termalVotre Home Assistant est sur http://homeassistant.local:8123, votre Grafana sur :3000, et les deux sont coincés sur votre réseau domestique. Vous les voulez dans un navigateur depuis le bureau, depuis votre téléphone, ou partagés avec quelqu’un — sans transformer votre routeur en surface d’attaque. Voici cinq façons d’y arriver, ce que chacune vous coûte réellement, et un pas-à-pas pour la voie sur invitation.
Pourquoi ne pas simplement rediriger 8123 ou 3000
Rediriger le port sur votre routeur place une page de connexion — parfois un tableau de bord ouvert — devant chaque bot d’Internet. Home Assistant comme Grafana sont sondés en permanence dès qu’on les trouve, et un mot de passe réutilisé ou une CVE non corrigée suffit. Le CGNAT (courant sur la fibre domestique et la 4G/5G) rend de toute façon souvent la redirection impossible. Chaque option ci-dessous existe pour éviter cet unique port ouvert.
Les cinq options
| Option | URL publique ? | Sur l’appareil du visiteur | Au-delà de HA ? | Coût |
|---|---|---|---|---|
| Nabu Casa (HA Cloud) | Oui, votre propre sous-domaine | Rien | Non — Home Assistant seulement | Abonnement |
| Cloudflare Tunnel | Public, ou filtré par Access | Rien, ou une connexion Access | Oui | Offre gratuite ; nécessite un domaine |
| Tailscale / WireGuard | Non — maillage privé | Un client VPN, partout | Oui | Offre gratuite |
| Reverse proxy + redirection de port | Oui — sur Internet | Rien | Oui | Votre temps + l’exposition |
| Site interne Termalin | Non — invitation par e-mail | Juste un navigateur | Oui | Forfait Pro |
Nabu Casa est le cloud officiel de Home Assistant. C’est la voie la plus fluide pour Home Assistant — interface distante, une URL stable, et cela finance le projet — mais elle ne couvre que Home Assistant, pas votre Grafana ni votre Portainer.
Cloudflare Tunnel (cloudflared) établit une connexion sortante depuis un démon sur votre LAN, donc aucun port ne s’ouvre. C’est puissant et il y a une offre gratuite, mais pour garder un tableau de bord privé il faut posséder un domaine et placer une politique Cloudflare Access devant ; laissé nu, le nom d’hôte est une URL publique que n’importe qui peut atteindre.
Tailscale ou WireGuard bâtit un maillage privé — rien n’est exposé, et c’est excellent pour vos propres appareils. Le hic : toute personne qui se connecte installe le client VPN et s’y connecte, ce qui est difficile à demander à un proche ou à un invité ponctuel.
Un reverse proxy avec un port redirigé (nginx, Caddy, Traefik) vous donne du HTTPS propre, mais vous publiez quand même le service sur Internet et assumez vous-même chaque correctif et chaque décision d’authentification.
Un site interne Termalin se place ailleurs : aucune URL publique, et aucun client côté visiteur. Un Connector sur votre LAN établit une connexion sortante, et le tableau de bord s’ouvre à une adresse privée comme https://<10 caractères>.termal.ink — pour vous, et pour les personnes que vous invitez par e-mail. C’est la façon la plus rapide de partager un tableau de bord avec une personne précise. Les compromis sont honnêtes : il faut un forfait Pro, il y a un plafond souple de 5 Go par jour et par lien, et il n’y a pas de lien public permanent — un atout si vous voulez de la confidentialité, une limite si vous voulez une page de statut publique.
Pas à pas avec un Connector
Cela fonctionne pour Home Assistant, Grafana, Portainer, Proxmox — tout ce qui a une interface web sur votre réseau, car les WebSockets passent à travers, si bien que les mises à jour en direct de HA et les panneaux en direct de Grafana se comportent comme sur le LAN.
- Installez un Connector sur la machine Home Assistant, ou sur n’importe quelle machine toujours allumée du même réseau — un Raspberry Pi, un NAS, un petit VPS sur le LAN. Une ligne depuis Obtenir la commande d’installation dans l’espace web ; il établit une connexion sortante et n’écoute jamais.
- Ajoutez le site. Dans l’espace web, ouvrez la carte Sites internes (à côté de Sauvegardes) → Ajouter un site. Choisissez le Connector et saisissez l’adresse telle que cette machine la voit —
http://localhost:8123si le Connector est sur l’hôte HA, ouhttp://10.0.0.5:8123depuis une autre machine. Cochez « Le site interne utilise https » si votre tableau de bord sert du TLS (un certificat auto-signé convient). - Ajouter et ouvrir. Le tableau de bord s’ouvre dans un nouvel onglet à son adresse
termal.ink. Vous y êtes connecté pour 12 heures ; l’adresse seule ne laisse entrer personne d’autre.
Seules les adresses privées sont autorisées — localhost, 10.x, 172.16–31.x, 192.168.x, link-local, la plage 100.64/10 de Tailscale, IPv6 ULA — et une adresse publique est refusée par conception.
Partager avec un proche pendant 7 jours
Depuis l’espace web, partagez le site avec une adresse e-mail, pour 24 heures ou 7 jours (jusqu’à 25 personnes sur un lien à la fois ; repartager prolonge l’accès). La personne reçoit un e-mail d’invitation et se connecte avec un code à 6 chiffres — aucun compte Termalin à créer. Elle ne voit que ce seul tableau de bord, et à l’expiration du partage sa session prend fin. Vous pouvez Retirer une personne ou Désactiver le lien entièrement, et chaque ouverture apparaît dans le journal d’activité du site. Le partage nécessite un forfait payant ; l’essai permet d’ouvrir des sites mais pas de les partager.
Quand choisir autre chose
- Uniquement Home Assistant, et vous le voulez sans friction → Nabu Casa, et vous soutenez le projet.
- Vous avez un domaine et voulez une URL durable, éventuellement publique → Cloudflare Tunnel avec une politique Access.
- Celui qui se connecte, c’est toujours vous, sur vos propres appareils → Tailscale ou WireGuard.
- Un ou deux tableaux de bord, partagés avec des personnes nommées, rien d’exposé → un site interne Termalin.
Pour le côté SSH d’un home lab derrière un NAT, voyez SSH derrière un NAT sans redirection de port et SSH vers un NAS ou un serveur domestique.