# Architecture – HAOS Project

## Vue d'ensemble

L'infrastructure repose sur Home Assistant OS installé en natif sur un mini-PC dédié, fonctionnant 24h/24.

## Stack technique

| Couche              | Technologie                          |
| ------------------- | ------------------------------------ |
| OS domotique        | Home Assistant OS (HAOS)             |
| Broker MQTT         | Mosquitto (add-on officiel)          |
| Réseau Zigbee       | Zigbee2MQTT + Sonoff Dongle Plus V2  |
| NVR                 | Frigate                              |
| Alarme              | Alarmo                               |
| Tunnel sortant      | Cloudflared (add-on officiel)        |
| VPN                 | WireGuard (add-on officiel)          |
| Capteurs custom     | ESPHome (add-on officiel)            |
| Notifications       | Telegram Bot API                     |
| Énergie             | Intégration Enedis officielle        |
| Chauffage           | Heatzy (intégration HACS)            |

## Flux de données

```
Équipements Zigbee
      │
      ▼ (radio Zigbee 2.4GHz)
Sonoff USB Dongle
      │
      ▼ (USB)
Zigbee2MQTT ──► Mosquitto MQTT ──► Home Assistant
                                        │
                                        ├── Alarmo
                                        ├── Frigate (RTSP)
                                        ├── ESPHome (Wi-Fi)
                                        ├── Heatzy (Cloud API)
                                        └── Enedis (Cloud API)
```

## Accès réseau

```
Internet
    │
    ▼ (HTTPS sortant uniquement)
Cloudflare
    │
    ▼ (tunnel chiffré)
Cloudflared add-on
    │
    ▼
Home Assistant (LAN)
    │
    └── WireGuard VPN (admin SSH/Samba uniquement)
```

## Principes de sécurité

- **Zéro port ouvert** sur la box/routeur
- **Tunnel sortant** uniquement (Cloudflared) pour l'accès web
- **VPN WireGuard** obligatoire pour toute administration (SSH, Samba)
- **Données locales** : vidéo, Zigbee, capteurs ESPHome restent sur le réseau local
- **Moindre privilège** : chaque service n'accède qu'à ce dont il a besoin