Vers une authentification sécurisée
La société Vercel a annoncé un plan stratégique visant à éliminer les clés d'interface de programmation (API Keys) à longue durée de vie au sein de son écosystème technique. En vertu de cette politique, l'entreprise a accordé aux fournisseurs de sa plateforme Marketplace jusqu'en janvier 2027 pour adopter le protocole OpenID Connect (OIDC), qui repose sur des jetons d'identité à courte durée de vie, menaçant de supprimer toute intégration ne se conformant pas à ces nouvelles normes de sécurité.
Cette initiative intervient à un moment où les attaques contre les chaînes d'approvisionnement logicielles se multiplient. Des incidents de sécurité récents, tels que le ver npm qui visait à voler des jetons dans les pipelines CI, ont prouvé que la fuite d'une seule clé peut entraîner des compromissions catastrophiques. Le PDG de Vercel, Guillermo Rauch, soutient cette orientation, affirmant que l'objectif est de faire en sorte que les jetons de sécurité fonctionnent comme des « clés autodestructrices » qui expirent avant que les attaquants ne puissent les exploiter.
Deux poids, deux mesures dans les outils de déploiement
Malgré cette approche stricte, Vercel a fait face à des critiques de la part de la communauté des développeurs en raison de la dépendance persistante de ses propres outils envers les pratiques qu'elle cherche à interdire. Le développeur Jordis Brito, ingénieur logiciel senior chez Fanatics, a souligné que le guide de déploiement de Vercel via GitHub Actions continue d'orienter les utilisateurs vers l'utilisation d'un secret statique connu sous le nom de VERCEL_TOKEN.
Brito a critiqué cette dualité, notant que Vercel exige de ses partenaires des normes de sécurité qu'elle n'a pas entièrement appliquées à ses propres outils de déploiement, plaçant les développeurs dans une situation où ils sont contraints de continuer à utiliser les jetons à longue durée de vie contre lesquels l'entreprise met en garde.
Qu'est-ce qui change concrètement ?
- Date limite : D'ici le 30 novembre 2026, Vercel commencera à apposer le label « non sécurisé » (Not secure) sur les intégrations Marketplace qui ne respectent pas les nouvelles normes d'authentification.
- Transition vers OIDC : L'entreprise vise à remplacer les clés statiques par des jetons d'identité temporaires, réduisant ainsi les risques de fuite de données dans les environnements CI/CD.
- Service Vercel Connect : Ce service offre la possibilité de demander des jetons d'authentification à portée limitée au moment de l'exécution, mais il prend toujours en charge les clés statiques pour les fournisseurs qui ne proposent pas d'options OAuth ou OIDC.
Vercel se retrouve actuellement confrontée à un défi technique consistant à mettre à jour son infrastructure et ses outils de déploiement pour se conformer aux normes qu'elle impose aux autres, les développeurs ayant toujours besoin de jetons statiques tant que l'entreprise n'aura pas fourni d'alternative entièrement prise en charge via les flux de travail GitHub Actions.