A Vercel felszámolná a hosszú életű statikus hitelesítő adatokat

A statikus kulcsok komoly kockázatot jelentenek

A Vercel 2026. október 22-i közleménye szerint a gépek közötti hitelesítés jelenleg hasonló helyzetben van, mint a HTTPS 2010-ben. Bár egyes szolgáltatók és vállalatok már biztonságosabb megoldásokat használnak, sok SaaS-szolgáltató és infrastruktúra-szolgáltató továbbra is hosszú életű, statikus hitelesítő adatokat tesz alapértelmezetté.

Ilyen adat lehet egy API-kulcs vagy adatbázis-jelszó, amelyet az alkalmazás újra és újra felhasznál, gyakran lejárat nélkül. Ezek bekerülhetnek egy kódtárba vagy egy beszélgetésbe, ellophatják őket egy feltört szolgáltatásból vagy függőségből, illetve egy promptinjekció is rávehet egy ügynököt a felfedésükre. Aki megszerzi az adatot, annak lejáratáig vagy visszavonásáig használhatja a hozzá tartozó jogosultságokat.

A Vercel szerint a kompromittált kulcsok cseréje időt és összehangolt munkát igényel, és hibák esetén az éles működés is megszakadhat. A vállalat korábban több ezer mérnöki munkaórát fordított több, különösen nehéz kulcscserére.

Az OIDC rövid életű tokenekkel váltaná ki a kulcsokat

A Vercel az OpenID Connectet, vagyis az OIDC-t jelöli meg alternatívaként. Ebben a modellben egy megbízható kibocsátó aláírt, rövid életű tokent ad az alkalmazás azonosítására. A fogadó szolgáltatás ellenőrzi a tokent, majd ez alapján dönti el, milyen hozzáférést engedélyez. Ha a token kiszivárog, a lejárata korlátozza, meddig használható.

A rendszer friss hitelesítő adatokat is kérhet programozottan, így nincs szükség egy tartós szolgáltatói kulcs szétosztására és kézi cseréjére. A Vercel már az OIDC-t használja, hogy az alkalmazások hosszú életű kulcsok tárolása nélkül érjék el a Blob, az AI Gateway és a Sandbox szolgáltatásokat. A vállalat OIDC-federációja 2024 óta általánosan elérhető, és lehetővé teszi, hogy a Vercelen futó alkalmazások Vercel által kiadott identitástokeneket ideiglenes AWS-, Google Cloud- és Azure-hitelesítő adatokra váltsanak be.

A Vercel felmérése több mint 1000 SaaS-szolgáltatót vizsgált, és ezek közül csak 8,4 százalék támogatott biztonságos hitelesítési módszereket. A vállalat három akadályt emel ki: a bonyolultabb beállítást, a tokenek lekéréséből vagy cseréjéből adódó többletkésleltetést, valamint a szolgáltatók gyenge ösztönzését.

Új eszközök és határidők a Vercel ökoszisztémájában

A Vercel az OIDC használatát saját szolgáltatásaiban, API-jában, parancssori felületén és piactéri integrációiban is kiterjeszti. A Vercel Connect segítségével az alkalmazások és ügynökök futás közben kérhetnek szolgáltatói tokeneket, így a hosszú életű titkokat nem kell környezeti változókban tárolni. A Vercel Functions platform által kiadott tokent kapnak a kérés fejlécében, az SDK pedig ezt hálózati lekérés nélkül olvashatja. A platform a még érvényes tokeneket újra felhasználja, a Vercel Connect pedig folyamaton belül gyorsítótárazza és lejáratuk közelében frissíti a szolgáltatói tokeneket.

A vállalat bemutatta az OIDC UI nevű shadcn/ui-komponensregisztert is. Ez bizalmi szabályzatot beállító űrlapot és szerveroldali tokenellenőrzőt tartalmaz. A támogatott kibocsátók között szerepel a Vercel, a GitHub, a GitLab, a Google, a Bitbucket, az AWS, az Azure és egyéni OIDC-kibocsátók is.

A Vercel Marketplace szolgáltatóinak 2026. november 30-ig kell támogatniuk a Verceltől érkező OIDC-hitelesítést, ha jelenleg hosszú életű titkokkal azonosítják a felhasználókat. Az ezt nem teljesítő szolgáltatók adatlapján „Nem biztonságos” jelzés jelenik meg. 2027 januárjától a biztonságos hitelesítést nem kínáló szolgáltatókat törlik a piactérről. A Vercel közlése szerint ugyanezt az elvárást saját API-jára és natív integrációira is alkalmazza.