Если Home Assistant открывается с телефона за пределами дома, это ещё не говорит, каким путём доступен сервер и какие службы видны снаружи. Проверьте отдельно удалённый вход, аккаунты, MQTT и камеру. Не публикуйте пароль, токен, публичный IP, адрес устройства или файл конфигурации: для первичной оценки достаточно описать симптом.
Это самопроверка собственной установки по её настройкам и официальной документации. Она не сканирует сеть и не заменяет аудит маршрутизатора, сервера, облачного аккаунта или всей домашней сети. Проверяйте только устройства и сети, которыми вы владеете или за которые отвечаете.
Ключевые факты
- У Home Assistant нет одного обязательного способа удалённого доступа. Cloud, VPN, reverse proxy и проброс портов устроены по-разному, поэтому проверяйте именно свой маршрут.
- HTTPS защищает соединение по пути, но не исправляет ошибочные правила доступа или открытый без авторизации сервис.
- MQTT-аутентификация и права на топики — разные настройки. Наличие логина само по себе не ограничивает, кто может читать и публиковать сообщения.
- У Frigate есть порт с авторизацией
8971и внутренний порт5000, который документация описывает как неаутентифицированный. К5000должен иметь доступ только доверенный внутренний сервис или сеть. - Запись в
secrets.yamlпомогает не разносить значение по YAML-файлам, но Home Assistant отдельно предупреждает: это не шифрование.
Сверено с официальными документами Home Assistant, Eclipse Mosquitto и Frigate 26 октября 2026 года. Это инструкции для самостоятельной проверки, а не результат проверки конкретной сети.
Откуда доступен Home Assistant
Сначала запишите для себя выбранный способ доступа: Home Assistant Cloud, VPN, обратный прокси, туннель или проброс порта на роутере. Если не уверены, посмотрите карточку удалённого подключения в настройках Home Assistant и правила маршрутизатора. Это поможет не искать несуществующее правило в настройках другой схемы.
| Путь доступа | Где посмотреть настройки | Что должно быть понятно |
|---|---|---|
| Home Assistant Cloud | Настройки HA и учётная запись Cloud | Используется ли удалённый адрес Cloud и какие аккаунты имеют доступ |
| VPN | Настройки VPN и локальный адрес HA | Кто может войти в VPN и требуется ли соединение перед открытием HA |
| Обратный прокси или туннель | Правила прокси/туннеля и настройка доверия в HA | Какой запрос перенаправляется к HA и где завершается HTTPS |
| Проброс порта | NAT/firewall роутера, IPv4 и IPv6 | Какое правило ведёт к HA и зачем оно оставлено |
В панели роутера проверьте правила входящих подключений, переадресации портов и UPnP. Для Cloud или VPN список port forwarding может быть пустым — это ожидаемо. Для прокси проверьте его маршрут к HA и настройки самого прокси. Если провайдер, роутер или прокси поддерживают отдельные правила для IPv6, посмотрите и их: отсутствие обычного IPv4-проброса не подтверждает, что IPv6-сервис закрыт.
Сверьте каждое правило со своей целью и схемой. Удалите устаревшие правила, назначение которых вы не можете подтвердить. Не публикуйте снимок роутера в чате: там могут быть видны публичный адрес, внутренние имена, MAC-адреса и другие детали сети.
Home Assistant рекомендует для большинства пользователей Cloud, VPN или защищённую TLS-схему. Сам факт, что страница открылась через доменное имя, не показывает, закрыты ли другие службы. Не направляйте запросы на случайные IP-адреса и не запускайте сканер по публичным адресам. Если вы самостоятельно проверяете свой сервер, используйте только собственное подключение и согласованный безопасный метод; это всё равно не будет полным аудитом.
Подробнее: официальное руководство Home Assistant по удалённому доступу и список мер защиты Home Assistant.
Вход, HTTPS и восстановление
В профиле Home Assistant проверьте, включена ли многофакторная аутентификация для вашей учётной записи. Просмотрите список пользователей: удалите аккаунты людей, которым доступ больше не нужен, и оставьте права администратора только тем, кому требуется менять интеграции и систему. Для каждой оставшейся учётной записи используйте отдельный надёжный пароль.
Если внешний доступ проходит по HTTPS, браузер не должен показывать предупреждение о сертификате. Не обходите такое предупреждение, вводя пароль «на минуту». Проверьте правильность домена, срок действия сертификата и тот узел, где TLS завершается: это может быть сам HA, reverse proxy или туннель. Для локального адреса возможна другая схема, но приложение не должно отправлять учётные данные по незашифрованному HTTP через недоверенную сеть.
Если используется reverse proxy, проверьте, что Home Assistant доверяет только адресу или подсети этого прокси в Trusted proxies. Не добавляйте туда широкие сети «на всякий случай»: настройка влияет на то, от кого HA принимает данные о клиентском адресе. Следуйте документации Home Assistant для обратных прокси.
Убедитесь, что вы знаете локальный способ входа и располагаете актуальной резервной копией. До изменения удалённого доступа проверьте, что сможете подключиться к серверу дома, и не удаляйте текущую рабочую схему, пока новая не проверена. Инструкция по восстановлению Home Assistant из резервной копии поможет подготовить отдельный план возврата.
MQTT-брокер и права клиентов
В Home Assistant откройте настройки интеграции MQTT и запишите для себя адрес и порт брокера. Затем посмотрите в конфигурации брокера, кто может подключаться, какие логины используются и есть ли правила доступа к топикам. Если настройками управляет приложение Mosquitto для Home Assistant, проверьте его экран конфигурации и дополнительные логины; для самостоятельного Mosquitto сверьтесь с его версией и действующими параметрами.
Проверьте эти пункты:
- Нет ли анонимного доступа на сетевом слушателе, которым пользуются устройства. В Mosquitto значение по умолчанию зависит от конфигурации слушателей и версии, поэтому проверяйте реальный файл или экран настройки, а не делайте вывод по одному значению из примера в интернете.
- Использует ли каждый клиент отдельную учётную запись, если ваш способ установки это поддерживает. После удаления или замены устройства отключите его старый логин.
- Есть ли ограничения на чтение и запись MQTT-топиков. Клиенту нужны только те топики, которые требуются его функции; не раздавайте
#целиком без конкретной причины. - Доступен ли сетевой порт брокера только тем адресам или сетям, которым он нужен. Не создавайте публичное правило ради связи приложений внутри одной домашней сети.
- Если MQTT идёт по недоверенной сети, настроены ли TLS и проверка сертификата клиента. Mosquitto предупреждает, что имя пользователя и пароль в незашифрованном соединении можно перехватить.
У обычного Mosquitto могут применяться парольный файл, плагины или Dynamic Security. Синтаксис и значения менялись между версиями, поэтому не вставляйте в свою установку случайный блок из статьи без проверки документации именно вашей версии. Начните с официальной интеграции MQTT Home Assistant и методов аутентификации Mosquitto; параметры слушателей и ACL описаны в справочнике mosquitto.conf.
Камеры и Frigate
Для каждой камеры проверьте, где она доступна: только из локального сегмента, из Home Assistant/Frigate или ещё и снаружи через облако и приложение производителя. Смените заводской пароль, если он ещё используется, и проверьте, кому выдали доступ к просмотру. Возможность просмотреть поток из HA не доказывает, что сама камера изолирована от внешнего доступа.
Если используется Frigate, посмотрите, какой порт указан у reverse proxy и опубликован в Docker или другой среде. Документация Frigate называет 8971 аутентифицированным интерфейсом и API для доступа через прокси, а 5000 — внутренним неаутентифицированным интерфейсом. Убедитесь, что 5000 не опубликован в интернет и доступ к нему ограничен доверенной внутренней сетью. Не отключайте встроенную авторизацию, если не настроена и не проверена отдельная схема авторизации на прокси.
Во Frigate проверьте пользователей и их роли. Для человека, которому нужно только смотреть камеры, используйте роль с меньшими правами, если она подходит вашему сценарию. В конфигурации reverse proxy проверьте список доверенных прокси и передаваемые заголовки: Frigate использует эти значения для определения клиента и роли, а доверять следует только известному промежуточному узлу. Не публикуйте кадры, URL потоков и идентификаторы сессий, чтобы объяснить проблему.
Сверяйтесь с актуальной документацией Frigate по авторизации и настройке reverse proxy. Если камера подключается через облачное приложение производителя, отдельно проверьте пользователей и настройки двухфакторного входа в том аккаунте: параметры HA и Frigate их не заменяют.
Обновления и короткая повторная проверка
После проверки сохраните для себя дату и перечень изменений без паролей и адресов. Обновляйте Home Assistant, Mosquitto, Frigate, прокси и прошивки камеры по документированному для вашей установки порядку. Перед крупным обновлением проверьте резервную копию и возможность локально войти в систему.
Повторите краткий осмотр после замены роутера, включения удалённого доступа, установки прокси, добавления камеры или изменения MQTT-брокера. Если обнаружили непонятный публичный маршрут, сначала отключите только правило, назначение которого вы точно понимаете и можете безопасно вернуть. Не меняйте одновременно firewall, авторизацию и адреса сервисов: иначе при сбое будет труднее понять причину.
Эти действия помогают заметить частые ошибки настройки, но не подтверждают отсутствие уязвимостей в прошивке, роутере, облачной учётной записи или всей сети.
Часто задаваемые вопросы
Если Home Assistant открывается извне, значит ли это, что он не защищён?
Нет. Внешний доступ может идти через Cloud, VPN, proxy или порт. Проверьте конкретный маршрут, HTTPS, пользователей и правила роутера. По одной доступности страницы нельзя сделать вывод о защите остальных служб.
Достаточно ли HTTPS для MQTT?
Нет. TLS шифрует соединение по сети, но отдельно нужны правила аутентификации и доступа к топикам. Внутренний брокер тоже следует настроить под свои устройства и сетевую схему.
Что означает, если открыт порт Frigate 5000?
Сначала выясните, открыт ли он только внутри контейнерной сети или доступен из других сетей. В документации Frigate этот порт предназначен для внутреннего неаутентифицированного доступа. Если он опубликован или доступен извне, ограничьте маршрут и проверьте, зачем он нужен интеграциям.
Можно прислать конфиг, IP или пароль для проверки?
Нет, они для этого не нужны. Для консультации опишите симптом и тип установки, например: «после включения VPN приложение не подключается» или «камера открывается без запроса входа». Уберите адреса, токены, пароли, названия сетей и кадры с людьми.