التوجه نحو المصادقة الآمنة
أعلنت شركة Vercel عن خطة استراتيجية تهدف إلى القضاء على مفاتيح واجهة برمجة التطبيقات (API Keys) طويلة الأمد داخل منظومتها التقنية. وبموجب هذه السياسة، منحت الشركة بائعي منصة Marketplace مهلة حتى يناير 2027 لتبني بروتوكول OpenID Connect (OIDC)، الذي يعتمد على رموز هوية قصيرة الأمد، مهددةً بإزالة أي تكاملات لا تمتثل لهذه المعايير الأمنية الجديدة.
يأتي هذا التحرك في وقت تتزايد فيه الهجمات على سلاسل التوريد البرمجية، حيث أثبتت حوادث أمنية حديثة، مثل دودة npm التي استهدفت سرقة الرموز من خطوط أنابيب CI، أن تسريب مفتاح واحد قد يؤدي إلى اختراقات كارثية. ويدعم الرئيس التنفيذي لشركة Vercel، غييرمو راوخ، هذا التوجه مؤكداً أن الهدف هو جعل الرموز الأمنية تعمل مثل "مفاتيح ذاتية التدمير" تنتهي صلاحيتها قبل أن يتمكن المهاجمون من استغلالها.
ازدواجية المعايير في أدوات النشر
على الرغم من هذا التوجه الصارم، واجهت Vercel انتقادات من مجتمع المطورين بسبب استمرار اعتماد أدواتها الخاصة على الممارسات التي تحاول حظرها. فقد أشار المطور يورديس بريتو، وهو مهندس برمجيات أول في شركة Fanatics، إلى أن دليل النشر الخاص بـ Vercel عبر GitHub Actions لا يزال يوجه المستخدمين لاستخدام سر ثابت يُعرف بـ VERCEL_TOKEN.
انتقد بريتو هذه الازدواجية، مشيراً إلى أن Vercel تطلب من شركائها معايير أمنية لم تطبقها بالكامل في أدوات النشر الخاصة بها، مما يضع المطورين في موقف يضطرون فيه للاستمرار في استخدام الرموز طويلة الأمد التي تحذر الشركة منها.
ما الذي يتغير عملياً؟
- الموعد النهائي: بحلول 30 نوفمبر 2026، ستبدأ Vercel بوضع وسم "غير آمن" (Not secure) على تكاملات Marketplace التي لا تلتزم بمعايير المصادقة الجديدة.
- التحول إلى OIDC: تهدف الشركة إلى استبدال المفاتيح الثابتة برموز هوية مؤقتة، مما يقلل من مخاطر تسريب البيانات في بيئات CI/CD.
- خدمة Vercel Connect: توفر هذه الخدمة إمكانية طلب رموز مصادقة محدودة النطاق في وقت التشغيل، لكنها لا تزال تدعم المفاتيح الثابتة للمزودين الذين لا يوفرون خيارات OAuth أو OIDC.
تجد Vercel نفسها حالياً أمام تحدٍ تقني يتمثل في ضرورة تحديث بنيتها التحتية وأدوات النشر الخاصة بها لتتوافق مع المعايير التي تفرضها على الآخرين، حيث يظل المطورون بحاجة إلى الرموز الثابتة طالما لم توفر الشركة بديلاً مدعوماً بالكامل عبر سير عمل GitHub Actions.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.