Vercel начала поэтапно включать защиту сессий Vercel на базе Device Bound Session Credentials (DBSC): сессия теперь криптографически привязывается к конкретному устройству. Если инфостилер украдёт cookie из браузера разработчика, использовать её для входа с чужого компьютера не получится. Для команд, которые управляют продакшен-развёртываниями через vercel.com, это закрывает один из самых неприятных сценариев компрометации аккаунта.
Новый механизм уже разворачивается для входа в веб-платформу Vercel, сообщает BleepingComputer. DBSC использует приватный ключ, сохранённый в TPM — аппаратном модуле безопасности устройства. Этот ключ участвует в подтверждении cookie, но извлечь его нельзя: ни пользователю, ни Vercel, ни вредоносной программе, сумевшей добраться до профиля браузера.
Логика проста: обычная сессионная cookie долго была почти готовым пропуском в аккаунт. Вредоносное ПО крадёт данные браузера, оператор загружает их в свой браузер — и получает уже авторизованную сессию без пароля, второго фактора и лишних уведомлений. DBSC добавляет к cookie доказательство владения ключом, который остаётся на исходном устройстве. Перенести одну только cookie на машину атакующего недостаточно.
Технический директор Vercel Малте Убри пояснил, что ключ хранится в TPM — в той же аппаратной инфраструктуре, которая используется биометрическими механизмами на ноутбуках и телефонах. Это не отменяет базовые меры защиты: заражённое устройство всё ещё опасно, а активная сессия на нём может быть использована злоумышленником локально. Но массовая схема «украл cookies — продал доступ» становится заметно менее ценной именно для повторного применения на другом устройстве.
Пока функция работает в Chrome на macOS и Windows. Vercel раскатывает её постепенно, поскольку нужно корректно обработать пограничные случаи с OAuth-приложениями. Для CLI компания отдельно внедряет похожую технологию DPoP — Demonstrating Proof of Possession. Это важная деталь для инженеров: веб-консоль, токены командной строки и интеграции с CI/CD обычно образуют одну поверхность риска, и защищать только браузерную часть было бы слишком оптимистично.
Защита особенно актуальна для Vercel, где доступ к аккаунту может означать доступ к настройкам проектов, деплоям и переменным окружения. В апреле компания сообщала об инциденте, затронувшем часть клиентов: злоумышленник скомпрометировал аккаунт Google Workspace сотрудника Context.ai, получил доступ к внутренним системам и просмотрел переменные окружения, не помеченные как чувствительные. Позже актор, представлявшийся ShinyHunters, пытался продать якобы похищенные исходный код, ключи доступа и данные баз.
Одновременно Vercel развивает ещё один слой безопасности. В начале недели платформа представила публичную бета-версию Security Review для команд Pro и Enterprise. После подключения GitHub-репозитория Vercel Agent анализирует изменения кода при каждом push и ищет проблемы по встроенным и заданным командой политикам: например, пропущенные проверки авторизации или секреты в коде. При достаточных правах агент способен проверить и закоммитить исправление. Сканирование Security Review будет бесплатным до 10 ноября 2026 года, а исправления, сгенерированные агентом, тарифицируются отдельно.
Для разработчиков защита сессий Vercel — не повод расслабиться, а полезное снижение ущерба от кражи браузерных данных. Командам стоит отдельно проверить, кто имеет доступ к проектам, какие переменные окружения действительно отмечены как чувствительные, и не живут ли долгоживущие токены в локальных конфигурациях. Рынок постепенно уходит от модели, где браузерная cookie сама по себе равна учётной записи: аппаратная привязка сессий и подтверждение владения ключом становятся практической защитой для сервисов, через которые проходит путь к продакшену.
