Vercel proíbe chaves API permanentes até jan/2027: entenda riscos

Tech Desk

Vercel exige atualização para tokens temporários, eliminando chaves API estáticas para aumentar a segurança até 2027.

Leia também: Como a inteligência ambiente transforma o trabalho dos devs hoje

A Vercel decidiu aposentar chaves API permanentes no seu ecossistema e vai obrigar fornecedores do Marketplace a migrar para autenticação baseada em identidade, com tokens de curta duração, até janeiro de 2027. Quem não se adequar começa a receber, a partir de 30 de novembro, um aviso de “Não seguro” nas listagens e pode ser removido da plataforma.

Vercel acelera adoção de OIDC e tokens temporários

O plano da empresa é trocar credenciais estáticas por métodos como OpenID Connect (OIDC) e tokens vinculados à identidade do usuário ou do serviço, que expiram rapidamente. A mudança mira diretamente ataques que exploram vazamentos de segredos em pipelines de integração contínua, como worms capazes de coletar tokens em ferramentas de desenvolvimento e deployment.

Em anúncio recente, o CTO Malte Ubl afirmou que a Vercel está “extending OIDC support across its API and CLI to retire long-lived tokens” dos fluxos de deployment. Segundo ele, a pesquisa feita com mais de 1.000 fornecedores SaaS mostrou que só 8,4% oferecem hoje autenticação considerada segura pela companhia.

No centro da estratégia está a ideia de que, mesmo quando há vazamento, o estrago pode ser limitado se os tokens tiverem prazo curto e escopo restrito. O CEO Guillermo Rauch resumiu o movimento ao dizer que é “time to kill ‘static credentials’” e defendeu que segredos roubados funcionem como “chaves autodestrutivas”, que deixam de valer antes que o invasor consiga explorá-las por muito tempo.

Marketplace terá avisos de risco e risco de remoção

A partir de 30 de novembro, integrações do Marketplace que ainda dependam de chaves API permanentes passam a exibir o selo “Não seguro”. A empresa não detalhou quantos parceiros serão afetados nem divulgou a metodologia completa da pesquisa com fornecedores, mas deixou claro que a adoção de OIDC ou mecanismos equivalentes será condição para continuar listado sem restrições.

O prazo final para adequação é janeiro de 2027. Depois disso, integrações que não tiverem migrado para credenciais temporárias, emitidas com base em identidade e com escopo bem definido, podem ser descontinuadas do Marketplace. Na prática, isso pressiona empresas SaaS que integram com a Vercel a reverem sua arquitetura de autenticação, sob risco de perderem visibilidade e negócios na plataforma.

Entenda o contexto

A mudança vem em meio a uma sequência de ataques de cadeia de suprimentos que roubam segredos diretamente de pipelines de CI e ferramentas de automação, explorando o fato de que muitas chaves API e tokens não expiram e dão acesso amplo a sistemas críticos. Nesse cenário, qualquer credencial estática exposta em logs, repositórios ou variáveis de ambiente pode abrir uma porta duradoura para invasores.

Ao privilegiar OIDC e tokens de curta duração, a Vercel tenta alinhar seu ecossistema a uma tendência mais ampla no mercado SaaS: reduzir o tempo de vida e o poder de cada segredo, de forma que um vazamento isolado não comprometa toda a infraestrutura de um cliente.

Fluxos com GitHub Actions expõem contradição

Enquanto cobra essa transformação dos parceiros, a própria Vercel ainda vive uma transição interna. O fluxo oficial de deployment via GitHub Actions continua exigindo o uso de um token estático, o VERCEL_TOKEN, configurado como segredo no repositório — exatamente o tipo de credencial que a empresa diz querer eliminar.

O engenheiro sênior Yordis Prieto, que atua em uma grande empresa de e-commerce, criticou a situação ao comentar que a Vercel “invented OIDC federation yet still left me leaning on a long-lived access token” no pipeline de CI. Ele pressionou a companhia a remover a exigência de token permanente na integração com o GitHub e também atacou a existência de tokens sem data de expiração.

Hoje, o guia de GitHub Actions da Vercel ainda orienta desenvolvedores a autenticar deployments com o segredo VERCEL_TOKEN. As atualizações em andamento — como o OIDC para a API, CLI e o Container Registry — ainda não substituem completamente esse fluxo, deixando a empresa na mesma posição que impõe aos fornecedores: trocar credenciais de longa duração em uma infraestrutura já consolidada.

Connect oferece credenciais sob demanda, mas ainda guarda segredos

Para endereçar parte do problema, a Vercel vem promovendo o Connect, serviço que permite a aplicações e agentes pedir credenciais com escopo definido em tempo de execução, usando a identidade do deployment em vez de armazenar segredos diretamente no código ou nas variáveis de ambiente. O Connect também cuida da troca e renovação desses tokens, aproximando o modelo do ideal de chaves temporárias.

O serviço ganhou recentemente um modo de autorização gerenciada para empresas, em beta público, que permite a administradores controlar acesso a serviços integrados por meio de provedores de identidade como Okta. A ideia é centralizar políticas e reduzir a proliferação de segredos espalhados por times e projetos.

Mesmo assim, o Connect ainda precisa conviver com a realidade do mercado: há provedores que não oferecem OAuth, OIDC ou qualquer opção baseada em identidade. Para esses casos, o serviço segue aceitando chaves estáticas e recomenda guardá-las em um cofre central, de onde são buscadas em tempo de execução. Na prática, o risco da chave permanente continua existindo — apenas envolto em mais camadas de controle.

Impacto para fornecedores e desenvolvedores

Para os fornecedores do Marketplace, o recado é direto: quem não migrar para OIDC ou modelo equivalente terá sua integração publicamente marcada como insegura e, mais à frente, pode ser removido. Isso exige investimento em engenharia de segurança, revisão de fluxos de autenticação e, em muitos casos, mudança de bibliotecas e provedores de identidade.

Desenvolvedores que usam integrações da Vercel também entram na linha de impacto. Em um primeiro momento, eles podem ver serviços rotulados como “Não seguro” ainda funcionando, mas sob pressão para mudar. Em médio prazo, parte das integrações pode sair do ar se os fornecedores não se adaptarem, forçando a busca por alternativas mais alinhadas ao novo padrão.

Usuários finais tendem a ser os principais beneficiados, com menos exposição a ataques que exploram segredos vazados em pipelines e aplicações. A Vercel, por sua vez, reforça o discurso de inovação e segurança, mas fica sob escrutínio da própria comunidade técnica para cumprir em casa o padrão que está impondo ao ecossistema.

Enquanto o suporte a OIDC não chegar plenamente a fluxos críticos como o deployment via GitHub Actions, desenvolvedores continuarão dependentes das mesmas chaves permanentes que a empresa afirma querer aposentar, mantendo a tensão entre discurso e prática no centro do debate sobre segurança de credenciais.