En Home Assistant, la contraseña no es la llave: cambiar la contraseña no revoca ningún token

Home Assistant: the password is not the key – token secrets in cleartext

Un análisis de Home Assistant 2026.11.0, instalado en dos millones de hogares, revela que los secretos de los refresh tokens de todos los usuarios se guardan en texto plano en config/.storage/auth, sin hash, y que dos de las tres clases de token nunca expiran. Cambiar la contraseña, por cualquiera de sus cuatro vías, no revoca ninguno: un token copiado antes sigue dando acceso. No es un ataque de red sin autenticación, pero cualquier lectura del directorio de configuración o de una copia de seguridad se convierte en acceso duradero al hogar.