Vercel déploie progressivement les identifiants de session liés à l’appareil (Device Bound Session Credentials, DBSC), une nouvelle protection conçue pour empêcher l’utilisation de cookies de session volés sur un autre appareil. La fonctionnalité s’applique aux connexions à vercel.com, où les développeurs gèrent leurs projets et leurs déploiements sur la plateforme.
Le directeur technique de Vercel, Malte Ubl, a annoncé le déploiement sur X. Il a déclaré que DBSC associe une session de connexion à une clé privée stockée dans le module de plateforme sécurisée (TPM) de l’appareil. Selon Ubl, la clé signe le cookie de session et ne peut pas être récupérée ; le cookie volé ne peut donc pas être réutilisé ailleurs à lui seul.
Cette mesure complète le chiffrement App-Bound de Chrome, qui rend plus difficile l’extraction des cookies du navigateur par les logiciels malveillants voleurs d’informations. DBSC ajoute une protection contre l’utilisation d’un cookie après son vol. La fonctionnalité fonctionne actuellement dans Chrome sur macOS et Windows ; son déploiement progressif vise à traiter les cas particuliers liés aux applications OAuth. Vercel déploie également une technologie similaire, DPoP, pour son interface en ligne de commande (CLI).
Par ailleurs, Vercel a récemment lancé Security Review en bêta publique pour les équipes Pro et Enterprise. Une fois cette fonctionnalité activée, le Vercel Agent analyse les modifications envoyées vers les dépôts GitHub connectés et s’appuie sur le code et les politiques définies par l’équipe pour signaler des problèmes tels que l’absence de vérifications d’autorisation ou la divulgation de secrets. S’il en reçoit l’autorisation, l’agent peut valider et intégrer les correctifs. Les analyses sont gratuites jusqu’au 10 novembre 2026 ; les correctifs générés par l’agent sont facturés séparément.
Sources: BleepingComputer.