Home Assistant ogranicza teraz ilość danych, które klient może wysłać do tej części API, która działa bez logowania. Zmiana scalona z gałęzią rozwojową późnym wieczorem 26 października 2026 ustala dla takich żądań limit 64 KiB. Do tej pory obowiązywały w nich limity przewidziane do zupełnie innych zadań: 16 MiB dla żądań HTTP i 4 MiB dla pierwszej wiadomości przez WebSocket.

Skąd się wzięły stare limity

Limit 16 MiB pochodzi ze stycznia 2020 roku (zgłoszenie zmian #30608) i dotyczył pośrednika Supervisora, mechanizmu ingress oraz strumieni audio i wideo. Punkty końcowe uwierzytelniania po prostu go odziedziczyły. Jak czytamy w opisie zmiany, Home Assistant analizował treść żądania, zanim cokolwiek sprawdził, choć prawdziwe żądanie logowania zajmuje kilka kilobajtów. Każdy, kto miał dostęp do instancji, na przykład przez internet, mógł więc bez znajomości hasła zmusić ją do wczytania i przetworzenia kilku megabajtów danych przy każdym żądaniu.

Czego dotyczy limit

  • Widoki mogą teraz ustawić max_body_size. Home Assistant stosuje go przed uruchomieniem obsługi żądania, więc działa też przy funkcjach sprawdzających dane, które najpierw czytają treść.
  • Limit 64 KiB obejmuje proces logowania, /auth/token, /auth/revoke oraz widoki konfiguracji wstępnej dostępne, zanim powstanie pierwszy użytkownik: tworzenie konta, oczekiwanie na integracje i przywracanie kopii zapasowej. Większe żądanie dostaje odpowiedź HTTP 413. Wgrywanie pliku kopii zapasowej podczas konfiguracji wstępnej zachowuje domyślny limit, więc przywrócenie dużej kopii nadal działa.
  • W fazie uwierzytelniania przez WebSocket pierwsza wiadomość większa niż 64 KiB zamyka połączenie, zanim Home Assistant przetworzy jej treść albo sprawdzi token. Opis zmiany otwarcie mówi o ograniczeniach: aiohttp ma już wtedy odebraną ramkę, do 4 MiB, czyli do wartości max_msg_size. Oszczędza się więc analizę JSON i sprawdzanie tokenu, a nie pamięć na samą ramkę.

Co to oznacza w praktyce

Przy normalnym użytkowaniu nic się nie zmienia, bo logowanie, odświeżenie tokenu czy krok konfiguracji wstępnej to znacznie mniej niż 64 KiB. Zmiana figuruje jako poprawka błędu, a nie zmiana niezgodna wstecz. W opisie nie ma mowy o CVE ani o zgłoszonym ataku, więc chodzi o wzmocnienie zabezpieczeń. Najwięcej zyskują instancje dostępne z internetu.

To kolejna w tym cyklu zmiana w kodzie logowania. Dwie poprawki scalone 19 października sprawiły już, że równoległe próby logowania nie omijają blokady adresów IP ani limitu prób uwierzytelniania wieloskładnikowego. Nowa zmiana nie ma jeszcze przypisanego kamienia milowego. Trafiła do kodu przed wersją beta 2026.11, zaplanowaną na 28 października, więc jeśli nikt jej nie wycofa, pojawi się w Home Assistancie 2026.11.