Een nieuwe mini-pc, een back-up terugzetten en daarna een app die niet meer wil starten: dat is een scenario dat Home Assistant-gebruikers vanaf december vaker kunnen tegenkomen. Home Assistant geeft zijn apps namelijk minder Linux-rechten mee, en dat merk je vooral op het moment dat je verhuist.
Een installatie die nu gewoon draait, verandert voorlopig niets. Wie een verse installatie opzet of zijn apps kent die zelf aan het netwerk sleutelen, doet er goed aan de details te kennen.
Wat verandert er voor jouw Home Assistant?
Draai je Home Assistant Container of Core, dan heb je geen apps en gaat dit volledig langs je heen. Draai je Home Assistant OS of Supervised, dan geldt een vaste volgorde. Nu verandert er niets. Met Supervisor 2026.12 krijgen nieuwe installaties de strengere regels, en uiterlijk met Supervisor 2027.05 volgen alle bestaande installaties. Het team houdt de deur open om dat eerder te doen en meldt het dan in de release-opmerkingen.
Een bestaande installatie houdt dus voorlopig zijn oude gedrag. Wil je nu al weten hoe je apps zich onder de nieuwe regels gedragen, dan kun je ze vooraf aanzetten, zoals verderop staat. Los daarvan staat Home Assistant 2026.11, dat begin november uitkwam met Matter-camera’s en een Marketplace. Supervisor is de laag eronder die de apps beheert en heeft eigen versienummers. Wat die release verder brengt, lees je in ons artikel over Home Assistant 2026.11.
Welke rechten verdwijnen er bij Home Assistant apps?
Apps, tot voor kort add-ons genoemd, zijn de losse programma’s naast Home Assistant zelf: de MQTT-broker Mosquitto, de Matter Server, een VPN of een code-editor. Elke app draait in een eigen container en kreeg tot nu toe de volledige standaard sleutelbos van het onderliggende containersysteem mee, ook als hij er maar twee of drie van gebruikt.
Van die bos gaan er vier sleutels af: NET_RAW, MKNOD, AUDIT_WRITE en SETFCAP. Alleen de eerste telt in de praktijk. NET_RAW geeft een app toegang tot ruwe netwerkpakketjes, waar een netwerkscanner of een DHCP-server op draait. Een gekaapte app kan er ook mee meekijken of je verkeer verstoren. De andere drie komen bij de gecontroleerde apps niet voor: MKNOD maakt apparaatbestanden aan, AUDIT_WRITE schrijft in het systeemlogboek en SETFCAP zet bestandsrechten, wat soms bij het installeren van pakketten gebeurt.
Heeft een app er toch eentje nodig, dan zet hij dat recht in de lijst privileged van zijn configuratie. Wat daar staat, wordt nooit afgenomen, ook niet bij apps met volledige toegang. De gedachte erachter is simpel: hoe minder een app mag, hoe minder schade een kapotte of gekaapte app kan aanrichten.
Welke apps merken er iets van?
Het team liep ongeveer negentig apps uit de officiële en de community-winkel na. Een kleine groep heeft iets nodig, en dat is steeds NET_RAW. Voor Matter en Thread gaat het om twee apps: de Matter Server en de OpenThread Border Router. Zij draaien alles wat je via Matter en Thread aanstuurt, van een Eve Thermo Matter tot een bewegingsmelder. De Matter Server gebruikt het recht om nieuwe apparaten via Bluetooth te koppelen, en bij beide apps is het al ingesteld of wordt het aangevuld. Meer over dat duo staat in ons artikel over Home Assistant en Matter.
Bij de community-apps gaat het onder meer om AdGuard Home, dat via netwerkpakketten IP-adressen uitdeelt, om Tailscale en om de terminal- en code-editor-apps met netwerkgereedschap. Ook die vragen het recht al aan of krijgen een update. VPN-apps als WireGuard en ZeroTier merken niets, want zij komen met andere rechten toe.
Ping blijft gewoon werken
Een simpele ping heeft NET_RAW niet meer nodig en werkt dus door. Gereedschap als nmap, tcpdump, mtr of arping kan wel stuklopen, net als programma’s met een eigen manier van pingen. Zie je een waarschuwing over bestandsrechten bij het installeren van extra pakketten, zoals in de terminal- en code-editor-apps of AppDaemon, dan loopt die installatie gewoon door. Daar hoef je niets voor toe te voegen.
Zo zet je een back-up veilig terug op een nieuwe installatie
Dit is het moment waarop je er in de praktijk iets van kunt merken. De schakelaars die de nieuwe regels aanzetten, zitten niet in een back-up. Zet je na december een back-up terug op een verse installatie, dan gelden de nieuwe standaardrechten dus ook voor de teruggezette apps. Een app die stilletjes op NET_RAW leunde, doet dan niet meer wat hij deed.
- Zet de back-up terug en laat Home Assistant eerst tot rust komen.
- Start je apps één voor één, de netwerkgevoelige zoals AdGuard Home of Tailscale als eerste.
- Zoek in het logboek van de app naar Operation not permitted. Zo’n melding wijst de richting aan, maar bewijst nog niet welk recht ontbreekt.
- Werk de app bij, want vaak heeft de maker het recht dan al toegevoegd.
- Helpt dat niet, zet dan de nieuwe regels tijdelijk uit zoals hieronder staat. Dat kan zolang de schakelaars bestaan.
Kies je voor een verhuizing een nieuwe machine, dan helpt het hardware-overzicht bij de keuze.
Vooraf testen zonder risico
Wil je weten of je apps klaar zijn voor de overstap, dan zet je de nieuwe regels nu al aan. Werk Supervisor bij naar 2026.09.3 of nieuwer en gebruik de ha-opdrachtregel vanaf versie 5.1.0 met dit commando: ha supervisor options --feature-flag app_drop_net_raw=true --feature-flag app_reduced_capabilities=true. Herstart daarna de apps die je wilt proberen, want rechten liggen vast op het moment dat de container wordt gemaakt. Terug naar de oude situatie? Zet beide schakelaars op false en herstart de apps.
Wie een nieuwe installatie bouwt, begint vaak met de Matter- en Thread-apparaten die over de Matter Server en de Border Router lopen. Bij tink vind je ze allemaal, van sensoren en thermostaten van Eve tot slimme stekkers, om je Home Assistant mee uit te breiden.
