Vercel victime d’une brèche de sécurité majeure : ce qu’il faut savoir
Le 20 avril 2026, Vercel a subi une brèche de sécurité via un outil tiers d’IA (Context.ai). Des variables d’environnement et des tokens clients ont été exposés suite à une attaque par la chaîne d’approvisionnement. Voici ce qui s’est vraiment passé, ce qui a fuité et les leçons à en tirer pour les entreprises.
Le 20 avril 2026, la communauté tech internationale a été secouée par une brèche de sécurité chez Vercel, la plateforme de déploiement la plus populaire du monde, particulièrement utilisée avec Next.js. Contrairement à une attaque directe, il ne s'agit pas d'une faille dans les infrastructures de Vercel, mais d'une attaque par la chaîne d'approvisionnement via un outil tiers.
Ce qui s'est passé exactement. Un employé de Vercel a connecté son compte Google Workspace à un outil d'IA tiers appelé Context.ai. Cet outil ayant été compromis, les attaquants ont pris le contrôle du compte via OAuth et ont accédé à certains environnements Vercel. Ils ont pu extraire des variables d'environnement qui n'étaient pas marquées comme "Sensitive", donc non chiffrées.
Quelle était la cause exacte ? Une erreur de configuration humaine classique. Les variables sensibles n'avaient pas toutes été marquées comme "Sensitive" dans Vercel, et l'accès aux outils tiers via OAuth n'était pas suffisamment restreint.
Ce qui a fuité et ce qui n'a pas fuité. Une partie limitée de credentials clients a fuité, comme des API keys et des tokens de déploiement. En revanche, les variables marquées "Sensitive", les données chiffrées et l'accès complet aux serveurs n'ont pas été compromis.
La réaction de Vercel. L'entreprise a rapidement publié un bulletin de sécurité, contacté les clients impactés et renforcé ses contrôles sur les variables d'environnement et les intégrations tierces. Vercel a également engagé Mandiant et d'autres experts en cybersécurité, et a prévenu les autorités.
Pourquoi cette affaire est importante pour les entreprises ? Cet incident rappelle que même les plus grandes plateformes peuvent être touchées par une simple erreur humaine ou un outil tiers mal sécurisé. La gestion des secrets et la vigilance sur la supply chain deviennent aujourd'hui essentielles.
Chez Medeclipse SARL, nous intégrons ces leçons dans tous nos projets : audits de sécurité, gestion sécurisée des variables d'environnement avec des solutions comme Vault ou Doppler, et mise en place de bonnes pratiques DevSecOps.
Vous déployez sur Vercel ou une autre plateforme cloud ? Contactez-nous pour un audit gratuit de votre infrastructure.
📍 Rabat – Maroc 📞 +212 6 57 70 62 90 🌐 www.medeclipse.ma