A direção em direção à autenticação segura
A empresa Vercel anunciou um plano estratégico que visa eliminar as chaves de API (API Keys) de longa duração dentro de seu ecossistema técnico. Sob esta política, a empresa deu aos fornecedores da plataforma Marketplace um prazo até janeiro de 2027 para adotar o protocolo OpenID Connect (OIDC), que se baseia em tokens de identidade de curta duração, ameaçando remover quaisquer integrações que não cumpram estes novos padrões de segurança.
Este movimento ocorre em um momento em que os ataques às cadeias de suprimentos de software estão aumentando, já que incidentes de segurança recentes, como o worm npm que visava roubar tokens de pipelines de CI, provaram que o vazamento de uma única chave pode levar a violações catastróficas. O CEO da Vercel, Guillermo Rauch, apoia esta direção, enfatizando que o objetivo é fazer com que os tokens de segurança funcionem como "chaves autodestrutivas" que expiram antes que os atacantes possam explorá-las.
Padrões duplos nas ferramentas de implantação
Apesar desta abordagem rigorosa, a Vercel enfrentou críticas da comunidade de desenvolvedores devido à dependência contínua de suas próprias ferramentas em práticas que ela tenta proibir. O desenvolvedor Yordis Prieto, engenheiro de software sênior na Fanatics, apontou que o guia de implantação da Vercel via GitHub Actions ainda orienta os usuários a utilizarem um segredo estático conhecido como VERCEL_TOKEN.
Prieto criticou essa duplicidade, observando que a Vercel exige de seus parceiros padrões de segurança que ela mesma não aplicou totalmente em suas próprias ferramentas de implantação, colocando os desenvolvedores em uma posição em que são forçados a continuar usando os tokens de longa duração contra os quais a empresa alerta.
O que muda na prática?
- Prazo final: Até 30 de novembro de 2026, a Vercel começará a rotular como "não seguro" (Not secure) as integrações do Marketplace que não aderirem aos novos padrões de autenticação.
- Transição para OIDC: A empresa visa substituir chaves estáticas por tokens de identidade temporários, reduzindo os riscos de vazamento de dados em ambientes CI/CD.
- Serviço Vercel Connect: Este serviço oferece a capacidade de solicitar tokens de autenticação de escopo limitado em tempo de execução, mas ainda suporta chaves estáticas para provedores que não oferecem opções de OAuth ou OIDC.
A Vercel encontra-se atualmente diante de um desafio técnico que consiste na necessidade de atualizar sua infraestrutura e suas ferramentas de implantação para estarem em conformidade com os padrões que impõe aos outros, uma vez que os desenvolvedores continuam precisando de tokens estáticos enquanto a empresa não fornecer uma alternativa totalmente suportada via fluxos de trabalho do GitHub Actions.