Vercel 强制要求在 2027 年前弃用静态 API 密钥，引发双重标准争议

迈向安全认证

Vercel 公司宣布了一项战略计划，旨在消除其技术生态系统内长期有效的 API 密钥（API Keys）。根据该政策，公司给予 Marketplace 平台供应商至 2027 年 1 月的期限，要求其采用基于短期身份令牌的 OpenID Connect (OIDC) 协议，并威胁将移除任何不符合这些新安全标准的集成。

此举正值软件供应链攻击日益增加之际。近期发生的诸如针对 CI 流水线窃取令牌的 npm 蠕虫病毒等安全事件证明，泄露单个密钥可能导致灾难性的入侵。Vercel 首席执行官 Guillermo Rauch 支持这一方向，并强调其目标是使安全令牌像“自毁密钥”一样运作，在攻击者能够利用它们之前即告失效。

部署工具中的双重标准

尽管采取了这种严厉的方针，Vercel 仍因其自身工具继续依赖其试图禁止的做法而受到开发者社区的批评。Fanatics 公司高级软件工程师 Jordis Brito 指出，Vercel 的 GitHub Actions 部署指南仍然引导用户使用名为 VERCEL_TOKEN 的静态密钥。

Brito 批评了这种双重标准，指出 Vercel 对其合作伙伴要求的安全标准并未完全应用于其自身的部署工具中，这使得开发者被迫继续使用该公司所警告的长期有效令牌。

实际变化有哪些？

• 截止日期：到 2026 年 11 月 30 日，Vercel 将开始对不符合新认证标准的 Marketplace 集成标记为“不安全”（Not secure）。
• 转向 OIDC：公司旨在用临时身份令牌取代静态密钥，从而降低 CI/CD 环境中的数据泄露风险。
• Vercel Connect 服务：该服务提供了在运行时请求受限范围认证令牌的功能，但对于未提供 OAuth 或 OIDC 选项的供应商，它仍然支持静态密钥。

Vercel 目前面临一项技术挑战，即必须更新其基础设施和部署工具，以符合其强加给其他人的标准。只要该公司未在 GitHub Actions 工作流中提供完全支持的替代方案，开发者就仍需使用静态令牌。