Vercel deployt deine App mit einem git push, und das ist wunderbar, aber jede Bequemlichkeit verbirgt eine Sicherheitsentscheidung, die du triffst, ohne es zu merken. Das sind die Punkte, auf die du achten solltest, wenn du dort startest.
Umgebungsvariablen und das öffentliche Präfix
Vercel unterscheidet Server- und Client-Variablen. In Frameworks wie Next.js wird alles mit einem öffentlichen Präfix (zum Beispiel NEXT_PUBLIC_) ins Bundle eingebacken und reist zum Browser. Behalte dort nur, was du unbesorgt zeigen kannst. Private Schlüssel kommen ohne Präfix und werden nur auf dem Server genutzt. Ein Ausrutscher hier leakt Tokens dauerhaft.
Preview-Deployments sind öffentlich
Jeder Branch und jeder Pull Request erzeugt eine Preview-URL. Standardmäßig sind diese URLs für jeden erreichbar, der sie kennt, und sie zeigen oft auf echte Daten oder Schlüssel aus Testumgebungen. Behandle sie nicht als privat: wenn deine Preview mit einer Datenbank mit sensiblen Daten verbunden ist, schütze den Zugang oder nutze Fake-Daten.
Sicherheits-Header
Vercel liefert HTTPS von Haus aus, fügt aber keine defensiven Header für dich hinzu. Konfiguriere in deinem Projekt Strict-Transport-Security, X-Content-Type-Options, X-Frame-Options und eine Content-Security-Policy. Ohne sie ist deine App anfälliger für Clickjacking und Skript-Injektion, selbst wenn das Browser-Schloss grün aussieht.
Source Maps, die deinen Code verraten
Viele Builds liefern Source Maps in Produktion aus. Das erlaubt jedem, deinen Originalcode aus dem Browser zu rekonstruieren, samt Kommentaren und interner Struktur. Manchmal enthüllt es Endpunkte oder Logik, die du für versteckt hieltest. Entscheide bewusst, ob du sie veröffentlichen willst; für die meisten Apps schalte sie in Produktion aus.
Dateien und Endpunkte, die nicht da sein sollten
Prüfe, dass .env, .git, Backups oder Manifeste wie package.json nicht erreichbar sind. Prüfe auch auf Debug-Endpunkte oder unauthentifizierte API-Routes, die du zum Testen gelassen und zu entfernen vergessen hast. Was lokal funktioniert, funktioniert weiter in Produktion, für dich und für jeden anderen.
Scanaris prüft es in 30 Sekunden
Scanaris scannt dein Vercel-Deployment nicht-invasiv: HTTP-Header, Cookies, TLS, erreichbare sensible Dateien, Secrets im JavaScript und CORS. Es liest nur, was ohnehin öffentlich ist, es greift nichts an. Jeder Fund kommt mit einem Prompt, fertig zum Einfügen in deine KI, um ihn zu beheben. Lass es nach jedem wichtigen Deploy laufen und starte mit ruhigem Gewissen.