Cifrar MQTT: TLS para el broker Mosquitto en Home Assistant

Con TLS, los números de tarjeta y los comandos ya no viajan por tu red en texto plano. Necesitas un certificado para el broker, unos ajustes en el complemento Mosquitto y el puerto 8883 en el bridge.

Por defecto, MQTT funciona sin cifrar en el puerto 1883. En una red doméstica bien protegida suele ser aceptable, pero cualquier dispositivo de la misma red podría leerlo. Para el control de acceso, el cifrado merece los pocos minutos que lleva.

Qué necesitas

• Home Assistant con el complemento Mosquitto broker
• un certificado y una clave para el broker en la carpeta /ssl de Home Assistant, por ejemplo del complemento Let’s Encrypt o autofirmados
• un KLOKL Bridge con firmware v1.0.2

Paso 1: activar TLS en el complemento

Abre Ajustes → Complementos → Mosquitto broker → Configuración. Introduce los nombres de archivo del certificado y la clave tal como están en /ssl. Con los nombres habituales, la configuración queda así:

1logins: []
2require_certificate: false
3certfile: fullchain.pem
4keyfile: privkey.pem
5customize:
6  active: false
7  folder: mosquitto
Copy

Guarda y reinicia el complemento. En su registro deberías ver que ahora también escucha en el puerto 8883. El puerto 1883 sigue disponible para dispositivos que aún no admiten TLS; cuando todo esté cambiado, puedes cerrarlo en los ajustes de red del complemento.

Paso 2: cambiar el bridge a MQTTS

1. Abre la interfaz web del bridge.
2. En los ajustes de MQTT, pon el puerto 8883 y activa TLS (MQTTS).
3. Guarda. El bridge se vuelve a conectar solo.
4. En Home Assistant, el dispositivo debería volver a estar en línea en pocos segundos.

De qué protege TLS y de qué no

Con TLS, el tráfico entre bridge y broker va cifrado; quien escuche en la red no ve números de tarjeta. En el firmware v1.0.2, el bridge aún no comprueba el certificado del broker frente a una autoridad de certificación. Eso simplifica los certificados autofirmados, pero no protege frente a un atacante dentro de tu red que se haga pasar activamente por el broker. Por eso:

• usa para el bridge un usuario MQTT propio con una contraseña segura
• mantén los dispositivos IoT en su propio segmento de red si tu router lo permite
• no hagas el broker accesible desde internet

Todos los topics MQTT del bridge están en la documentación.