Vercel déploie progressivement DBSC pour sécuriser les connexions
Device Bound Session Credentials lie la session au TPM de l'appareil, rendant inutilisable un cookie volé. Chrome sur macOS et Windows est pris en charge.
Vercel a entamé le déploiement progressif de Device Bound Session Credentials (DBSC) pour les connexions à vercel.com, selon bleepingcomputer.com. La fonctionnalité est déployée par étapes afin de traiter les cas particuliers liés aux applications OAuth.
DBSC stocke une clé privée dans le TPM de l'appareil et l'utilise pour signer le cookie de session. Un cookie dérobé ne peut donc pas être réutilisé sur un autre appareil. La protection fonctionne actuellement dans Chrome sur macOS et Windows.
Vercel déploie également DPoP pour son outil en ligne de commande (CLI). L'annonce a été faite par le CTO de l'entreprise, Malte Ubl.
Sécurité et revue de code
Plus tôt cette semaine, Vercel a lancé Security Review en bêta publique pour les équipes Pro et Enterprise. Cet outil analyse les modifications de code poussées vers les dépôts GitHub connectés et signale des problèmes comme l'absence de contrôles d'autorisation ou des secrets exposés.
Les scans de Security Review sont gratuits jusqu'au 10 novembre 2026, les corrections générées par l'agent étant facturées séparément. Selon le CTO, l'équipe sécurité utilisait déjà Security Review en interne depuis quelques mois.
En avril, Vercel avait subi une violation de sécurité ayant touché une partie de ses clients après la compromission du compte Google Workspace d'un employé chez Context.ai. Un acteur malveillant se faisant passer pour ShinyHunters avait tenté de vendre des données présentées comme volées lors de cet incident.
En bref
Qu'est-ce que DBSC chez Vercel ?
Device Bound Session Credentials stocke une clé privée dans le TPM de l'appareil et signe le cookie de session avec, empêchant la réutilisation d'un cookie volé sur un autre appareil.
Quels navigateurs et systèmes sont pris en charge ?
DBSC fonctionne actuellement dans Chrome sur macOS et Windows.
Security Review est-il gratuit ?
Les scans sont gratuits jusqu'au 10 novembre 2026, les corrections générées par l'agent étant facturées séparément.