Vercel против вечных API-ключей: дедлайны Marketplace и OIDC

Редакция 23 октября 2026 г.

Короткоживущий OIDC-токен заменяет долгоживущий API-ключ на схеме связи агента, деплоя Vercel и внешнего SaaS-сервиса.

Vercel сравнивает долгоживущие API-ключи с незашифрованным HTTP в 2010-х: OAuth и OIDC в стандартах давно, а приложения и агенты по умолчанию всё ещё живут на статических секретах. Цель — сделать короткоживущие токены привычкой на платформе и в Marketplace, с OIDC UI и Vercel Connect, чтобы безопасный вход был проще, чем скопировать ключ в переменные окружения.

Опросили более 1000 SaaS-вендоров: безопасную авторизацию принимают только 8,4%. Даже при доступном OIDC часто выбирают статический ключ — из‑за настройки, задержки на обмен токенов и слабой мотивации поставщиков. Federation OIDC для AWS, Google Cloud и Azure у Vercel в general availability с 2024 года; Blob, AI Gateway и Sandbox уже подключаются без долгоживущих ключей провайдера.

Почему это про агентов

Чем больше работы отдают агентам, тем шире права у одного секрета. Ключ может уехать в репозиторий или чат, достаться через компрометацию зависимости или всплыть при prompt injection. Пока секрет не отозван, атакующий ходит с полномочиями ключа; одна осторожная ротация после утечки у Vercel уже стоила тысячи инженерных часов.

Инструменты на платформе

OIDC UI — реестр shadcn/ui с настройкой trust policy и серверной проверкой токена для Vercel, GitHub, GitLab, Google, Bitbucket, AWS, Azure и своих issuer.
Vercel Connect — приложение или агент запрашивает у провайдера короткий токен в рантайме по identity деплоя, без долгоживущих секретов в переменных окружения.
Функции Vercel — платформенный токен в заголовке запроса, SDK читает его без отдельного сетевого вызова; Connect кеширует токены провайдера до истечения.

Дедлайны Marketplace

Как когда Chrome помечал HTTP «Not secure»: с 30 ноября 2026 интеграции, которые не принимают OIDC от Vercel и аутентифицируются долгоживущими секретами, получат предупреждение на карточке. С января 2027 таких вендоров могут убрать из каталога. Ту же планку обещают для Vercel API и нативных интеграций — не только для сторонних.

Источник: Death to long-lived static credentials.