Sicurezza
Come mettere in sicurezza Home Assistant: Guida pratica e avanzata
Guida tecnica per proteggere Home Assistant da accessi non autorizzati. Scopri come configurare MFA, utenti, accesso remoto sicuro, backup e gestione dei log.
Mettere in sicurezza un server Home Assistant è un'operazione fondamentale, soprattutto se si espone il sistema all'esterno per la gestione da remoto di luci, serrature, termostati e sistemi di allarme. Questa guida descrive l'approccio conservativo per ridurre i vettori di attacco, gestire le credenziali, configurare l'autenticazione a due fattori (MFA) e impostare una strategia di backup affidabile. Per interventi complessi su impianti elettrici o serrature motorizzate, affidati sempre a un elettricista o tecnico qualificato.
Prerequisiti: accesso amministrativo a Home Assistant Core, OS o Supervised (versione recente), permessi di modifica della rete locale e router con supporto a VPN o reverse proxy sicuro.
Limiti e compatibilità: le voci di menu dell'interfaccia grafica possono variare leggermente tra le release mensili. Verifica sempre la documentazione ufficiale per il tuo specifico canale di aggiornamento (Stable, Beta, Dev).
1. Gestione degli utenti e principio del minimo privilegio
Il primo errore da evitare è l'utilizzo continuativo dell'account proprietario (Owner) per l'uso quotidiano o per la connessione di dispositivi mobili. Ogni utente aggiunto a Home Assistant dovrebbe avere solo i permessi strettamente necessari.
Separazione dei ruoli
Crea un utente amministratore secondario protetto da credenziali forti e assegna il ruolo di utente standard (o limita i permessi tramite le ACL se usi configurazioni avanzate) ai familiari o ai dispositivi fissi a muro (tablet dash). Disabilita l'utente di onboarding iniziale se non più necessario.
Politica delle password
Imponi password complesse e uniche per ogni utente. Home Assistant non applica nativamente una complessità minima rigorosa, quindi la scelta della passphrase ricade sull'amministratore.
2. Autenticazione a due fattori (MFA) obbligatoria
L'autenticazione a due fattori (MFA) riduce drasticamente il rischio di compromissione dell'account in caso di furto della password.
Accedi al profilo utente cliccando sul tuo nome in basso a sinistra nella sidebar di Home Assistant. Scorri fino alla sezione Autenticazione a due fattori. Scegli il modulo TOTP (Time-based One-Time Password), compatibile con app come Google Authenticator, Authy o Aegis. Scansiona il codice QR con l'applicazione sullo smartphone e inserisci il codice numerico a sei cifre generato per confermare l'attivazione. Conserva i codici di recupero in un luogo sicuro e offline.
3. Accesso remoto sicuro: VPN vs Esposizione Diretta
Esporre la porta 8123 direttamente su Internet tramite port forwarding sul router è altamente sconsigliato a meno che non si utilizzi un livello di protezione robusto come un reverse proxy con SSL/TLS (es. Nabu Casa, Nginx Proxy Manager o Cloudflare Tunnels) associato a Web Application Firewall o geoblocking.
La scelta consigliata: Nabu Casa o VPN
Il metodo più sicuro e integrato per l'accesso remoto senza configurare certificati SSL manuali è l'abbonamento a Home Assistant Cloud (Nabu Casa), che gestisce la crittografia end-to-end in modo sicuro. In alternativa, configura una VPN privata (come WireGuard o OpenVPN) sul tuo router o su un server dedicato (es. Raspberry Pi separato o firewall pfSense/OPNsense), accedendo alla rete domestica prima di aprire l'interfaccia di Home Assistant.
4. Procedura passo dopo passo per la messa in sicurezza
- Accedi a Home Assistant con l'account amministratore principale verificando che il certificato SSL sia attivo sul dominio locale o remoto.
- Vai nel menu Impostazioni, seleziona Persone e rimuovi o disattiva tutti gli account inutilizzati o di test creati in precedenza.
- Entra nel profilo del tuo utente amministrativo, individua la sezione MFA e attiva il modulo TOTP associandolo a un'app di autenticazione sul tuo smartphone.
- Verifica che i file di configurazione sensibili utilizzino il file
secrets.yamlper memorizzare token, password di dispositivi IoT, credenziali MQTT e chiavi API. - Configura il sistema di backup automatico in Impostazioni -> Sistema -> Backup, pianificando salvataggi periodici cifrati.
- Sposta i file di backup generati al di fuori della scheda SD o del disco principale di Home Assistant, salvandoli su un NAS locale o un cloud storage crittografato.
- Disattiva immediatamente il port forwarding diretto della porta 8123 sul router domestico se avevi configurato un accesso non protetto da HTTPS o VPN.
- Configura le notifiche di sistema per ricevere avvisi immediati in caso di tentativi di accesso falliti o errori critici nei log di sicurezza.
- Aggiorna Home Assistant Core, Supervisor e il sistema operativo all'ultima patch di sicurezza stabile disponibile.
5. Segreti, Log e Aggiornamenti
La manutenzione regolare della sicurezza richiede attenzione particolare ai dati hardcoded, alla pulizia dei log e alla tempestività degli aggiornamenti.
Gestione dei file secrets.yaml
Non inserire mai password in chiaro nei file di automazione o nella configurazione principale (configuration.yaml). Sfrutta la sintassi !secret nome_chiave per richiamare i dati protetti dall'apposito file dei segreti.
Analisi dei Log
Monitora regolarmente il registro di sistema (home-assistant.log) o la sezione Log in Impostazioni -> Sistema per individuare tentativi di forza bruta provenienti da indirizzi IP sospetti, errori di autenticazione ripetuti o anomalie nei componenti aggiuntivi (Add-on).
Politica di Aggiornamento
Aggiorna regolarmente il sistema. Molte vulnerabilità zero-day vengono corse nelle patch di sicurezza rilasciate mensilmente dagli sviluppatori. Prima di ogni aggiornamento maggiore, esegui sempre un backup manuale completo.
6. Verifica del risultato
Per confermare che le configurazioni di sicurezza siano efficaci, esegui i seguenti controlli:
- Effettua il logout da tutti i client e prova ad accedere: il sistema deve richiedere obbligatoriamente il codice TOTP generato dall'app sullo smartphone.
- Verifica da uno scanner di porte esterno (o da rete cellulare disattivando il Wi-Fi) che la porta 8123 non risponda in chiaro (HTTP), ma risulti irraggiungibile o protetta da HTTPS/VPN.
- Controlla che i backup automatici siano presenti nella cartella di destinazione remota e che la procedura di ripristino sia stata testata almeno una volta su un ambiente di staging o di test.
7. Problemi comuni e risoluzione
| Problema riscontrato | Causa probabile | Soluzione |
|---|---|---|
| Perdita del dispositivo MFA e blocco accesso | Smarrimento dello smartphone o disinstallazione dell'app Authenticator | Accedi tramite accesso SSH o console locale, rimuovi il file .storage/auth_provider.totp o usa i codici di recupero salvati. |
| Accesso remoto non funzionante dopo attivazione VPN | Regole di routing errate o porte chiuse sul router | Verifica il port forwarding del protocollo VPN (es. UDP 51820 per WireGuard) e la configurazione del gateway. |
| Errori frequenti nei log relativi a tentativi di login | IP pubblico scansionato da bot malevoli su porte esposte | Chiudi immediatamente le porte dirette sul router e adotta un reverse proxy con protezione geografica o Cloudflare. |
8. Domande Frequenti (FAQ)
È sicuro utilizzare Home Assistant senza abbonamento a Nabu Casa?
Sì, è assolutamente sicuro a patto di implementare una VPN privata (come WireGuard) o un reverse proxy configurato correttamente con certificati SSL validi (Let's Encrypt). L'abbonamento a Nabu Casa semplifica notevolmente questo processo offrendo una soluzione già pronta e supportando lo sviluppo del progetto.
Cosa fare se sospetto una compromissione del sistema?
Scollega immediatamente Home Assistant da Internet (disattiva la connessione di rete o spegni il router verso l'esterno), cambia tutte le password degli utenti amministratori, revoca i token di accesso di lunga durata (Long-Lived Access Tokens), analizza i file di log alla ricerca di IP anomali e ripristina un backup pulito precedente alla data della presunta compromissione.
I componenti aggiuntivi (Add-on) possono compromettere la sicurezza?
Sì, installare Add-on da repository non ufficiali o non verificati può esporre il sistema a falle di sicurezza. Utilizza esclusivamente repository ufficiali o community store verificati e mantieni aggiornati tutti i componenti aggiuntivi.
Come proteggere le automazioni che gestiscono serrature o allarmi?
Per dispositivi critici come serrature intelligenti o sistemi di allarme, implementa sempre un controllo di coerenza aggiuntivo, richiedi codici PIN cifrati all'interno delle dashboard e verifica che i comandi critici siano accessibili solo tramite utenti con privilegi elevati e MFA attiva.
Occorrente
Materiali usati
Prezzi indicativi: controlla sempre prezzo finale, disponibilità, compatibilità e condizioni del venditore. Quando attivi, i link possono generare una commissione senza costi aggiuntivi per te.