Il gancio
La protezione delle distribuzioni Vercel richiede la configurazione attiva di funzionalità di sicurezza come la protezione della distribuzione e le intestazioni HTTP personalizzate [S2][S3]. Affidarsi alle impostazioni predefinite può lasciare gli ambienti e gli utenti esposti ad accessi non autorizzati o vulnerabilità lato client [S2][S3].
Cosa è cambiato
Vercel fornisce meccanismi specifici per la protezione della distribuzione e la gestione delle intestazioni personalizzate per migliorare il livello di sicurezza delle applicazioni ospitate [S2][S3]. Queste funzionalità consentono agli sviluppatori di limitare l'accesso all'ambiente e applicare policy di sicurezza a livello di browser [S2][S3].
Chi è interessato
Le organizzazioni che utilizzano Vercel sono interessate se non hanno configurato la protezione della distribuzione per i propri ambienti o definito intestazioni di sicurezza personalizzate per le proprie applicazioni [S2][S3]. Ciò è particolarmente importante per i team che gestiscono dati sensibili o distribuzioni di anteprima private [S2].
Come funziona il problema
Le distribuzioni Vercel possono essere accessibili tramite URL generati a meno che la protezione distribuzione non sia abilitata esplicitamente per limitare l'accesso [S2]. Inoltre, senza configurazioni di intestazioni personalizzate, le applicazioni potrebbero non avere intestazioni di sicurezza essenziali come la policy di sicurezza dei contenuti (CSP), che non vengono applicate per impostazione predefinita [S3].
Cosa ottiene un utente malintenzionato
Un utente malintenzionato potrebbe potenzialmente accedere ad ambienti di anteprima con restrizioni se la protezione della distribuzione non è attiva [S2]. L'assenza di intestazioni di sicurezza aumenta anche il rischio di attacchi lato client riusciti, poiché il browser non dispone delle istruzioni necessarie per bloccare attività dannose [S3].
Come lo esegue il test FixVibe
FixVibe ora associa questo argomento di ricerca a due controlli passivi spediti. headers.vercel-deployment-security-backfill contrassegna Vercel URL di distribuzione *.vercel.app generati solo quando una normale richiesta non autenticata restituisce una risposta 2xx/3xx dallo stesso host generato invece di una richiesta di autenticazione, SSO, password o protezione della distribuzione Vercel [S2]. headers.security-headers ispeziona separatamente la risposta di produzione pubblica per CSP, HSTS, X-Content-Type-Options, Referrer-Policy, Permissions-Policy e difese dal clickjacking configurate tramite Vercel o l'applicazione [S3]. FixVibe non applica la forza bruta agli URL di distribuzione né tenta di ignorare le anteprime protette.
Cosa correggere
Abilita la protezione della distribuzione nel dashboard Vercel per proteggere gli ambienti di anteprima e produzione [S2]. Inoltre, definisci e distribuisci intestazioni di sicurezza personalizzate all'interno della configurazione del progetto per proteggere gli utenti dai comuni attacchi basati sul Web [S3].