Vercel, 이중잣대 비판 속 2027년까지 고정 API 키 폐지 강제

보안 인증을 향한 움직임

Vercel은 자사 기술 생태계 내에서 장기 API 키(API Keys)를 제거하기 위한 전략적 계획을 발표했습니다. 이 정책에 따라 회사는 마켓플레이스(Marketplace) 판매자들에게 2027년 1월까지 단기 식별 토큰을 기반으로 하는 OpenID Connect (OIDC) 프로토콜을 도입할 것을 요구했으며, 이를 준수하지 않는 통합 기능은 삭제하겠다고 경고했습니다.

이번 조치는 소프트웨어 공급망 공격이 증가하는 가운데 나왔습니다. CI 파이프라인에서 토큰을 탈취하는 npm 웜과 같은 최근의 보안 사고들은 단 하나의 키 유출만으로도 치명적인 침해로 이어질 수 있음을 입증했습니다. Vercel의 CEO인 기예르모 라우흐(Guillermo Rauch)는 이 방향을 지지하며, 목표는 보안 토큰이 공격자가 악용하기 전에 만료되는 '자폭 키'처럼 작동하도록 만드는 것이라고 강조했습니다.

배포 도구의 이중잣대

이러한 엄격한 방침에도 불구하고, Vercel은 자사 도구가 금지하려는 관행에 여전히 의존하고 있다는 점 때문에 개발자 커뮤니티로부터 비판을 받고 있습니다. Fanatics의 수석 소프트웨어 엔지니어인 요르디스 브리토(Jordis Brito)는 Vercel의 GitHub Actions 배포 가이드가 여전히 사용자들에게 VERCEL_TOKEN으로 알려진 고정 비밀값을 사용하도록 안내하고 있다고 지적했습니다.

브리토는 Vercel이 파트너에게는 적용하지 않은 보안 기준을 요구하는 이중잣대를 비판하며, 이로 인해 개발자들은 회사가 경고하는 장기 토큰을 계속 사용할 수밖에 없는 상황에 놓여 있다고 지적했습니다.

실질적으로 무엇이 바뀌는가?

• 마감 기한: 2026년 11월 30일까지 Vercel은 새로운 인증 표준을 준수하지 않는 마켓플레이스 통합 기능에 '보안되지 않음(Not secure)' 태그를 부착하기 시작할 것입니다.
• OIDC로의 전환: 회사는 고정 키를 임시 식별 토큰으로 대체하여 CI/CD 환경에서의 데이터 유출 위험을 줄이는 것을 목표로 합니다.
• Vercel Connect 서비스: 이 서비스는 런타임에 범위가 제한된 인증 토큰을 요청할 수 있는 기능을 제공하지만, OAuth나 OIDC 옵션을 제공하지 않는 공급자를 위해 여전히 고정 키를 지원하고 있습니다.

Vercel은 현재 자사가 타인에게 강요하는 표준에 부합하도록 자사의 인프라와 배포 도구를 업데이트해야 하는 기술적 과제에 직면해 있습니다. 회사가 GitHub Actions 워크플로우를 통해 완전히 지원되는 대안을 제공하지 않는 한, 개발자들은 여전히 고정 토큰을 필요로 할 것입니다.