ESPHome 2026.9: aggiornamenti OTA cifrati, cosa cambia e come attivarli

ESPHome 2026.9 introduce una delle novità più interessanti degli ultimi aggiornamenti per chi utilizza ESP32, ESP8266 e altri microcontrollori insieme a Home Assistant: gli aggiornamenti OTA possono finalmente essere cifrati durante il trasferimento del firmware.

Non si tratta solamente di una piccola miglioria tecnica. Fino alle versioni precedenti, infatti, la password configurata per gli aggiornamenti OTA serviva ad autenticare chi effettuava l’upload, ma non cifrava il firmware mentre attraversava la rete locale.

Con ESPHome 2026.9 cambia il funzionamento: il protocollo OTA può utilizzare la stessa cifratura Noise già impiegata dall’API nativa di ESPHome, proteggendo il firmware e le informazioni sensibili che contiene.

Vediamo quindi cosa cambia con ESPHome 2026.9, come attivare gli aggiornamenti OTA cifrati e soprattutto come aggiornare correttamente i dispositivi ESPHome già installati.

Perché gli aggiornamenti OTA di ESPHome avevano bisogno della cifratura

Gli aggiornamenti OTA, acronimo di Over The Air, permettono di installare un nuovo firmware su un dispositivo ESPHome attraverso la rete, senza collegare ogni volta ESP32 o ESP8266 tramite USB.

È una delle funzionalità che rende ESPHome particolarmente comodo da utilizzare insieme a Home Assistant.

Il problema è che il firmware trasferito al dispositivo può contenere informazioni sensibili, tra cui:

• credenziali della rete Wi-Fi;
• chiavi di cifratura dell’API ESPHome;
• configurazioni dei dispositivi;
• altri secret incorporati durante la compilazione.

Nelle configurazioni tradizionali era possibile proteggere l’OTA tramite una password:

ota:
  - platform: esphome
    password: !secret device_name__ota_password

Questa configurazione impedisce a un client non autorizzato di installare liberamente un firmware sul dispositivo.

Tuttavia, c’è una differenza importante tra autenticazione e cifratura.

La password OTA verifica chi sta effettuando l’upload, ma il firmware può comunque viaggiare sulla rete senza essere cifrato. Un dispositivo in grado di intercettare il traffico della LAN potrebbe quindi teoricamente analizzare il firmware trasferito.

Ed è proprio questo problema che ESPHome 2026.9 vuole risolvere.

Come funziona la cifratura OTA in ESPHome 2026.9

Con ESPHome 2026.9 il protocollo OTA può utilizzare Noise con ChaCha20-Poly1305, la stessa tecnologia già utilizzata per proteggere le comunicazioni dell’API nativa ESPHome.

La soluzione consigliata dagli sviluppatori consiste nel riutilizzare la chiave di cifratura dell’API ESPHome anche per gli aggiornamenti OTA.

Una configurazione tipica diventa quindi:

api:
  encryption:
    key: !secret device_name__encryption_key

ota:
  - platform: esphome
    encryption:

La voce:

encryption:

all’interno della piattaforma OTA indica a ESPHome di utilizzare la chiave già configurata nella sezione api.

Il vantaggio è evidente: non è necessario gestire un’altra password o creare un’altra chiave per ogni dispositivo.

La stessa chiave protegge sia le comunicazioni dell’API sia l’aggiornamento del firmware.

Password OTA e cifratura non sono la stessa cosa

Questo è probabilmente il concetto più importante dell’intero aggiornamento.

Una configurazione come questa:

ota:
  - platform: esphome
    password: !secret ota_password

autentica l’upload, ma non rende confidenziale il firmware trasferito.

Con:

ota:
  - platform: esphome
    encryption:

il trasferimento viene invece cifrato.

La cifratura basata sulla chiave precondivisa svolge inoltre anche la funzione di autenticazione, motivo per cui nella configurazione definitiva password ed encryption non devono essere utilizzate insieme.

Per un nuovo dispositivo ESPHome la configurazione consigliata è quindi:

api:
  encryption:
    key: !secret device_name__encryption_key

ota:
  - platform: esphome
    encryption:

Attenzione prima di aggiornare un dispositivo ESPHome esistente

Qui bisogna prestare particolare attenzione.

Se abbiamo un dispositivo che utilizza una versione di ESPHome precedente alla 2026.9, non possiamo semplicemente aggiungere immediatamente:

encryption:

alla sezione OTA e provare ad aggiornare.

Il firmware precedente non supporta ancora la negoziazione della cifratura OTA.

Quando encryption: è presente nella configurazione, il client ESPHome rifiuta intenzionalmente di effettuare un trasferimento non cifrato.

Di conseguenza, la migrazione deve essere eseguita in due passaggi.

Come attivare gli OTA cifrati su un dispositivo ESPHome già esistente

Supponiamo di avere una configurazione che utilizza già la password OTA.

Passaggio 1: aggiornare prima il dispositivo a ESPHome 2026.9

La prima cosa da fare è mantenere temporaneamente la configurazione OTA esistente.

Ad esempio:

api:
  encryption:
    key: !secret device_name__encryption_key

ota:
  - platform: esphome
    password: !secret device_name__ota_password

A questo punto compiliamo il firmware utilizzando ESPHome 2026.9 o una versione successiva e installiamolo normalmente.

Questo primo aggiornamento serve a portare sul dispositivo un firmware capace di supportare il nuovo protocollo OTA cifrato.

Se il dispositivo stava utilizzando un firmware precedente alla versione 2026.9, questo specifico aggiornamento non può ancora sfruttare la nuova cifratura OTA.

Passaggio 2: sostituire la password OTA con encryption

Una volta che il dispositivo esegue ESPHome 2026.9 o successivo possiamo modificare la configurazione.

Rimuoviamo:

password: !secret device_name__ota_password

e utilizziamo:

api:
  encryption:
    key: !secret device_name__encryption_key

ota:
  - platform: esphome
    encryption:

Compiliamo quindi nuovamente il firmware e installiamolo OTA.

Da questo momento il dispositivo richiederà trasferimenti cifrati.

Come verificare che la cifratura OTA sia attiva

Dopo aver completato la migrazione è buona norma controllare i log del dispositivo.

Quando la cifratura è diventata obbligatoria, ESPHome indica nei log che l’OTA utilizza la modalità cifrata.

Questo controllo è particolarmente consigliato se gestiamo molti ESP32 o ESP8266 e vogliamo migrare progressivamente tutti i dispositivi.

Conviene procedere con un dispositivo alla volta, verificando che l’aggiornamento e la connessione con Home Assistant continuino a funzionare correttamente prima di modificare tutta la propria installazione.

Cosa succede se perdo la chiave di cifratura

La maggiore sicurezza introduce inevitabilmente una responsabilità in più: la chiave deve essere conservata correttamente.

Quando un dispositivo è configurato per richiedere OTA cifrati non accetterà semplicemente un upload non cifrato come alternativa.

Se la chiave viene persa, potrebbe essere necessario ripristinare il dispositivo tramite collegamento seriale oppure utilizzare un’altra modalità di recupero precedentemente configurata.

Per questo motivo è consigliabile:

• conservare le chiavi in secrets.yaml;
• includere secrets.yaml nella propria strategia di backup;
• evitare di utilizzare la stessa chiave su più dispositivi;
• proteggere adeguatamente i backup di Home Assistant ed ESPHome;
• verificare di avere un metodo di recupero prima di intervenire sui dispositivi difficili da raggiungere fisicamente.

ESPHome senza API nativa: cosa succede con MQTT

Non tutti i dispositivi ESPHome utilizzano l’API nativa per comunicare con Home Assistant.

Alcune configurazioni utilizzano, ad esempio, MQTT.

In assenza della sezione api: è possibile configurare una chiave specifica direttamente nella piattaforma OTA:

mqtt:
  broker: !secret mqtt_broker

ota:
  - platform: esphome
    encryption:
      key: !secret device_name__ota_esphome_key

La migrazione di un dispositivo già esistente che non utilizza l’API richiede però qualche passaggio aggiuntivo, perché il vecchio firmware deve prima essere portato a una versione capace di offrire la cifratura OTA.

Su installazioni di questo tipo è quindi consigliabile verificare attentamente la procedura indicata nella documentazione ESPHome prima di modificare la configurazione.

ESPHome 2026.9 riduce anche il peso della cifratura

La nuova release non si limita ad aggiungere la cifratura OTA.

Gli sviluppatori hanno lavorato anche sulle librerie utilizzate per Noise e sulle operazioni crittografiche, riducendo sensibilmente l’utilizzo di memoria e spazio flash.

Il miglioramento è particolarmente interessante per ESP8266, dove ogni kilobyte può fare la differenza.

Secondo i test pubblicati dagli sviluppatori di ESPHome, il codice necessario alla cifratura dell’API occupa sensibilmente meno spazio rispetto alla versione precedente e anche il tempo necessario per completare l’handshake Noise è stato ridotto.

In pratica, quindi, la maggiore sicurezza non arriva semplicemente aggiungendo nuovo codice: parte del lavoro della release è stato dedicato proprio a rendere la crittografia più adatta ai microcontrollori con risorse limitate.

Build più veloci con ESPHome 2026.9

Un’altra novità interessante riguarda il sistema di compilazione.

ESPHome 2026.9 parallelizza diverse operazioni che precedentemente venivano eseguite in sequenza durante le build PlatformIO.

Questo può ridurre i tempi necessari per scaricare e installare pacchetti e dipendenze, soprattutto quando ESPHome viene eseguito su hardware come Raspberry Pi o direttamente attraverso Home Assistant.

Anche i rebuild possono beneficiare di alcune ottimizzazioni.

È una novità meno evidente rispetto agli OTA cifrati, ma chi modifica frequentemente le configurazioni ESPHome dovrebbe percepire un flusso di compilazione più efficiente.

ESP8266 si prepara ad abbandonare PlatformIO

ESPHome 2026.9 introduce inoltre l’infrastruttura necessaria per utilizzare in futuro una toolchain nativa anche con ESP8266.

Nella versione 2026.9 questa parte non è ancora una funzionalità direttamente selezionabile dall’utente: rappresenta piuttosto la base tecnica per un cambiamento previsto nelle release successive.

L’obiettivo è seguire un percorso simile a quello già intrapreso per altre piattaforme, aumentando il controllo di ESPHome sul processo di compilazione, sulla cache e sulla gestione delle dipendenze.

Per chi possiede molti vecchi dispositivi ESP8266 si tratta comunque di uno sviluppo da tenere d’occhio.

Novità e breaking change per Modbus

ESPHome 2026.9 porta avanti anche l’importante revisione del modbus_controller.

Tra le modifiche troviamo nuove modalità di polling, un percorso di scrittura più efficiente e diverse modifiche alla configurazione.

Una delle più visibili riguarda:

custom_command

che viene sostituito da:

custom_pdu

Sono presenti inoltre modifiche relative a register_count, force_new_range, skip_updates e alla gestione degli offset in alcune operazioni di scrittura.

Chi utilizza ESPHome per leggere inverter fotovoltaici, contatori di energia, pompe di calore o altri dispositivi Modbus dovrebbe quindi controllare con attenzione gli avvisi di compilazione prima dell’aggiornamento.

Le configurazioni ESPHome più semplici, prive di Modbus e componenti personalizzati, sono invece molto meno interessate da queste modifiche.

Conviene aggiornare a ESPHome 2026.9?

Per la maggior parte delle installazioni, ESPHome 2026.9 introduce miglioramenti particolarmente interessanti sul fronte della sicurezza e dell’efficienza.

La possibilità di cifrare gli aggiornamenti OTA colma soprattutto una differenza importante rispetto alla protezione già disponibile per l’API nativa.

Il punto fondamentale è non confondere la vecchia password OTA con la nuova cifratura: la password controlla chi può effettuare l’upload, mentre la cifratura protegge anche il contenuto del firmware durante il trasferimento.

Chi possiede dispositivi ESPHome già configurati dovrebbe però effettuare la migrazione con ordine:

1. aggiornare prima il dispositivo a ESPHome 2026.9 o successivo;
2. verificare che il dispositivo funzioni correttamente;
3. sostituire la password OTA con encryption:;
4. effettuare un secondo aggiornamento;
5. verificare dai log che la cifratura sia effettivamente richiesta.

Con questa procedura è possibile aumentare sensibilmente la sicurezza dei dispositivi ESPHome senza rinunciare alla comodità degli aggiornamenti wireless.

Domande frequenti su ESPHome 2026.9

Gli aggiornamenti OTA di ESPHome erano completamente insicuri?

No. Era possibile utilizzare una password per autenticare chi effettuava l’upload. Tuttavia la password OTA, da sola, non cifrava il firmware durante il trasferimento sulla rete.

Devo utilizzare sia password che encryption?

No. Quando viene resa obbligatoria la cifratura OTA, la chiave utilizzata dal protocollo svolge anche la funzione di autenticazione. La configurazione definitiva non deve quindi combinare password: ed encryption: sulla stessa piattaforma OTA.

Posso utilizzare la stessa chiave dell’API ESPHome?

Sì, ed è proprio la configurazione consigliata quando il dispositivo utilizza l’API nativa. È sufficiente configurare la chiave sotto api: encryption: e utilizzare un blocco encryption: senza specificare un’altra chiave sotto ota:.

Posso aggiungere subito encryption a un vecchio dispositivo?

Non se il firmware installato è precedente a ESPHome 2026.9. Prima bisogna installare un firmware compatibile con la nuova modalità OTA e successivamente rendere obbligatoria la cifratura.

La cifratura OTA funziona anche senza Home Assistant?

Sì. La funzionalità appartiene a ESPHome e non dipende direttamente da Home Assistant. Anche configurazioni basate, ad esempio, su MQTT possono utilizzare una chiave dedicata per l’OTA.

ESPHome 2026.9 riguarda solamente la sicurezza?

No. La release introduce anche ottimizzazioni delle build, riduzioni dell’utilizzo di memoria e flash, miglioramenti al Device Builder e numerose modifiche a Modbus e ad altri componenti.