Home Assistant buitenshuis op je horloge: lokale URL, externe URL, Home Assistant Cloud en VPN’s

Het korte antwoord

Thuis heeft AmazHA, een Home Assistant-app voor Amazfit-horloges, alleen je lokale adres nodig, zoals http://192.168.1.50:8123, en hoeft er niets van buitenaf bereikbaar te zijn. Buitenshuis heeft je telefoon een extern adres nodig dat hij kan bereiken: Home Assistant Cloud, een VPN zoals Tailscale of WireGuard, of je eigen domein met HTTPS. Vul ze allebei in, en AmazHA kiest zelf het adres dat werkt.

Thuis heb je niets extra’s nodig

Op je thuisnetwerk is het enige adres dat AmazHA nodig heeft het adres dat je thuis al gebruikt om Home Assistant in een browser te openen. Dat is het veld Lokale URL (LAN) in de AmazHA-instellingen, en het is op zichzelf genoeg: geen abonnement, geen VPN, geen domein, geen open poort op je router.

AmazHA heeft in zijn instellingen twee adresvelden: Lokale URL (LAN) en Externe URL. Elk van de twee mag leeg blijven. Gebruik je het horloge alleen thuis, vul dan het lokale in, laat het externe leeg, en je bent klaar. Je kunt later een extern adres toevoegen, op de dag dat je wilt dat het horloge ook op kantoor of op vakantie werkt, zonder iets anders aan te raken.

De velden staan in de Zepp-app, onder Profiel › je horloge › Apps › AmazHA › Instellingen › Home Assistant. Ze verschijnen zodra de volledige versie is ontgrendeld (een eenmalige ontgrendeling, geen abonnement): de gratis versie is een live demo met voorbeeldgegevens en maakt geen verbinding met een server. De tutorial Home Assistant koppelen laat de stap met het lokale adres zien in de video.

Een typisch lokaal adres ziet er zo uit (voorbeelden, gebruik je eigen):

http://192.168.1.50:8123
http://homeassistant.local:8123

Typ je bij Lokale URL (LAN) een adres zonder http:// of https://, dan zet AmazHA er http:// voor, omdat lokale servers meestal gewoon http spreken.

Waarom je telefoon Home Assistant moet bereiken

Het horloge praat nooit zelf met Home Assistant. Het praat via Bluetooth met je telefoon, en het deel van AmazHA dat in de Zepp-app op de telefoon draait, is het enige deel dat verzoeken naar je server stuurt. De vraag “kan mijn horloge Home Assistant bereiken?” is dus eigenlijk “kan mijn telefoon Home Assistant bereiken, nu, vanaf waar hij is?”

Dat heeft een paar praktische gevolgen:

• Het horloge heeft geen wifi nodig. Het maakt voor AmazHA nooit verbinding met een netwerk. Een horloge met alleen Bluetooth werkt net zo.
• De telefoon moet in de buurt zijn, met Bluetooth aan en de Zepp-app actief. Is dat niet zo, dan zegt het horloge Offline · Telefoon reageert niet, en dat is een ander probleem dan een verkeerd adres (zie problemen oplossen, stap 2).
• Het netwerk waar de telefoon op zit, bepaalt welk adres werkt. Op je wifi thuis werkt het lokale adres. Op mobiele data, bij vrienden of op de wifi van een hotel kan alleen een extern adres werken, en alleen als de telefoon het van daaruit kan bereiken.
• Een VPN moet op de telefoon verbonden zijn, niet op het horloge. Het horloge weet er niets van.
• Je token blijft op de telefoon. Je plakt een langdurig toegangstoken één keer in de AmazHA-instellingen. Het horloge ontvangt alleen wat het toont, via de Bluetooth-verbinding die het al met de telefoon heeft; het token wordt er nooit naartoe gestuurd.

Dat verklaart een verwarrend beeld: de instellingen zeggen Verbonden en het horloge zegt Offline. De instellingen testen alleen de route van de telefoon naar Home Assistant; het horloge heeft ook de Bluetooth-route naar de telefoon nodig.

Hoe AmazHA het adres kiest

AmazHA kiest het adres zelf, eerst lokaal, dan extern. Er is geen schakelaar die je moet omzetten als je het huis verlaat, en je kiest nooit met de hand tussen de twee velden.

Met één adres

Is maar één veld ingevuld, dan gebruikt AmazHA dat gewoon. Er wordt niets afgetast en niets omgeschakeld. Een opstelling met alleen een lokaal adres werkt thuis en toont buitenshuis de banner Offline; een opstelling met alleen een extern adres werkt overal waar de telefoon dat adres kan bereiken.

Met beide adressen

Zijn beide velden ingevuld, dan vraagt de telefoon aan beide adressen tegelijk of Home Assistant antwoordt, met een korte tijdslimiet van 1,5 seconde. Antwoordt het lokale adres, dan gebruikt AmazHA dat. Antwoordt alleen het externe, dan gebruikt het dat. De winnaar wordt onthouden, zodat latere verzoeken er direct naartoe gaan zonder het opnieuw te vragen.

De controle is strenger dan “er antwoordde iets”. Een adres telt alleen als het antwoordt als de Home Assistant-API. Dat telt op andermans netwerken: op de wifi van een hotel kan 192.168.1.50 een printer zijn, een routerpagina of een captive portal die met een webpagina antwoordt. AmazHA ziet dat niet aan voor je server, dus het blijft niet hangen op je lokale adres terwijl het echte antwoord je externe adres is.

Van huis gaan en terugkomen

Het onthouden adres blijft staan tot een verzoek ernaar mislukt. Verlaat je het huis en valt de telefoon van je wifi, dan mislukt het volgende verzoek naar het lokale adres, vergeet AmazHA het, en vraagt de poging daarna opnieuw aan beide adressen en komt uit bij het externe. Zolang de AmazHA-app open is, ververst het horloge elke 8 seconden, dus in de praktijk kan de eerste verversing na de overstap mislukken en kort de banner Offline tonen, en herstelt de volgende het.

Thuiskomen werkt andersom, en stiller: werkt je externe adres ook vanuit je eigen netwerk, dan blijft AmazHA het gebruiken tot een verzoek mislukt of je opnieuw op Verbinden tikt. Er is niets mis als dat gebeurt; het externe adres werkt gewoon nog.

De adressen invullen

Een paar details zijn het waard om te kennen als je de velden invult:

• Niets na het serveradres. http://192.168.1.50:8123, niet http://192.168.1.50:8123/lovelace. Hetzelfde geldt voor het externe: https://xxxxx.ui.nabu.casa, niet https://xxxxx.ui.nabu.casa/lovelace. Staat er nog een pad achter, dan antwoordt het adres wel, maar niet als de Home Assistant-API.
• Het schema. Zonder getypt schema krijgt Lokale URL (LAN) http:// en Externe URL https://. Typ zelf http:// als een extern adres echt gewoon http is (bijvoorbeeld een VPN-adres).
• De poort. Houd de poort aan als je adres er een nodig heeft, zoals in :8123. Zonder poort betekent https:// 443.
• Eén token voor allebei. Plak het één keer bij Langdurig toegangstoken; het dient voor het lokale en het externe adres. Beide adressen moeten naar dezelfde Home Assistant leiden.

De tutorial Home Assistant koppelen behandelt de stap met het externe adres, en stap 8 de test die erop volgt.

De mogelijkheden voor toegang op afstand vergeleken

Elk extern adres werkt met AmazHA, zolang de telefoon het kan openen vanaf waar hij is en het antwoordt als de Home Assistant-API. Welke je gebruikt, is een keuze voor Home Assistant, niet voor AmazHA. Hier staan de gangbare naast elkaar.

Home Assistant Cloud (binnenkort Home Assistant Link)

Home Assistant Cloud is de abonnementsdienst van Nabu Casa; de abonnementen financieren de voltijdse ontwikkeling van Home Assistant. De eigen documentatie van Home Assistant noemt het voor de meeste mensen de eenvoudigste optie: er zijn geen open poorten op de router nodig, het versleutelt het verkeer, en het maakt een unieke externe URL voor je aan.

Voor AmazHA is die externe URL alles wat je nodig hebt: kopieer hem, zoals Home Assistant hem toont, naar Externe URL, zonder iets erachter. Je langdurig toegangstoken werkt er net zo goed mee als op je lokale adres, want beide leiden naar dezelfde server.

Op 2 oktober 2026 kondigde Nabu Casa aan dat Home Assistant Cloud op 2 december 2026 wordt hernoemd tot Home Assistant Link. Volgens de aankondiging is het hetzelfde abonnement onder een nieuwe naam en hoef je niets te doen. Er wordt geen adreswijziging genoemd, dus er valt vandaag in AmazHA niets te veranderen.

Een VPN: Tailscale, WireGuard en andere

Een VPN zet je telefoon virtueel op je thuisnetwerk, waar hij ook is. De documentatie van Home Assistant noemt VPN-diensten zoals Tailscale en ZeroTier One als veilige toegang, en wijst op het addertje: de VPN moet verbonden zijn voordat er iets Home Assistant van buitenaf kan bereiken. Voor AmazHA betekent dat dat de VPN op de telefoon verbonden moet zijn. Valt hij weg, dan toont het horloge Offline · Home Assistant onbereikbaar tot hij terug is.

Bij Externe URL komt het adres dat je telefoon voor Home Assistant gebruikt terwijl de VPN aanstaat: het adres van de server binnen de VPN, of een naam die je VPN ervoor oplost. Twee details:

• Antwoordt je server daar met gewoon http, typ dan http:// voor het adres. Zonder schema zet AmazHA https:// voor het externe adres, en dat zou niet antwoorden.
• Bij sommige VPN-opstellingen wordt je thuisadres zelf, 192.168.1.50, bereikbaar via de tunnel. Dan werkt het lokale adres overal waar de VPN aanstaat, en is het externe veld een reserve voor als hij uit is.

Een VPN is de optie met de minste blootstelling: niets van je server staat open voor internet. De prijs is dat elk apparaat dat Home Assistant nodig heeft, de telefoon inbegrepen, de VPN-client moet draaien.

Je eigen domein met HTTPS: een reverse proxy of een tunnel

Met je eigen domein leidt https://ha.example.com overal vandaan naar je Home Assistant. Twee gangbare manieren om daar te komen:

• Een reverse proxy (Nginx, Caddy, Traefik of vergelijkbaar) thuis ontvangt de verzoeken op poort 443, regelt het certificaat en geeft de verzoeken door aan Home Assistant. Hij heeft een port forward op je router nodig.
• Een tunnel zoals Cloudflare Tunnel draait een kleine connector binnen je netwerk die een uitgaande verbinding met de aanbieder openhoudt, zodat er niets op je router wordt opengezet. De aanbieder levert je domein met een geldig certificaat.

In beide gevallen staat er iets voor Home Assistant dat verzoeken naar het doorstuurt, en moet Home Assistant worden verteld dat het dat kan vertrouwen. De documentatie van Home Assistant zegt uitdrukkelijk dat verzoeken van een reverse proxy worden geblokkeerd, tenzij je Trust X-Forwarded-For (X-Forwarded-For vertrouwen) aanzet en de proxy toevoegt aan Trusted proxies (vertrouwde proxy’s). Sla je dat over, dan krijgt elk verzoek via de proxy 400 Bad Request (daarover hieronder meer).

Alleen port forwarding

Een routerpoort rechtstreeks naar Home Assistant doorsturen is de meest directe manier, en degene waarover de documentatie over toegang op afstand van Home Assistant het voorzichtigst is: alleen een poort openzetten is niet veilig, het verkeer moet versleuteld zijn, en je moet de beveiligingschecklist doorlopen voordat je iets openstelt. Ze wijst ook op twee praktische valkuilen: veel internetaanbieders geven je een dynamisch IP-adres, en daarom stelt ze een dynamische DNS-naam zoals DuckDNS voor, en sommige aanbieders zetten je achter CG-NAT, waar inkomende verbindingen je helemaal niet kunnen bereiken.

Kies je deze weg, dan is het externe adres je dynamische DNS-naam met https en de poort die je hebt doorgestuurd, bijvoorbeeld https://yourname.duckdns.org:8123. Zet precies dat bij Externe URL.

HTTPS en certificaten buitenshuis

Buitenshuis is de regel in de tutorial over problemen oplossen kort: het adres heeft https met een geldig certificaat nodig. Daar zijn twee redenen voor.

De eerste is veiligheid. Je langdurig toegangstoken gaat mee met elk verzoek dat de telefoon stuurt. Over gewoon http op het open internet kan iedereen op de route het lezen, en daarmee je huis bedienen.

De tweede is dat telefoons certificaten weigeren die ze niet vertrouwen. Een zelfondertekend certificaat, gemaakt op je eigen server, is niet ondertekend door een autoriteit die de telefoon standaard vertrouwt, dus de verbinding wordt geweigerd voordat ze Home Assistant ooit bereikt. Op het horloge ziet dat eruit als elke andere onbereikbare server. De eenvoudige oplossing is een certificaat dat de telefoon al vertrouwt:

• Home Assistant Cloud en tunnels zoals Cloudflare Tunnel leveren er een voor je.
• Met je eigen domein of een dynamische DNS-naam zijn certificaten van Let’s Encrypt gratis en vertrouwd door telefoons.

Twee valkuilen vangen mensen die HTTPS instellen op Home Assistant zelf, in plaats van op een proxy ervoor:

• Het lokale adres verandert ook. Zodra Home Assistant op zijn poort HTTPS aanbiedt, antwoordt gewoon http://192.168.1.50:8123 niet meer op die poort.
• Een IP-adres past niet bij het certificaat. Een certificaat voor ha.example.com is niet geldig voor https://192.168.1.50:8123, dus dat lokale adres zakt voor de certificaatcontrole. Een reverse proxy of een tunnel voor de externe kant, met Home Assistant zelf thuis op gewoon http, voorkomt beide.

Gewoon http is normaal en prima voor het lokale adres thuis. Binnen een VPN, waarvan de tunnel al versleuteld is, kan http ook acceptabel zijn; op het open internet gebruik je https.

Veelvoorkomende fouten en wat het horloge zegt

Als er iets mis is, zegt het horloge welke verbinding faalde. De tabel toont de meldingen die met adressen te maken hebben, en de ene die erop lijkt maar het niet is.

Offline · Home Assistant onbereikbaar

De banner toont Offline, dan Home Assistant onbereikbaar · Opnieuw elke 8 s, en daaronder een korte code die de ondersteuning precies vertelt wat er misging. De gebruikelijke oorzaken: je bent weg met alleen een lokaal adres; de VPN is niet verbonden op de telefoon; het externe adres werkt thuis maar niet van buitenaf; de telefoon vertrouwt het certificaat niet; of Home Assistant zelf ligt plat of start opnieuw op. De oplossing begint altijd hetzelfde: open het adres in de browser van de telefoon, zoals hieronder beschreven. De tutorial over problemen oplossen, stap 3, toont deze melding in de video.

Verkeerd adres

Verkeerd adres betekent dat het adres antwoordde, maar met een webpagina in plaats van de Home Assistant-API. Bijna altijd heeft het adres een pad, meestal gekopieerd uit de adresbalk van de browser: https://ha.example.com/lovelace/0 in plaats van https://ha.example.com. Haal alles weg na het serveradres (en zijn poort). In de AmazHA-instellingen zegt de verbindingstest hetzelfde in eigen woorden: het adres antwoordt, maar niet met de Home Assistant-API, en hij geeft het voorbeeld van een Home Assistant Cloud-adres met en zonder /lovelace. Zie problemen oplossen, stap 4. Minder vaak leidt het adres naar iets heel anders, zoals de beheerpagina van een router.

400 Bad Request achter een reverse proxy

Loopt je externe adres via een reverse proxy of een tunnel en komt elk verzoek terug als 400 Bad Request, dan weigert Home Assistant de proxy. Zijn HTTP-integratie weigert elk verzoek met een forwarded-for-header als ze niet is verteld reverse proxy’s te vertrouwen, of als het adres van de proxy niet op haar vertrouwde lijst staat, en in beide gevallen is het antwoord 400. Het logboek van Home Assistant noemt het adres waar het verzoek vandaan kwam; in het tweede geval staat er “Received X-Forwarded-For header from an untrusted proxy”, gevolgd door dat adres.

In AmazHA toont Verbinden Fout 400 bij één adres, of een rode stip naast Extern bij beide.

De oplossing ligt aan de kant van Home Assistant. In de huidige versies staan de instellingen van de HTTP-server in de gebruikersinterface: Instellingen › Systeem › Netwerk, zet Trust X-Forwarded-For aan en voeg het adres of netwerk van de proxy toe onder Trusted proxies. Oudere versies gebruiken YAML in configuration.yaml (het adres hieronder is een voorbeeld; gebruik dat van je proxy):

http:
  use_x_forwarded_for: true
  trusted_proxies:
    - 192.168.1.10

De documentatie van de HTTP-integratie van Home Assistant heeft de details voor elke versie. Start Home Assistant opnieuw op als je versie dat nodig heeft, en tik daarna opnieuw op Verbinden.

Offline · Telefoon reageert niet

Deze gaat helemaal niet over adressen. Het horloge kon de telefoon niet via Bluetooth bereiken, dus de telefoon kreeg niet eens de kans om Home Assistant te proberen. Houd de telefoon in de buurt, met Bluetooth aan en de Zepp-app actief (problemen oplossen, stap 2). Adressen veranderen lost het niet op.

De eigen instelling voor de externe URL van Home Assistant

Home Assistant heeft zijn eigen instellingen Home Assistant URL, met een veld Internet en een veld Local network (lokaal netwerk) onder Instellingen › Systeem › Netwerk. Daarmee weten Home Assistant en zijn eigen apps waar het staat. AmazHA leest ze niet: het gebruikt alleen de twee adressen die in zijn eigen instellingen zijn ingevuld. Heb je je externe URL in Home Assistant veranderd en volgde het horloge niet, dan is dat de reden. Kopieer het nieuwe adres naar Externe URL.

Test eerst in de browser van de telefoon

Voordat je iets in AmazHA verandert, open je het adres in de browser op dezelfde telefoon, vanaf dezelfde plek. Het is de snelste test die er is, omdat hij dezelfde route neemt als AmazHA: de telefoon, zijn huidige netwerk, je adres.

1. Zet wifi uit op de telefoon als je het externe adres thuis test, zodat het echt via mobiele data naar buiten gaat. Zet de VPN aan als het externe adres die nodig heeft.
2. Typ precies het adres dat je in AmazHA hebt ingevuld, bijvoorbeeld https://ha.example.com.
3. Lees het resultaat.

Doe voor het lokale adres hetzelfde met wifi aan, thuis. Bereikt de browser de inlogpagina en mislukt AmazHA nog steeds, controleer dan of het veld alleen het serveradres bevat, zonder iets erachter, en hetzelfde schema dat de browser gebruikte.

Je kunt in de browser ook /api/ aan het adres toevoegen. Home Assistant antwoordt daarop met een fout over authenticatie, omdat de browser geen token meestuurt: dat bewijst dat het adres naar de Home Assistant-API leidt en niet naar een andere pagina. Typ het adres in AmazHA zonder /api/.

De verbindingstest in AmazHA: LAN en Extern lezen

Verbinden, in de AmazHA-instellingen, test de adressen vanaf de telefoon en vertelt je wat het heeft gevonden. Nadat je erop tikt, verschijnt het resultaat binnen een paar seconden:

• Met één adres: Verbonden ✓ als Home Assistant antwoordt, Onbereikbaar als er niets antwoordt, Fout gevolgd door een getal als er iets antwoordde met een HTTP-fout (bijvoorbeeld Fout 400 of Fout 401), en Antwoordt, maar niet Home Assistant als het adres antwoordt met iets wat niet de API is.
• Met beide adressen: één resultaat per adres, LAN en Extern, elk met een gekleurde stip: groen als Home Assistant daar antwoordt, oranje als er iets antwoordt maar het niet Home Assistant is, rood als het mislukt.

Lees het met de plek van de telefoon in gedachten. Thuis kan een rode Extern normaal zijn (een domein dat binnen je netwerk niet terugloopt, een VPN die uit staat) of een echt probleem, dus test opnieuw met wifi uit. Buitenshuis is een rode LAN te verwachten; daar telt alleen Extern. Allebei groen, één keer thuis getest en één keer op mobiele data, is de opstelling die je overal volgt. Stap 8 van de tutorial Home Assistant koppelen toont het scherm.

Werkt het adres, maar komt het token van een gebruiker zonder beheerdersrechten, dan zegt Verbinden dat onder het resultaat. Dat is een probleem met het token, niet met het adres: de adrestest slaagt, maar het horloge kan je kamers niet laden tot het token van een beheerder komt.

Vier opstellingen, uitgewerkt

Dezelfde twee velden dekken heel verschillende huizen. Vier voorbeelden, met voorbeeldadressen:

Een appartement, alleen thuis gebruikt. Lokale URL (LAN): http://192.168.1.50:8123. Externe URL: leeg. Het horloge werkt op de wifi thuis; buiten toont het Offline · Home Assistant onbereikbaar, en dat is te verwachten. Verbinden toont thuis Verbonden ✓.

Home Assistant Cloud. Lokale URL (LAN): http://192.168.1.50:8123. Externe URL: https://xxxxx.ui.nabu.casa. Thuis gebruikt AmazHA het lokale adres; op mobiele data stapt het zelf over op het adres van Home Assistant Cloud. Verbinden toont LAN en Extern, thuis allebei groen, omdat het cloudadres ook van binnenuit werkt.

Een VPN op de telefoon. Lokale URL (LAN): http://192.168.1.50:8123. Externe URL: het adres van de server binnen de VPN, met http:// ervoor getypt als de server daar met gewoon http antwoordt. Thuis wint het lokale adres. Buitenshuis, met de VPN verbonden, wint het externe; met de VPN uit toont het horloge de banner Offline tot hij weer aanstaat.

Je eigen domein achter een reverse proxy. Lokale URL (LAN): http://192.168.1.50:8123. Externe URL: https://ha.example.com. Voordat het werkt, moet Home Assistant de proxy vertrouwen (Trust X-Forwarded-For, Trusted proxies), anders krijgt elk extern verzoek 400. Test het externe adres met wifi uit: sommige routers sturen je eigen domein niet terug naar binnen, dus een rode Extern thuis betekent niet altijd dat het buiten mislukt.

Een checklist voordat je het huis verlaat

Vijf minuten thuis besparen je later een verwarde blik op het horloge:

1. Lokale URL (LAN) bevat alleen het serveradres, het adres dat je browser thuis gebruikt.
2. Externe URL bevat alleen het externe adres: geen /lovelace, de poort als die nodig is, https:// via internet.
3. De browser van de telefoon opent het externe adres met wifi uit en toont de inlogpagina van Home Assistant, zonder certificaatwaarschuwing.
4. Is het een VPN: de VPN is zo ingesteld dat hij op de telefoon verbonden blijft.
5. Is het een reverse proxy of een tunnel: Home Assistant vertrouwt hem, dus geen 400.
6. Verbinden toont LAN en Extern groen, of Verbonden ✓ met één adres.
7. Het token komt van een beheerder, en het is hetzelfde voor beide adressen.

Is dat gedaan, dan gebruikt het horloge thuis je lokale adres en overal anders het externe, zonder dat jij iets hoeft te doen. En toont het op een dag Offline, dan vertelt de tweede regel je aan welke kant je moet kijken: Telefoon reageert niet is Bluetooth, Home Assistant onbereikbaar is het adres.