Vercel Passport, das seit Ende Juli 2026 allgemein verfügbar ist, integriert sich über das OIDC-Protokoll mit gängigen Identity Providern wie Okta und Microsoft Entra ID. Der Schutzmechanismus greift auf Netzwerkebene – noch vor den eigenen Routen und Proxy-Funktionen des Deployments – sodass unauthentifizierte Besucher direkt zum Identity Provider weitergeleitet werden, bevor sie den App-Code überhaupt erreichen. Der verifizierte Token wird über den Header `x-vercel-oidc-passport-token` an die Anwendung übergeben; clientseitig gesetzte Werte für diesen Header werden von Vercel aktiv entfernt, um Manipulation auszuschließen. Die NPM-Bibliothek `@vercel/passport` (ab Version 1.0.0) stellt mit `getIdentity()` und `verifyIdentity()` zwei zentrale Hilfsfunktionen bereit: Erstere liest die Besucheridentität im Request-Kontext, Letztere erlaubt die Verifizierung des Tokens in nachgelagerten Backend-Diensten außerhalb des ursprünglichen Deployments. Dienste außerhalb von JavaScript können den Token als Standard-JWT gegen den öffentlich publizierten JWKS-Endpunkt verifizieren. Für automatisierten Traffic – etwa Webhooks, Cron-Jobs oder CI-Pipelines – bleibt der bestehende „Protection Bypass for Automation"-Mechanismus via `x-vercel-protection-bypass`-Header erhalten; alternativ ermöglichen „Trusted Sources" kurzlebige OIDC-Token ohne geteiltes Geheimnis. Passport unterstützt darüber hinaus benutzerdefinierte Umgebungen wie `staging` oder `qa`, sodass auch diese Deployments durch denselben Identity-Provider-Flow geschützt werden können.