Hacia la autenticación segura
La empresa Vercel ha anunciado un plan estratégico destinado a eliminar las claves de interfaz de programación de aplicaciones (API Keys) de larga duración dentro de su ecosistema técnico. Bajo esta política, la compañía ha otorgado a los proveedores de su plataforma Marketplace un plazo hasta enero de 2027 para adoptar el protocolo OpenID Connect (OIDC), que se basa en tokens de identidad de corta duración, amenazando con eliminar cualquier integración que no cumpla con estos nuevos estándares de seguridad.
Esta medida llega en un momento en que los ataques a las cadenas de suministro de software están aumentando, ya que incidentes de seguridad recientes, como el gusano de npm que tuvo como objetivo el robo de tokens de las tuberías de CI, han demostrado que la filtración de una sola clave puede derivar en brechas catastróficas. El director ejecutivo de Vercel, Guillermo Rauch, respalda esta tendencia afirmando que el objetivo es hacer que los tokens de seguridad funcionen como "claves autodestructibles" que expiren antes de que los atacantes puedan explotarlas.
Doble rasero en las herramientas de despliegue
A pesar de este enfoque estricto, Vercel ha enfrentado críticas de la comunidad de desarrolladores debido a que sus propias herramientas siguen dependiendo de las prácticas que intenta prohibir. El desarrollador Yordis Prieto, ingeniero de software senior en Fanatics, señaló que la guía de despliegue de Vercel a través de GitHub Actions sigue indicando a los usuarios que utilicen un secreto estático conocido como VERCEL_TOKEN.
Prieto criticó esta dualidad, señalando que Vercel exige a sus socios estándares de seguridad que no ha aplicado completamente en sus propias herramientas de despliegue, lo que coloca a los desarrolladores en una posición donde se ven obligados a seguir utilizando los tokens de larga duración de los que la propia empresa advierte.
¿Qué cambia en la práctica?
- Fecha límite: Para el 30 de noviembre de 2026, Vercel comenzará a etiquetar como "no seguro" (Not secure) a las integraciones de Marketplace que no cumplan con los nuevos estándares de autenticación.
- Transición a OIDC: La empresa tiene como objetivo reemplazar las claves estáticas por tokens de identidad temporales, lo que reduce los riesgos de filtración de datos en entornos de CI/CD.
- Servicio Vercel Connect: Este servicio ofrece la posibilidad de solicitar tokens de autenticación de alcance limitado en tiempo de ejecución, pero aún admite claves estáticas para proveedores que no ofrecen opciones de OAuth u OIDC.
Vercel se encuentra actualmente ante un desafío técnico que consiste en la necesidad de actualizar su infraestructura y sus herramientas de despliegue para que coincidan con los estándares que impone a terceros, ya que los desarrolladores seguirán necesitando tokens estáticos mientras la empresa no proporcione una alternativa totalmente compatible a través de los flujos de trabajo de GitHub Actions.