Guida completa dei backup Home Assistant - Regola del 3-2-1

Introduzione: quello che chiamate backup probabilmente non lo è

Una sera rientrate a casa e Home Assistant non risponde più. Lo storage ha ceduto. Senza preavviso, come sempre. Le tapparelle non si chiudono più, il riscaldamento fa quello che gli pare e, soprattutto, centinaia di ore di configurazione sono appena andate in fumo.

A questo punto, molti si rassicurano con una frase che sento molto spesso: «nessun problema, ho un RAID», oppure «è tutto sincronizzato sul mio cloud». Sarò diretto, anche a costo di pungere un po': in entrambi i casi, quello che chiamate backup probabilmente non lo è.

La buona notizia è che esiste un metodo semplice, collaudato e perfettamente applicabile alla domotica: la regola del 3-2-1. Tre copie, due supporti, una fuori sede. Ogni cifra tappa una falla ben precisa, e nessuna è lì per caso.

Vedremo quindi che cosa rischiate davvero, smonteremo le due false sicurezze più diffuse, poi costruiremo insieme un backup Home Assistant che sta in piedi, fino al test di ripristino. Perché un backup mai testato non è davvero un backup.

Il vero rischio: quello che il RAID e la sincronizzazione non vi diranno mai

Home Assistant non è un'applicazione che si reinstalla in dieci minuti

Un'installazione domotica matura non è un software. È un'accumulazione. Le vostre integrazioni, le vostre automazioni, le vostre dashboard, le vostre scene, i vostri blueprint, le vostre entità rinominate una a una, il vostro storico energetico su tre anni, le vostre chiavi API, i vostri abbinamenti Zigbee. Fate il conto delle serate passate a lavorarci, vi verrà un po' paura.

E tutto questo vive su un unico supporto, in una scatoletta appoggiata su una mensola, accanto al router.

eMMC, SSD, scheda SD: il conto alla rovescia silenzioso

Un SSD può morire da un giorno all'altro, senza il minimo segnale premonitore. Ma il caso più insidioso è l'Home Assistant Green. Il suo storage è costituito da 32 GB di memoria eMMC, un chip flash saldato direttamente sulla scheda, esattamente come in uno smartphone. Impossibile da sostituire. E come ogni memoria flash, si usura a ogni scrittura.

Non è una preoccupazione teorica. Sul forum ufficiale di Home Assistant si incontrano regolarmente possessori di Green che scoprono, poche settimane dopo l'acquisto, un indicatore di usura già al 10%. Il motivo è semplice: Home Assistant scrive in continuazione. Ogni cambio di stato, ogni rilevazione di un sensore finisce nel database dello storico. Moltiplicate per cento sensori e per diversi anni.

Due riflessi utili, indipendenti dal backup. Riducete la conservazione dello storico con l'opzione purge_keep_days del recorder, ed escludete le entità che non consultate mai. E se volete andare oltre, spostate il disco dati su un SSD USB esterno da Impostazioni, Sistema, poi Archiviazione. Quest'ultima operazione non è banale, diversi utenti hanno visto la propria installazione non tornare mai più: fate un backup completo e scaricatelo prima di lanciarvi, mai dopo.

Il RAID e la sincronizzazione: due false sicurezze

Un RAID è un insieme di dischi che lavorano insieme come se ne formassero uno solo. Nella sua forma più semplice, tutto ciò che scrivete viene ricopiato in tempo reale su un secondo disco identico. Immaginate due segretari seduti fianco a fianco: voi dettate, loro scrivono la stessa cosa nello stesso momento. Se uno si ammala, l'altro ha il documento completo. Ma se dettate una sciocchezza, vi ritrovate con due copie della sciocchezza.

È molto astuto, e risolve un solo problema: il disco che muore. Cancellate una cartella per errore, la copia sparisce nello stesso istante. Un ransomware cifra i vostri file, il RAID cifra fedelmente anche il duplicato. Il RAID è continuità di servizio, non backup.

Stessa trappola con una sincronizzazione tipo Google Drive o Dropbox. Ciò che sparisce da un lato sparisce dall'altro: è il principio stesso della sincronizzazione, riflettere lo stato attuale e non conservare quello passato. Non confondete quindi mai la sincronizzazione cloud con il backup nel cloud, questa sfumatura un giorno potrebbe salvarvi.

Allora, che cos'è un vero backup?

Un vero backup è una copia congelata nel tempo, separata dall'originale, che nulla viene a modificare in seguito. Una fotografia del vostro sistema in un istante preciso, non uno specchio del suo stato attuale. Tutta la differenza sta qui, ed è questa definizione a giustificare ognuna delle cifre che seguono.

La regola 3-2-1: cinque minacce, tre cifre

Le cinque minacce da cui vi state proteggendo

La regola non è un dogma uscito dal nulla. Non viene nemmeno dall'informatica: è il fotografo americano Peter Krogh ad averla formalizzata in The DAM Book, pubblicato nel 2005, per proteggere i suoi cataloghi di immagini. Vent'anni dopo, viene ripresa dall'ANSSI e dalla maggior parte dei riferimenti di cybersicurezza. Risponde a cinque scenari molto concreti.

1. L'errore umano, il più sottovalutato eppure il più frequente: un'automazione sovrascritta, un aggiornamento che rompe tutto, un clic di troppo a mezzanotte.
2. Il guasto hardware: l'SSD o il chip eMMC che passa a miglior vita.
3. La corruzione silenziosa: il database che si rovina senza far rumore, e che scoprite solo tre settimane dopo.
4. Il ransomware: un software malevolo che cifra tutto ciò che riesce a raggiungere sulla vostra rete, backup compresi se restano accessibili.
5. Il sinistro fisico: incendio, allagamento, furto con scasso, fulmine.

Tre cifre, tre falle tappate

3 copie dei vostri dati. Se un backup è corrotto o è fallito a vostra insaputa, ne restano altri due.

2 supporti diversi. Se una macchina brucia, l'altra è sempre lì.

1 copia fuori sede, cioè fuori casa vostra. Se l'abitazione brucia, viene allagata o svaligiata, o se un ransomware spazza via tutta la rete locale, la copia esterna sopravvive.

Il 3-2-1-1-0, la versione moderna

Nel mondo professionale, la regola ha guadagnato due cifre in più. La formulazione completa, resa popolare dall'editore Veeam, si scrive 3-2-1-1-0. Incontrerete anche la versione abbreviata 3-2-1-0: è la stessa idea.

La prima aggiunta è una copia offline o non modificabile, che un ransomware non può raggiungere nemmeno avendo mano libera sulla vostra rete. In concreto: un disco che si scollega dopo la copia, uno snapshot bloccato sul NAS, o un cloud con versioning che conserva le versioni precedenti di un file.

La seconda aggiunta, lo zero, è zero errori al test di ripristino. Ed è quella che tutti dimenticano, io per primo per anni.

Messa in pratica: la copia locale e il secondo supporto

Una precisazione prima di cominciare. Questa guida parte da un'installazione Home Assistant OS, il caso più comune, e quello del Green come dello Yellow. Su Home Assistant Container il sistema di backup esiste ma non gestisce né i componenti aggiuntivi né le cartelle del supervisore. Vi serviranno inoltre un NAS o un'archiviazione di rete accessibile in Samba, un account cloud per la copia fuori sede e, soprattutto, un posto sicuro, al di fuori di Home Assistant, in cui custodire la vostra chiave di crittografia.

Passo 1: la chiave di crittografia, prima di tutto il resto

Dalla versione 2025.1 di Home Assistant, tutti i backup automatici sono cifrati in AES-128 e la chiave di crittografia non è più un'opzione. Alla prima configurazione, Home Assistant la genera per voi e propone di scaricare un kit di emergenza che la contiene.

Scaricate questo kit di emergenza. Davvero. Finché la vostra istanza funziona, potete rivedere la chiave in qualsiasi momento dalle impostazioni. Il giorno in cui la macchina non si avvia più, questa possibilità sparisce, e i vostri backup cifrati si trasformano in un bel mucchio di byte illeggibili.

Passo 2: la copia locale, pianificazione e conservazione

Sempre nelle impostazioni di backup, cliccate su «Configura i backup». Tre impostazioni contano davvero:

• La pianificazione: impostate ogni giorno, senza esitare. L'orario «ottimale per il sistema» va benissimo.
• La conservazione: non lasciate assolutamente «per sempre», il vostro storage sarebbe saturo in poche settimane. Tre backup bastano in locale.
• Il contenuto: le impostazioni di Home Assistant sono obbligatorie. Aggiungete i componenti aggiuntivi e lo storico. Le cartelle condivise e i media, solo se sapete perché, dato che fanno gonfiare l'archivio molto in fretta.

Questa prima copia vive sulla macchina stessa. È ovviamente la posizione più fragile, dato che sparisce insieme a lei. Ma è anche quella che vi salverà più spesso, in tre clic e senza scaricare nulla, la sera in cui un aggiornamento rompe tutto.

Passo 3: il NAS, il vostro secondo supporto

Lato NAS, la procedura è più o meno identica presso tutti i costruttori. Create una cartella condivisa dedicata, ad esempio ha_backups, poi un utente dedicato che abbia il diritto di scrivere in questa cartella, e in nient'altro. Verificate infine che il servizio file Samba sia effettivamente attivo.

Ritorno in Home Assistant, direzione Impostazioni, Sistema, Archiviazione, poi «Aggiungi archiviazione di rete». Inserite l'indirizzo IP del NAS, scegliete il protocollo Samba, indicate il nome della cartella condivisa e le credenziali dell'utente creato prima. Una volta collegata, l'archiviazione di rete compare automaticamente nell'elenco delle posizioni di backup.

Attivatela, poi aprite le sue impostazioni per darle una conservazione personalizzata. Il vostro NAS ha spazio: mettete 30 backup. Con un backup al giorno, questo vi offre un mese per recuperare una corruzione passata inosservata. È esattamente qui che si gioca la differenza tra un backup e una semplice copia.

La copia fuori sede: scegliere bene il cloud dei vostri backup

Il panorama delle destinazioni, a luglio 2026

Home Assistant ha aperto molto i rubinetti dopo la revisione del suo sistema di backup. Nel momento in cui scrivo queste righe, potete inviare nativamente i vostri archivi verso Google Drive e OneDrive (dalla versione 2025.2), un server WebDAV (2025.3), Cloudflare R2 (2026.2), AWS S3, o ancora Dropbox, arrivato con la 2026.7. Senza dimenticare Home Assistant Cloud.

Parliamone, appunto. È la soluzione più comoda, finanzia lo sviluppo del progetto, e non ho nulla in contrario. Ma siamo precisi: mettete in conto 7,50 euro al mese o 75 euro all'anno nella zona euro e, soprattutto, la documentazione ufficiale è molto chiara, lo spazio è limitato a 5 GB e conserva un solo file, l'ultimo backup inviato. È un'eccellente copia di emergenza immediata. Non è uno storico.

Internxt: un cloud europeo, open source e zero-knowledge

Internxt è un cloud spagnolo, quindi europeo e soggetto al GDPR, i cui client sono open source. La cifratura avviene lato client, ogni file viene suddiviso in frammenti distribuiti su più server, e il modello è zero-knowledge. Il piano Ultimate 5 TB è quello che sblocca la CLI e il WebDAV, ed è esattamente ciò di cui abbiamo bisogno qui.

Una precisazione doverosa, raramente detta: dalla 2025.1 i vostri backup partono già cifrati in AES-128. Anche depositati su un Drive per il grande pubblico, restano illeggibili senza la vostra chiave. Lo zero-knowledge non è quindi un rimedio, è uno strato in più, in cui il provider non sa nemmeno che cosa sta archiviando. Non disattivate invece mai la cifratura per una posizione che esce da casa vostra: Home Assistant ve lo consente per le destinazioni diverse dal suo stesso cloud, e sarebbe una pessima idea.

Installare il componente aggiuntivo e collegare Home Assistant

Il WebDAV di Internxt non è un server remoto: è un server locale, avviato dalla loro CLI, che cifra prima dell'invio. Bisognava quindi farlo girare all'interno di Home Assistant. Ho impacchettato tutto questo in un componente aggiuntivo disponibile nel mio repository di add-on, compatibile amd64 e aarch64.

1. In Applicazioni, aprite il menu dei tre puntini, poi Repository, e incollate l'indirizzo del repository.
2. Ricaricate la pagina, scendete in fondo all'elenco, e installate Internxt WebDAV.
3. Attivate l'autenticazione a due fattori sul vostro account Internxt, recuperate il segreto TOTP, e create una cartella di destinazione, ad esempio ha_backups.
4. Nella configurazione del componente aggiuntivo, inserite la vostra e-mail, la vostra password e questo segreto TOTP, poi scegliete un nome utente e una password per il server WebDAV locale.
5. Avviate il componente aggiuntivo, attendete la conferma di avvio nel log, poi copiate l'URL del container mostrato appena sopra.
6. Infine, in Impostazioni, Dispositivi e servizi, aggiungete l'integrazione WebDAV: incollate l'URL, le credenziali del server locale, e il percorso della vostra cartella, qui /ha_backups.

Questa nuova posizione compare allora nella configurazione dei backup, esattamente come il NAS. Attivatela, portate la sua conservazione a 30, e il vostro 3-2-1 è completo.

Considerazioni di sicurezza: il vostro backup è un mazzo di chiavi

Ecco il punto di cui quasi nessuno parla. Il vostro archivio non è un file banale. Al suo interno ci sono i vostri token di accesso, le vostre chiavi API, le credenziali delle vostre integrazioni, e persino la vostra password Wi-Fi. Home Assistant lo dice esso stesso annunciando il suo nuovo sistema di backup: questi archivi contengono le chiavi di ogni dispositivo della vostra casa connessa. In altre parole, un vero e proprio mazzo di chiavi della vostra abitazione.

Se questo file trapela, qualcuno può letteralmente ricostruire la vostra installazione e connettersi. Tre conseguenze molto concrete.

Innanzitutto, il posto in cui inviate questo file conta enormemente. È tutto l'interesse di un provider incapace di aprire ciò che archivia, ed è la vera ragione per preferire un cloud con crittografia end-to-end a un Drive per il grande pubblico.

Poi, custodite la chiave altrove che in Home Assistant. Un gestore di password è perfetto per questo, con una sfumatura divertente: se ospitate il vostro Vaultwarden sull'Home Assistant che state proprio cercando di ripristinare, vi siete appena chiusi fuori. Prevedete una copia al di fuori di questo perimetro, su carta in un cassetto o in una cassaforte separata. Non è paranoia, è buon senso.

Infine, ricordate che un ransomware che prende il controllo della vostra rete raggiungerà anche il NAS, dato che Home Assistant ha il diritto di scriverci. È qui che la quarta cifra del 3-2-1-1-0 prende tutto il suo senso. Attivate gli snapshot Btrfs o ZFS sul NAS, tenete un disco esterno che ricollegate una volta al mese, oppure affidatevi al versioning del cloud. Poco importa quale delle tre, ma almeno una.

Lo zero del 3-2-1-1-0: testare, altrimenti è solo una speranza

Testare senza fare i piromani

Nel video distruggo integralmente la mia installazione per dimostrare che il ripristino funziona. È spettacolare, ma non è quello che vi consiglio di fare un martedì sera.

Il metodo giusto: installate Home Assistant OS in una macchina virtuale, su un vecchio Raspberry Pi o in Proxmox. Scaricate il vostro ultimo archivio dal cloud, scegliete «Importa un backup», spuntate tutto, e inserite la vostra chiave di crittografia. Buona notizia, tra l'altro, il ripristino funziona da un'architettura all'altra: un backup Home Assistant effettuato su un Raspberry Pi viene ripristinato senza problemi su un mini-PC x86.

Quello che verificate durante questo ripristino completo: i vostri utenti, i vostri dispositivi, i vostri componenti aggiuntivi, le vostre automazioni, e la configurazione dei backup stessa. Se c'è tutto, avete appena trasformato una speranza in una certezza. Mettete in conto dieci minuti, una o due volte l'anno.

Monitorare i propri backup automaticamente

Un backup che fallisce in silenzio per sei mesi è peggio di nessun backup, perché vi dà un falso senso di sicurezza. L'integrazione Backup espone proprio di che premunirsi, con l'entità event.backup_automatic_backup e diversi sensori, tra cui la data dell'ultimo backup riuscito.

Prima automazione, l'avviso immediato in caso di errore:

alias: Avviso backup automatico fallito
triggers:
  - trigger: state
    entity_id: event.backup_automatic_backup
conditions:
  - condition: state
    entity_id: event.backup_automatic_backup
    attribute: event_type
    state: failed
actions:
  - action: notify.persistent_notification
    data:
      title: Backup automatico fallito
      message: >-
        Errore durante l'ultimo backup :
        {{ state_attr('event.backup_automatic_backup', 'failed_reason') }}
mode: single

Seconda automazione, quella che trovo ancora più utile. Un cane da guardia che vi avvisa se nessun backup è più andato a buon fine da 48 ore.

alias: Nessun backup riuscito da 48 ore
triggers:
  - trigger: time_pattern
    hours: "/6"
conditions:
  - condition: template
    value_template: >-
      {% set s = states('sensor.backup_last_successful_automatic_backup') %}
      {{ s not in ['unknown', 'unavailable']
         and (now() - (s | as_datetime)).total_seconds() > 172800 }}
actions:
  - action: notify.persistent_notification
    data:
      title: Backup Home Assistant
      message: Nessun backup automatico riuscito da oltre 48 ore.
mode: single

Conclusione: dieci minuti per trasformare una speranza in una certezza

Facciamo il punto. Un backup quotidiano e cifrato sulla macchina, prima copia. Una copia sul NAS, secondo supporto. Una copia fuori sede in un cloud cifrato. Tre copie, due supporti, una fuori sede: la vostra regola del 3-2-1 è completa. Aggiungete uno snapshot bloccato o un disco che scollegate, e passate al 3-2-1-1-0.

La mia raccomandazione, senza giri di parole. Se siete già abbonati a Home Assistant Cloud, attivate la copia cloud stasera stessa: sono trenta secondi, ed è infinitamente meglio di niente. Se non lo siete, o se volete un vero storico fuori sede invece di un solo archivio, un cloud con crittografia end-to-end e un'offerta a vita è nettamente più interessante sulla durata. E in ogni caso, tenete il NAS: è la copia più rapida da ripristinare, quindi quella che vi salverà più spesso.

Resta il consiglio più importante, ed è l'unico che non costa nulla. Una volta a semestre, lanciate un vero ripristino e verificate che tutto risalga. Dieci minuti di esercizio, e il vostro backup Home Assistant smette di essere una credenza per diventare una certezza. La vostra installazione può allora bruciare, essere rubata o vedere il suo storage cedere: non perderete più nulla.