Vercel build loglarındaki gizli değerleri maskeliyor: [REDACTED] yalnızca bir koruma

9 Temmuz'dan beri Vercel, 32 karakter veya daha uzun Sensitive değerleri build loglarında REDACTED ile değiştiriyor. Activity Log key, proje ve deployment bilgisini tutuyor; değeri tutmuyor.

Değişiklik

9 Temmuz'dan beri Vercel, 32 karakter veya daha uzun Sensitive değerleri build loglarında REDACTED ile değiştiriyor. Activity Log key, proje ve deployment bilgisini tutuyor; değeri tutmuyor.

Sınırlar

Kısa tokenların, dönüştürülmüş biçimlerin veya downstream kopyaların korunduğunu varsaymayın. Sensitive yalnızca Preview ve Production için geçerli; mevcut değişken yeniden oluşturulmalı.

Operasyon modeli

Public config, internal config ve credential'ları ayırın. Secret'ı yalnızca gereken phase'e verin; Actions, Log Drains, artifact ve ticket akışlarını canary ile test edin.

Topluluk sinyali

Integration tartışmaları güvenlik etiketinin sistem sınırında kaybolabileceğini gösteren bir sinyaldir. Senkronizasyon, drift ve rotation'ı doğrulayın.

Kontrol listesi

✓Credential ve owner envanteri çıkarın.

✓Değerleri rotate edip yeniden oluşturun.

✓Kısa ve dönüştürülmüş biçimleri test edin.

✓Sızıntıda revoke ve rotate uygulayın.

Kaynaklar

• Vercel Changelog: Build logs now redact Sensitive Environment Variable values
• Vercel Docs: Sensitive Environment Variables
• Vercel Security Bulletin: April 2026 security incident
• Vercel Docs: Environment variables
• OWASP Cheat Sheet: Logging
• GitHub Docs: Secrets reference
• Vercel Community: Integration variables and Sensitive mode