Vercel، 2027年までの静的APIキー廃止を義務付け — 二重基準との批判の中で

セキュアな認証への移行

Vercelは、技術エコシステム内における長期的なAPIキー（API Keys）を排除することを目的とした戦略的計画を発表した。このポリシーに基づき、同社はMarketplaceのベンダーに対し、有効期間の短いIDトークンに依存するOpenID Connect (OIDC)プロトコルを採用するための期限を2027年1月までとし、新しいセキュリティ基準に準拠しない統合機能は削除すると警告している。

この動きは、ソフトウェアサプライチェーンへの攻撃が増加している中で行われている。CIパイプラインからトークンを窃盗することを狙ったnpmワームのような最近のセキュリティインシデントは、1つのキーの漏洩が壊滅的な侵害につながる可能性があることを証明している。Vercelの最高経営責任者（CEO）であるギレルモ・ラウフ（Guillermo Rauch）はこの方向性を支持し、その目的はセキュリティトークンを、攻撃者が悪用する前に有効期限が切れる「自己破壊型キー」のように機能させることであると強調している。

デプロイツールにおける二重基準

こうした厳格な姿勢にもかかわらず、Vercelは自社ツールにおいて禁止しようとしている慣行に依存し続けているとして、開発者コミュニティから批判に直面している。Fanaticsのシニアソフトウェアエンジニアであるヨルディス・ブリト（Yordis Brito）氏は、GitHub Actionsを通じたVercelのデプロイガイドが、ユーザーにVERCEL_TOKENとして知られる静的なシークレットを使用するよう依然として指示していると指摘した。

ブリト氏はこの二重基準を批判し、Vercelがパートナーに対しては自社のデプロイツールで完全に適用していないセキュリティ基準を要求しており、その結果として開発者は同社が警告している長期的なトークンの使用を続けざるを得ない状況に置かれていると述べた。

実質的に何が変わるのか？

• 期限：2026年11月30日までに、Vercelは新しい認証基準に準拠していないMarketplaceの統合機能に「安全ではない（Not secure）」というラベル付けを開始する。
• OIDCへの移行：同社は静的トークンを一時的なIDトークンに置き換えることを目指しており、これによりCI/CD環境におけるデータ漏洩のリスクを軽減する。
• Vercel Connectサービス：このサービスは実行時にスコープが制限された認証トークンをリクエストする機能を提供するが、OAuthやOIDCのオプションを提供していないプロバイダー向けには、引き続き静的キーをサポートしている。

Vercelは現在、他社に課している基準に適合させるために自社のインフラストラクチャとデプロイツールを更新する必要があるという技術的課題に直面している。同社がGitHub Actionsのワークフロー全体で完全にサポートされる代替手段を提供しない限り、開発者は静的トークンを必要とし続けることになる。