Vercel внедрил двухфакторную аутентификацию для всех пользователей: как включить и защитить аккаунт

Популярная платформа для развертывания веб-приложений Vercel официально запустила двухфакторную аутентификацию (2FA) для всех пользователей. Эта функция позволяет защитить учетные записи с помощью временных одноразовых паролей (TOTP), генерируемых аутентификаторами вроде Google Authenticator или Authy, а также с помощью Passkeys (WebAuthn). Теперь каждый разработчик может значительно повысить безопасность своего аккаунта, добавив второй уровень защиты.

Двухфакторная аутентификация на Vercel: что нового

С сегодняшнего дня любой пользователь Vercel может включить 2FA в настройках аккаунта. Для этого нужно перейти в раздел Account Settings → Authentication и активировать опцию. Процесс настройки включает вход с помощью существующего метода (email OTP или Git-провайдера) в качестве первого фактора, а затем — подтверждение через TOTP-аутентификатор в качестве второго фактора. Важно отметить, что вход с помощью Passkeys (WebAuthn) уже является двухфакторным и не требует дополнительной верификации в Vercel. Также для команд, использующих SAML SSO, аутентификация делегируется провайдеру удостоверений (IdP), и дополнительный фактор в Vercel не требуется.

Предыстория и контекст

До этого момента Vercel полагался на однофакторные методы входа, такие как email OTP или вход через GitHub, GitLab и Bitbucket. Хотя эти методы удобны, они оставляют аккаунты уязвимыми при компрометации пароля или сессии. Внедрение 2FA — ответ на растущие требования безопасности со стороны разработчиков и команд, которые хранят на платформе конфиденциальный код, переменные окружения и ключи доступа. Многие конкуренты, такие как Netlify или AWS Amplify, уже давно поддерживают 2FA, поэтому Vercel заполняет важный пробел.

Как работает двухфакторная аутентификация на Vercel?

2FA на Vercel реализована на основе стандарта TOTP (Time-based One-Time Password). После включения пользователь привязывает свой аккаунт к приложению-аутентификатору, которое каждые 30 секунд генерирует новый шестизначный код. При каждом входе в систему после ввода основного пароля или OTP потребуется ввести этот код. Passkeys (WebAuthn) работают как второй фактор автоматически — они используют биометрию или PIN-код устройства, что соответствует принципу «что-то вы знаете + что-то вы имеете».

Технические детали реализации

Vercel использует стандартные библиотеки для генерации и проверки TOTP-кодов. Ключи шифрования хранятся в безопасном хранилище, недоступном для прямого чтения. Для восстановления доступа предусмотрены резервные коды, которые генерируются при включении 2FA. Пользователи могут скачать или распечатать их. Если код утерян, восстановление возможно через службу поддержки после верификации личности. В будущем Vercel планирует добавить поддержку аппаратных ключей безопасности (U2F/FIDO2).

Кого затронет нововведение

Нововведение касается всех пользователей Vercel: от индивидуальных разработчиков до крупных команд. Разработчики получат дополнительную защиту от угона аккаунтов и несанкционированного доступа к проектам. Бизнес-пользователи и команды, использующие Vercel для коммерческих проектов, теперь могут соответствовать требованиям безопасности (например, SOC 2 или HIPAA), требующим многофакторной аутентификации. Пользователи, которые уже используют SAML SSO, не заметят изменений — для них аутентификация по-прежнему проходит через корпоративный IdP.

Что будет дальше

Vercel продолжает улучшать безопасность платформы. В ближайших планах — поддержка аппаратных ключей и возможность обязательного включения 2FA для всей команды администраторами. Также ожидается интеграция с менеджерами паролей, которые поддерживают TOTP, и улучшенное управление резервными кодами. Компания рекомендует всем пользователям включить 2FA уже сейчас, чтобы защитить свои аккаунты.

Итог

Запуск двухфакторной аутентификации на Vercel — долгожданный шаг, который повышает безопасность разработчиков и их проектов. Теперь каждый пользователь может защитить свой аккаунт от несанкционированного доступа с помощью TOTP или Passkeys. Рекомендуем не откладывать включение 2FA, особенно если вы храните на платформе критически важные данные.