HACS entre dans Home Assistant : le « Marketplace » simplifie les extensions communautaires, sans signature ni somme de contrôle

Depuis des années, les utilisateurs de Home Assistant, le logiciel libre de domotique qui pilote la maison en local, passent par un module tiers, HACS, pour installer les extensions créées par la communauté. Ce passage obligé est appelé à disparaître : HACS entre dans le cœur de Home Assistant sous le nom de « Marketplace ». Plus simple, plus visible, mieux intégré aux mises à jour, le nouveau catalogue ne change pourtant rien sur un point essentiel : le code installé n’est toujours ni signé ni vérifié. Nous faisons le point sur ce qui change, ce qui est protégé et ce qui ne l’est pas.

HACS, pour Home Assistant Community Store, se présente sur son site officiel comme une intégration personnalisée qui fournit une interface pour gérer des éléments personnalisés dans Home Assistant. Concrètement, la communauté s’en sert pour trouver et télécharger des intégrations (les modules qui font dialoguer Home Assistant avec un appareil ou un service), des cartes de tableau de bord, des thèmes et des modèles, publiés sur GitHub, la plateforme d’hébergement de code. Le projet est distribué sous licence MIT, et son fichier de licence mentionne Joakim Sørensen comme titulaire des droits depuis 2019. Un défaut de taille freinait toutefois les débutants : comme le rappelle iGeneration, il fallait jusqu’ici un compte GitHub pour l’activer.

Le changement est porté par Frenck, qu’iGeneration présente comme le responsable du développement de Home Assistant. Sa demande de fusion (la proposition de modification soumise aux mainteneurs d’un projet) résume l’objectif : faire entrer HACS dans Home Assistant avec le moins d’efforts possible et, autant que faire se peut, tel quel, pour qu’il suive désormais le cycle de développement habituel du projet. Selon Matter Alpha, l’intégration et son interface ont été fusionnées dans les branches de développement de Home Assistant. Le code existe donc bel et bien, même s’il n’est pas encore entre les mains des utilisateurs.

Ce qui change au quotidien

Le Marketplace devient une intégration système, configurée par défaut : l’utilisateur n’a rien à ajouter, et son panneau se trouve dans les Paramètres. Surtout, parcourir le catalogue, installer et mettre à jour une extension ne demandent plus de compte GitHub : une version issue du catalogue s’installe directement depuis son archive, sans passer par l’interface de programmation de GitHub. Les dépôts personnalisés, c’est-à-dire les extensions ajoutées à la main en dehors du catalogue, exigent en revanche toujours une connexion à GitHub, établie depuis le panneau.

Autre amélioration bienvenue : chaque élément téléchargé reçoit une entité de mise à jour, si bien que ses nouvelles versions apparaissent à côté de celles du reste de Home Assistant, au lieu de rester cachées dans un module à part. Pour ceux qui utilisent déjà HACS, la bascule est automatique : au premier démarrage, l’installation existante est reprise, sa configuration est convertie sur place, et les données, entités, appareils, ressources de tableau de bord et dépôts personnalisés sont conservés. L’intégration HACS et ses fichiers sont ensuite supprimés, et Home Assistant bloque désormais son chargement en désignant le Marketplace comme remplaçant.

Tout n’est pas repris pour autant. Les applications AppDaemon et les scripts Python ne sont plus gérés par le Marketplace, et Home Assistant affiche une alerte de réparation pour indiquer aux utilisateurs quels éléments sont concernés. D’après iGeneration, ces scripts et applications continueront de fonctionner, mais ceux qui en dépendent devront trouver une autre solution : le Marketplace ne s’en chargera plus, il faudra donc les suivre à la main ou leur chercher un remplaçant. Mieux vaut lire attentivement cette alerte après la mise à jour plutôt que de laisser ces éléments vieillir sans correctifs.

Une confiance déléguée

Côté sécurité, la demande de fusion prévoit, au premier lancement, un avertissement présenté à chaque utilisateur sur les risques liés au contenu communautaire. Rien ne s’installe ni ne se met à jour tant qu’il n’a pas été accepté, mais le catalogue reste consultable avant. Cette acceptation reste valable jusqu’à ce que l’avertissement lui-même change. Le texte de la demande est explicite sur la portée de ce clic : en acceptant l’avertissement, l’administrateur décide de faire confiance au code de la communauté.

Ce code ne tourne pas à l’écart du reste. Les intégrations installées s’exécutent à l’intérieur de Home Assistant, et les cartes de tableau de bord dans le navigateur de chaque utilisateur, exactement comme n’importe quelle extension personnalisée aujourd’hui. Matter Alpha le souligne : Home Assistant ne teste pas, n’audite pas et n’assure pas le support du contenu distribué par le Marketplace. Une extension mal écrite ou malveillante s’exécute donc au cœur du système qui commande, selon les installations, l’éclairage, le chauffage ou les serrures.

Le Marketplace n’ajoute ni signature ni somme de contrôle : le code communautaire s’installe sur la seule foi du catalogue et de GitHub.

Le point le plus sensible tient en une phrase de la demande de fusion : « There are no signatures or checksums on what is installed. » Autrement dit, aucune signature numérique (qui prouve qu’un fichier vient bien de son auteur) ni aucune somme de contrôle (une empreinte qui permet de vérifier qu’il n’a pas été modifié) ne protège ce qui est installé. C’est le catalogue, hébergé sur data-v2.hacs.xyz et identique à celui de HACS, qui décide des dépôts et des versions proposés, ainsi que de ceux qui sont retirés ou signalés comme critiques ; GitHub sert ensuite les fichiers en HTTPS. La confiance repose entièrement sur le catalogue et sur GitHub, pas sur une vérification technique du code.

Le Marketplace ne part pas pour autant sans garde-fous. Toutes les commandes sont réservées aux administrateurs, les écritures et suppressions restent confinées dans leurs propres dossiers, et les téléchargements comme les archives sont soumis à des limites de taille et de nombre de fichiers. Les thèmes sont lus sans les balises YAML (le format des fichiers de configuration de Home Assistant), les fiches de présentation passent par un filtre de nettoyage, et le jeton GitHub n’apparaît ni dans les adresses de téléchargement ni dans les diagnostics. Enfin, une extension qui remplace une intégration officielle exige une confirmation explicite.

Calendrier et suite

Reste la question du calendrier. Selon iGeneration, la nouveauté semble arriver trop tard pour la version attendue le mercredi 7 octobre 2026. D’après Matter Alpha, la documentation du Marketplace évoque Home Assistant 2026.11 comme version visée. La demande de fusion précise aussi que de nombreuses idées existent pour faire du Marketplace quelque chose de plus grand, mais qu’elles sortent de son périmètre et viendront plus tard. Autrement dit, ce qui arrivera d’abord chez les utilisateurs, c’est HACS sous un nouveau nom, avec ses forces et ses limites actuelles.

Pour les particuliers comme pour les petites structures qui confient à Home Assistant le chauffage, l’éclairage ou la surveillance de leurs locaux, cette intégration est une bonne nouvelle : moins de manipulations, des mises à jour visibles au même endroit, plus besoin de compte GitHub. Elle ne dispense pas de prudence. Nous recommandons de n’installer que les extensions réellement utiles, de privilégier celles qui sont activement maintenues, de jeter un œil à leur dépôt avant chaque mise à jour importante et de garder une sauvegarde récente de Home Assistant. Un catalogue intégré facilite l’accès au code communautaire ; il ne le rend pas plus fiable pour autant.