Vercel推动淘汰静态凭证，开发者却发现其部署仍用长效令牌

据The New Stack报道，Vercel正推动从其生态中消除长效API密钥，要求Marketplace供应商在2027年1月前达标，否则可能被下架；此举正值凭证窃取类供应链攻击频发，包括近期从CI流水线刮取令牌的npm蠕虫，凸显单一泄露密钥的危害。然而开发者已指出矛盾：Vercel自有的GitHub Actions部署流程仍依赖公司如今希望淘汰的持久凭证。CTO Malte Ubl在周四公告中称，公司调查逾千家SaaS供应商，仅8.4%支持其认定的安全认证方式，现正推动OpenID Connect与基于身份的短时令牌，以替代可无限期有效的静态API密钥。CEO Guillermo Rauch在X上强调应“杀死静态凭证”，主张即便仍可能发生攻击与泄露，被盗凭证也应像“自毁密钥”一样在攻击者持续利用前过期。Fanatics高级软件工程师Yordis Prieto回应称，Vercel“发明”了OIDC联邦，却仍让他在CI中依赖长效访问令牌，并敦促公司取消GitHub CI中的令牌要求。官方指南仍要求用VERCEL_TOKEN密钥认证部署；Ubl称将把OIDC支持扩展到API与CLI以逐步淘汰长效令牌，但目前等于要求Marketplace采用自家部署工具尚未完全落地的标准。11月30日起未达标集成将在列表标“不安全”；公司未公布调查方法、受访企业名单或需改认证的现有合作伙伴数量。