HA 离线隐私 6 问：断网扛不扛得住、摄像头怎么隔离、语音怎么不外泄

智能家居的隐私风险，绝大多数不是"被黑客攻破"，而是默认把一切交给云——设备状态、语音、录像全在厂商服务器上。Home Assistant 的价值恰恰在于能把控制权拿回来。这 6 问围绕"离线能扛多少"和"隐私怎么不外泄"展开，每问给可直接照做的配置。

本地协议选型先看 Zigbee 入门 和 Matter/Thread；远程与隔离的实操看 远程访问与外网安全。

第 1 问：断网了 HA 还有用吗

结论先说：取决于设备走什么协议。

断网仍跑：Zigbee、Z-Wave、Matter、Thread、局域网直连的 Wi-Fi 设备（ESPHome、Tasmota、Philips Hue 本地模式）。门磁触发玄关灯、温湿度触发空调，全在局域网内自洽，拔光猫也照常毫秒级联动。

断网就停：只给云端接口的封闭设备、远程 App、在线 Add-on 商店更新。

结论：选型认准"Works with Home Assistant"和本地协议设备，全屋才真正抗断网；纯云设备别指望它断网还能联动。

第 2 问：摄像头、门锁怎么隔离

这类设备一旦被攻破，泄露的是最私密的空间。做法是网络层隔离，而不是"设个强密码就行"。

• 划独立 VLAN / 单独网段，只和 HA 所在管理网通，不直连公网；
• 不开放任何入站端口，不装厂商云 App 的推送通道；
• 改用本地协议（如 ONVIF、RTSP 局域网）接入 HA，录像存本地 NAS 而非厂商云。

结论：即便摄像头固件有漏洞，也被关在内网里出不去。隔离比密码重要。

第 3 问：远程访问别默认绑云

官方 Nabu Casa 一键但收订阅费，且管道在第三方手里。要数据可控，三条免费路：

• Cloudflare Tunnel：盒子跑 cloudflared，隧道打到你的域名，免公网 IP、免端口转发；
• Tailscale / WireGuard：手机和盒子组同一个私网，"回家"了才连 HA，隔离性最强；
• 三者都不暴露任何公网端口，比直接端口转发安全得多。

结论：远程访问的管道攥在自己手里，不默认交给云。

第 4 问：语音助手会不会把说话录到云

默认 Alexa / Google / 小爱都走云端识别，指令和音频会出户。要不外泄：

• 关掉云端录音，改用 HA 自带 conversation 集成做本地指令；
• 进阶用本地 Whisper 做语音识别，敏感指令完全不离家；
• 对隐私要求高的房间（卧室、书房）干脆不摆联网麦克风。

结论：语音想隐私，就别走云识别。本地 conversation / Whisper 是底线。

第 5 问：2FA 与多用户权限怎么分

家里多人碰系统时权限必须分清，否则家人误改自动化，你排查半天发现是"鬼改的"。

• 管理员账号开 2FA（设置 → 安全 → 两步认证），TOTP 即可；
• 家人建"普通用户"，只控设备、看仪表盘，进不了集成和自动化编辑页；
• 长辈单独做一块大字号极简 Lovelace，复杂配置界面不暴露。

结论：管理员收紧、开 2FA，家人给只读控制权限，以最不懂技术的人为体验基准做面板。

第 6 问：日志和数据库会不会泄露隐私

会，如果全量录。recorder 默认记每个实体每次状态变化，门锁、摄像头状态、 occupancy 全进库。

• recorder 用 include/exclude 只录真关心的实体，别把几十个一次性传感器全录；
• 日志配置里不打印 token 和明文密码；
• 对外集成（云 API）只给最小权限的 token，能只读就不给写。

更完整的权限与备份策略看 HA 部署选型 8 问。

结论：隐私泄露常在"全量记录"和"过度授权"上，收窄 recorder、最小化 token 是关键。

附：三个最容易被忽略的隐私点

第一，厂商云 App 的推送通道。很多人以为不装 App 就安全，但只要设备还连着厂商云做推送，摄像头和门锁的状态照样出户。真正的隔离是网络层断了它的外联，而不是手机上不点开那个 App。

第二，日志里的 token。默认日志级别有时会打印集成返回的完整报文，里面可能夹着明文 token。对外集成拿到 token 后，第一时间在日志配置里把对应组件调高日志级别或做屏蔽，别让凭证混进日志文件。

第三，家人的账号权限。只读账号不只是"防误改"，它也是一道隐私边界——不是每个家庭成员都该看得到门锁每一次开关的记录。权限分得越细，隐私越不容易被无意间暴露。

附：recorder 怎么配才不录隐私

很多家庭把几十个传感器全量录进数据库，等于把全家活动记成流水账，哪天数据库被导出，作息一目了然。recorder 用 include 只留真关心的实体，exclude 剔掉没价值的：

# configuration.yaml
recorder:
  include:
    entities:
      - light.living_room        # 只录关键负载
      - lock.front_door          # 门锁状态要留（安全审计用）
      - binary_sensor.garage_door
    domains:
      - sensor                   # 或按域收口，别全量
  exclude:
    entities:
      - sensor.phone_battery    # 手机电量这种没必要留
      - sensor.tv_power_draw

结论：recorder 是隐私泄露高发区。include 收口 + exclude 剔除，数据库里只该有你真要看的历史，而不是全家活动的监控录像。

附：3 分钟隐私自检表

检查项	通过标准	不通过会怎样
断网测试	拔光猫后核心联动仍跑	纯云设备全瘫，夜里灯都不亮
摄像头 VLAN	摄像头 IP Ping 不通公网	固件漏洞直接暴露到外网
远程通道	走 Tunnel / Tailscale，无公网端口	端口被扫到就进去了
语音识别	本地 conversation / Whisper	对话音频出户
账号权限	家人只读、开 2FA	误改自动化、账号被盗
recorder	include 收口、日志不打印 token	全家活动成流水账

逐项打勾，漏一项就补一项，别等出事才回头查。

6 问实操的最小动作清单

1. 设备选型认准本地协议，断网也能联动（第 1 问）。
2. 摄像头/门锁划独立 VLAN，不直连公网（第 2 问）。
3. 远程用 Cloudflare Tunnel / Tailscale，不绑云（第 3 问）。
4. 语音关云端录音，改本地 conversation / Whisper（第 4 问）。
5. 管理员开 2FA，家人只读账号（第 5 问）。
6. recorder 收窄，日志不打印 token，token 最小权限（第 6 问）。

一句话总结：HA 的隐私优势不是某个开关，而是"把控制权留在本地"的整套选择。这 6 问每项都往"本地优先、最小外泄"走一步，合起来就是一套能抗断网、不外泄的家。

相关教程

• 远程访问与外网安全：Cloudflare Tunnel / Tailscale 详细操作与 VLAN 隔离。
• Zigbee 入门：本地协议设备选型与配对。
• Matter/Thread：新一代本地互联协议。
• HA 部署选型 8 问：权限、备份、HTTPS 的完整实操。