Externe toegang tot Home Assistant vanaf je iPhone: de opties vergeleken

Hoe de app van buitenaf thuiskomt

De Home Assistant-app gebruikt de “Interne URL” alleen op de wifinetwerken die voor je server zijn ingesteld. Overal elders gebruikt hij Home Assistant Cloud als die schakelaar aan staat, en anders de “Externe URL”. Externe toegang betekent dus altijd dat je de app een tweede adres geeft, via Home Assistant Cloud of als “Externe URL”, onder Instellingen > Companion app > je server. iOS laat de app je huis alleen aan de wifi-naam herkennen, dus een vpn telt nooit als thuis. De velden onder Instellingen > Systeem > Netwerk > Home Assistant URL in Home Assistant vertellen andere apparaten waar Home Assistant te vinden is; de app stellen ze niet in.

De opties vergeleken

Alle vijf werken met de officiële app en met andere apps die een intern en een extern adres gebruiken. De opties die vanuit je huis naar buiten verbinden, werken ook als je provider je geen openbaar IPv4-adres geeft (CGNAT of DS-Lite, zie hieronder).

Home Assistant Cloud: niets instellen op de router

Home Assistant Cloud is een abonnement van Nabu Casa, het bedrijf dat de ontwikkeling van Home Assistant financiert. De verbinding op afstand loopt vanuit je huis naar buiten, er gaat dus geen poort open, en ze werkt op elke internetverbinding. In de eurozone kost ze € 7,50 per maand of € 75 per jaar inclusief belasting, na een proefperiode van 31 dagen zonder betaalgegevens. Op 2 december 2026 wordt het Home Assistant Link; volgens Nabu Casa blijft het abonnement hetzelfde en hoef je niets te doen.

• In Home Assistant: Log in onder Instellingen > Home Assistant Cloud, open “Externe toegang” en zet “Verbinding op afstand” aan.
• In de app: Open in “Serverdetails” de “Externe URL” en zet Home Assistant Cloud aan. De schakelaar verschijnt daar pas als “Verbinding op afstand” aan staat. Een andere “Externe URL” is niet nodig: zolang de schakelaar aan staat, gebruikt de app er geen.
• Op de iPhone: Je hoeft verder niets te installeren. Onderweg gaan ook locatie- en sensorupdates via Nabu Casa.
• Als het niet verbindt: Controleer of het abonnement actief is en “Verbinding op afstand” aan staat. Een Home Assistant-gebruiker met “Alleen lokale toegang” onder Instellingen > Personen kan niet van buitenaf inloggen.

Tailscale: gratis, zonder open poort op de router

Tailscale verbindt je apparaten in een eigen privénetwerk. Home Assistant doet mee via de Tailscale-app onder Instellingen > Apps, de iPhone via de Tailscale-app uit de App Store. Het persoonlijke abonnement is gratis voor maximaal zes gebruikers, en beide kanten verbinden naar buiten, dus het werkt ook achter CGNAT.

• In Home Assistant: Installeer Tailscale via Instellingen > Apps en log in. Zet in de beheerconsole van Tailscale het verlopen van de sleutel uit voor de Home Assistant-machine, anders valt die er na 180 dagen uit.
• HTTPS met Serve: Zet in de beheerconsole MagicDNS en HTTPS aan. Zet de optie share_homeassistant van de Tailscale-app op serve, zet daarna in Home Assistant onder Instellingen > Systeem > Netwerk > HTTP-server “X-Forwarded-For vertrouwen” aan en voeg 127.0.0.1 toe onder “Vertrouwde proxy’s”. Home Assistant antwoordt dan op https://homeassistant.<tailnet>.ts.net, zonder poort; het eerste deel is de naam van de machine in Tailscale.
• In de app: Vul dat adres in als “Externe URL”. Een gewoon adres zoals http://100.101.102.103:8123 werkt daar ook, net als je lokale IP-adres via een subnetrouter. Het moet de “Externe URL” zijn, omdat de app een vpn nooit als thuis behandelt.
• Op de iPhone: De Tailscale-app moet verbonden zijn als je weg bent. VPN On Demand in de instellingen verbindt hem op het mobiele netwerk en op elke wifi behalve je thuisnetwerk. iOS draait maar één vpn tegelijk, dus een adblocker of een vpn van je werk die die plek inneemt, zet Tailscale uit.
• Serve, niet Funnel: Funnel zet Home Assistant open op internet. Serve houdt het binnen je eigen Tailscale-netwerk.

Cloudflare Tunnel: gratis met een eigen domein

De Cloudflared-app opent een tunnel van Home Assistant naar buiten naar Cloudflare, dat Home Assistant onder een naam op je domein publiceert. De tunnel is gratis; het domein moet de DNS van Cloudflare gebruiken. Cloudflare ontsleutelt het verkeer op zijn servers, en de inlogpagina staat open op internet zolang er niets voor staat.

• In Home Assistant: Installeer de community-app Cloudflared, zet external_hostname op de naam die je wilt, zoals ha.example.com, en keur de tunnel goed via de link in het logboek van de app. Zet daarna onder Instellingen > Systeem > Netwerk > HTTP-server “X-Forwarded-For vertrouwen” aan en voeg 172.30.33.0/24 toe onder “Vertrouwde proxy’s”.
• In de app: Vul https://ha.example.com in als “Externe URL”, zonder poort.
• Fout 400: De vertrouwde proxy ontbreekt. Het logboek van Home Assistant noemt het adres dat het zag, in “A request from a reverse proxy was received from” of “Received X-Forwarded-For header from an untrusted proxy”.
• Locatie werkt niet meer bij (503): Bot Fight Mode, Browser Integrity Check of een firewallregel van Cloudflare blokkeert de verzoeken van de app, wat het gebeurtenissenlogboek van de app als statuscode 503 toont. Maak een eigen regel die de overige beveiligingsregels overslaat voor de hostnaam van Home Assistant.
• Cloudflare Access: De app kan een Access-login niet betrouwbaar afronden, en widgets en locatie-updates kunnen de cookie niet meesturen. Laat de hostnaam van Home Assistant buiten Access, of beveilig hem met een clientcertificaat dat de app importeert onder “Cliëntcertificaat” in “Serverdetails”.

WireGuard op je router, zoals een FRITZ!Box

Veel routers draaien zelf een WireGuard-vpn-server, de FRITZ!Box sinds FRITZ!OS 7.50. De iPhone maakt met de gratis WireGuard-app verbinding met thuis, en alleen de vpn-poort van de router staat open, niet Home Assistant. De router moet vanaf internet bereikbaar zijn: met een openbaar IPv4-adres, of bij DS-Lite alleen via IPv6, vanaf netwerken die ook IPv6 hebben.

• Op een FRITZ!Box: Voeg in het menu Internet, op het tabblad VPN (WireGuard), een verbinding voor één apparaat toe en scan de QR-code met de WireGuard-app. Bewaar de QR-code zo zorgvuldig als een wachtwoord.
• In de app: Vul het adres dat je via de tunnel bereikt in als “Externe URL”, meestal het lokale IP-adres, zoals http://192.168.178.20:8123. Namen op homeassistant.local werken niet via de tunnel.
• Op de iPhone: Zet in de WireGuard-app On-Demand aan voor mobiel netwerk en voor wifi behalve je thuisnetwerk. Het profiel van de FRITZ!Box stuurt al het verkeer via thuis; beperk je Allowed IPs tot je thuisnetwerk, dan gaat de rest direct.
• Hetzelfde bereik elders: Elke FRITZ!Box gebruikt standaard 192.168.178.x, dus op een ander FRITZ!Box-netwerk bereikt de tunnel geen adres dat daar ook bestaat. Geef je thuisnetwerk een ander bereik als dat gebeurt.

Port forwarding: gratis, maar open

Een poort op de router doorsturen naar Home Assistant, met een gratis DuckDNS-naam en een certificaat van Let’s Encrypt, kost niets, maar zet de inlog van Home Assistant open op internet. Via IPv4 werkt het niet achter CGNAT of DS-Lite.

• Naam en certificaat: De officiële DuckDNS-app houdt de naam op je huis gericht en haalt het certificaat op. Sinds Home Assistant 2026.8 vul je de certificaatbestanden in onder Instellingen > Systeem > Netwerk > HTTP-server, in het onderdeel SSL/TLS.
• Router: Stuur een poort van buiten door naar de poort van Home Assistant en gebruik alleen https. Het alternatief is een reverse proxy zoals NGINX op poort 443; die heeft de hierboven beschreven instelling voor vertrouwde proxy’s nodig.
• In de app: Gebruik https://name.duckdns.org:8123 of de naam van je proxy als “Externe URL”. Staat het certificaat op Home Assistant zelf, dan werkt gewone http ook thuis niet meer, dus heeft de app daar ook de openbare naam nodig, wat alleen lukt als de router die terugleidt naar je thuisnetwerk.
• Beveilig het: Gebruik een lang wachtwoord en tweestapsverificatie, zet in de instellingen van de HTTP-server IP-blokkering aan en houd Home Assistant up-to-date.

Heb je een openbaar IPv4-adres?

Vergelijk het IPv4-adres dat je router voor zijn internetverbinding toont met het adres dat een website voor je eigen IP-adres noemt. Wijken ze af, of is het adres van de router privé of ligt het tussen 100.64 en 100.127, dan deel je een adres met andere klanten en bereikt niets van buitenaf je via IPv4. Een FRITZ!Box laat in het menu Internet zien of hij een DS-Lite-tunnel gebruikt. Home Assistant Cloud, Tailscale en Cloudflare Tunnel werken toch, omdat ze naar buiten verbinden. Port forwarding en een vpn op de router hebben dan IPv6 nodig, of een openbaar IPv4-adres van je provider, vaak tegen betaling.

Meldingen komen hoe dan ook aan

Meldingen bereiken de iPhone via de gratis pushdienst van Home Assistant en Apple, welke externe toegang je ook gebruikt, zolang Home Assistant zelf online is; de dienst staat 500 per dag per apparaat toe. Een weg terug naar huis hebben actieknoppen nodig en afbeeldingen die via een adres zijn bijgevoegd. Met Home Assistant Cloud gaan die via Nabu Casa, anders via de “Externe URL”; staat een vpn uit, dan mislukt een actieknop.

Waar Vulpo past

Vulpo is een native Home Assistant-app voor iPhone, iPad, Mac en Apple Watch. Vulpo gebruikt dezelfde twee adressen, een “Interne URL” voor je wifinetwerken en een “Externe URL” voor overal elders, dus elke optie hierboven werkt er ook mee. Met Home Assistant Cloud kan Vulpo het externe adres zelf overnemen, en reageert een adres niet meer, dan probeert Vulpo het andere. Vulpo verbindt rechtstreeks met je Home Assistant, zonder eigen servers ertussen. Vulpo heeft iOS 26 of nieuwer nodig. Vulpo wordt gemaakt door de uitgever van deze site.