Vercel は10月22日(現地時間)、アプリケーション開発で広く用いられる長期間有効な静的認証情報が抱える深刻なセキュリティリスクに対し警鐘を鳴らした。同社は、オープンIDコネクト (OpenID Connect, OIDC) を活用したより安全な認証モデルへの業界全体の移行を強く提唱。自社サービスのOIDCサポートを大幅に強化するとともに、外部プロバイダーがOIDCを容易に導入・活用できるツール群の提供を開始し、認証セキュリティ標準化に向けた具体的な施策を示した。
バーセルは、APIキーやデータベースパスワードといった長期間有効な静的認証情報が、その性質上、頻繁な再利用と有効期限の欠如により、深刻なセキュリティ上の脆弱性を内包していると指摘する。これらの認証情報は、コードリポジトリやチャットツールへの意図しない漏洩、あるいはサービス侵害発生時に攻撃者によって容易に窃取されるリスクがあるという。これに対し、オープンIDコネクト (OIDC) は、信頼できる発行者から署名された短期間有効なトークンを利用して認証を行う方式であるため、アプリケーション側で長期間有効なプロバイダーキーを保持する必要がなくなり、全体のセキュリティレベルを大幅に向上させることができるとバーセルは説明している。
バーセルは、Blob、AI Gateway、Sandboxといった自社サービスにおいてOIDCの利用を最優先事項としており、2024年からはOIDCフェデレーションの一般提供を開始している。これにより、バーセルプラットフォーム上で動作するアプリケーションは、バーセルが発行するIDトークンを、AWS、Google Cloud、Azureといった主要なクラウドプロバイダーの一時的なクレデンシャルと安全に交換することが可能になった。
同社の調査によれば、SaaSベンダーのわずか8.4%しかセキュアな認証方法をサポートしておらず、多くの開発者が依然として静的キーの利用を選択する傾向にあることが明らかになっている。この状況を改善し、より安全な認証メカニズムを普及させるため、バーセルは複数の支援ツールを提供している。
具体的には、OIDCトークンを取得するための開発者向けユーティリティ関数であるgetTokenや、デプロイメントIDを使用して実行時にプロバイダートークンを動的に要求できるバーセル コネクト (Vercel Connect)などが挙げられる。さらに、APIプロバイダー向けには、信頼ポリシーフォームとトークン検証コードを提供する「OIDC UI」を導入し、OIDCの実装プロセスを簡素化している。バーセルは、バーセル マーケットプレイス (Vercel Marketplace) を通じて、ベンダーがセキュア認証をサポートするためのインセンティブを強化する方針を示しており、業界全体のセキュリティ水準向上に貢献することを目指している。
参考: Vercel Blog (アーカイブ) — 2026年10月22日 13:00 (JST)