O que você vai precisar
Passo a passo
1. Decida se DuckDNS é mesmo o caminho certo
Antes de abrir porta no roteador, compare com Nabu Casa ou VPN. DuckDNS funciona bem para quem aceita cuidar de certificado, porta, roteador e segurança. Se você quer o caminho mais simples e com menor chance de erro, Nabu Casa costuma ser melhor.
2. Faça backup completo
Crie um backup completo em Configurações > Sistema > Backups. Configuração de acesso remoto mexe com URL externa, HTTPS e arquivos de certificado. Backup é sua volta para casa se a interface ficar inacessível.
3. Crie domínio e copie o token no DuckDNS
Entre no DuckDNS, crie um subdomínio e copie o token. O domínio ficará no formato seu-nome.duckdns.org. Escolha algo discreto, sem endereço, sobrenome completo ou pista óbvia da residência.
Dica: Não use dominio como apartamento-1203-familia-silva. Segurança também começa por não entregar contexto de graça.4. Instale o app DuckDNS no Home Assistant
Abra Configurações > Apps, instale DuckDNS e configure domínio, token e Let’s Encrypt. O app oficial do Home Assistant atualiza o IP público e pode criar ou renovar certificados automaticamente.
5. Aceite os termos do Let’s Encrypt
Na configuração do app, habilite Let’s Encrypt e aceite os termos. Informe certfile e keyfile, normalmente fullchain.pem e privkey.pem. Esses arquivos serão usados pelo Home Assistant para servir HTTPS.
6. Configure HTTPS no Home Assistant
Configure o Home Assistant para usar os certificados gerados. Em instalações baseadas em YAML, isso costuma ficar em http com sslcertificate e sslkey apontando para /ssl/fullchain.pem e /ssl/privkey.pem. Depois reinicie.
Dica: Se você errar caminho de certificado, a interface pode não abrir em HTTPS. Tenha acesso local e backup antes de reiniciar.7. Redirecione a porta no roteador
No roteador, redirecione porta externa 443 para o IP local do Home Assistant na porta configurada. Algumas instalações usam 443 externo para 8123 interno; outras usam 8123 externo. Prefira 443 para URL mais limpa, desde que você entenda o mapeamento.
8. Configure URLs interna e externa
Em Configurações > Sistema > Rede, defina URL externa como https://seu-dominio.duckdns.org e URL interna como o endereço local do Home Assistant. Isso evita que o app Companion tente sair para internet quando você está dentro de casa.
9. Ative autenticação multifator
Abra seu perfil de usuário e habilite MFA com app autenticador. Acesso remoto sem MFA é economia errada. A senha protege uma camada; o segundo fator protege quando a senha vaza, é reutilizada ou foi fraca desde o começo.
10. Teste usando dados móveis
Desligue o Wi-Fi do celular e acesse o domínio DuckDNS por dados móveis. Confira se o navegador mostra cadeado HTTPS, se o login aparece corretamente e se o app Companion conecta pela URL externa.
11. Revise logs e tentativas de login
Depois de algumas horas, confira logs de autenticação. Tentativas desconhecidas, erros repetidos e IPs estranhos merecem atenção. Expor Home Assistant na internet não é configurar e esquecer.
12. Documente como voltar ao acesso local
Anote o IP local, o domínio, a porta redirecionada, o nome dos arquivos de certificado e o caminho para desabilitar HTTPS se der errado. A pior hora para descobrir isso é quando você está trancado fora da própria interface.
A casa inteligente inteira depende de nomes. Nome da rede, nome do servidor, nome do domínio. Do lado de fora, o mundo também precisa de um nome para achar seu Home Assistant. DuckDNS entra aí: ele aponta um subdomínio para o IP público da sua casa, mesmo quando o provedor troca esse IP no meio da semana.
O detalhe sensorial aparece no navegador: o cadeado ao lado da URL. Sem ele, você está mandando login por uma conexão sem a proteção certa. Com Let’s Encrypt, esse cadeado deixa de ser luxo e vira requisito básico para acesso remoto. Só não confunda certificado com segurança completa. HTTPS protege o caminho; não decide quem deve entrar.
DNS dinâmico#
DuckDNS é um serviço de DNS dinâmico gratuito. Ele mantém um domínio, como minhacasa.duckdns.org, apontando para o IP público atual da sua conexão. Como muitos provedores residenciais trocam IP periodicamente, o app DuckDNS dentro do Home Assistant atualiza esse endereço de tempos em tempos.
Sem DNS dinâmico, você dependeria de lembrar um IP como 189.73.42.10, que pode mudar amanhã. Com DuckDNS, você usa um nome estável. É simples e funciona. A parte sensível não é o DuckDNS em si; é abrir uma porta da sua casa para a internet.
Certificado TLS#
Let’s Encrypt fornece certificados gratuitos para HTTPS. No app DuckDNS do Home Assistant, há suporte para gerar e renovar esses certificados automaticamente. Isso permite acessar https://seu-dominio.duckdns.org com criptografia válida, sem aviso vermelho no navegador.
O certificado prova que a conexão com aquele domínio está criptografada e vinculada àquele nome. Ele não prova que sua senha é boa. Não prova que MFA está ligado. Não prova que o roteador está seguro. É uma peça necessária, não um escudo mágico.
Porta externa#
Para o acesso funcionar, o roteador precisa encaminhar tráfego externo para o Home Assistant. Normalmente, usa-se porta 443 externa para HTTPS. Ela pode apontar para a porta 8123 interna do Home Assistant ou para a porta configurada no próprio serviço. O desenho depende do roteador e da configuração.
Aqui mora um risco real: redirecionar porta errada, expor outro serviço, deixar painel administrativo aberto ou criar regra ampla demais. Faça uma regra específica. Origem externa para IP do Home Assistant, porta definida, protocolo TCP. Nada de DMZ para o Mini PC. DMZ em servidor de automação residencial é atalho para arrependimento.
CGNAT#
Muitos provedores usam CGNAT, o que significa que sua casa não recebe um IP público diretamente roteável. Se for esse o caso, DuckDNS atualiza um IP que não chega ao seu roteador, e o acesso externo por porta simplesmente não funciona. Você configura tudo certo e nada abre.
O teste é comparar o IP WAN mostrado no roteador com o IP público visto por serviços externos. Se forem diferentes, há boa chance de CGNAT. A saída pode ser pedir IP público ao provedor, usar Nabu Casa, VPN com relay, Tailscale, ZeroTier ou outro método que não dependa de porta aberta direta.
HTTPS interno e externo#
Quando você ativa HTTPS no Home Assistant, o acesso local também pode mudar. Antes, http://192.168.1.50:8123 abria sem drama. Depois, talvez você precise usar https://192.168.1.50:8123 e aceitar aviso de certificado, ou manter URL interna separada para o app Companion.
Esse é o ponto em que muita gente acha que quebrou tudo. Na verdade, mudou o modo de acesso. Configure URL interna e externa corretamente em Sistema > Rede. Assim, dentro de casa o app usa endereço local; fora, usa o domínio DuckDNS.
Autenticação multifator#
MFA é obrigatório na prática, mesmo que a tela deixe você não usar. Home Assistant exposto na internet com senha única é uma porta com fechadura simples. Ative segundo fator por aplicativo autenticador e guarde códigos de recuperação. Isso reduz muito o estrago se a senha vazar.
Senha também precisa ser decente. Nada de nome do cachorro, telefone, data de nascimento ou variação de senha usada em e-commerce. Use gerenciador de senhas. Se a casa tem fechadura, alarme, câmeras ou presença conectados ao Home Assistant, trate a credencial como chave física.
Trusted networks#
Trusted networks e login automático podem ser úteis dentro de rede local controlada, mas são péssima ideia quando mal configurados perto de acesso externo. Não crie exceções amplas para ranges que você não entende. Não libere autenticação por IP público. Não tente “facilitar” o login sacrificando a barreira principal.
Acesso remoto seguro não deve depender de sorte. Deve depender de camadas: HTTPS, senha forte, MFA, usuário sem privilégios quando possível, logs revisados e atualização em dia.
Nabu Casa ou DuckDNS#
DuckDNS é gratuito e transparente. Você controla domínio, porta, certificado e roteador. Nabu Casa custa assinatura, mas elimina boa parte do trabalho, evita abrir porta manualmente e ainda integra Alexa/Google de forma simples. Para usuário que não quer virar administrador de rede, Nabu Casa costuma ser o caminho mais honesto.
Eu usaria DuckDNS em casa própria, com roteador que conheço, MFA ligado e disposição para manter. Em casa de cliente sem contrato de suporte, eu pensaria muito antes. Acesso remoto mal feito é uma dívida que aparece no pior dia.
Teste fora da rede#
O teste válido é fora do Wi-Fi. Use 4G/5G do celular. Acesse o domínio, veja o cadeado, faça login, abra dashboard, acione algo não crítico e confirme que o app Companion sincroniza. Se funciona apenas dentro do Wi-Fi, você testou loopback do roteador, não acesso remoto real.
Depois teste de novo no dia seguinte. IP dinâmico, renovação de certificado e reinício de roteador são onde problemas aparecem. A configuração boa sobrevive a uma noite, uma queda de internet e um reboot do Home Assistant.
Monitoramento depois da abertura#
A configuração não termina quando a tela abre fora de casa. Revise logs de login, mantenha Home Assistant atualizado, remova usuários antigos, desative conta de teste e não exponha outros serviços junto. A internet não precisa saber que você tem Grafana, InfluxDB, Zigbee2MQTT e painel de roteador.
Se começar a ver tentativas estranhas, mude senha, revise usuários, confirme MFA e considere fechar a porta e migrar para Nabu Casa ou VPN. Segurança boa é a que aceita recuar quando o risco cresce.
Plano de recuperação#
Guarde instrução de emergência: como acessar localmente, como desativar SSL no configuration.yaml, onde ficam fullchain.pem e privkey.pem, qual porta está aberta no roteador, qual domínio foi usado e onde está o token DuckDNS. Isso não é burocracia. É o mapa para sair do buraco.
Também tenha usuário administrador local com MFA configurado, mas documentado. Em projeto familiar, deixe uma pessoa de confiança saber onde estão os códigos de recuperação. Casa inteligente não pode depender de uma única memória.
Quando não usar DuckDNS#
Não use DuckDNS se você não consegue acessar o roteador, se está sob CGNAT sem solução, se não quer ativar MFA, se usa senha fraca ou se não entende qual porta está abrindo. Nesses casos, Nabu Casa ou VPN gerenciada são escolhas melhores.
DuckDNS é uma ferramenta boa para quem assume a parte de rede. O problema não é o serviço. O problema é abrir a porta da casa e chamar isso de configuração concluída.
DuckDNS com Let’s Encrypt funciona e custa zero em software. Mas o preço vem em responsabilidade: porta certa, certificado válido, MFA ligado, logs observados e plano de recuperação. Sem essas camadas, o cadeado do navegador fica bonito demais para o risco que ficou por trás.