiden hinzu. So schneiden sie gegen diese vier Anforderungen ab, das kann bei jeder schiefgehen, und so viel Akku kostet jede.

Der Tunnel nimmt auch die Frage IPv4 gegen IPv6 vom Tisch. Cloudflare beantwortet das Telefon auf dem, was es hat, und das Haus wählt sich immer nur nach außen ein, also funktioniert eine Leitung hinter Carrier-Grade NAT, oder eine mit IPv6 und überhaupt keiner öffentlichen IPv4-Adresse, genauso wie jede andere. Eine Portweiterleitung braucht eine eigene öffentliche IPv4-Adresse oder IPv6 an beiden Enden. Warum so viele Leitungen zu Hause immer noch keins von beiden haben, ist eine eigene Geschichte, in Uns sind nie die Adressen ausgegangen. Uns ist die Mühe ausgegangen..

Der Tunnel allein behebt den Router, nicht die Angriffsfläche. cloudflared baut nur ausgehende Verbindungen auf, also gibt es keinen eingehenden Port weiterzuleiten¹³, aber der Hostname, den er veröffentlicht, liefert die Anmeldeseite trotzdem jedem aus, der danach fragt.

Behebt Cloudflare Access das? Für einen Browser ja, und so benutzen es die Desktops in Zero-Trust-VDI ohne Cloud-Rechnung. Für die App ist es die falsche Form. Access stellt einen Menschen vor eine Anmeldeseite, und hinter dem Hintergrundverkehr der App steht kein Mensch. Der übliche Umweg ist ein Service-Token, als Header mitgeschickt, und die App kann keinen senden. Ihre Web-View bietet keinen Weg, Header an POST-Anfragen oder WebSockets zu hängen, und genau so spricht die App mit Home Assistant, und die Diskussion der Entwickler landet bei Client-Zertifikaten als „a better (more secure) alternative“⁵.

WARP würde es schaffen, und es ist rausgeflogen, weil es einen Agenten auf jedem Telefon bedeutet. Ein VPN kostet mehr Akku als eine normale Verbindung, weil es ein Tunnel ist, der den ganzen Tag offen gehalten wird, ob die App gerade spricht oder nicht. Es läuft über UDP auf Ports, die ein Hotel- oder Firmennetz verwerfen kann, und dann bist du genau dann ausgesperrt, wenn du unterwegs bist⁶. Und Android betreibt ein VPN zur Zeit⁷, also können WARP und ein Firmen-VPN nicht beide laufen. Home Assistant Cloud ist ein guter Dienst und bezahlt die Entwicklung, aber es ist ein Abo, und die URL liefert trotzdem jedem eine Anmeldeseite, der sie findet. Es gibt auch den Weg in dein Haus an die Firma eines anderen ab. Ihr Dienst, ihr Konto, ihr Preis, ihre Bedingungen. Das ist ein Verlust an Souveränität, und es ist der Tausch, den jedes Cloud-Angebot von dir verlangt: Bequemlichkeit jetzt, jemand anderes hat für immer die Kontrolle.

Cloudflare ist der Art nach nicht anders, und es wäre unehrlich, so zu tun, als wäre es das. Jede Tunnel-Option in dieser Tabelle setzt Cloudflare in den Weg, und es terminiert TLS an seinem Edge, nur so kann die WAF-Regel die Zertifikatsprüfung überhaupt lesen. Der Unterschied ist, wie viel es in der Hand hat. Hier hält es das Tor. Home Assistant, seine Daten und seine Passwörter bleiben im Haus, und wenn Cloudflare verschwindet, läuft das Haus weiter, und das ist die letzte Zeile der Tabelle unter „Wo es an seine Grenzen kommt“. Ist selbst das mehr Vertrauen, als du abgeben willst, macht die Variante mit nginx und Caddy dieselbe Prüfung im eigenen Haus, mit deiner eigenen CA, und nimmt dafür die Portweiterleitung und die Pflichten der CA auf sich.

Bleibt das Client-Zertifikat. Das Telefon beweist, was es ist, bevor Home Assistant ein einziges Byte sieht.

Was es wirklich kostet, offen im Internet zu stehen

Kostenlos auf der Rechnung ist nicht dasselbe wie kostenlos. Alles, was dem Internet antwortet, zahlt dafür in Maschinenlast. Jeder Passwortversuch gegen die Anmeldung von Home Assistant ist eine bcrypt-Prüfung mit 12 Runden, und sie läuft auch dann, wenn der Benutzername nicht existiert, also kostet ein ratender Fremder genau so viel wie deine eigene Anmeldung¹⁴. Diese Last landet auf der Kiste, die das Haus steuert, rund um die Uhr, solange die Scanner kommen. Und sie kommen weiter.

Eine Portweiterleitung ist noch schlimmer, weil sie deine Adresse zu Hause in die Schusslinie stellt. Ein DDoS darauf füllt deinen Breitbandanschluss, und dann ist das ganze Haus vom Internet, nicht nur Home Assistant. Hinter dem Tunnel nimmt Cloudflare die Flut, in jedem Tarif einschließlich Free¹⁵, und es hat seit 2017 keinen Kunden mehr wegen der Größe eines Angriffs rausgeworfen¹⁶. Das Zertifikat geht den letzten Schritt. Ein Fremder wird am Edge abgewiesen, und Home Assistant gibt nix für ihn aus.

Dann ist da das Netz, in dem Home Assistant steht. Es ist keine Web-App auf einer Insel. Es steht im Heimnetz neben den Kameras, dem NAS und den Laptops, und es hält die Zugangsdaten für eine ganze Reihe davon. Komm an seiner Anmeldung vorbei, und du hast eine Maschine im Haus, nicht nur ein Dashboard. Eine Portweiterleitung ist ein Loch im Router, das direkt auf diese Maschine zeigt. WARP geht in die andere Richtung schief, weil es zu großzügig ist: eine Route kann ein ganzes privates Netz für jedes eingebundene Telefon veröffentlichen, und das einzugrenzen ist eine eigene Richtlinie, an die du denken musst⁸. Verlier ein Telefon, auf dem das läuft, und der Finder ist in deinem LAN. Das Zertifikat veröffentlicht einen Hostnamen, für die Geräte, die eins haben, und sonst ist nichts im Netz von außen überhaupt erreichbar.

mTLS im kostenlosen Tarif: welche Hälfte kostenlos ist

Ein guter Teil der Ratschläge im Netz sagt, mTLS bei Cloudflare brauche Enterprise. Tut es nicht. Cloudflare verkauft mTLS zweimal, und nur eins davon braucht Enterprise.

Die erste Spalte ist die, die wir wollen. Eine eigene CA mitzubringen ist bei Cloudflare Enterprise. Ohne Cloudflare kostet es nichts, und Client-Zertifikate von step-ca behandelt das. Cloudflares eigener Vergleich sagt es klar: das Angebot Application Security enthält 100 Client-Zertifikate pro Zone kostenlos, während Access-mTLS eine Funktion von Zero Trust Enterprise ist¹⁷. Die Tarife Free, Pro und Business bekommen 100 aktive Zertifikate pro Zone, und einen zu widerrufen gibt seinen Platz sofort frei¹⁸. Zwei Telefone belegen zwei davon.

Der kostenlose Tarif bekommt außerdem fünf eigene WAF-Regeln¹⁹. Das hier braucht eine.

Wie die Prüfung funktioniert

Cloudflare erledigt die Arbeit an seinem Edge. Ist mTLS für einen Hostnamen eingeschaltet, fragt der TLS-Handshake den Client nach einem Zertifikat²⁰. Das allein blockiert nichts. Ein Client, der kein Zertifikat schickt, verbindet sich trotzdem. Er kommt einfach mit einem Prüffeld an, das auf false steht.

Das Blockieren macht die WAF-Regel. Cloudflare stellt das Ergebnis der Zertifikatsprüfung als Felder in seiner Regelsprache bereit²¹:

(http.host eq "ha.example.com"
  and (not cf.tls_client_auth.cert_verified
       or cf.tls_client_auth.cert_revoked))
Action: Block

Die zweite Zeile steht da aus gutem Grund. Ein widerrufenes Zertifikat besteht die Prüfung trotzdem, weil cert_revoked gleich true bedeutet, dass auch cert_verified true ist²². Prüf nur das erste Feld, und ein widerrufenes Zertifikat spaziert geradewegs herein. Das Zertifikat eines verlorenen Telefons zu widerrufen bringt gar nix, wenn die Regel nicht danach fragt.

Ehre, wem Ehre gebührt: die Leute im Thread zur Home-Assistant-App für Android haben diese Regel ausgetüftelt und gepostet⁵. Gute Beschreibung, und sie hat mir einen Haufen Sucherei erspart.

Die Seite von Home Assistant

Home Assistant muss gesagt bekommen, dass es hinter einem Proxy steht, und das ist nicht optional. Anfragen von einem Reverse Proxy werden absichtlich blockiert, bis Home Assistant gesagt wird, ihm zu vertrauen²³. Der cloudflared-Connector des Tunnels zählt als einer.

Seit 2026.8 stehen diese Einstellungen in der Oberfläche, unter Settings → System → Network → HTTP server, nicht in configuration.yaml²³. Das Speichern startet Home Assistant neu, und ein Administrator hat dann fünf Minuten, die neuen Einstellungen zu bestätigen, bevor sie sich von selbst zurücksetzen. Ein Sicherheitsnetz, das du kennen solltest, bevor du dich aussperrst.

Der Eintrag für vertrauenswürdige Proxys ist absichtlich eng. Vertrau einem ganzen Subnetz, und jedes Gerät darin kann die Client-Adresse fälschen, was die Sperrliste wertlos macht.

Dann die App. Die Doku der Companion App behandelt genau diesen Aufbau ausdrücklich. Sitzt Home Assistant hinter einem Reverse Proxy, der TLS-Client-Authentifizierung macht, fragt die App nach einem Zertifikat, und sie will es als „VPN & app user certificate“ installiert haben¹². Auf einem Telefon ohne Zertifikat bekommst du einen Fehler oder einen leeren Bildschirm, und das ist das richtige Ergebnis für ein Telefon, das nicht hineindarf.

Stell die Verbindungssicherheit der App auf Most secure. Die einfache lokale http://-Adresse wird dann nur im heimischen WLAN benutzt, und überall sonst benutzt die App den HTTPS-Hostnamen oder verbindet sich gar nicht²⁴. Dafür muss die Standortberechtigung auf Android auf „Allow all the time“ stehen, was die App für den Standort im Hintergrund ohnehin braucht.

Der Aufbau, Schritt für Schritt

Ein Zertifikat pro Telefon, nicht ein gemeinsames. Geht ein Telefon verloren, widerrufst du dieses Telefon, und das andere läuft weiter.

Das Telefon will Zertifikat und Schlüssel in einer PKCS12-Datei. Cloudflare gibt dir PEM, also füg sie zusammen:

openssl pkcs12 -export -in phone1.pem -inkey phone1.key \
  -name "ha-phone1" -out phone1.p12

Hier bleiben die Leute hängen. Android ist pingelig bei der Verschlüsselung in der Datei, und die Doku von Home Assistant sagt, zuerst die aktuelle Voreinstellung zu probieren und nur dann auf einen Legacy-Container mit OpenSSLs Flag -legacy zurückzugreifen, wenn sie abgelehnt wird²⁵. Derselbe Rat taucht in den Community-Threads auf, in denen eine Datei, die sich auf Apple-Geräten problemlos installieren ließ, von Android abgelehnt wurde⁵.

Der Menüpfad zum Installieren wandert zwischen Telefonherstellern und Android-Versionen herum. Googles eigene Seite für das Pixel ist ein Anfang²⁶. Was die Menüs auch sagen, du willst den Speicher für Benutzer-Anmeldedaten, nicht den CA-Speicher.

Wo es an seine Grenzen kommt

Nichts hier ist frei von rauen Kanten, also hier sind sie.

Das mit dem Browser ist eine Funktion, kein Fehler. Alles ohne Zertifikat ist ein Fremder, und das schließt meinen eigenen Laptop ein, bis ich ihm eins gebe.

Ein Schlüssel, kein Passwort

Ein Passwort ist etwas, das du weißt, und alles, was du weißt, kann erraten, abgefischt, wiederverwendet oder aus dem Datenleck eines anderen geleakt werden. Stell eine Passwortseite ins Internet, und du hast dich auf ein Zahlenspiel gegen jeden mit einem Botnetz und einer Wortliste eingelassen. Vielleicht gewinnst du es jahrelang. Verlieren musst du nur einmal.

Ein Zertifikat ist etwas, das das Gerät hat. Niemand errät es. Niemand probiert es eine Million Mal, weil die Anfrage am Edge verworfen wird, bevor es irgendetwas gibt, woran man es probieren könnte. Die Anmeldeseite ist immer noch da und zählt immer noch, aber sie ist jetzt das zweite Schloss, nicht das einzige.

Was hinter dieser Seite sitzt, ist keine Web-App. Es sind die Schlösser, die Heizung, die Ladestation und die Kameras. Behandle es wie die Haustür, denn genau das ist es.

Worauf ich immer wieder zurückkomme: nichts davon kostet etwas. Cloudflare verschenkt die Zertifikate und die Regel im kostenlosen Tarif. Home Assistant dokumentiert die App-Seite in seiner eigenen Companion-Doku. Das Einzige, was es kostet, ist ein Abend, an dem man die Handbücher ordentlich liest, und damit ist die Voreinstellung, eine Passwortseite dem ganzen Internet zuzuwenden, eine Entscheidung, die Leute treffen, indem sie sie nicht lesen.