--- title: "Vercel bloquea paquetes npm maliciosos: el deploy falla" description: "Desde el 2 de noviembre de 2026, Vercel comprueba en los builds de todos los planes una lista de bloqueo de versiones de paquetes npm: si hay una, el deploy falla." canonical: "https://rigolco.com/noticias/vercel-bloquea-paquetes-npm-maliciosos-deploy-falla/" lang: "es" datePublished: "2026-11-03T00:00:00.000Z" dateModified: "2026-11-03T00:00:00.000Z" author: "Ton Rigol" --- URL: https://rigolco.com/noticias/vercel-bloquea-paquetes-npm-maliciosos-deploy-falla/ # Vercel bloquea en los builds los paquetes npm marcados como maliciosos: si tu proyecto tiene uno, el deploy falla hasta que lo actualices Desde el 2 de noviembre de 2026, Vercel comprueba en los builds de todos los planes una lista de bloqueo de versiones de paquetes npm: si hay una, el deploy falla. ![Ton Rigol](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) 3 de noviembre de 2026 · 4 min de lectura - 1 fuente citada Desde el 2 de noviembre de 2026, los builds nuevos de todos los planes de Vercel comprueban una lista de bloqueo de versiones de paquetes npm antes y durante la instalación de dependencias, sin configuración, según el [changelog de Vercel](https://vercel.com/changelog/blocking-malicious-npm-packages-before-and-during-installation), que informa sobre su propia plataforma. Si encuentra una dependencia bloqueada, el deploy falla, el error nombra el paquete y la versión, y Vercel intenta invalidar la caché de build afectada. Una web en Vercel puede ver fallar un deploy sin que nadie haya tocado su código. «Vercel now checks for blocked npm packages before and during dependency installation in builds, helping prevent malicious install scripts from running.» (Vercel ya comprueba los paquetes npm bloqueados antes y durante la instalación de dependencias en los builds, para ayudar a evitar que se ejecuten scripts de instalación maliciosos), dice el changelog de Vercel del 2 de noviembre de 2026. ## ¿Qué bloquea exactamente Vercel? Bloquea versiones concretas de paquetes npm, marcadas por malware o por vulnerabilidades de seguridad, no paquetes enteros. Según el changelog de Vercel del 2 de noviembre de 2026, la comprobación tiene dos momentos: - **Antes de instalar**: revisa los lockfiles soportados, también cuando las dependencias se restauran desde la caché de build. - **Durante la instalación**: bloquea las descargas públicas de npm de esas versiones, para que sus scripts de instalación no lleguen a ejecutarse. Vercel dice que las reglas nuevas suelen llegar a los builds nuevos en minutos. La entrada no publica la lista de bloqueo ni dice qué gestores de paquetes o lockfiles son los soportados: no nombra pnpm, Yarn ni Bun. ## ¿A quién le afecta? Le afecta a cualquier pyme o agencia con una web desplegada en Vercel, sea con Next.js, Astro u otro framework, porque la protección se aplica sola a los builds nuevos de todos los planes desde el 2 de noviembre de 2026\. Las webs alojadas fuera de Vercel no cambian. Y siguen igual las comprobaciones previas al deploy que Vercel ya hacía sobre las dependencias instaladas y las salidas de las funciones. ## ¿Qué hago si un deploy me falla por esto? Actualiza la dependencia que nombra el error, actualiza el lockfile y vuelve a desplegar. Es la indicación del propio Vercel: «If a blocked dependency is detected, Vercel fails the deployment, identifies the package and version in the error, and attempts to invalidate the affected build cache. Update the dependency to a safe version and update the lockfile, then redeploy.» (Si se detecta una dependencia bloqueada, Vercel hace fallar el deployment, identifica el paquete y la versión en el error e intenta invalidar la caché de build afectada. Actualiza la dependencia a una versión segura y actualiza el lockfile; después, vuelve a desplegar), según el changelog de Vercel del 2 de noviembre de 2026\. En este orden: 1. Lee el error del deploy fallido y apunta el paquete y la versión bloqueados. 2. Sube esa dependencia a una versión segura. 3. Actualiza el lockfile: con npm, `npm install` o `npm update`, y haz commit del `package-lock.json`. 4. Vuelve a desplegar. No es un fallo de tu web: es la protección haciendo su trabajo. Tampoco sustituye a mantener las dependencias al día. ## ¿Qué datos conviene guardar? - **2 de noviembre de 2026**: desde esa fecha, los builds nuevos de todos los planes de Vercel comprueban una lista de bloqueo de versiones de paquetes npm antes y durante la instalación de dependencias, sin configuración. Fuente: [changelog de Vercel](https://vercel.com/changelog/blocking-malicious-npm-packages-before-and-during-installation), 2 de noviembre de 2026, Vercel sobre su propia plataforma. - **Deploy fallido**: si encuentra una dependencia bloqueada, el deploy falla, el error nombra el paquete y la versión, y Vercel intenta invalidar la caché de build afectada. Fuente: [changelog de Vercel](https://vercel.com/changelog/blocking-malicious-npm-packages-before-and-during-installation), 2 de noviembre de 2026, Vercel sobre su propia plataforma. ## ¿Por qué conviene leer el changelog de Vercel cada semana? Porque es el tercer cambio de build de Vercel en una semana que se aplica sin configuración: llega tras [Node.js 26 como predeterminado](https://rigolco.com/noticias/vercel-node-26-predeterminado-proximo-deploy/), el 29 de octubre de 2026, y el [paso de Data Cache a Runtime Cache](https://rigolco.com/noticias/vercel-cobra-cache-next-js-hobby-29-noviembre/), anunciado el 30 de octubre de 2026\. Quien tiene webs en Vercel puede ver cambiar su próximo deploy sin haber tocado nada. En Rigol&Co podemos revisar contigo las dependencias de tu web si un deploy en Vercel te falla por un paquete bloqueado. ## Fuentes 1. [vercel.com · Blocking malicious npm packages before and during installation (2 de noviembre de 2026)](https://vercel.com/changelog/blocking-malicious-npm-packages-before-and-during-installation) · Vercel, la empresa que vende la plataforma de la que informa El resto de noticias, en [Noticias](https://rigolco.com/noticias/). El porqué largo, con cifras y fuentes, en [Análisis](https://rigolco.com/analisis/). ![](https://rigolco.com/assets-blog/autor-ton-96.webp) [Ton Rigol](https://rigolco.com/sobre/) Fundador de Rigol&Co. Querétaro, México. ¿Te resultó útil? Añade **Rigol&Co** como fuente preferida y verás nuestras noticias más a menudo en tu Búsqueda de Google. [ Añadir como fuente preferida en Google ](https://google.com/preferences/source?q=rigolco.com) ## ¿Hablamos de tu proyecto? Cuéntanos qué necesitas y te decimos con honestidad qué tiene más sentido para tu negocio. [ Agenda una llamada ](https://cal.com/ton-rigol-rojano-okaosp/30min) ## Relacionadas [Ver todas las noticias](https://rigolco.com/noticias/) [ **Sitios web** · 1 noviembre 2026 Vercel empieza a cobrar la caché de Next.js: los equipos Hobby migran el 29 de noviembre ](https://rigolco.com/noticias/vercel-cobra-cache-next-js-hobby-29-noviembre/)[ **Sitios web** · 30 octubre 2026 Vercel hace de Node.js 26 el predeterminado: qué cambia en tu próximo deploy ](https://rigolco.com/noticias/vercel-node-26-predeterminado-proximo-deploy/)