Переход к безопасной аутентификации
Компания Vercel объявила о стратегическом плане, направленном на устранение долгосрочных API-ключей в своей технической экосистеме. Согласно этой политике, компания предоставила поставщикам платформы Marketplace срок до января 2027 года для внедрения протокола OpenID Connect (OIDC), который основан на краткосрочных токенах идентификации, пригрозив удалением любых интеграций, не соответствующих этим новым стандартам безопасности.
Этот шаг предпринят в период роста числа атак на цепочки поставок программного обеспечения, поскольку недавние инциденты безопасности, такие как червь npm, нацеленный на кражу токенов из CI-конвейеров, доказали, что утечка одного ключа может привести к катастрофическим взломам. Генеральный директор Vercel Гильермо Рауч поддерживает это направление, подчеркивая, что цель состоит в том, чтобы сделать токены безопасности похожими на «самоуничтожающиеся ключи», срок действия которых истекает до того, как злоумышленники смогут ими воспользоваться.
Двойные стандарты в инструментах развертывания
Несмотря на этот жесткий подход, Vercel столкнулась с критикой со стороны сообщества разработчиков из-за того, что ее собственные инструменты продолжают полагаться на практики, которые она пытается запретить. Разработчик Йордис Брито, старший инженер-программист в компании Fanatics, отметил, что руководство по развертыванию Vercel через GitHub Actions по-прежнему предписывает пользователям использовать статический секрет, известный как VERCEL_TOKEN.
Брито раскритиковал эту двойственность, указав, что Vercel требует от своих партнеров соблюдения стандартов безопасности, которые сама не полностью внедрила в своих инструментах развертывания, что ставит разработчиков в положение, когда они вынуждены продолжать использовать долгосрочные токены, от которых предостерегает компания.
Что меняется на практике?
- Крайний срок: К 30 ноября 2026 года Vercel начнет помечать как «небезопасные» (Not secure) интеграции Marketplace, которые не соответствуют новым стандартам аутентификации.
- Переход на OIDC: Компания стремится заменить статические ключи временными токенами идентификации, что снижает риски утечки данных в средах CI/CD.
- Сервис Vercel Connect: Этот сервис предоставляет возможность запрашивать токены аутентификации с ограниченной областью действия во время выполнения, но он по-прежнему поддерживает статические ключи для провайдеров, которые не предоставляют опции OAuth или OIDC.
В настоящее время Vercel сталкивается с технической задачей: необходимостью обновления своей инфраструктуры и инструментов развертывания в соответствии со стандартами, которые она навязывает другим, поскольку разработчики продолжают нуждаться в статических токенах до тех пор, пока компания не предоставит полностью поддерживаемую альтернативу в рабочих процессах GitHub Actions.