Vercel leva o Container Registry para a CLI com o grupo de comandos vcr

A Vercel publicou no changelog de 20 de agosto de 2026 (assinado por Marc Codina Segura e Andy Waller) um novo grupo de comandos na CLI, o vercel vcr, para gerenciar o Vercel Container Registry (VCR) direto do terminal. A proposta, segundo o texto, é manter o registro de imagens dentro da própria conta Vercel, com autenticação amarrada ao projeto, em vez de depender de Docker↳Docker46 conteúdosE o Docker Swarm? Contextos e motivadores diáriosDevSecOps · ago 2024Automatizando o ambiente de desenvolvimento e testes com DockerDevSecOps · mai 2019MySQL + Adminer + Docker Compose: montando rapidamente um ambiente para usoData · abr 2019Ver tudo em DevSecOps → Hub, ECR ou GitHub Container Registry.

Um aviso honesto antes de tudo: este é um artigo de leitura do anúncio, não um tutorial testado em sandbox. Faço questão de marcar isso porque não consegui reproduzir os comandos de forma independente. Meu fluxo aqui costuma ser rodar tudo, quebrar, consertar e só então escrever, mas neste caso os comandos e o host do registro não estavam confirmados como disponíveis publicamente na minha conta no momento em que escrevo. Então trate cada bloco abaixo como transcrição comentada do que a Vercel afirma, e não como receita garantida.

O único comando que você deve rodar primeiro

Antes de copiar qualquer coisa do changelog, o teste de sanidade é um só:

vercel vcr --help

Se isso listar os subcomandos, a feature está ativa na sua conta e vale seguir a documentação oficial. Se retornar erro de comando desconhecido, nada do que a Vercel descreve vai funcionar na sua CLI, independentemente de configuração, e não adianta insistir. Pode ser rollout gradual, gate por plano ou região. Faço essa ressalva porque todo o restante depende dessa verificação: os comandos, a sintaxe de argumentos e o host vcr.vercel.com são o que o anúncio mostra, e eu não os validei contra a CLI rodando.

O que a Vercel diz que o vcr faz

Segundo o changelog, o grupo vercel vcr cobre três frentes:

• Conectar seu tooling de container existente (Docker, Podman ou Buildah) ao registro.
• Buildar e dar push da imagem num passo só.
• Criar e inspecionar repositórios, imagens e tags.

O argumento de design declarado é que o vcr não substitui seu tooling de container: é uma camada por cima. As credenciais vão para o próprio Docker, então, ainda segundo o texto, comandos padrão como docker push continuariam valendo depois da autenticação.

Os comandos, como aparecem no anúncio

O changelog atualiza a CLI via pnpm:

pnpm i -g vercel@latest

O fluxo de autenticação descrito entrega ao Docker um token de curta duração e escopado ao projeto:

vercel vcr login docker

O detalhe destacado pela Vercel é que o token é short-lived e scoped to your project. Em tese, isso significa nenhuma chave permanente de conta inteira circulando na máquina ou no CI, que é a promessa de segurança do formato.

Para build e push num comando só, o changelog mostra:

# Build do diretório atual e push num passo só
vercel vcr build docker --push

# Build e push especificando repositório e tag
vercel vcr build docker ./app my-api:1.2.3 --push

No segundo exemplo, ./app seria o contexto de build e my-api:1.2.3 o par repositório:tag, com --push disparando o envio. Reforço: essa ordem de argumentos é a que o anúncio exibe, e eu não a validei contra o parser real da CLI. Rode vercel vcr build --help para conferir a assinatura oficial antes de usar em automação.

O changelog também exemplifica o push padrão do Docker apontando para o host do registro:

docker push vcr.vercel.com/my-team/my-project/my-repository:latest

O path segue a hierarquia vcr.vercel.com///:. A sintaxe do docker push em si é padrão, mas ela depende do host vcr.vercel.com estar operante e resolvendo para a sua conta. Se o registro não estiver ativo para você, esse comando falha na resolução, então é mais um ponto que só faz sentido depois que o vercel vcr --help responder.

Por fim, os subcomandos de gerenciamento citados no anúncio:

# Criar e listar repositórios
vercel vcr add my-repository
vercel vcr ls

# Listar imagens de um repositório, ou só as sem tag
vercel vcr image ls my-repository
vercel vcr image ls my-repository --untagged

# Inspecionar uma tag específica
vercel vcr tag inspect my-repository latest

O changelog afirma que repositórios são criados automaticamente no primeiro push, ou explicitamente com vercel vcr add. A flag --untagged serviria para higiene do registro: imagens órfãs, que perdem a tag quando um novo push sobrescreve latest, tendem a acumular. O anúncio não detalha se existe comando de remoção nesse mesmo grupo.

Se a feature estiver ativa na sua conta

Caso o vercel vcr --help responda com os subcomandos, a sequência lógica de verificação, seguindo a estrutura anunciada, seria: rodar vercel vcr image ls depois de um push e conferir se a imagem aparece com a tag esperada, e usar vercel vcr tag inspect para o detalhe daquela tag. Um cuidado que vale antecipar em qualquer conta Vercel com múltiplos escopos: confirmar que o repositório saiu sob o time certo, e não sob a conta pessoal, porque a hierarquia por time faz parte do caminho da imagem.

Como o token é escopado ao projeto, é razoável esperar que a CLI precise saber a qual projeto o diretório pertence antes de emitir o token, comportamento comum no resto da CLI da Vercel. E, por ser de curta duração, em CI longo ou máquina parada por dias você precisaria reautenticar, o que sugere colocar o login como etapa do job em vez de confiar num login manual que expira. São expectativas derivadas do que o anúncio descreve, não resultados de teste.

O que muda (e o que fica em aberto) para o dev brasileiro

Para quem monta stack em cima de Fluid Compute e containers na Vercel, tirar o registro de terceiros do caminho reduziria uma peça de configuração (credenciais separadas, permissões cruzadas, latência entre nuvens) e concentraria billing e observabilidade num lugar só. Não é revolução: é conveniência de plataforma, dando ao registro a mesma ergonomia de linha de comando que o resto do ecossistema Vercel já tem.

O changelog é curto (um minuto de leitura, pelo próprio selo do site) e deixa vários pontos em aberto: modelo de preço, limites de armazenamento, retenção e garbage collection das imagens untagged, além da própria disponibilidade pública dos comandos. A documentação de Container Registry e o changelog original são os lugares para checar esses números, e para confirmar se os comandos já valem na sua conta, antes de mover qualquer pipeline de produção.

Fonte: Vercel Changelog