La plataforma Vercel ha anunciado su intención de eliminar las credenciales estáticas de larga duración de su ecosistema, exigiendo a los desarrolladores que venden en su Marketplace que adopten métodos de autenticación más seguros antes de enero de 2027, o de lo contrario serán expulsados de la plataforma. Esta iniciativa surge en un momento en que los ataques a la cadena de suministro de software han puesto en evidencia el peligro que supone la filtración de secretos, con incidentes recientes como un gusano en npm que robaba tokens directamente de los pipelines de integración continua (CI).
No obstante, esta apuesta por la seguridad ha abierto un debate tras descubrirse que el propio flujo de despliegue de Vercel mediante GitHub Actions utiliza un token persistente, que contradice el mensaje que la empresa lanza.
En un comunicado difundido el jueves, el director técnico de Vercel, Malte Ubl, explicó que tras realizar una encuesta a más de 1.000 proveedores de SaaS se concluyó que únicamente un 8,4% cuentan con sistemas de autenticación que cumplen los nuevos estándares de seguridad deseados. Por ello, Vercel impulsa el uso de OpenID Connect (OIDC) y tokens de corta duración asociados a la identidad para sustituir las claves estáticas, las cuales pueden permanecer válidas indefinidamente y representar un riesgo elevado en caso de filtración. 
Guillermo Rauch, CEO de Vercel, reforzó este mensaje en la red social X, asegurando que ha llegado el momento de acabar con las “credenciales estáticas”, y defendió que incluso en caso de ataques o accesos no autorizados, las credenciales deberían actuar como “claves autodestructivas” que caducan rápidamente, limitando el tiempo durante el que un atacante podría utilizarlas.
Incongruencias en la política de autenticación de Vercel
Este planteamiento de seguridad choca con la realidad del sistema de despliegue que Vercel ofrece. Yordis Prieto, ingeniero sénior de software en Fanatics, señaló que a pesar de que Vercel fue pionero en la federación OIDC, tuvo que depender de un token de acceso persistente en su pipeline CI, criticando la falta de expiración de dicho token y solicitando que la plataforma prescinda de esta practica en sus acciones de GitHub.
Actualmente, la guía oficial para desplegar con GitHub Actions de Vercel indica que los desarrolladores deben autenticar sus despliegues con un secreto denominado VERCEL_TOKEN, que es un token estático. En el anuncio más reciente, Ubl confirmó que están trabajando para ampliar el soporte de OIDC en todas sus APIs y herramientas de línea de comandos, con el objetivo de eliminar estos tokens de larga duración en los flujos de trabajo de despliegue. Sin embargo, por ahora, la exigencia de adoptar OIDC recae exclusivamente sobre los proveedores de su Marketplace, mientras la propia infraestructura interna de Vercel sigue siendo dependiente de las credenciales persistentes.
Además, Vercel comunicó que a partir del 30 de noviembre, las integraciones de su Marketplace que no cumplan con los estándares de autenticación serán marcadas con una advertencia de “No seguro” en sus listados. La compañía no ha hecho públicas las metodologías utilizadas en su encuesta ni los nombres de los proveedores consultados, por lo que se desconoce cuántos tendrán que hacer cambios en sus sistemas de autenticación.
Tendencia hacia tokens de corta duración en la gestión de agentes AI
La gestión de credenciales cobra aún más importancia a medida que los agentes de inteligencia artificial (IA) acceden a más servicios externos. La mejor forma de reducir los riesgos asociados con las claves de acceso persistentes es implementar credenciales temporales, que expiran justo cuando dejan de ser necesarias, un modelo conocido como credenciales “just-in-time”.
Para abordar este desafío, Vercel ha desarrollado su servicio Connect, que permite a las aplicaciones y agentes solicitar credenciales con permisos limitados en tiempo real mediante su identidad de despliegue, evitando así almacenar secretos en los entornos de la aplicación. Connect administra automáticamente el intercambio y la renovación de tokens.
Una actualización del 15 de octubre añadió una versión beta pública de autorización gestionada de forma empresarial, permitiendo que los administradores controlen el acceso a servicios soportados a través de proveedores de identidad como Okta.
Limitaciones de Vercel Connect y el uso de claves estáticas
A pesar de estas mejoras, Vercel Connect sigue admitiendo claves API estáticas para proveedores que no soportan OAuth u otros mecanismos basados en identidad. Según la documentación oficial, estas credenciales pueden almacenarse de forma centralizada y recuperarse en tiempo de ejecución, lo que implica que las claves subyacentes pueden seguir vigentes indefinidamente, perpetuando el riesgo de filtración.
En septiembre, Vercel introdujo autenticación OIDC para su Container Registry utilizando GitHub, aunque esta incorporación no elimina la necesidad de usar el VERCEL_TOKEN estático en el flujo de despliegue documentado para GitHub Actions.
El reto interno de Vercel para eliminar credenciales estáticas
En definitiva, Vercel encara el mismo desafío que enfrenta a sus proveedores del Marketplace: sustituir las credenciales de larga duración en su propia infraestructura. Hasta que el soporte para autenticación OIDC se extienda a todos los flujos de trabajo, incluyendo los despliegues con GitHub Actions, los desarrolladores continuarán dependiendo de los tokens estáticos que la empresa ha declarado obsoletos y poco seguros.
