Vercel внедряет привязку сессий к устройству против кражи cookie
Vercel начинает постепенно внедрять Device Bound Session Credentials (DBSC) для защиты пользователей от инфостилеров. Технология привязывает сессию входа к устройству, поэтому украденный session cookie не сработает на другом компьютере.
Главное в цифрах
- Браузер с поддержкой защиты: Chrome на macOS и Windows
- Хранение закрытого ключа: TPM устройства
- Дата отмены бесплатного периода Security Review: 10 ноября 2026
О внедрении сообщил в соцсети X CTO компании Малте Убл. Механизм хранит закрытый ключ в TPM, тем же модулем, который используется для датчиков отпечатков пальцев и биометрии на ноутбуке или телефоне. Этим ключом подписывается session cookie. По словам Убла, закрытый ключ нельзя извлечь ни Vercel, ни пользователю, ни вредоносной программе.
DBSC работает в Chrome на macOS и Windows. Внедрение идёт постепенно, чтобы корректно обработать особые случаи с OAuth-приложениями. Отдельно компания готовит аналогичную защиту DPoP для Vercel CLI.
Контекст
Vercel, облачная платформа, на которой разработчики развёртывают и хостят сайты, веб-приложения и AI-агентов. Компания также разрабатывает популярный фреймворк Next.js. Новая защита касается входа на vercel.com, где разработчики управляют проектами и деплоями.
DBSC дополняет App-Bound Encryption в Chrome, которое усложняет инфостилерам извлечение cookie из браузера. В апреле Vercel сообщала о взломе, затронувшем часть клиентов: злоумышленники получили доступ к внутренним системам через учётную запись сотрудника в Google Workspace у Context.ai и просмотрели переменные окружения, не помеченные как конфиденциальные.
Что это значит для разработчиков
Для тех, кто управляет проектами на платформе, новая защита снижает риск получения доступа к аккаунту через похищенные cookie. Пока функция доступна только в Chrome на macOS и Windows, поэтому её охват ограничен.
