Cómo acceder a Home Assistant desde fuera de casa gratis con Cloudflare Tunnels

Una de las preguntas que más nos han hecho desde que montamos nuestro propio servidor Home Assistant es cómo controlarlo desde fuera de casa sin pagar la suscripción de Home Assistant Cloud ni abrir puertos directamente en el router, algo que desaconsejamos salvo que sepas exactamente lo que haces en términos de seguridad. Tras probar varias alternativas (VPN, DuckDNS con reenvío de puertos, Nabu Casa), la que mejor combinación de seguridad, estabilidad y coste cero nos ha dado ha sido Cloudflare Tunnels. En esta guía explicamos cómo configurarlo paso a paso.

¿Qué es Cloudflare Tunnel y por qué es mejor que abrir puertos?

Cloudflare Tunnel crea una conexión saliente y cifrada desde tu servidor Home Assistant hacia la red de Cloudflare, sin necesidad de abrir ningún puerto de entrada en tu router. Esto es una diferencia de seguridad enorme frente al método clásico de reenvío de puertos (port forwarding): con el túnel, tu router no expone ningún servicio directamente a internet, lo que elimina buena parte de la superficie de ataque que sí existe cuando abres el puerto 8123 a lo bruto.

Además, al pasar por la red de Cloudflare obtienes de serie:

• Certificado SSL/TLS válido y renovado automáticamente (adiós a los avisos de «conexión no segura»).
• Protección básica contra ataques DDoS.
• Posibilidad de añadir autenticación adicional mediante Cloudflare Access (recomendable si quieres una capa extra de seguridad antes incluso de llegar al login de Home Assistant).

Y todo esto sin coste, dentro del plan gratuito de Cloudflare.

Requisitos previos

• Un dominio propio (puede ser barato, de cualquier registrador). Cloudflare Tunnel necesita un dominio gestionado por Cloudflare; no funciona con subdominios gratuitos tipo DuckDNS.
• Cuenta gratuita en Cloudflare, con el dominio ya añadido y sus nameservers apuntando a Cloudflare.
• Home Assistant OS con el complemento de Cloudflare Tunnel disponible en la tienda de complementos, o bien la opción de instalarlo mediante cloudflared si usas Home Assistant Container.

Paso 1: Añadir tu dominio a Cloudflare

Si aún no lo has hecho, entra en el panel de Cloudflare, pulsa «Añadir un sitio», introduce tu dominio y sigue el asistente. Cloudflare te dará dos servidores de nombres (nameservers) que debes configurar en tu proveedor de dominio (donde lo compraste). Este cambio puede tardar entre unos minutos y unas horas en propagarse; en nuestra experiencia, normalmente está activo en menos de una hora.

Paso 2: Crear el túnel desde el panel de Cloudflare Zero Trust

1. Accede al panel de Cloudflare Zero Trust (dentro de tu cuenta de Cloudflare, en la sección «Zero Trust»).
2. Ve a Networks > Tunnels y pulsa «Create a tunnel».
3. Elige el tipo «Cloudflared» y ponle un nombre descriptivo, por ejemplo homeassistant.
4. Cloudflare te mostrará un token de conexión. Guárdalo, lo necesitarás en el siguiente paso. No lo compartas con nadie: ese token da acceso directo a crear rutas hacia tu red.

Paso 3: Instalar y configurar el complemento en Home Assistant

1. En Home Assistant, ve a Ajustes > Complementos > Tienda de complementos y busca «Cloudflared» (o «Cloudflare Tunnel», según el repositorio de complementos que tengas añadido; si no aparece, añade el repositorio de complementos de terceros correspondiente desde la documentación oficial del proyecto).
2. Instala el complemento y accede a su configuración.
3. Pega el token del túnel obtenido en el paso anterior.
4. Inicia el complemento y revisa el registro (log): en cuanto veas mensajes de conexión establecida, el túnel ya está activo del lado de tu servidor.

Paso 4: Configurar la ruta pública (hostname)

1. Vuelve al panel de Cloudflare Zero Trust, dentro del túnel que has creado.
2. En la pestaña «Public Hostname», pulsa «Add a public hostname».
3. Introduce el subdominio que quieras usar, por ejemplo casa.tudominio.com.
4. Como tipo de servicio, selecciona HTTP y en la dirección introduce:

homeassistant:8123

o la IP local de tu servidor Home Assistant seguida del puerto 8123, si el nombre de host homeassistant no resuelve correctamente en tu red.

5. Guarda los cambios. En cuestión de segundos, tu Home Assistant será accesible públicamente desde https://casa.tudominio.com, con certificado válido incluido.

Paso 5: Ajustar la configuración de Home Assistant para confiar en el proxy

Para que Home Assistant acepte correctamente las conexiones que llegan a través del túnel, es necesario declarar el proxy como origen de confianza en el archivo configuration.yaml:

yaml

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 172.30.33.0/24

Guarda el archivo y reinicia Home Assistant. Sin este ajuste, es habitual encontrarse con errores del tipo «400: Bad Request» al intentar acceder desde fuera, algo que nos pasó la primera vez que lo configuramos y que se soluciona exactamente con este cambio.

Paso 6 (opcional pero recomendado): Añadir una capa extra con Cloudflare Access

Si quieres protección adicional antes incluso de llegar a la pantalla de login de Home Assistant —muy recomendable si compartes el enlace con familiares o simplemente quieres dormir tranquilo—, puedes activar Cloudflare Access sobre ese mismo hostname:

1. En Zero Trust, ve a Access > Applications y crea una nueva aplicación de tipo «Self-hosted».
2. Selecciona el dominio casa.tudominio.com que configuraste antes.
3. Define una política de acceso, por ejemplo, permitir solo direcciones de correo concretas (las tuyas y las de tu familia) mediante verificación por código de un solo uso (OTP) enviado por email.

Con esto, cualquiera que intente acceder a la URL deberá primero verificar su identidad mediante Cloudflare antes de siquiera ver la pantalla de login de Home Assistant.

Comparativa rápida frente a otras opciones de acceso remoto

En nuestra experiencia, Cloudflare Tunnel ofrece el mejor equilibrio para quien no quiere pagar una suscripción mensual pero tampoco quiere renunciar a la seguridad de una VPN, con la ventaja añadida de que el acceso es directo desde el navegador, sin necesidad de conectar una app de VPN en el móvil cada vez.

Conclusión

Configurar Cloudflare Tunnel lleva, si sigues los pasos con calma, entre 20 y 30 minutos la primera vez. A cambio obtienes acceso remoto cifrado, con certificado válido y sin exponer ningún puerto de tu router directamente a internet, todo dentro del plan gratuito de Cloudflare. Es, con diferencia, la solución que recomendamos hoy en día a cualquiera que nos pregunta cómo entrar a su Home Assistant desde el trabajo o de viaje sin pagar cuotas mensuales ni comprometer la seguridad de su red doméstica.