Vercel Security Review artık Vercel projesine bağlı olmayan GitHub repolarını da tarıyor

Security Review artık bir Vercel projesi gerektirmiyor

Vercel, Security Review özelliğini kendi deployment platformundan ayırdı. 13 Kasım 2026 tarihinde Vercel blogunda yayınlanan bir changelog kaydına göre, otomatik güvenlik açığı tarayıcısı artık Vercel projesiyle hiçbir bağı olmayan GitHub repolarındaki kod değişikliklerini inceleyebiliyor — bu bağ, daha önce aracı kullanmanın ön koşuluydu.

Security Review, kod değiştikçe güvenlik açıklarını yakalamak için var. Geçmişte bu, bir reponun önce bir Vercel projesine bağlanması gerektiği anlamına geliyordu. Şimdi, Vercel'in dediğine göre tarayıcı, özelliğin açık olduğu her yerde, Vercel tarafında hiçbir proje veya deployment devreye girmeden reponun içindeki commit'leri inceliyor.

Kapsam ve sınırlandırma nasıl çalışıyor

Varsayılan kapsam geniş. Vercel, Security Review'nın bağlı bir GitHub hesabı içinde Vercel GitHub App'in erişebildiği tüm bağlı olmayan repoları kapsayacağını belirtiyor. Daha dar bir ayak izi isteyen ekipler, kapsamı belirli bağlı hesaplarla veya tekil repolar düzeyinde sınırlayabilir; ilgili kontroller Agent ayarlarında bulunuyor.

Özellik bir kez açıldığında iş akışı kendiliğinden işliyor: kapsanan bir repoya yapılan her push, getirdiği değişikliklerin incelemesini otomatik olarak başlatıyor. Vercel'e bağlı repolar ise daha derin entegrasyonu koruyor. Bir push, Security Review'nun etkin olduğu bağlı bir proje için aynı zamanda bir deployment ürettiğinde, inceleme changelog'a göre projenin ve deployment'ın sağladığı ek bağlamdan yararlanıyor.

Vercel'e göre kurulum iki adımlı: önce ekibin Git ayarlarından GitHub hesabını bağlayın, ardından Vercel Agent ayarlarından Security Review'yu etkinleştirin. Şirketin Security Review dokümantasyonu adım adım anlatımı içeriyor.

Neden önemli

Bu değişiklik, Security Review'yu sessizce Vercel'de deployment yapmanın bir ayrıcalığı olmaktan çıkarıp GitHub repoları için genel amaçlı bir kod tarayıcısına dönüştürüyor ve bu kaymanın birkaç pratik sonucu var.

Kodlarının bir kısmı Vercel'de, bir kısmı başka yerde yaşayan ekipler için güvenlik açığı taraması artık Vercel deployment grafiğinin kenarında durmuyor. Hiç deploy edilmemiş repolar — iç araçlar, paylaşılan kütüphaneler, erken aşamadaki denemeler — artık her push'ta incelenebiliyor; bu da güvenlik kontrollerini bir deployment olayına bağlamak yerine geliştirme yaşam döngüsünün daha erken bir noktasına taşıyor.

Varsayılanın genişliği de dikkat ediyor. Kapsam GitHub App'in erişebildiği tüm bağlı olmayan repolara uygulandığı için, büyük GitHub organizasyonlarına sahip ekipler, Agent ayarlarından kapsamı daraltmadıkları sürece niyet ettiklerinden çok daha fazla kod taradıklarını görebilir. Bu yapılandırmayı ilk bulgu selinden sonra değil, dağıtıma geçerken kontrol etmek akıllıca olan sıralama.

Son olarak, bu hamle Vercel'i GitHub için üretilmiş genel statik analiz ve kod tarama araçlarının doğrudan karşısına yerleştiriyor. Taramayı hosting'den ayırarak Vercel, büyük ölçüde platformdan bağımsız araçların elinde olan repo güvenliği iş akışından bir pay için rekabet ediyor. Ayrıca ekiplere Vercel GitHub App'e geniş erişim verme konusunda bir neden daha veriyor — bu izin kararı artık deployment gerekenlerinin yanında tarama gerekenlerini de taşıyor.