Vercel quiere matar las credenciales estáticas, pero su propio token sigue vivo

Vercel ha puesto sobre la mesa una cruzada contra las credenciales estáticas, esas claves API de larga duración que tantos quebraderos de cabeza causan cuando se filtran. La compañía quiere que los proveedores de su Marketplace migren a OpenID Connect (OIDC) y tokens de corta duración antes de enero de 2027, so pena de ser eliminados del catálogo. La noticia, publicada por The New Stack, llega en un momento en que los ataques a la cadena de suministro que roban credenciales —incluido un reciente gusano en npm que extraía tokens directamente de los pipelines de CI— no dejan de demostrar el daño que puede hacer un solo secreto filtrado.

El CTO de Vercel, Malte Ubl, explicó que encuestaron a más de 1.000 proveedores SaaS y solo el 8,4% soportaba métodos de autenticación que la compañía considera seguros. Por eso empujan OIDC y tokens de identidad de corta duración como alternativa a las claves estáticas que pueden permanecer válidas indefinidamente. El CEO, Guillermo Rauch, amplificó el mensaje en X: “es hora de matar las credenciales estáticas”, argumentando que, aunque los ataques sigan ocurriendo, las credenciales robadas deberían comportarse como “llaves autodestructivas” que expiran antes de que un atacante pueda seguir usándolas.

El doble rasero de Vercel

La paradoja saltó rápido. Yordis Prieto, ingeniero senior en Fanatics, señaló en redes que Vercel había “inventado” la federación OIDC pero que él seguía dependiendo de “un token de acceso de larga duración” en su pipeline de CI. La guía de despliegue con GitHub Actions de Vercel todavía indica a los desarrolladores que autentiquen los despliegues con un secreto VERCEL_TOKEN. En el anuncio del jueves, Ubl dice que la compañía está extendiendo el soporte de OIDC a su API y CLI para retirar los tokens de larga duración de los flujos de despliegue, pero por ahora Vercel pide a los proveedores del Marketplace que adopten un estándar que su propia herramienta de despliegue no ha implementado del todo.

Además, a partir del 30 de noviembre, las integraciones del Marketplace que no cumplan los requisitos de autenticación mostrarán una advertencia de “No seguro” en su listado. La empresa no ha publicado la metodología de su encuesta, ni ha nombrado a las empresas encuestadas, ni ha revelado cuántos socios actuales del Marketplace tendrán que cambiar sus sistemas de autenticación. Son datos que, de momento, quedan en el aire.

Tokens de corta duración para agentes IA

A medida que los agentes de IA acceden a más servicios externos, la gestión de credenciales se vuelve un aspecto crítico para los arneses de agentes. Una forma de reducir los riesgos de las claves de acceso persistentes es utilizar credenciales de corta duración, just-in-time, que expiran en lugar de dejar a los agentes con acceso continuo. El servicio Connect de Vercel aborda parte de ese problema al permitir que las aplicaciones y los agentes soliciten credenciales con alcance limitado en tiempo de ejecución usando su identidad de despliegue, en lugar de almacenar secretos en los entornos de aplicación. Connect también gestiona el intercambio y la renovación de tokens. Una actualización del 15 de octubre añadió autorización gestionada por la empresa en beta pública, permitiendo a los administradores controlar el acceso a servicios compatibles a través de proveedores de identidad como Okta.

Sin embargo, Connect todavía admite claves API estáticas para proveedores que carecen de OAuth u otra opción basada en identidad. Su documentación describe el almacenamiento centralizado de esas credenciales y su extracción en tiempo de ejecución, pero las claves subyacentes pueden seguir viviendo indefinidamente. La compañía también introdujo la autenticación OIDC de GitHub para su Container Registry a finales de septiembre, aunque ese trabajo no elimina el requisito de VERCEL_TOKEN en su flujo documentado de despliegue con GitHub Actions.

Qué significa para una pyme o un equipo de IT

Más allá del caso concreto de Vercel, el debate de fondo es relevante para cualquier organización que despliegue software: las credenciales estáticas son un riesgo acumulativo. Cada token de larga duración que se guarda en un repositorio, en una variable de entorno o en un pipeline de CI es una puerta que puede quedar abierta para siempre si se filtra. Los ataques a la cadena de suministro que roban tokens en CI son cada vez más comunes, y un solo secreto comprometido puede dar acceso a infraestructura crítica.

Para una pyme, la recomendación es empezar por identificar dónde hay credenciales estáticas en sus flujos de trabajo: tokens de despliegue, claves de API de servicios cloud, secretos en GitHub Actions, etc. A partir de ahí, priorizar la migración a OIDC o a tokens de corta duración en aquellos proveedores que ya lo soporten. No siempre será posible (como demuestra el propio Vercel), pero reducir la superficie de exposición es un objetivo alcanzable. También conviene revisar la caducidad de los tokens existentes y establecer rotaciones periódicas, aunque sean manuales, como medida de contención.

En ForgeNEX recomendamos abordar la gestión de credenciales como parte de una estrategia de seguridad más amplia. No se trata solo de adoptar OIDC, sino de entender qué identidades necesitan qué accesos y durante cuánto tiempo. Herramientas como los proveedores de identidad (Okta, Azure AD) y la federación con OIDC pueden ayudar, pero requieren planificación. Si tu equipo aún no ha empezado, un buen primer paso es auditar los secretos almacenados y eliminar los que ya no se usan. Como hemos visto en casos recientes, como el compromiso de claves de CA, la gestión descuidada de credenciales puede tener consecuencias graves.

La lección que deja el caso de Vercel es que predicar con el ejemplo no es fácil, pero la dirección es clara: menos secretos estáticos y más identidades efímeras. Las pymes que den pasos en esa dirección estarán mejor preparadas para los ataques que, sin duda, seguirán llegando.

Fuente: The New Stack. Análisis y adaptación: ForgeNEX.