Vercel 資安事件（2026年4月）：開發者應如何處理外洩的環境變數

Vercel 表示已直接聯繫受影響的客戶，並建議立即輪換憑證。其4月22日的更新補充，擴大審查又發現少數遭入侵的其他帳號，這些帳號也已收到通知。請先確認哪些信箱會收到 Vercel 的訊息（團隊擁有者、帳務聯絡人）。

不過，Vercel 將以下步驟列為無論如何都應遵循的最佳實務。沒有收到 Vercel 的通知，不是什麼都不做的理由。

Vercel 要求你將未標示為敏感的環境變數（包括 API 金鑰、權杖、資料庫憑證、簽章金鑰等）視為可能已外洩，並優先進行輪換。

在儀表板的環境變數表格中，每個變數都會標示為 Config（儲存後可顯示其值）或 Secret（儲存後無法顯示其值）。標示為 Config 的機密就是目前需要處理的清單。請同時檢查團隊層級的共用變數與專案變數。

Vercel 文件提供了不中斷服務的輪換順序：

1. 在第三方服務（資料庫或 API 供應商）中核發新憑證，暫時保留舊憑證
2. 更新 Vercel 環境變數
3. 重新部署（若為團隊層級變數，則需重新部署所有使用該變數的專案）
4. 確認運作正常後，使舊憑證失效

只更新變數，執行中的部署仍會使用舊值，而只有第4步才會讓外洩的值失去作用。

將你建立的新值儲存為 Secret（僅寫入）。Vercel 在公告中表示，敏感功能可防止機密值在日後被讀取。

截至2026年9月30日，文件指出 Secret 的值在儲存後會被隱藏，只能透過提供新值來變更；Secret 過去僅限於 Production 與 Preview，現在也允許用於 Development。關於各類內容應放在哪裡，請參閱本文後面的比較。

Vercel 明確表示，刪除專案或帳號並不足以消除風險，因為外洩的機密在它所開啟的資料庫或 API 中仍然有效。如果你正在清理舊專案或準備離開 Vercel，請先在供應商處使金鑰失效，再進行刪除。

Vercel 建議檢查你帳號與環境的活動紀錄（可於儀表板或透過 CLI 查看），找出可疑活動，並檢查近期部署中是否有任何非預期或看起來可疑的內容。若有可疑部署，應予以刪除。同時可利用同一份紀錄，尋找是否有人檢視過環境變數的值。

Vercel 建議至少將 Deployment Protection 設為 Standard，若你使用 Deployment Protection 權杖，也應加以輪換。Vercel 文件指出，Standard 是大多數專案建議的選項：它會保護預覽與各部署專屬的 URL，而目前的正式環境 URL 仍維持公開。

Vercel 建議使用驗證器應用程式或通行金鑰進行多因素驗證。這些方式為何優於簡訊，請參閱選擇多因素驗證。

Vercel 公布了該 AI 工具的 Google Workspace OAuth 應用程式識別碼，並建議 Google Workspace 管理員與 Google 帳號擁有者立即檢查該應用程式的使用情況。

根據 Vercel，該 OAuth 應用程式遭到更大範圍的入侵，可能影響多個組織的數百名使用者，因此未使用 Vercel 的組織也可能在範圍內。識別碼請從下方來源中連結的 Vercel 公告取得。

Google 管理員說明頁面「控制哪些應用程式可存取 Google Workspace 資料」指出，管理主控台會顯示哪些應用程式曾存取組織資料、是哪些使用者授權的，以及每個應用程式要求的 OAuth 範圍。

匯出清單，標記無人能說明用途的應用程式，以及擁有可讀取整個 Drive 或 Gmail 範圍的應用程式。

同一頁面說明，每個應用程式可設定為「受信任」、「受限」、「特定 Google 資料」或「已封鎖」。對於你決定保留的應用程式，請只開放其所需的資料，其餘則予以封鎖。

你可以設定組織政策，決定使用者是否可以授權管理員未設定的第三方應用程式。只允許要求基本登入資訊的應用程式，可讓每個新的 AI 工具都必須經過管理員審查。

對於 Gmail 與 Drive，你也可以逐一限制高風險範圍，例如寄送郵件或刪除檔案。

以下為本站建議。在此事件中，AI 工具所連接的 Google 帳號成為進入 Vercel 帳號的途徑。擁有正式環境或託管系統管理權限的人，應考慮不要將試用的 AI 工具連接到用來登入這些系統的帳號。若一定要連接工具，請使用另一個對業務資料存取權限受限的帳號。