A Vercel está implementando gradualmente as Device Bound Session Credentials (DBSC), uma nova proteção criada para impedir que cookies de sessão roubados sejam usados em outro dispositivo. O recurso se aplica aos logins em vercel.com, onde os desenvolvedores gerenciam projetos e implantações na plataforma.
O CTO da Vercel, Malte Ubl, anunciou a implementação no X. Ele disse que a DBSC vincula uma sessão de login a uma chave privada armazenada no Trusted Platform Module (TPM) do dispositivo. Segundo Ubl, a chave assina o cookie de sessão e não pode ser recuperada, de modo que o cookie roubado, por si só, não possa ser reutilizado em outro lugar.
A medida complementa a App-Bound Encryption do Chrome, que dificulta a extração de cookies do navegador por malware ladrão de informações. A DBSC acrescenta proteção contra o uso de um cookie depois que ele é roubado. Atualmente, ela funciona no Chrome para macOS e Windows, e a implementação gradual pretende lidar com casos extremos envolvendo aplicativos OAuth. A Vercel também está implementando uma tecnologia semelhante, a DPoP, para sua CLI.
Separadamente, a Vercel lançou recentemente a Security Review em beta público para equipes Pro e Enterprise. Quando ativado, o Vercel Agent analisa alterações enviadas para repositórios conectados do GitHub e usa o código e as políticas definidas pela equipe para sinalizar problemas, como verificações de autorização ausentes ou segredos expostos. Se receber permissão, o agente pode validar e registrar correções. As análises são gratuitas até 10 de novembro de 2026; as correções geradas pelo agente são cobradas separadamente.
Fontes: BleepingComputer.