Home Assistant: backup, sicurezza e manutenzione professionale nel tempo

Un sistema domotico che dura nel tempo

Installare Home Assistant è solo il primo passo. La vera sfida — quella che distingue un’installazione professionale da una hobbistica — è mantenerlo nel tempo: funzionante, sicuro, aggiornato, e pronto a ripristinarsi rapidamente in caso di guasto.

Un sistema domotico è infrastruttura critica: controlla luci, clima, sicurezza. Un’interruzione imprevista non è tollerabile come lo è per un’app smartphone. Per questo, backup, sicurezza informatica e manutenzione programmata non sono optional — sono parte integrante di ogni installazione professionale Domus Tech.

Backup: la rete di sicurezza indispensabile

Cosa includono i backup di Home Assistant

Il backup nativo di HA (file .tar) contiene:

• Configurazione completa (tutti i file YAML, integrazioni, automazioni)
• Database storico (sensori, eventi, statistiche energetiche)
• Add-on e loro configurazioni (Frigate, Mosquitto, Node-RED, ecc.)
• Certificati SSL e chiavi crittografiche
• Dashboard e temi
• Credenziali e token di autenticazione

Un backup completo di un sistema tipico pesa 500 MB – 3 GB (dipende dalla dimensione del database storico e dalle telecamere configurate in Frigate).

Strategia di backup professionale: 3-2-1

La regola 3-2-1 è lo standard del settore:

• 3 copie dei dati
• 2 media diversi (es. disco locale + rete)
• 1 copia offsite (fuori casa/ufficio)

Come implementiamo questo in HA:

• Copia 1: backup automatico giornaliero sull’SSD locale del server HA (retention 7 giorni)
• Copia 2: sincronizzazione automatica su NAS di rete (retention 30 giorni)
• Copia 3: upload automatico su cloud storage sicuro — Google Drive, Dropbox, Samba condiviso (retention 90 giorni)

L’automazione di backup si configura tramite l’add-on Auto Backup o tramite addon Google Drive Backup. Ogni backup viene notificato via push all’amministratore; se il backup fallisce, viene inviato un alert di errore.

Backup del database a lungo termine

Il database interno di HA (SQLite o MariaDB) cresce nel tempo con i dati storici dei sensori. Strategie:

• Purge automatica dei dati grezzi > 30 giorni (HA mantiene le statistiche aggregate)
• Export periodico su InfluxDB per analisi storica illimitata
• Backup del database MariaDB separato dal backup HA

Test di ripristino

Un backup non testato non è un backup affidabile. In ogni installazione professionale includiamo:

• Test di ripristino completo alla prima installazione (verifica che il backup sia valido)
• Test annuale di ripristino su hardware identico o nuovo
• Documentazione della procedura di ripristino con tempi stimati

L’obiettivo RTO (Recovery Time Objective) per un’installazione residenziale è <2 ore. Per una struttura commerciale <4 ore con hardware di ricambio pre-configurato.

Sicurezza informatica: proteggere il gateway della smart home

Un sistema HA connesso a internet è potenzialmente accessibile da chiunque se mal configurato. Le misure di sicurezza che applichiamo sistematicamente:

Autenticazione forte

• Password robusta per l’account admin HA (min 16 caratteri, alfanumerici + simboli)
• Multi-Factor Authentication (MFA): TOTP (Google Authenticator/Authy) abilitato per l’account admin
• Account separati per utenti diversi (admin, utente normale, sola lettura)
• Application Passwords per integrazioni API (non la password principale)
• Trusted networks: la rete locale non richiede MFA, le connessioni esterne sì

Accesso remoto sicuro

HA non deve mai essere esposto direttamente a internet su porte pubbliche. Le opzioni sicure:

• Nabu Casa (Home Assistant Cloud): tunnel crittografato gestito dagli sviluppatori HA. 6€/mese, zero configurazione di rete, certificato SSL gestito automaticamente. La scelta più semplice e sicura per utenti non tecnici.
• WireGuard VPN: VPN moderna, crittografata, installata come add-on HA. L’utente si connette via VPN prima di accedere a HA. Gratuita, sicura, ma richiede configurazione del router.
• Tailscale: VPN mesh moderna basata su WireGuard, con setup semplificato tramite account Tailscale. Add-on disponibile per HAOS.
• Reverse proxy (NGINX/Traefik): per utenti avanzati che gestiscono la propria infrastruttura. Richiede certificato SSL valido (Let’s Encrypt), configurazione hardening HTTP.

Non raccomandiamo MAI l’esposizione diretta di HA su internet tramite port forwarding senza reverse proxy hardened — è il vettore di attacco più comune.

Sicurezza della rete IoT

• VLAN IoT separata: i dispositivi smart home non comunicano con i PC della rete principale
• Firewall regole: la VLAN IoT può accedere a HA ma non a internet (eccetto per gli update)
• Telecamere in VLAN separata: nessun accesso internet diretto dalle telecamere
• Password predefinite cambiate: ogni dispositivo IoT ha password unica generata
• Aggiornamenti firmware: tutti i dispositivi vengono aggiornati prima dell’installazione e monitorati per CVE

Certificati SSL e HTTPS

La connessione a HA deve sempre avvenire tramite HTTPS. In installazioni con accesso locale diretto (senza Nabu Casa):

• Certificato Let’s Encrypt con rinnovo automatico (add-on Certbot/NGINX Proxy Manager)
• Nome di dominio DNS locale o dinamico per il server HA
• HSTS abilitato per prevenire downgrade attacchi

Monitoraggio di sicurezza

• Alert su tentativi di login falliti multipli (possibile brute force)
• Notifica su nuovo dispositivo aggiunto alla rete IoT
• Alert su dispositivo offline anomalo (possibile disconnessione forzata)
• Log di accesso conservati 30 giorni

Manutenzione programmata: il sistema nel tempo

Aggiornamenti Home Assistant

HA rilascia aggiornamenti ogni due settimane (patch release) e major update ogni 2-3 mesi. Come li gestiamo nelle installazioni professionali:

• Patch release: aggiornamento entro 2 settimane, previa lettura delle release notes per breaking changes
• Major release: test su ambiente staging (sistema identico ma non in produzione), poi aggiornamento programmato in finestra di manutenzione (sera/weekend)
• Pre-aggiornamento: backup completo automatico prima di ogni aggiornamento
• Post-aggiornamento: verifica funzionalità critiche (luci, clima, accessi), risposta automazioni di test
• Rollback: procedure documentate per tornare alla versione precedente in < 30 minuti se necessario

Aggiornamenti dispositivi e firmware

• Firmware telecamere: aggiornamento semestrale o a fronte di CVE critici
• Firmware inverter FV: aggiornamento annuale o alla disponibilità di fix significativi
• OTA ZigBee/Z-Wave: aggiornamento firmware dei dispositivi con OTA disponibile tramite Z2M/ZHA
• Add-on HA: aggiornamento mensile dei componenti aggiuntivi

Health check mensile

Un controllo di salute mensile comprende:

• Verifica di tutti i dispositivi online (alert su quelli offline)
• Verifica spazio disco disponibile (server + NAS)
• Verifica ultimo backup completato con successo
• Verifica certificati SSL (scadenza)
• Verifica automazioni critiche (test di esecuzione)
• Revisione log di errori (integrazioni con errori ripetuti)

Revisione annuale

Una revisione annuale approfondita include:

• Audit di sicurezza (password, accessi, VLAN)
• Ottimizzazione del database (pulizia, compattazione)
• Verifica dello stato fisico dell’hardware (temperatura, ventilazione)
• Aggiornamento della documentazione tecnica
• Valutazione di nuove funzionalità HA rilevanti per l’installazione
• Test di ripristino da backup

Hardware reliability: prevenire i guasti

SSD vs SD card

L’errore più comune nelle installazioni fai-da-te è usare una scheda microSD come storage per HA. Le SD card non sono progettate per scritture continue — si degradano in 6-18 mesi con HA attivo. Risultato: sistema non avviabile, dati persi.

In ogni installazione professionale usiamo esclusivamente SSD NVMe o SATA di qualità (Samsung, Western Digital, Kingston) su hardware adeguato. La vita attesa è 5-10 anni con carichi normali.

UPS per continuità

Un gruppo di continuità (UPS) per il server HA e i dispositivi di rete critici (switch, AP, router) garantisce:

• Continuità operativa durante le micro-interruzioni (< 30 secondi) più comuni
• Shutdown ordinato del server durante interruzioni prolungate (HA include integrazione UPS via NUT)
• Protezione da picchi di tensione

Un UPS da 300-500W (es. APC Back-UPS 700VA) offre 15-30 minuti di autonomia per server + networking — sufficiente per sopportare la maggior parte delle interruzioni.

Temperature e ventilazione

Il server HA deve essere installato in un luogo ventilato, lontano da fonti di calore. La temperatura ideale è <40°C. HA monitora la temperatura CPU e può inviare alert se supera soglie definite.

FAQ su backup, sicurezza e manutenzione di HA

Con quale frequenza devo fare il backup?

Per installazioni in produzione raccomandiamo backup automatici giornalieri, con retention di 30 giorni. I backup aumentano a settimanali per i dati su cloud (per limitare il traffico/spazio).

Nabu Casa è sicuro?

Nabu Casa è sviluppata dalla stessa azienda che sviluppa Home Assistant. Il tunnel usa TLS crittografato, i dati non vengono conservati sui server Nabu Casa. È considerata una delle opzioni più sicure per l’accesso remoto a HA.

Cosa succede se il server HA si rompe?

Con backup recente e hardware di ricambio (o equivalente), il ripristino richiede 30-120 minuti: installare HAOS sul nuovo hardware, ripristinare il backup, riavviare. Per minimizzare i downtime, in installazioni critiche manteniamo un hardware di ricambio pre-configurato.

Devo preoccuparmi degli aggiornamenti di HA?

Sì, ma non con ansia eccessiva. HA è generalmente stabile e gli aggiornamenti sono ben documentati. In installazioni professionali il processo è controllato e testato. Non aggiornare mai in produzione senza prima fare un backup.

Quanto costa il contratto di manutenzione?

Il costo dipende dalla complessità del sistema e dal livello di servizio richiesto. Orientativamente: installazioni residenziali 500-1.500€/anno, installazioni commerciali 1.500-5.000€/anno. Include aggiornamenti programmati, supporto remoto (risposta entro 4-24 ore), 1-2 interventi on-site/anno.