Mit dem Release von @vercel/blob 2.4.0 führt Vercel signierte URLs für seinen Blob-Speicherdienst ein. Jede signierte URL ist exakt auf eine Operation (put, get, head oder delete), einen einzelnen Dateipfad sowie eine frei wählbare Ablaufzeit von bis zu 7 Tagen beschränkt. Die Signatur umfasst dabei sowohl die Operation als auch alle Constraints – eine für GET signierte URL kann also nicht als PUT missbraucht werden. Upload-URLs (put) unterstützen Multipart-Uploads, sodass der Browser große Dateien direkt an den Blob-Speicher streamen kann, ohne den Umweg über den eigenen Server zu nehmen. Für Deletes gibt es eine ifMatch-Option, die sicherstellt, dass die Löschung nur greift, wenn das Objekt seit der Signierung nicht überschrieben wurde. Das Authentifizierungsmodell setzt auf OIDC: Der Server holt sich ein OIDC-Token, generiert daraus signierte Tokens und stellt dem Browser nur eng begrenzte, zeitgebundene URLs bereit – der langlebige BLOB_READ_WRITE_TOKEN verbleibt vollständig serverseitig.