Vercel CLI переходит на OAuth 2.0: старые методы входа отключат в 2026 году

Команда Vercel объявила о значительном обновлении процесса аутентификации в Vercel CLI. Теперь команда vercel login использует отраслевой стандарт OAuth 2.0 Device Flow, что делает вход более безопасным и интуитивно понятным. Разработчики могут авторизоваться с любого устройства, имеющего браузер, при этом при подтверждении входа необходимо проверять местоположение, IP-адрес и время запроса. Это обновление — часть стратегии Vercel по повышению безопасности и упрощению работы с платформой.

Переход на OAuth 2.0 Device Flow в Vercel CLI

Новый механизм входа заменяет устаревшие методы, включая вход по электронной почте (vercel login your@email.com) и флаги --github, --gitlab, --bitbucket, --oob и --team. Эти методы будут отключены 26 февраля 2026 года, за исключением метода --team (SAML-логин), который останется доступным до 1 июня 2026 года. Ранее сроки отключения были продлены до 1 июня 2026 года, но в целях повышения безопасности Vercel решил ускорить процесс. Разработчикам, использующим автоматизированные скрипты или CI/CD, необходимо заранее адаптировать свои workflows.

Почему Vercel выбрал OAuth 2.0 Device Flow?

OAuth 2.0 Device Flow — это протокол, оптимизированный для устройств с ограниченным вводом, таких как CLI-терминалы. Он позволяет пользователю авторизоваться через браузер, что снижает риск перехвата учетных данных. В отличие от ввода пароля или токена напрямую в терминале, Device Flow исключает хранение чувствительных данных в локальной среде. Кроме того, браузерная аутентификация поддерживает многофакторную защиту (MFA), что значительно повышает безопасность. Vercel последовательно улучшает безопасность своей платформы, и отказ от менее безопасных методов — часть этой стратегии.

Предыстория и контекст

Ранее Vercel CLI поддерживал множество способов входа, что создавало поверхность для атак. Вход по email требовал передачи пароля, а флаги для сторонних провайдеров (GitHub, GitLab, Bitbucket) могли быть использованы в скриптах без должной защиты. OAuth 2.0 Device Flow решает эти проблемы, предлагая единый, безопасный и стандартизированный подход. Компания также учла отзывы сообщества: многие разработчики жаловались на сложность управления токенами и неудобство ввода email в терминале. Новый метод делает процесс интуитивно понятным: пользователь просто открывает ссылку в браузере и подтверждает вход.

Как обновиться и что делать разработчикам?

Разработчикам необходимо обновить Vercel CLI до последней версии с помощью команды npm i vercel@latest. После обновления процесс входа изменится: при выполнении vercel login в терминале отобразится код и ссылка для авторизации в браузере. Пользователь переходит по ссылке, вводит код и подтверждает доступ, проверяя данные запроса. Это проще и безопаснее, чем ввод email или токена. Для автоматизированных сред, таких как CI/CD, Vercel рекомендует использовать токены доступа (access tokens), которые можно создать в настройках аккаунта. Токены не подвержены отключению и остаются рабочим методом для скриптов.

Технические детали нового потока

OAuth 2.0 Device Flow работает следующим образом: клиент (Vercel CLI) запрашивает у сервера авторизации код устройства и URL для входа. Пользователь открывает URL в браузере, вводит код и подтверждает доступ. CLI периодически опрашивает сервер на предмет завершения авторизации и получает токен доступа. Этот подход исключает необходимость хранения паролей или токенов в терминале, а также позволяет использовать многофакторную аутентификацию браузера. Vercel также внедрил проверку местоположения, IP-адреса и времени запроса, чтобы предотвратить атаки с подделкой кода. Все данные передаются по зашифрованным каналам, что минимизирует риски.

Кого затронут изменения

Изменения затронут всех пользователей Vercel CLI, особенно тех, кто использует автоматизированные скрипты с флагами --github, --gitlab или --bitbucket. Разработчикам, интегрирующим Vercel с CI/CD, потребуется обновить конфигурацию. Для российских и СНГ-пользователей, которые часто используют email-логин, это означает необходимость перехода на браузерную аутентификацию. Команды, использующие SAML Single Sign-On, сохранят текущий метод до июня 2026 года. Vercel также предупреждает, что после отключения старых методов вход без обновления CLI станет невозможен, поэтому важно провести миграцию заблаговременно.

Что будет дальше

Vercel рекомендует всем пользователям обновиться как можно скорее, чтобы избежать сбоев. После февраля 2026 года старые методы перестанут работать, и без обновления CLI вход станет невозможен. Компания также планирует дальнейшие улучшения безопасности, но подробности пока не раскрываются. Ожидается, что следующими шагами станут более глубокая интеграция с провайдерами SSO и улучшение поддержки токенов для автоматизации. Разработчикам стоит следить за официальным блогом Vercel и документацией.

Итог

Обновление Vercel CLI — важный шаг к более безопасной и современной аутентификации. Разработчикам стоит немедленно обновить CLI и адаптировать свои рабочие процессы, чтобы избежать проблем после отключения старых методов. Следите за официальной документацией Vercel, чтобы быть в курсе дальнейших изменений. Новый OAuth 2.0 Device Flow не только повышает безопасность, но и упрощает процесс входа, делая его более удобным для всех пользователей.