Vos notifications Home Assistant ne sont pas aussi privées que vous le pensez

Home Assistant est un logiciel de maison intelligente conçu pour donner la priorité au contrôle local et à la confidentialité. Pour la plupart, il est très efficace pour le faire, mais si vous utilisez Home Assistant pour envoyer des notifications à votre téléphone, ces notifications peuvent ne pas être aussi privées qu'on pourrait le croire.

Les notifications de Home Assistant « pourraient être traitées par Google »

Mettons une chose au clair dès le départ. Home Assistant n'essaie pas de cacher quoi que ce soit ici ni de prétendre respecter la vie privée alors que ce n'est pas le cas. Il est très clair et ouvert sur la manière dont sont réellement les notifications privées de Home Assistant envoyées à votre téléphone via l'application compagnon. Si vous n'avez pas lu la documentation en détail, vous ignorez peut-être que vos notifications ne sont peut-être pas totalement privées.

La documentation explique que le service de notification utilise le service Firebase Cloud Messaging (FCM) de Google. Il s'agit d'un système de messagerie multiplateforme capable d'envoyer des messages de notification aux téléphones. Dans la section « Confidentialité, limitation de débit et sécurité » de la documentation des applications compagnon, sous l'en-tête « Sécurité » en bas de l'écran, il est indiqué ce qui suit :

« Tout le trafic entre votre instance Home Assistant, l'infrastructure push et le système d'exploitation de votre appareil est crypté avec SSL. Le contenu des notifications n'est pas crypté sur le service Firebase Cloud Messaging et pourrait donc être traité par Google. »

En d'autres termes, lorsqu'un automatisme envoie une notification à l'aide du notify.mobile_app service, le contenu de ce message est transmis au service Firebase Cloud Messaging, qui est ensuite envoyé à votre téléphone et affiché sous forme de notification. Bien que le message soit chiffré lors du transit vers et depuis les serveurs Firebase, lorsque le message est traité sur les serveurs Firebase, il n'est pas chiffré.

Cela signifie qu'en théorie, Google pourrait lire le contenu de votre notification. La documentation de Home Assistant souligne qu'aucun contenu n'est stocké sur des serveurs distants.

Les utilisateurs d'iPhone ne sont pas à l'abri

Bien que Firebase Cloud Messaging fasse partie de la plateforme Firebase, propriété de Google depuis 2014, ce n'est pas un problème qui affecte uniquement les utilisateurs d'Android. Home Assistant ne peut pas parler directement au service Apple Push Notification qui envoie finalement la notification à votre téléphone, FCM est donc utilisé comme intermédiaire.

Cela signifie que même si vous utilisez un iPhone, le contenu de vos notifications pourra être lu par Google. Il existe une option dans les paramètres de confidentialité de l'application compagnon iOS qui vous permet de désactiver Firebase Cloud Messaging. Cela empêchera l'application d'échanger des données avec les serveurs de Google.

L’inconvénient, cependant, est que les notifications ne fonctionneront plus. Si vous désactivez ce paramètre, vous bénéficierez de la confidentialité au détriment de la possibilité d'utiliser le notify.mobile_app service du tout. Si vous souhaitez envoyer des notifications iPhone à l'aide de ce service, vous n'avez d'autre choix que de laisser Firebase Cloud Messaging activé.

Quand cela compte (et quand ce n'est probablement pas le cas)

Premièrement, ce n’est pas parce que Google peut lire le contenu de vos notifications qu’il le fera. Cependant, Google n'a pas la meilleure réputation en matière de respect de la vie privée, donc supposer qu'ils ne liront certainement pas vos notifications n'est peut-être pas l'approche la plus judicieuse.

Dans certains cas, vos notifications peuvent contenir des informations sensibles qui pourraient potentiellement vous mettre en danger si un tiers y accédait. Par exemple, une notification indiquant que votre alarme est désarmée ou que personne n'est à la maison ne constitue peut-être pas une information que vous voudriez laisser exposée.

D’un autre côté, il y aura de nombreuses notifications pour lesquelles la confidentialité ne sera pas un gros problème. Si quelqu'un lisait une notification indiquant que votre lessive est terminée ou qu'il est temps d'arroser votre plante d'intérieur, ce ne serait pas la fin du monde.

En fin de compte, c’est une décision que vous devez prendre vous-même. Tant que vous savez que le contenu de vos notifications est accessible, vous pouvez décider si la notification que vous souhaitez envoyer est risquée ou non.

Vous pouvez également envisager de modifier le contenu de certaines notifications pour réduire quelque peu le risque. Par exemple, une notification indiquant « personne n'est à la maison pour les deux prochaines semaines et l'alarme ne fonctionne pas » constitue un risque potentiel pour la sécurité, mais une notification formulée en termes plus ambigus peut mettre votre maison en danger.

Essayez ces alternatives pour les alertes privées

La bonne nouvelle est que si vous souhaitez envoyer des notifications que vous considérez comme pouvant présenter un risque, il existe des méthodes alternatives pour les envoyer.

Home Assistant propose une option push locale pour Android et iOS qui utilise l'API WebSocket pour envoyer des notifications directement à votre appareil via votre réseau domestique plutôt que de les acheminer via un service cloud. Vous ne pouvez utiliser le push local que lorsque vous vous connectez via une URL interne et vous devez spécifier les SSID qui représentent votre réseau domestique.

Dans l'application compagnon, accédez à Paramètres > Application compagnon et sélectionnez votre serveur. Sélectionnez « URL interne » et assurez-vous qu'elle est définie sur votre adresse IP Home Assistant locale. Assurez-vous que votre réseau domestique est répertorié sous « SSID ». Sur iOS, activez « Local Push » et sur Android, définissez « Connexion persistante » sur « Wi-Fi domestique uniquement ». Une fois définies, lorsque vous êtes chez vous, les notifications seront envoyées directement sur votre téléphone plutôt que via le cloud.

Si vous n'êtes pas chez vous, le push local ne fonctionnera pas, car vous ne serez pas connecté à votre réseau domestique. Vous pouvez essayer des options alternatives, telles que l'intégration de Signal Messenger, qui envoie des messages à votre application Signal entièrement cryptés depuis le moment où ils quittent votre domicile jusqu'à leur arrivée sur votre téléphone. Vous trouverez des instructions complètes sur la page d'intégration de Signal Messenger pour savoir comment le configurer.

Vous ne saviez peut-être pas que vos notifications dans Home Assistant n'étaient pas complètement privées. Home Assistant ne cache pas ces informations, mais il est facile de les manquer dans la longue documentation. Si vous envoyez des notifications contenant des informations sensibles, cela vaut certainement la peine d'envisager une option plus sécurisée pour votre tranquillité d'esprit.