Vercel está implementando gradualmente las credenciales de sesión vinculadas al dispositivo (DBSC), una nueva protección diseñada para impedir que se usen en otro dispositivo las cookies de sesión robadas. La función se aplica a los inicios de sesión en vercel.com, donde los desarrolladores administran proyectos e implementaciones en la plataforma.
El director de tecnología de Vercel, Malte Ubl, anunció la implementación en X. Dijo que DBSC vincula una sesión de inicio de sesión a una clave privada almacenada en el módulo de plataforma segura (TPM) del dispositivo. Según Ubl, la clave firma la cookie de sesión y no se puede extraer, por lo que no es posible reutilizar la cookie robada por sí sola en otro lugar.
La medida complementa el cifrado vinculado a la aplicación de Chrome (App-Bound Encryption), que dificulta que el malware diseñado para robar información extraiga las cookies del navegador. DBSC añade protección contra el uso de una cookie después de que haya sido robada. Actualmente funciona en Chrome para macOS y Windows, y su implementación gradual busca abordar casos límite relacionados con aplicaciones OAuth. Vercel también está implementando una tecnología similar, DPoP, para su CLI.
Por separado, Vercel lanzó recientemente Security Review en beta pública para los equipos Pro y Enterprise. Cuando está activado, Vercel Agent analiza los cambios enviados a los repositorios de GitHub conectados y utiliza el código y las políticas definidas por el equipo para señalar problemas, como la falta de comprobaciones de autorización o la exposición de secretos. Si se le concede permiso, el agente puede validar y confirmar las correcciones. Los análisis serán gratuitos hasta el 10 de noviembre de 2026; las correcciones generadas por el agente se facturan por separado.
Fuentes: BleepingComputer.