La app de Home Assistant a través de Cloudflare, cerrada con un certificado, en el plan gratuito

El problema de llegar a Home Assistant desde fuera

Aquí Home Assistant lleva la casa: las luces, la calefacción, el aire acondicionado, el cargador del coche, las alarmas. La app del móvil es como se usa todo eso fuera de casa, y también es como la casa sabe dónde están los móviles, porque la app informa de la ubicación y de los sensores en segundo plano.

Así que tiene que funcionar cuando no hay nadie en casa. La pregunta es cómo.

La respuesta habitual es poner Home Assistant en internet con un nombre de host y una página de inicio de sesión. Funciona. También significa que cualquiera del planeta puede llegar a la página de inicio de sesión, probar contraseñas contra ella y husmear lo que haya detrás. Una página de inicio de sesión es una contraseña entre internet y las cerraduras de tu puerta.

Yo no quería eso. Los requisitos eran pocos:

• Ninguna página de inicio de sesión accesible al público. No responde nada salvo que el dispositivo sea de los nuestros.
• La app de Home Assistant tiene que seguir funcionando en segundo plano, sin nadie pasando por un inicio de sesión.
• Nada extra funcionando en los móviles. Ningún agente VPN.
• El plan gratuito de Cloudflare. El túnel ya está ahí.

Esos cuatro descartan la mayoría de las opciones habituales antes de empezar.

Lo que te da de verdad cada opción

La propia documentación de Home Assistant lista las vías de entrada: Home Assistant Cloud, una VPN, un proxy inverso o la redirección de puertos¹. Cloudflare añade sus propias versiones de las dos últimas. Así puntúan contra esos cuatro requisitos, qué puede salir mal con cada una, y cuánto cuesta cada una en batería.

El túnel también quita de en medio la cuestión de IPv4 contra IPv6. Cloudflare responde al móvil por la que tenga, y la casa solo llama hacia fuera, así que una línea de casa detrás de CGNAT, o una con IPv6 y sin ninguna IPv4 pública, funciona igual que cualquier otra. Una redirección de puerto necesita una dirección IPv4 pública propia, o IPv6 en los dos extremos. Por qué tantas líneas de casa siguen sin tener ninguna de las dos es otra historia, en Nunca nos quedamos sin direcciones. Nos quedamos sin ganas..

El túnel por sí solo arregla el router, no la exposición. cloudflared hace conexiones solo salientes, así que no hay puerto entrante que redirigir¹³, pero el nombre de host que publica sigue sirviendo la página de inicio de sesión a cualquiera que la pida.

¿Lo arregla Cloudflare Access? Para un navegador, sí, y así lo usan los escritorios de VDI Zero Trust sin la factura de la nube. Para la app tiene la forma equivocada. Access pone a una persona delante de una página de inicio de sesión, y el tráfico en segundo plano de la app no tiene persona. El apaño habitual es un service token mandado como cabecera, y la app no puede mandarlo. Su vista web no da forma de añadir cabeceras a las peticiones POST ni a los WebSockets, que es como habla la app con Home Assistant, y la discusión de los desarrolladores acaba en los certificados de cliente como «a better (more secure) alternative»⁵.

WARP lo haría, y se descartó porque significa un agente en cada móvil. Una VPN gasta más batería que un enlace normal, porque es un túnel abierto todo el día, hable la app o no. Funciona sobre UDP en puertos que la red de un hotel o de una oficina puede tirar, lo que te deja fuera justo cuando estás fuera⁶. Y Android lleva una VPN a la vez⁷, así que WARP y una VPN del trabajo no pueden estar las dos arriba. Home Assistant Cloud es un buen servicio y paga el desarrollo, pero es una suscripción, y la URL sigue sirviendo una página de inicio de sesión a quien la encuentre. Además le da la entrada de tu casa a la empresa de otro. Su servicio, su cuenta, su precio, sus condiciones. Eso es una pérdida de soberanía, y es el trato que te pide toda oferta en la nube: comodidad ahora, otro al mando para siempre.

Cloudflare no es distinto en esencia, y sería deshonesto fingir lo contrario. Todas las opciones de túnel de esta tabla lo ponen en el camino, y termina el TLS en su borde, que es como la regla WAF llega a leer la comprobación del certificado. La diferencia es cuánto guarda. Aquí guarda la puerta. Home Assistant, sus datos y sus contraseñas se quedan en casa, y si Cloudflare desaparece la casa sigue funcionando, que es la última fila de la tabla de «Dónde se queda corto». Si incluso eso es más confianza de la que quieres ceder, la versión con nginx y Caddy hace la misma comprobación en tu propia casa, con tu propia CA, y a cambio asume la redirección de puerto y las tareas de la CA.

Eso deja el certificado de cliente. El móvil demuestra lo que es antes de que Home Assistant vea un solo byte.

Lo que cuesta de verdad estar abierto a internet

Gratis en la factura no es lo mismo que gratis. Todo lo que responde a internet lo paga en carga de la máquina. Cada intento de contraseña contra el propio inicio de sesión de Home Assistant es una comprobación bcrypt de 12 rondas, y la hace aunque el usuario no exista, así que un desconocido adivinando cuesta exactamente lo mismo que cuando entras tú¹⁴. Esa carga cae en la máquina que lleva la casa, día y noche, mientras sigan llegando los escáneres. Y siguen llegando.

Una redirección de puerto es peor todavía, porque pone en juego la dirección de tu casa. Un DDoS dirigido a ella llena tu banda ancha, y entonces toda la casa se queda sin internet, no solo Home Assistant. Detrás del túnel Cloudflare se come la inundación, en todos los planes incluido el gratuito¹⁵, y no ha echado a ningún cliente por el tamaño de un ataque desde 2017¹⁶. El certificado da el último paso. Un desconocido se rechaza en el borde, y Home Assistant no gasta nada en él.

Luego está la red en la que vive Home Assistant. No es una app web en una isla. Está en la LAN de casa al lado de las cámaras, el NAS y los portátiles, y guarda las credenciales de bastantes de ellos. Pasa su inicio de sesión y tienes una máquina dentro de la casa, no solo un panel. Una redirección de puerto es un agujero en el router que apunta directamente a esa máquina. WARP se equivoca por el otro lado, por ser demasiado generoso: una ruta puede publicar una red privada entera a cada móvil inscrito, y acotarla es una política aparte que tienes que acordarte de escribir⁸. Pierde un móvil con eso puesto y quien lo encuentre está en tu LAN. El certificado publica un nombre de host, a los dispositivos que tienen uno, y nada más de la red es alcanzable desde fuera.

mTLS en el plan gratuito: qué mitad es gratis

Buena parte de los consejos que hay por internet dicen que mTLS en Cloudflare necesita Enterprise. No es así. Cloudflare vende mTLS dos veces, y solo una de ellas necesita Enterprise.

La primera columna es la que queremos. Traer tu propia CA es Enterprise en Cloudflare. Fuera de Cloudflare no cuesta nada, y certificados de cliente de step-ca lo cubre. La propia comparación de Cloudflare lo dice claramente: la oferta de Application Security incluye 100 certificados de cliente por zona gratis, mientras que mTLS de Access es una función de Zero Trust Enterprise¹⁷. Los planes Free, Pro y Business tienen 100 certificados activos por zona, y revocar uno libera su hueco al momento¹⁸. Dos móviles usan dos.

El plan gratuito también trae cinco reglas personalizadas del WAF¹⁹. Esto necesita una.

Cómo funciona la comprobación

Cloudflare hace el trabajo en su borde. Cuando mTLS está activado para un nombre de host, el saludo TLS le pide un certificado al cliente²⁰. Eso solo no bloquea nada. Un cliente que no manda certificado sigue conectando. Simplemente llega con el campo de verificación a falso.

El bloqueo es la regla WAF. Cloudflare expone el resultado de la comprobación del certificado como campos de su lenguaje de reglas²¹:

(http.host eq "ha.example.com"
  and (not cf.tls_client_auth.cert_verified
       or cf.tls_client_auth.cert_revoked))
Action: Block

La segunda línea está ahí por algo. Un certificado revocado sigue verificando, porque que cert_revoked sea verdadero significa que cert_verified también lo es²². Comprueba solo el primer campo y un certificado revocado entra como si nada. Revocar el certificado de un móvil perdido no sirve de nada salvo que la regla lo pregunte.

Hay que reconocerlo: la gente del hilo de la app de Android de Home Assistant dio con esta regla y la publicó⁵. Buen trabajo, y me ahorró un montón de búsqueda.

El lado de Home Assistant

A Home Assistant hay que decirle que está detrás de un proxy, y no es opcional. Las peticiones de un proxy inverso se bloquean por diseño hasta que se le dice a Home Assistant que confíe en él²³. El conector cloudflared del túnel cuenta como uno.

Desde la 2026.8 estos ajustes están en la interfaz, en Settings → System → Network → HTTP server, no en configuration.yaml²³. Guardarlos reinicia Home Assistant, y un administrador tiene entonces cinco minutos para confirmar los ajustes nuevos antes de que se deshagan solos. Es una red de seguridad que conviene conocer antes de dejarte fuera.

La entrada de proxies de confianza es estrecha a propósito. Confía en una subred entera y cualquier dispositivo de ella puede falsificar la dirección del cliente, lo que deja la lista de bloqueos sin valor.

Luego la app. La documentación de la app Companion cubre esta configuración por su nombre. Si Home Assistant está detrás de un proxy inverso que hace autenticación de cliente TLS, la app pide un certificado, y lo quiere instalado como «VPN & app user certificate»¹². En un móvil sin certificado recibes un error o una pantalla en blanco, que es el resultado correcto para un móvil que no debería entrar.

Pon el nivel de seguridad de conexión de la app en Most secure. La dirección local http:// normal solo se usa entonces en la Wi-Fi de casa, y en cualquier otro sitio la app usa el nombre de host HTTPS o se niega a conectar²⁴. Necesita el permiso de ubicación en «Allow all the time» en Android, que la app necesita de todos modos para la ubicación en segundo plano.

Construirlo, paso a paso

Un certificado por móvil, no uno compartido. Cuando se pierde un móvil, revocas ese móvil y el otro sigue funcionando.

El móvil quiere el certificado y la clave en un archivo PKCS12. Cloudflare te da PEM, así que únelos:

openssl pkcs12 -export -in phone1.pem -inkey phone1.key \
  -name "ha-phone1" -out phone1.p12

Aquí es donde la gente se atasca. Android es quisquilloso con el cifrado dentro del archivo, y la documentación de Home Assistant dice que pruebes primero el valor por defecto actual y recurras a un contenedor heredado con la opción -legacy de OpenSSL solo si se rechaza²⁵. El mismo consejo sale en los hilos de la comunidad donde un archivo que se instalaba bien en equipos de Apple era rechazado por Android⁵.

La ruta de menús para instalarlo cambia entre fabricantes de móviles y versiones de Android. La propia página de Google para el Pixel es un punto de partida²⁶. Digan lo que digan los menús, lo que quieres es el almacén de credenciales de usuario, no el de CA.

Dónde se queda corto

Nada de esto está libre de asperezas, así que aquí van.

Lo del navegador es una función, no un fallo. Todo lo que no tenga certificado es un desconocido, y eso incluye mi propio portátil hasta que le dé uno.

Una llave, no una contraseña

Una contraseña es algo que sabes, y todo lo que sabes se puede adivinar, pescar con phishing, reutilizar o filtrar en la brecha de otro. Pon una página de contraseña en internet y has entrado en un juego de números contra todo el que tenga una botnet y una lista de palabras. Puede que lo ganes durante años. Solo tienes que perder una vez.

Un certificado es algo que tiene el dispositivo. Nadie lo adivina. Nadie lo prueba un millón de veces, porque la petición se tira en el borde antes de que haya nada contra lo que probarlo. La página de inicio de sesión sigue ahí y sigue importando, pero ahora es el segundo candado, no el único.

Lo que hay detrás de esa página no es una app web. Son las cerraduras, la calefacción, el cargador del coche y las cámaras. Trátalo como la puerta de casa, porque eso es lo que es.

Lo que no se me quita de la cabeza es que nada de esto cuesta nada. Cloudflare regala los certificados y la regla en el plan gratuito. Home Assistant documenta el lado de la app en su propia documentación de Companion. Lo único que cuesta es una tarde leyendo bien los manuales, y como tal el valor por defecto de una página de contraseña mirando a todo internet es una elección que la gente hace por no leerlos.