Home Assistant escaneaba tus contraseñas sin avisar — y así lo apagas en 10 segundos

Hoy a las 18:56 UTC un usuario abrió un reporte con una frase que heló la sangre de miles de dueños de casa inteligente: "nunca autoricé ninguna integración que escanee mis secretos". En pocas horas el reporte llegó a la portada de Hacker News con 174 puntos y 123 comentarios.

El objetivo era Home Assistant, el sistema de domótica que corre en tu propia casa y que millones de gente instalan precisamente para escapar de las nubes de Big Tech. La ironía se escribió sola.

Qué estaba pasando realmente

El reporte señalaba una función del Supervisor de Home Assistant llamada Pwned Passwords: un mecanismo que compara tus contraseñas con la base de Have I Been Pwned, el archivo público de Troy Hunt con más de 18 mil millones de credenciales filtradas en breaches de todo el mundo.

La acusación sonaba demoledora: tu casa enviaba tus claves "arriba de la línea", sin pedirte permiso. Y técnicamente era cierto que había una consulta saliendo de tu red.

Lo que la consulta envía es otra historia. El Supervisor calcula el hash SHA-1 de tu contraseña dentro de tu equipo y transmite únicamente los 5 primeros caracteres de ese hash. El servidor devuelve todos los hashes que empiezan con ese prefijo y la comparación final ocurre en tu propia instancia. Se llama k-anonimato, y ni siquiera es un invento de Home Assistant: Firefox y 1Password usan exactamente el mismo truco para avisarte si tu clave apareció en un filtración.

Entonces, ¿por qué explotó?

Porque estaba activado por defecto. Nadie lo pidió, nadie lo vio aparecer, y la documentación oficial ni siquiera explicaba qué era ni cómo apagarlo.

El usuario que abrió el reporte sumó un argumento incómodo: el mecanismo podría ser abusado por un actor malicioso con acceso a los repositorios del proyecto. Es un riesgo teórico, pero su punto central es de manual: una función que toca tus contraseñas debe ser opt-in, no opt-out.

La primera respuesta del equipo fue displicente. La segunda, ya con otra cara: Frenck, uno de los mantenedores, pidió disculpas públicamente y reconoció que "mis respuestas anteriores fueron más despectivas de lo que esto merecía".

Dato que aclara el pánico: la función no es nueva, lleva años dentro del Supervisor. Lo que acaba de cambiar es un aviso en la versión 2026.10.1 que la sacó a la luz por primera vez para todos.

Cómo apagarlo en 10 segundos

Si igual quieres que tu casa deje de consultar servidores externos, el comando es este:

ha security options --pwned=false

Se ejecuta en la terminal de Home Assistant y listo. Ahora bien, mi postura: desactivarlo es un error. Si eres de los que reutilizan la misma contraseña en tres servicios, este chequeo es una de las pocas defensas gratuitas que tienes contra el cred stuffing.

El problema nunca fue la función. El problema fue que te la activaron sin preguntar y después tardaron en decirte cómo se quitaba. En privacidad, las casas inteligentes deben pedir permiso, no pedir perdón.

Comparte esto con alguien que tenga Home Assistant y todavía no sepa que esto existía.

¿Opt-in obligatorio o el chequeo se queda encendido por defecto? Cuéntame en los comentarios.