Vercel Private Blob entra em disponibilidade geral

O Vercel Private Blob saiu da fase beta e está em disponibilidade geral (GA) desde 30 de junho de 2026, data oficial confirmada pela Vercel no anúncio de GA. Ele é uma camada de armazenamento de objetos privados integrada ao Vercel Blob, com backend em Amazon S3 e durabilidade de 99,999999999%. Diferentemente do modo público, que permite acesso direto por URL, o Private Blob exige autenticação obrigatória para toda leitura ou escrita: não há URLs públicas acessíveis por acidente. A autenticação padrão usa OIDC com tokens curtos e auto-rotativos vinculados ao projeto, sem necessidade de tokens estáticos nas variáveis de ambiente.

Um recurso-chave lançado em 7 de junho de 2026 foi o suporte nativo a Signed URLs: links temporários com escopo granular (operação específica, caminho e expiração até 7 dias), úteis para entregar faturas, relatórios ou arquivos de usuário sem expor credenciais nem passar dados pelo servidor. Stores podem ser criadas em qualquer uma das 20 regiões da Vercel, mas sua configuração de modo (público/privado) e região são imutáveis após a criação.

Para equipes que já usam Vercel para aplicações serverless, o Private Blob elimina a necessidade de integrar serviços externos como S3 + CloudFront + AuthZ personalizado para dados sensíveis. Não é só sobre segurança: é sobre simplicidade operacional. Ao usar o mesmo SDK do Blob público, basta trocar access: 'public' por access: 'private' no upload , , desenvolvedores mantêm consistência de API sem aprender novos padrões. E como os custos de armazenamento e operações são idênticos aos do Blob público, não há sobrecarga financeira para adotar privacidade real.

O modelo de entrega também muda: blobs privados são servidos via Functions, não diretamente pelo edge. Isso permite aplicar lógica de autorização customizada antes do acesso, algo impossível com URLs públicas, e alinha-se com práticas de zero-trust, onde nenhum dado é acessível sem verificação explícita.

Desenvolvedores já podem usar o Private Blob em produção hoje, sem restrições de plano: ele está disponível em todos os tiers da Vercel, inclusive Hobby. A CLI ganhou suporte nativo à autenticação OIDC, então operações como vercel blob get ou vercel blob put funcionam localmente sem tokens longos. Para quem ainda usa tokens estáticos (BLOB_READ_WRITE_TOKEN), há um fluxo claro no dashboard para migrar para OIDC e revogar as credenciais antigas.

Não há mudança na forma de escrever código, o SDK continua o mesmo. O que muda é o comportamento de segurança: um get() de um blob privado falha silenciosamente se chamado sem contexto de autenticação válido (ex.: fora de uma Function ou sem token OIDC), evitando vazamentos acidentais. Isso reduz riscos de misconfiguration, um dos principais vetores de vazamento em aplicações web modernas.