O Vercel é seguro? Análise de Segurança 2026

Infraestrutura de nível enterprise

O Vercel cuida da infraestrutura: HTTPS automático, CDN global com proteção contra DDoS e segredos criptografados. Isso deixa você com a segurança da aplicação.

A fronteira de segurança sobe para o seu código e para a configuração da conta. A superfície que sobra (Edge Functions, middleware, env vars, integrações OAuth) é onde ocorreu o incidente da Context.ai.

Considerações de segurança

Funções serverless

Funções Edge e serverless podem expor vulnerabilidades de API. Implemente autenticação e validação de entrada. Falhas comuns:

• Sem rate limit: a URL vazada de um proxy para a OpenAI gera custo por hora.
• Sem validação de input: um eval sobre input de usuário.
• Auth que cobre só o caminho feliz e, no caso negativo, segue com next() em vez de devolver 401.

// middleware.ts: chequeio de auth mínimo que realmente rejeita
import { NextResponse } from "next/server";

export function middleware(req: Request) {
  const token = req.headers.get("authorization");
  if (!token || !verifyJwt(token)) {
    return new NextResponse("Unauthorized", { status: 401 });
  }
  return NextResponse.next();
}

export const config = { matcher: ["/api/:path*"] };

Variáveis de ambiente

Deploys de preview não devem ter credenciais de produção. O incidente de abril de 2026 com o app OAuth da Context.ai expôs variáveis de ambiente que não estavam marcadas como “sensíveis” em alguns clientes Vercel, incluindo chaves de API e credenciais de banco.

Três regras:

1. Use a flag Sensitive. Os valores somem dos logs, das leituras do dashboard e de muitos escopos OAuth. Aplique em todo segredo.
2. Separe credenciais de preview. Use um banco sandbox e uma chave Stripe Test separados. Se a branch de preview vazar, o estrago fica contido.
3. Proíba vercel env pull no CI. O comando escreve todas as env vars em texto puro num arquivo .env local.

Deploys de preview

Deploys de preview são públicos por padrão. Para qualquer projeto que fale com APIs reais ou tenha fluxos de auth reais, ative Deployment Protection: Standard para reviews internos, SSO para times com IdP, Password Protection para stakeholders externos.

Código da aplicação

O Vercel protege a infraestrutura, não o seu código. XSS, problemas de autenticação e vulnerabilidades de API ficam com você. Configure os headers de segurança uma vez, globalmente, via vercel.json:

{
  "headers": [
    {
      "source": "/(.*)",
      "headers": [
        { "key": "Strict-Transport-Security", "value": "max-age=63072000; includeSubDomains; preload" },
        { "key": "X-Content-Type-Options", "value": "nosniff" },
        { "key": "X-Frame-Options", "value": "DENY" },
        { "key": "Referrer-Policy", "value": "strict-origin-when-cross-origin" },
        { "key": "Content-Security-Policy", "value": "default-src 'self'; script-src 'self'" }
      ]
    }
  ]
}

Edge Middleware

O middleware roda no edge antes de cada rota, e um refactor pode desligá-lo sem aviso. Fixe os paths do matcher explicitamente em vez de usar wildcards, e escreva um teste por middleware que verifique 401 em uma request não autenticada.

Integrações OAuth no dashboard

Apps OAuth de terceiros (bots de Slack, ferramentas de CI/CD, observabilidade) podem se vincular à sua conta. O escopo padrão costuma ser mais amplo que o necessário. Em Account Settings → Integrations, revise a cada trimestre o que ainda é usado e revogue o resto.

Avaliação de segurança

Pontos fortes

• • Segurança de infraestrutura enterprise-grade
• • HTTPS automático e TLS 1.3
• • Proteção contra DDoS embutida
• • Conformidade SOC 2 Type II
• • Variáveis de ambiente criptografadas
• • Controles de acesso em deploys de preview

Preocupações

• • Segurança da aplicação é responsabilidade do desenvolvedor
• • Funções serverless podem expor vulnerabilidades
• • Variáveis de ambiente precisam de escopo adequado
• • Deploys de preview podem expor features sensíveis
• • Apps OAuth de terceiros (como o incidente Context.ai de abril/2026) podem acessar env vars não marcadas como sensíveis

Aspectos enterprise

Nos planos Pro e Enterprise, o Vercel oferece recursos para ambientes regulados:

• SSO via SAML. No Enterprise, o SSO é obrigatório para todos os membros do time. Responde à pergunta de auditores: “quem tem acesso ao dashboard de deployments?”.
• Audit logs. Cada ação do dashboard (deployment, edição de env var, mudança de domínio) é registrada. Envie o stream para S3, Datadog ou Splunk. Sem cópia externa, num incidente você só tem o que o UI do Vercel mostra.
• Fronteira SOC 2. A conformidade vale para as operações da plataforma. Seu código, suas env vars e seus apps OAuth ficam fora dela.
• Secure Compute. No Enterprise: workers dedicados de build e runtime, allowlists de IP de saída e Vercel Functions privadas. Não substitui a segurança da app.

O veredito

O Vercel é uma plataforma segura para produção. Concentre o esforço no código da aplicação, nos endpoints da API, nas variáveis de ambiente e nos apps OAuth autorizados no dashboard.

Três checagens antes de cada launch:

1. Cada env var que não pode chegar ao navegador está marcada como Sensitive.
2. Deployment Protection está ativo em Preview.
3. Cada app OAuth em Integrations ainda é usado, ou foi revogado.

Recursos relacionados

Como proteger o Vercel

Guia passo a passo: scoping de env vars, padrões de middleware, configuração de headers, auditoria de OAuth.

Checklist de segurança do Vercel

Checklist interativo de pré-launch.

Token Leak Checker

Encontra chaves de API e segredos vazados no bundle de frontend ou em logs de build.

Auditoria de Edge Functions

Checa cada Edge e Serverless Function em busca de auth ausente, falta de rate limit e validação de input.

Riscos de segurança de vibe coding

Padrões de falha que código gerado por IA costuma introduzir em apps no Vercel.

Escaneie seu app Vercel

Deixe o VibeEval escanear seu deploy no Vercel: env vars vazadas no bundle, URLs de preview desprotegidas, brechas de auth em API routes e headers de segurança ausentes.