Vercel تحدد مواعيد نهائية للمزوّدين: المفاتيح الثابتة ستختفي بحلول 2027

تحاول Vercel أن تفعل بمفاتيح API ما فعلته Google وLet's Encrypt بتشفير حركة البيانات. فقد استطلعت الشركة أكثر من 1000 مزوّد SaaS، وتبيّن لها أن 8,4% فقط يدعمون مصادقة آمنة بين الخدمات. أما البقية فما زالوا يُصدرون كلمات مرور لقواعد البيانات ومفاتيح API بلا مدة صلاحية. ولدفع السوق إلى التحرك، تفرض Vercel مواعيد نهائية صارمة على شركاء Marketplace التابع لها. فمن 30 نوفمبر 2026 ستظهر علامة «Not secure» في قائمة المزوّدين الذين لا يدعمون مصادقة OIDC من Vercel ويعتمدون على أسرار طويلة الأمد. ومن يناير 2027 ستُحذف هذه الجهات من الكتالوج.

لماذا أصبح المفتاح الثابت مشكلة الآن تحديدًا

السر الثابت طويل الأمد هو مفتاح API أو كلمة مرور يستخدمها التطبيق مرارًا، وغالبًا بلا تاريخ انتهاء. قد يتسرّب هذا المفتاح إلى مستودع أو محادثة، وقد يُسرق عبر تبعية مخترَقة. وظهر الآن مسار آخر: هجوم prompt injection الذي يُجبَر فيه الوكيل على الكشف عن بيانات اعتماده. والوكلاء يحصلون على صلاحية الوصول إلى الأنظمة والبيانات عبر مفاتيح كثيرًا ما تكون صلاحياتها أوسع مما تتطلبه المهمة المحددة.

ولا يحلّ تشفير الأسرار على القرص المشكلة، لأن الشيفرة الخبيثة في بيئة الإنتاج تقرأ متغيرات البيئة بالطريقة نفسها التي يقرأها بها التطبيق. وما دام المفتاح لم تنتهِ صلاحيته ولم يُلغَ، يمكن لأي شخص استخدامه. كما أن التدوير مكلف. وبحسب Vercel، أجرى فريقها عدة عمليات تدوير مؤلمة على سبيل الاحتياط، وأنفق عليها آلاف ساعات العمل الهندسي. ولا ترغب الشركة في تكرار ذلك.

ما الذي تقترحه Vercel بدل المفاتيح

البديل معروف منذ زمن: OIDC. يُصدر ناشر موثوق رمزًا موقّعًا قصير الأمد يحدد هوية التطبيق، وتتحقق منه الخدمة المستقبِلة وتقرر مستوى الوصول الذي تمنحه. والرمز المسروق يتوقف عن العمل بعد انتهاء مدته. ويحصل التطبيق على الرموز الجديدة برمجيًا، فلا حاجة إلى توزيع مفتاح دائم أو تغييره يدويًا.

تتوفر OIDC-federation على Vercel منذ 2024: تستبدل التطبيقات رموز المنصة ببيانات اعتماد مؤقتة في AWS وGoogle Cloud وAzure، وفق سياسات ثقة مضبوطة للمشروع والبيئة. والآن توسّع الشركة هذا النهج ليشمل خدماتها Blob وAI Gateway وSandbox، إضافة إلى Vercel API وCLI، بهدف إزالة الرموز طويلة الأمد من عمليات النشر.

مجموعة الأدوات الجديدة:

• OIDC UI — سجل مكوّنات shadcn/ui يضم مُهيّئًا لـ trust-policy ومُدقّقًا للرموز على جانب الخادم. وتتوفر نماذج جاهزة لـ Vercel وGitHub وGitLab وGoogle وBitbucket وAWS وAzure وناشري OIDC المخصصين.
• Vercel Connect — تطلب التطبيقات والوكلاء رموز المزوّدين في وقت التشغيل استنادًا إلى هوية النشر. وفي الشيفرة يكفي استدعاء واحد لـ getToken مع تحديد المستخدم وscopes، مثلًا للوصول إلى Linear.
• Custom audience — يُربط الرمز بخدمة مستقبِلة واحدة فقط.
• مثال Azure — يستبدل ClientAssertionCredential رمز Vercel بصلاحية الوصول إلى Cosmos DB دون مفتاح قاعدة بيانات.

زمن الاستجابة والحوافز

تقرّ Vercel بأن للمفتاح الثابت ميزة: فهو موجود أصلًا في متغير البيئة ولا يتطلب طلبًا عبر الشبكة. أما الحصول على الرموز وتبادلها فيضيفان زمن استجابة. لذلك تتلقى دوال Vercel رمز المنصة في ترويسة الطلب، ويقرؤه SDK دون استدعاء إضافي. وتعيد المنصة استخدام الرموز التي لم تنتهِ صلاحيتها، بينما يخزّن Vercel Connect رموز المزوّدين مؤقتًا داخل العملية ويجددها قرب نهاية مدتها. ولا تبقى استدعاءات الشبكة إلا في حالتي custom audience والتبادل إلى رموز المزوّدين.

وإلى جانب السهولة والسرعة، تذكر Vercel عقبة ثالثة: حوافز المزوّدين للعمل على ذلك قليلة. وهنا يأتي دور مثال Chrome، الذي وسم HTTP أولًا بـ«Not secure» ثم حدد مواعيد نهائية. وتنوي Vercel السير في الطريق نفسه، وتَعِد بالمتطلبات ذاتها على واجهتها البرمجية وتكاملاتها الأصلية. كما تريد الشركة أن تُعدّ تكاملات Marketplace المصادقة الآمنة تلقائيًا عند ربط الخدمة، دون خطوة منفصلة.

ما الذي ينبغي على المطورين والمزوّدين فعله

إذا كنت تبني منتجًا لعملاء Vercel، فعليك قبل 30 نوفمبر أن تقرر هل ستقبل رموز OIDC مباشرة أم ستستبدلها ببيانات اعتماد مؤقتة. وتتيح لك مكوّنات OIDC UI ألا تكتب من الصفر نموذج إعداد الثقة ولا آلية التحقق من الرموز. أما إذا كنت تستخدم الخدمات عبر Marketplace فحسب، فمن المفيد أن تفحص مسبقًا لدى أي من المزوّدين المتصلين تحتفظ بمفاتيح دائمة في متغيرات البيئة، وأن تضع خطة لاستبدالها. وبالنسبة إلى تطبيقات الوكلاء، فنقطة البداية المنطقية هي Vercel Connect: فالرمز المخصص لمستخدم محدد ولـ scopes محددة يحدّ من الضرر عند وقوع prompt injection. وبعد الترحيل ينبغي إلغاء المفاتيح القديمة، لا الاكتفاء بالتوقف عن استخدامها.