Vercel потребовала от партнёров отказаться от долгоживущих ключей API
Изображение: OpenAI
Vercel потребовала убрать долгоживущие ключи API из интеграций Marketplace к январю 2027 года на фоне атак на цепочки поставок. При этом инструкция самой платформы по развёртыванию через GitHub Actions всё ещё требует постоянный токен, сообщает The New Stack.
Поставщикам интеграций, которые не выполнят требования к аутентификации, грозит исключение из каталога. К 30 ноября на страницах таких интеграций появится предупреждение о небезопасной аутентификации. Вместо постоянных ключей Vercel продвигает OpenID Connect (OIDC) и короткоживущие токены: по словам гендиректора компании, украденные учётные данные должны вести себя как «самоуничтожающиеся ключи» и истекать, не позволяя атакующему продолжать ими пользоваться.
В руководстве Vercel для GitHub Actions разработчикам пока предлагают использовать секрет VERCEL_TOKEN. В объявлении от 22 октября технический директор компании сообщил о планах расширить поддержку OIDC в API и CLI, чтобы отказаться от долгоживущих токенов при развёртывании.
По данным Vercel, лишь 8,4% из более чем 1000 опрошенных SaaS-поставщиков поддерживают способы аутентификации, которые компания считает безопасными. Она не опубликовала методику опроса и названия его участников. Сколько действующих партнёров Marketplace должны изменить аутентификацию, тоже неизвестно.
Сервис Vercel Connect позволяет приложениям и ИИ-агентам получать учётные данные во время работы, не сохраняя секреты в окружении приложений. Но для внешних сервисов без поддержки OAuth или другого способа аутентификации на основе идентичности он по-прежнему поддерживает статические ключи API. Connect хранит их централизованно и выдаёт по запросу, однако сами ключи могут оставаться бессрочными.
