L'application Home Assistant via Cloudflare, verrouillée par un certificat, avec l'offre gratuite

Le problème pour joindre Home Assistant depuis l’extérieur

Ici, c’est Home Assistant qui fait tourner la maison : les lumières, le chauffage, la climatisation, la borne de recharge de la voiture, les alarmes. L’application sur le téléphone est le moyen de se servir de tout ça hors de chez soi, et c’est aussi ainsi que la maison sait où sont les téléphones, parce que l’application remonte la position et les capteurs en arrière-plan.

Il faut donc que ça marche quand personne n’est à la maison. La question est de savoir comment.

La réponse habituelle consiste à mettre Home Assistant sur internet avec un nom d’hôte et une page de connexion. Ça marche. Ça veut aussi dire que n’importe qui sur la planète peut atteindre la page de connexion, essayer des mots de passe dessus et sonder tout ce qui se trouve derrière. Une page de connexion, c’est un mot de passe posé entre internet et les serrures de votre porte d’entrée.

Je ne voulais pas de ça. Les exigences étaient courtes :

• Aucune page de connexion accessible au public. Rien ne répond à moins que l’appareil soit l’un des nôtres.
• L’application Home Assistant doit continuer à fonctionner en arrière-plan, sans personne pour passer une connexion à coups de doigt.
• Rien de plus qui tourne sur les téléphones. Pas d’agent VPN.
• L’offre gratuite de Cloudflare. Le tunnel est déjà là.

Ces quatre-là éliminent la plupart des options habituelles avant même de commencer.

Ce que chaque option vous donne vraiment

La documentation de Home Assistant liste elle-même les voies d’entrée : Home Assistant Cloud, un VPN, un reverse proxy ou la redirection de port¹. Cloudflare ajoute ses propres versions des deux dernières. Voici comment elles se notent face à ces quatre exigences, ce qui peut mal tourner avec chacune, et ce que chacune coûte en batterie.

Le tunnel règle aussi la question IPv4 contre IPv6. Cloudflare répond au téléphone sur celui qu’il a, et la maison ne fait jamais qu’appeler vers l’extérieur, donc une ligne domestique derrière un CGNAT, ou une ligne avec IPv6 et aucune IPv4 publique, marche comme n’importe quelle autre. Une redirection de port exige une adresse IPv4 publique à vous, ou IPv6 aux deux bouts. Pourquoi tant de lignes domestiques n’ont toujours ni l’un ni l’autre est une histoire à part, dans Nous n’avons jamais manqué d’adresses. Nous avons manqué d’effort..

Le tunnel seul corrige le routeur, pas l’exposition. cloudflared n’établit que des connexions sortantes, donc il n’y a aucun port entrant à rediriger¹³, mais le nom d’hôte qu’il publie sert toujours la page de connexion à quiconque la demande.

Est-ce que Cloudflare Access règle le problème ? Pour un navigateur, oui, et c’est ainsi que s’en servent les postes de travail de VDI Zero Trust sans la facture cloud. Pour l’application, ce n’est pas la bonne forme. Access place une personne devant une page de connexion, et le trafic d’arrière-plan de l’application n’a pas de personne. Le contournement habituel est un service token envoyé comme en-tête, et l’application ne sait pas en envoyer. Sa web view ne donne aucun moyen d’ajouter des en-têtes aux requêtes POST ni aux WebSockets, et c’est ainsi que l’application parle à Home Assistant, et la discussion des développeurs aboutit aux certificats clients comme « a better (more secure) alternative »⁵.

WARP ferait l’affaire, et il a été écarté parce qu’il veut dire un agent sur chaque téléphone. Un VPN coûte plus de batterie qu’un lien normal, parce que c’est un tunnel tenu ouvert toute la journée, que l’application parle ou non. Il tourne en UDP sur des ports qu’un réseau d’hôtel ou de bureau peut rejeter, ce qui vous laisse dehors précisément quand vous êtes loin⁶. Et Android ne fait tourner qu’un VPN à la fois⁷, donc WARP et un VPN de travail ne peuvent pas être actifs ensemble. Home Assistant Cloud est un bon service et finance le développement, mais c’est un abonnement, et l’URL sert toujours une page de connexion à quiconque la trouve. Il confie aussi la voie d’entrée de votre maison à l’entreprise de quelqu’un d’autre. Leur service, leur compte, leur prix, leurs conditions. C’est une perte de souveraineté, et c’est le marché que chaque offre cloud vous demande de conclure : le confort maintenant, quelqu’un d’autre aux commandes pour de bon.

Cloudflare n’est pas différent par nature, et il serait malhonnête de prétendre le contraire. Chaque option à tunnel de ce tableau le met sur le chemin, et il termine le TLS à sa périphérie, et c’est d’ailleurs ainsi que la règle WAF peut lire la vérification de certificat. La différence, c’est ce qu’il détient. Ici, il tient la porte. Home Assistant, ses données et ses mots de passe restent dans la maison, et si Cloudflare disparaît la maison continue de tourner, c’est la dernière ligne du tableau sous « Là où ça coince ». Si même ça, c’est plus de confiance que vous ne voulez en céder, la version nginx et Caddy fait la même vérification dans votre propre maison, avec votre propre AC, et prend en échange la redirection de port et les corvées de l’AC.

Reste le certificat client. Le téléphone prouve ce qu’il est avant que Home Assistant ne voie un seul octet.

Ce que coûte vraiment d’être ouvert sur internet

Gratuit sur la facture, ce n’est pas gratuit. Tout ce qui répond à internet le paie en charge machine. Chaque mot de passe tenté contre la connexion propre de Home Assistant est une vérification bcrypt à 12 tours, et il en lance une même quand le nom d’utilisateur n’existe pas, donc un inconnu qui devine coûte exactement ce que coûte votre propre connexion¹⁴. Cette charge tombe sur la machine qui fait tourner la maison, jour et nuit, aussi longtemps que les scanners continuent de venir. Et ils continuent de venir.

Une redirection de port est pire encore, parce qu’elle met votre adresse domestique en jeu. Un DDoS qui la vise remplit votre connexion, et alors c’est toute la maison qui sort d’internet, pas seulement Home Assistant. Derrière le tunnel, c’est Cloudflare qui prend l’inondation, sur toutes les offres y compris la gratuite¹⁵, et il n’a plus jeté un client à cause de la taille d’une attaque depuis 2017¹⁶. Le certificat fait le dernier pas. Un inconnu est refoulé à la périphérie, et Home Assistant ne dépense rien pour lui.

Puis il y a le réseau sur lequel se trouve Home Assistant. Ce n’est pas une application web sur une île. Il est sur le LAN de la maison à côté des caméras, du NAS et des portables, et il détient les identifiants d’un bon nombre d’entre eux. Passez sa connexion et vous avez une machine à l’intérieur de la maison, pas juste un tableau de bord. Une redirection de port est un trou dans le routeur pointé droit sur cette machine. WARP se trompe dans l’autre sens, en étant trop généreux : une route peut publier tout un réseau privé à chaque téléphone inscrit, et le restreindre est une politique séparée qu’il faut penser à écrire⁸. Perdez un téléphone configuré ainsi et celui qui le trouve est sur votre LAN. Le certificat publie un seul nom d’hôte, aux appareils qui en détiennent un, et rien d’autre sur le réseau n’est joignable de l’extérieur.

Le mTLS avec l’offre gratuite : quelle moitié est gratuite

Une bonne partie des conseils en ligne disent que le mTLS chez Cloudflare exige Enterprise. Ce n’est pas le cas. Cloudflare vend le mTLS deux fois, et un seul des deux exige Enterprise.

C’est la première colonne qui nous intéresse. Apporter votre propre AC, c’est Enterprise chez Cloudflare. Hors de Cloudflare, ça ne coûte rien, et des certificats clients depuis step-ca le couvre. Le comparatif de Cloudflare lui-même le dit clairement : l’offre Application Security inclut 100 certificats clients par zone gratuitement, tandis que le mTLS d’Access est une fonction Zero Trust Enterprise¹⁷. Les offres Free, Pro et Business ont 100 certificats actifs par zone, et en révoquer un libère sa place immédiatement¹⁸. Deux téléphones en utilisent deux.

L’offre gratuite a aussi cinq règles WAF personnalisées¹⁹. Il en faut une.

Comment fonctionne la vérification

Cloudflare fait le travail à sa périphérie. Quand le mTLS est activé pour un nom d’hôte, la poignée de main TLS demande un certificat au client²⁰. Ça seul ne bloque rien. Un client qui n’envoie aucun certificat se connecte quand même. Il arrive simplement avec le champ de vérification à faux.

Le blocage, c’est la règle WAF. Cloudflare expose le résultat de la vérification de certificat sous forme de champs dans son langage de règles²¹ :

(http.host eq "ha.example.com"
  and (not cf.tls_client_auth.cert_verified
       or cf.tls_client_auth.cert_revoked))
Action: Block

La deuxième ligne est là pour une raison. Un certificat révoqué est toujours vérifié, parce que cert_revoked à vrai veut dire que cert_verified est vrai aussi²². Ne testez que le premier champ et un certificat révoqué entre tout droit. Révoquer le certificat d’un téléphone perdu ne veut rien dire si la règle ne le demande pas.

Rendons à César ce qui lui appartient : les gens du fil Android de Home Assistant ont trouvé cette règle et l’ont publiée⁵. Bon travail, et ça m’a épargné pas mal de recherches.

Le côté Home Assistant

Il faut dire à Home Assistant qu’il est derrière un proxy, et ce n’est pas facultatif. Les requêtes venant d’un reverse proxy sont bloquées par conception tant qu’on n’a pas dit à Home Assistant de lui faire confiance²³. Le connecteur cloudflared du tunnel en est un.

Depuis 2026.8, ces réglages vivent dans l’interface, sous Settings → System → Network → HTTP server, et non dans configuration.yaml²³. Les enregistrer redémarre Home Assistant, et un administrateur a ensuite cinq minutes pour confirmer les nouveaux réglages avant qu’ils ne reviennent en arrière d’eux-mêmes. C’est un filet de sécurité qu’il vaut mieux connaître avant de s’enfermer dehors.

L’entrée des proxies de confiance est étroite exprès. Faites confiance à tout un sous-réseau et n’importe quel appareil dedans peut falsifier l’adresse du client, ce qui rend la liste de bannissement inutile.

Puis l’application. La documentation de l’application Companion couvre cette installation nommément. Si Home Assistant est derrière un reverse proxy qui fait de l’authentification TLS par client, l’application demande un certificat, et elle le veut installé comme « VPN & app user certificate »¹². Sur un téléphone sans certificat, vous obtenez une erreur ou un écran vide, ce qui est le bon résultat pour un téléphone qui ne devrait pas entrer.

Réglez le niveau de sécurité de connexion de l’application sur Most secure. L’adresse locale en http:// simple n’est alors utilisée que sur le Wi-Fi de la maison, et partout ailleurs l’application utilise le nom d’hôte HTTPS ou refuse purement et simplement de se connecter²⁴. Il faut l’autorisation de localisation réglée sur « Allow all the time » sous Android, ce dont l’application a de toute façon besoin pour la position en arrière-plan.

La construction, étape par étape

Un certificat par téléphone, pas un partagé. Quand un téléphone est perdu, vous révoquez ce téléphone-là et l’autre continue.

Le téléphone veut le certificat et la clé dans un seul fichier PKCS12. Cloudflare vous remet du PEM, alors assemblez-les :

openssl pkcs12 -export -in phone1.pem -inkey phone1.key \
  -name "ha-phone1" -out phone1.p12

C’est là que les gens coincent. Android est pointilleux sur le chiffrement à l’intérieur du fichier, et la documentation de Home Assistant dit d’essayer d’abord le défaut actuel et de ne se rabattre sur un conteneur legacy avec l’option -legacy d’OpenSSL que s’il est refusé²⁵. Le même conseil revient dans les fils de la communauté où un fichier qui s’installait très bien sur du matériel Apple était rejeté par Android⁵.

Le chemin dans les menus pour l’installer change selon les fabricants de téléphones et les versions d’Android. La page de Google pour le Pixel est un point de départ²⁶. Quoi que disent les menus, c’est le magasin d’identifiants utilisateur que vous voulez, pas le magasin d’AC.

Là où ça coince

Rien ici n’est exempt d’aspérités, alors les voici.

Celui du navigateur est une fonction, pas un défaut. Tout ce qui n’a pas de certificat est un inconnu, et ça comprend mon propre portable tant que je ne lui en ai pas donné un.

Une clé, pas un mot de passe

Un mot de passe est quelque chose que vous savez, et tout ce que vous savez peut être deviné, hameçonné, réutilisé ou divulgué par la fuite de quelqu’un d’autre. Mettez une page de mot de passe sur internet et vous êtes entré dans une partie de chiffres contre tous ceux qui ont un botnet et une liste de mots. Vous pouvez la gagner pendant des années. Il suffit de la perdre une fois.

Un certificat est quelque chose que l’appareil détient. Personne ne le devine. Personne ne l’essaie un million de fois, parce que la requête est jetée à la périphérie avant qu’il y ait quoi que ce soit contre quoi l’essayer. La page de connexion est toujours là et elle compte toujours, mais c’est maintenant le second verrou, pas le seul.

Ce qui se trouve derrière cette page n’est pas une application web. Ce sont les serrures, le chauffage, la borne de recharge et les caméras. Traitez-la comme la porte d’entrée, parce que c’est ce qu’elle est.

Ce à quoi je reviens sans cesse, c’est que rien de tout ça ne coûte quoi que ce soit. Cloudflare donne les certificats et la règle avec l’offre gratuite. Home Assistant documente le côté application dans sa propre documentation Companion. La seule chose que ça coûte, c’est une soirée à lire correctement les manuels, et en tant que tel le défaut d’une page de mot de passe face à tout internet est un choix que les gens font en ne les lisant pas.