Vercel 着手淘汰静态凭证，开发者却发现其自家部署令牌仍在。
内容提要
Vercel要求Marketplace供应商在2027年前淘汰长期API密钥，改用OIDC和短期身份令牌，否则将被下架。调查显示仅8.4%供应商支持安全认证方式，而Vercel自身GitHub Actions部署流程仍依赖VERCEL_TOKEN，遭开发者批评。11月30日起不合规集成将标注“不安全”。Vercel Connect支持运行时获取短期凭证，但仍保留静态密钥选项。
延伸解读
政策与自身实践的时间差
Vercel 给 Marketplace 供应商设定的合规期限是 2027 年 1 月，但自家 GitHub Actions 部署指南仍要求使用 VERCEL_TOKEN 这类长期密钥。这种“先要求别人、后改造自己”的节奏，意味着开发者在过渡期内仍要维护静态凭证，平台方的时间表能否兑现值得持续观察。
8.4% 数据背后的信息缺口
Vercel 称调查了 1000 多家 SaaS 供应商，仅 8.4% 支持其认定的安全认证方式。但文章指出，Vercel 未公布调查方法、未点名受访公司，也未说明有多少现有 Marketplace 伙伴需要改造。读者应把这组数字视为方向性信号，而非可直接引用的行业基准。
Connect 的折中与残留风险
Vercel Connect 允许应用和代理在运行时按部署身份申请限定范围的短期凭证，并处理令牌交换与续期，还新增了基于 Okta 等身份提供商的企业授权。但它仍为缺少 OAuth 的供应商保留静态 API 密钥选项，这些密钥理论上可无限期有效，风险并未完全消除。
对开发者的实际影响
11 月 30 日起，不合规的 Marketplace 集成会被标注“不安全”，这可能影响选型与信任判断。同时，在 OIDC 覆盖 GitHub Actions 部署流程之前，开发者仍需在 CI 中保存长期令牌，并自行承担泄露风险，短期内难以完全摆脱静态凭证。
Q&A
Vercel 要求 Marketplace 供应商在什么时候之前淘汰长期 API 密钥？
Vercel 要求 Marketplace 供应商在 2027 年 1 月之前淘汰长期 API 密钥，否则可能被下架。
Vercel 调查发现有多少比例的 SaaS 供应商支持安全认证方式？
Vercel 调查了 1000 多家 SaaS 供应商，发现只有 8.4% 支持 Vercel 认为安全的认证方式。
Vercel 自己的 GitHub Actions 部署流程目前使用什么凭证？
Vercel 的 GitHub Actions 部署指南仍然要求开发者使用 VERCEL_TOKEN 这个长期有效的密钥进行认证。
从什么时候开始，不符合 Vercel 认证要求的 Marketplace 集成会被标记为“不安全”？
从 11 月 30 日起，不符合 Vercel 认证要求的 Marketplace 集成将在列表上显示“不安全”警告。
Vercel Connect 如何帮助减少长期凭证的风险？
Vercel Connect 允许应用和代理在运行时使用部署身份请求限定范围的短期凭证，而不是在环境变量中存储密钥，并处理令牌交换和续期。
开发者对 Vercel 淘汰静态凭证的倡议提出了什么批评？
开发者指出 Vercel 自己的 GitHub Actions 部署流程仍依赖长期令牌 VERCEL_TOKEN，批评其要求供应商放弃的正是自己仍在使用的凭证类型。
