Vercel quer aposentar credenciais estáticas de longa duração e apostar em OIDC

A Vercel compara a autenticação máquina a máquina de hoje ao HTTPS de 2010. Os padrões existem (OAuth, OIDC, DBSC), mas só viram norma com tooling que facilite o uso e pressão contínua. Segundo a empresa, chaves de API e senhas de banco, muitas vezes sem expiração, seguem como padrão em muitos fornecedores de SaaS e provedores de infraestrutura. Num levantamento com mais de 1.000 fornecedores de SaaS, só 8,4% ofereciam métodos seguros.

No lado técnico, o código na Vercel obtém um token OIDC com uma chamada de função, e uma audience customizada define o serviço que deve recebê-lo. Funções recebem um token emitido pela plataforma no header da requisição, que o SDK lê sem nova chamada de rede. O Vercel Connect guarda tokens de provedor em cache no processo e renova perto da expiração. Já audiences customizadas e trocas com provedores exigem chamadas de rede, e a latência é uma das três barreiras citadas, junto com tooling mais complexo e incentivos fracos para fornecedores. O exemplo da empresa usa o Azure SDK: o callback entrega o token OIDC da Vercel ao ClientAssertionCredential, que o troca pelo token de acesso usado pelo CosmosClient no Cosmos DB, sem chave de banco.

O OIDC UI é um registry do shadcn/ui com configurador de trust policy e verificador de token no servidor. Traz formulários para Vercel, GitHub, GitLab, Google, Bitbucket, AWS, Azure e emissores OIDC customizados. O Marketplace ganha prazos: até 30 de novembro de 2026, fornecedores sem suporte a OIDC da Vercel e que usem segredos de longa duração recebem um aviso de "Not secure" na listagem. Em janeiro de 2027, quem não oferecer autenticação segura será removido.

Em 19 de junho de 2026, o CEVIU noticiou "Vercel lança Connect em beta: nova abordagem segura para autenticação de agentes de IA", com credenciais de curta duração trocadas em tempo de execução no lugar de tokens de provedor de longa duração. Agora o Connect aparece como peça de uma estratégia maior: OIDC UI para provedores, OIDC na API e na CLI da Vercel e exigências com prazo para o Marketplace. Do lado do mercado, em 26 de junho de 2026 o CEVIU registrou o OAuth autogerenciado da Cloudflare, que substitui tokens de API, e em 22 de abril de 2026 o Vault Enterprise 2.0 com federação de identidade de workload. Outros players seguem na mesma direção.

Para quem integra serviços de terceiros no Marketplace, a leitura é que chave estática deixa de ser o caminho de menor resistência e passa a ter custo de reputação e de listagem. Para quem opera apps na Vercel, vale mapear onde ainda há segredo longo em variável de ambiente e medir o impacto da latência de troca de token antes de migrar.