Güvenli kimlik doğrulamaya doğru yönelim
Vercel, teknoloji ekosistemindeki uzun ömürlü API anahtarlarını ortadan kaldırmayı amaçlayan stratejik bir plan duyurdu. Bu politika kapsamında şirket, Marketplace satıcılarına, kısa ömürlü kimlik token'larına dayanan OpenID Connect (OIDC) protokolünü benimsemeleri için Ocak 2027'ye kadar süre tanıdı ve bu yeni güvenlik standartlarına uymayan tüm entegrasyonları kaldırmakla tehdit etti.
Bu hamle, yazılım tedarik zinciri saldırılarının arttığı bir dönemde geldi. CI hatlarından token çalmayı hedefleyen npm solucanı gibi yakın zamandaki güvenlik olayları, tek bir anahtarın sızdırılmasının felaket boyutunda ihlallere yol açabileceğini kanıtladı. Vercel CEO'su Guillermo Rauch, bu yönelimi destekleyerek hedefin güvenlik token'larını, saldırganlar istismar edemeden süresi dolan "kendi kendini imha eden anahtarlar" gibi çalıştırmak olduğunu vurguladı.
Dağıtım araçlarında çifte standart
Bu katı yaklaşıma rağmen Vercel, kendi araçlarının yasaklamaya çalıştığı uygulamalara güvenmeye devam etmesi nedeniyle geliştirici topluluğundan eleştiriler aldı. Fanatics'te kıdemli yazılım mühendisi olan geliştirici Jordis Brito, Vercel'in GitHub Actions üzerinden dağıtım kılavuzunun, kullanıcıları hala VERCEL_TOKEN olarak bilinen statik bir sırrı kullanmaya yönlendirdiğine dikkat çekti.
Brito, Vercel'in ortaklarından talep ettiği güvenlik standartlarını kendi dağıtım araçlarında tam olarak uygulamadığını belirterek bu çifte standardı eleştirdi ve geliştiricileri şirketin uyardığı uzun ömürlü token'ları kullanmaya devam etmek zorunda bıraktığını ifade etti.
Pratikte neler değişiyor?
- Son tarih: 30 Kasım 2026 itibarıyla Vercel, yeni kimlik doğrulama standartlarına uymayan Marketplace entegrasyonlarını "Güvenli değil" (Not secure) olarak etiketlemeye başlayacak.
- OIDC'ye geçiş: Şirket, statik anahtarları geçici kimlik token'ları ile değiştirmeyi ve böylece CI/CD ortamlarında veri sızıntısı riskini azaltmayı hedefliyor.
- Vercel Connect hizmeti: Bu hizmet, çalışma zamanında sınırlı kapsamlı kimlik doğrulama token'ları talep etme imkanı sunuyor ancak OAuth veya OIDC seçenekleri sunmayan sağlayıcılar için statik anahtarları desteklemeye devam ediyor.
Vercel şu anda, altyapısını ve dağıtım araçlarını başkalarına dayattığı standartlarla uyumlu hale getirme zorunluluğu gibi teknik bir zorlukla karşı karşıya. Şirket, GitHub Actions iş akışları üzerinden tam desteklenen bir alternatif sunmadığı sürece geliştiriciler statik token'lara ihtiyaç duymaya devam edecek.