事象の概要

この表は、接続に関する要件が満たされていない場合に発生する事象とその解決策をまとめたものです。

技術要件	ユーザーシナリオ	Hyperforce での事象	解決策
ハードコードされたインスタンス参照を使用しない	Salesforce 組織内でハードコードされたインスタンス参照を使用しているか、外部 API クライアントからハードコードされたインスタンス参照を使用して Salesforce エンドポイントを呼び出しています。	API コールがお客様の組織に接続できず、API エラーを返します。	組織移行のベストプラクティスに従って、ハードコードされた参照を更新します。「組織の移行への準備方法」を参照してください。私のドメインの設定 Visualforce、エクスペリエンスビルダー、Site.com Studio、コンテンツファイルの URL の一貫性を確保を有効化します。
	Marketing Cloud Connect を使用しており、Tenant-Specific OAuth Endpoint (TSOE) を有効にしていません。	トラッキングなどの Marketing Cloud Connect の機能が期待通りに動作しません。Marketing Cloud API トークンの期限が切れます。	Marketing Cloud Connect の Tenant Specific OAuth Endpoint (TSOE) を有効にします。
	インスタンス情報がハードコードされた汎用の Marketing Cloud Engagement エンドポイントを使用しています。	Marketing Cloud Engagement エンドポイントへの API コールが失敗するか、エラーを返します。	Marketing Cloud Engagement エンドポイントをテナント固有エンドポイントに更新します。
ハードコードされた IP 許可リストを使用しない (メールリレーの例外は、こちらの記事の「HYPERFORCE - メールリレー」の表を参照してください)	会社のネットワークから Salesforce へのアクセスに IP アドレス許可リストを利用しています。	ユーザーと API クライアントが会社のネットワーク内から Salesforce サービスにアクセスできません。	IP アドレスの代わりに必要なドメインを許可します。
	Salesforce サービスが貴社のネットワークリソースにアクセスするために、IP アドレス許可リストを採用しています。例: Web サービスのエンドポイントや OData 接続など。	Salesforce からのコールアウトは、ホストされている Web サービスやエンドポイントには届きません。	統合認証と認証に最新のセキュリティメカニズムを使用します。例: 双方向 SSL、認証プロバイダ、接続アプリケーション Government Cloud Plus のお客様は、「Government Cloud Plus で許可すべき IP リスト」を参照してください。
	Salesforce サービスからのメールをフィルタリングするために、IP アドレス許可リストを利用しています。	メールがブロックされたり、スパムとして扱われたりします。	SPF/DKIM/DMARC など、Salesforce がサポートする業界標準のメールセキュリティメカニズムを使用します。
Salesforce Express Connect の代替の実装	Salesforce Express Connect (パートナー通信サービスプロバイダによる販売) を使用していて、Hyperforce への直接接続を希望しています。	Salesforce Express Connect (SEC) は Hyperforce への直接ネットワーク接続を提供していません。	SEC を使用していて Hyperforce への直接接続を希望するお客様は、移行前に SEC 通信サービスプロバイダに連絡してネットワークサービスの代替の取得と実装を行なってください。推奨ソリューションは、AWS Direct Connect (DX) とパブリック Virtual Interface (VIF) を使用して安全な接続を確立することです。「Hyperforce 用の AWS Direct Connect (DX) 設定」および「How to Access Salesforce Hyperforce Securely and Reliably with AWS Direct Connect」のガイダンスを参照してください。これは追加のソリューションで、SEC を置き換えるものではありません。
HTTPS ハンドシェイクの成功のために Service Name Indicator (SNI) を含める	TLS ClientHello メッセージに SNI が含めていない API クライアントを使用しています。	HTTPS ハンドシェイクに失敗し、SSSLHandshakeException または同様のエラーが発生します。	次のいずれかを選択します: - TLS ClientHello メッセージに SNI を含めます。 - .my.salesforce.com または .sandbox.my.salesforce.com の Salesforce API エンドポイントを使用します。
	次のいずれかにリクエストを送信します。 .cloudforce.com .database.com	HTTPS ハンドシェイクに失敗し、SSSLHandshakeException または同様のエラーが発生します。	拡張ドメインを有効化してこれらのドメインのトラフィックを *.my.salesforce.com にリダイレクトします。
	Salesforce エクスペリエンスサイトで、サードパーティの CDN が提供するカスタムドメインを使用しています。CDN は SNI を送信しないか、元の *.force.com ドメインの代わりにカスタムドメインを送信します。	CDN が例外を生成し、Salesforce エクスペリエンスサイトは読み込まれません。	SNI を使用しないように CDN を設定し、CDN が Subject Alternative Name (SAN) リストに *.my.salesforce.com を含む HTTPS 証明書を利用していることを確認します。
証明書をピン留めしない	モバイルアプリケーションを、証明書チェーン内のエンティティ証明書またはCA証明書にピン留めしています。	モバイルアプリケーションのログインが失敗します。「What Your Users See」を参照してください。	モバイルアプリケーションのピン留めを解除します。「Configure Authentication Server Certificate Pin」を参照してください。
証明書をピン留めしない	証明書チェーン内のエンティティ証明書またはCA証明書のみを信頼するように、APIをピン留めしています。	API 呼び出しが失敗します。	カスタム設定から証明書のピン留めを削除します。ピン留めが必要な場合は、Mozilla の Server Authentication (SSL/TLS) Root Certificates リスト全体を含むピンセットを作成します。
プラットフォームイベントおよびストリーミングクライアントで .NET 5.0 を使用する	組織にプラットフォームイベントまたはストリーミングクライアントがあり、.NET バージョンが 5.0 未満です。	エラー 403 が発生し、操作に失敗します。 - 403: 組織の 1 日あたりの合計イベント数の制限を超えましたまたは、 - 403: 不明なクライアント	.NET バージョン 5.0 またはそれより最新のものに更新します。詳細情報はこちらの Microsoft の .NET ドキュメントで確認できます。
REST API を使用する際は URI で非 ASCII 文字をエンコードする	REST API にエンコードされていない非 ASCII 文字のある URI を渡しています。	API が Error 400: Bad Request を返します。	RFC-3986 に従ってすべての非 ASCII 文字をエンコードします。
サードパーティのサービスまたはコンテンツ配信ネットワーク（CDN）によって提供されているカスタムドメインのターゲットホスト名を更新する	サードパーティのサービスまたはコンテンツ配信ネットワーク（CDN）によって提供されているカスタムドメインがあります。	カスタムドメインにサイトコンテンツが読み込まれません。	「サードパーティサービスまたは CDN を使用するカスタムドメインの前提条件」の記載を参照して、サードパーティーと協力してサーゲットホスト名を更新します。
REST API を使用する場合は、URI とヘッダーを 16KB 以下にする	Salesforce によって文書化された制限を超えた、URI とヘッダーの合計が 16KB 以上の REST API 呼び出しを実行しています。	API がエラー 431: Request Header Fields Too Large または 414: URI Too Long を返します。	URI とヘッダーの合計が 16KB 以下になるようにします。SOQL または SOSL の長いクエリを渡すには、Composite 機能を使用します。

詳細な技術要件

ハードコードされたインスタンス参照を使用しない

Salesforce のベストプラクティスでは、エンドポイント参照にハードコードされたインスタンス名を使用しないことを推奨しています。
ファーストパーティのインフラストラクチャであっても、インスタンス名がハードコードされていると、組織のインスタンスを変更するマイグレーションによって、アクセスに障害が発生することがあります。パブリッククラウドでは、ダイナミックスケーリングのような望ましい機能を可能にする同じ柔軟なインフラによって、組織の移行やインスタンスのメンテナンスにインスタンスの変更が含まれる可能性が高くなります。定期的なメンテナンス時の混乱を避けるため、Hyperforce ではハードコードされたインスタンス参照は許可されていません。
以下の文書化されたベストプラクティスに従って、ハードコードされた参照を特定し、実装から削除してください:

Hyperforce アシスタントを使用して、ハードコードされた参照が組織にないか確認します。
Salesforce Optimizer を使用して、ハードコードされた参照のあるクラスのリストを取得します。
特に、インテグレーションに Web Service Definition Language (WSDL) を使用している場合は、既存のインテグレーションエンドポイントに私のドメインを使用してください。
以前の組織の移行後にリダイレクトされた場合でも、すべてのリファレンスを更新してください。
画像はナレッジ記事に直接アップロードします。URL に頼らないでください。
パートナーポータルに新しい URL を誘導します。
Web-to-リードと Web-to-ケースのリファレンスを確認してください。
Mobile SDK のアプリケーションを最新版にアップデートします。
互換性を最大限に高めるために、私のドメインの設定 Visualforce、エクスペリエンスビルダー、Site.com Studio、コンテンツファイルの URL の一貫性を確保を有効化します。

これらの推奨事項については、「ハードコード化された参照の更新」で詳しく説明しています。

Marketing Cloud Engagement の考慮事項

Marketing Cloud Engagement のお客様は、テナント固有の OAuth エンドポイントを有効にする必要があります。詳細についてはこれらの手順を確認して従ってください:

組織で Marketing Cloud Account Engagement (旧 Pardot) を使用していて、Marketing Cloud Engagement アカウントがない場合は、この要件は無視してください。

その他の製品

Hyperforce に移行する他の製品でも、ハードコードされたインスタンスの参照ができなくなります。Hyperforce への移行を見越して、他のサービスで使用されているインスタンスベースのハードコードされた参照を探し出し、更新することをお勧めします。

ハードコードされた IP 許可リストを使用しない

クラウド環境の動的な性質のため、Salesforceでは、IP 許可リストではなく、Hyperforce における IP 許可リストの代替手段として推奨される方法に従って mTLS を使用することを推奨しています。

次のセクションでは許可リストが日常的に使用されている具体的な使用例と、推奨される代替案について説明します。

Salesforce サービスへのユーザーおよび API クライアントのアクセスを制御する

IP 許可リストを使ってユーザーまたはサーバの Salesforce へのアクセスを制御する場合は、「必要なドメインを許可」を選択します。
Salesforce ドメインへの安全なアクセスは、HTTPS および SSL クライアント証明書の使用によって強制されます。

Salesforce サービスからお客様の会社ネットワークへのリクエストを制御する

IP 許可リストを使用して、Salesforce のコールアウト機能から、ホストされた Web サービスまたは API エンドポイントへのリクエストをフィルタリングする場合、リクエストのソースは検証されますが、その信頼性は検証されないため、安全ではありません。またこれらの IP アドレスはお客様固有ではなく複数のお客様やトライアル組織で使用されています。そのため、許可リストは安全ではありません。リクエスト種別には以下のものがあります。

APEX コールアウト (WSDL または REST ベース)
アウトバウンドメッセージ
Salesforce Connect (OData またはカスタムコネクタ)
フローを介した APEX 呼び出し可能アクションのコールアウト

許可リストの代わりに、Web サービスと API エンドポイントに最新の認証 (AuthN/AuthZ) を実装して、組織のメンバーだけがネットワークにアクセスできるようにします。
Salesforce には、AuthN/AuthZ とセキュリティを統合するための以下の機能があります:

IP許可リストを使用するお客様は、公式のHyperforce IP範囲をすべて許可する必要があります。これらの範囲は、URL https://ip-ranges.salesforce.com/ip-ranges.json でJSON形式で確認できます。詳細な説明とベストプラクティスについては、「Hyperforce IP の許可 - Sales、Service、Industries、および Tableau Cloud」を参照してください。

含まれるサービス

JSON リストには、外部ソースからの Hyperforceへのインバウンド接続のIP (Salesforce Edge の一部を含む) と、Hyperforce からお客様のネットワークへのアウトバウンド接続の IP が含まれます。これらのアドレスは、Salesforce Cloud、Service Cloud、Industries Cloud、Tableau Cloud などの Salesforce プラットフォームおよび MuleSoft Anypoint プラットフォームで構築された製品を対象としています。

含まれないサービス

JSON リストには、メール、Marketing Cloud、Commerce Cloud、Slack サービスの IP アドレスは含まれません。

Government Cloud Plus を使用している場合は、「Government Cloud Plus で許可すべき IP リスト」を参照してください。

Salesforce サービスからのメールのフィルタリング

メールブロックルールを回避するために IP 許可リストを使用する場合は、Transport Layer Security (TLS)、Sender Policy Framework (SPF)、DomainKeys Identified Mail (DKIM)、または Domain-based Message Authentication, Reporting, and Conformance (DMARC) などの標準的なメールセキュリティプロトコルを採用してください。Salesforce はこれらのオプションをすべてサポートしています。

注意: 一般的に IP 許可リストをメールに使用することはお勧めしていません。Hyperforce のメールリレーで使用される IP アドレスはより静的であり、必要に応じてそれらを使うことができます。メールリレー IP アドレスのリストは Salesforce アプリケーションからのメールを受信できるようにするの「HYPERFORCE - メールリレー」の表を参照してください。

詳細については、以下の記事を参照してください:

Salesforce Express Connect に関する考慮事項

Salesforce Express Connect (SEC) はファーストパーティの SFDC インフラストラクチャへの直接的なネットワーク接続を提供しますが、Amazon Web Services (AWS) 上で稼働する Hyperforce への接続は提供しません。規制、セキュリティ、その他の理由で Hyperforce での直接接続ソリューションが必要な場合は、AWS Direct Connect (DX) の利用をお勧めします。Salesforce は SEC や DX を販売していません。これらのサービスのセットアップについては通信事業者にお問い合わせください。多くの場合、SEC を提供する通信事業者は AWS DX も提供しています。詳細は「Hyperforce 用の AWS Direct Connect (DX) 設定」および「How to Access Salesforce Hyperforce Securely and Reliably with AWS Direct Connect」を参照してください。

login.salesforce.com、*.force.com、および Marketing Cloud など、一部の Salesforce サービスはファーストパーティインフラストラクチャで稼働しています。ファーストパーティと Hyperforce のすべての Salesforce サービスへの接続性を維持するために、Salesforce へのアクセスに直接ネットワークアクセスを必要とするお客様は、SEC の実行を継続し、AWS DX を追加する必要があります。グローバルログインエンドポイントは近い将来 Hyperforce に移行されます。詳細は、「Salesforce Express Connect (SEC) ユーザー - グローバルログインへの変更に対する準備について」を参照してください。

HTTPS ハンドシェイクの成功のために Service Name Indicator (SNI) を含める

Hyperforce では、Salesforce ドメインごとに個別の HTTPS 証明書が用意されています。Web ブラウザと API 呼び出し元は、ClientHello メッセージに SNI を含めて目的のドメインを指定するか、デフォルトのドメインのいずれかを指定する必要があります。
SNI の詳細な要件、課題、解決策については、次の記事を参照してください:
Hyperforce における SNI による HTTPS/SSL 接続エラーの解決

証明書をピン留めしない

証明書のピン留めは、1 つの証明書を選択して信頼する手法です。ピン留めは、運用上の複雑さを増大させ、サービス停止のリスクを伴う古いセキュリティ実践です。ピン留めは Hyperforce でサポートされていません。Hyperforce は常にSSL/TLSを使用し、証明書を定期的に更新します。すべての Hyperforce 証明書は、Mozilla の Server Authentication (SSL/TLS) Root Certificates リストに含まれる認証局 (CA) に連鎖しています。

モバイルアプリケーションで証明書をピン留めしている場合は、「Configure Authentication Server Certificate Pin」の手順に従ってピン留めを無効にします。別の方法でピン留めしている場合は、それを中止します。どうしてもピン留めする必要がある場合は、Mozilla の Server Authentication (SSL/TLS) Root Certificates リスト全体を含むピンセットを作成します。

プラットフォームイベント / ストリーミングクライアントの要件

プラットフォームイベントまたはストリーミングクライアントのある組織は .NET バージョン 5.0 以降を使用する必要があります。それより前の .NET バージョンでは、Hyperforce の RFC コンプライアンス要件のため、これらの機能が中断される原因になる可能性があります。詳細は、こちらの Microsoft の .NET ドキュメントを参照してください。

非 ASCII 文字を適切にエンコードする

REST APIを使用して Salesforce に URI を送信する時は、すべての非 ASCII 文字をRFC準拠のパーセントエンコードで適切にエンコードする必要があります。Hyperforce は厳格な基盤アーキテクチャを採用しており、エンコードされていない文字の送信を許可していません。適切なエンコードに関する詳細は、RFC-3986 の要件を参照してください。また、W3Schools の HTML URL エンコードリファレンスにも役立つヒントが記載されています。

サードパーティのサービスまたはコンテンツ配信ネットワーク（CDN）によって提供されているカスタムドメインのターゲットホスト名を更新する

カスタムドメインは、https://www.example.com など、お客様が所有するドメインでデジタルエクスペリエンスや Salesforce サイトを提供します。

カスタムドメインでドメイン設定オプション [サードパーティサービスまたは CDN を使用してドメインを提供します] を使用している場合は、次のイベントの間にドメインで必要な設定が変化します。

Hyperforce へのアップグレード時
組織で Salesforce Edge ネットワークを使用している場合、インスタンス名が変更される時 (組織が Hyperforce 上にあるかどうかに関わらず)
組織が Salesforce Edge ネットワークに移行する時または使用を中止する時

これらのイベントに備えるため、サードパーティプロバイダーと協力して、変更直後にターゲットホスト名を更新します。そうしないと、カスタムドメインが機能しなくなります。

この設定オプションを使用しているカスタムドメインがあるかを確認するには、設定の [ドメイン] ページにアクセスします。

組織が Salesforce Edge ネットワークにあるかを確認するには、設定の [私のドメイン] ページにアクセスします。

サードパーティサービスまたは CDN によって提供されるカスタムドメインのターゲットホスト名の設定方法については、「サードパーティサービスまたは CDN を使用するカスタムドメインの前提条件」の「対象ホスト名を使用したカスタムドメインでの組織の参照」セクションを参照してください。

URI とヘッダーの長さ制限を遵守する

REST API 呼び出しでは、URI とヘッダーをドキュメントに記載の通り 16KB 以下にします。

Salesforce が使用するために追加のスペースが確保されていますが、このバッファはお客様用ではなく、随時変更される可能性があります。リクエストが 16KB にバッファを加えた長さを超えると、エラー 431: Request Header Fields Too Large または 414: URI Too Long が返されます。このエラーは、ドキュメントに記載された制限を意図せず超過した可能性を示しています。

高度なネットワーク機能をサポートするため、Hyperforce ではファーストパーティ (1P) 環境よりも多くの予約領域を消費する場合があります。そのため、16 KB の制限を超過しているにもかかわらずファーストパーティ環境では現在成功している API 呼び出しが、Hyperforce 環境では失敗する可能性があります。これは Hyperforce の制限ではなく、既存の文書化された制限によるものです。サービスの中断を回避するには、アプリケーションで 16KB の制限を厳密に遵守する必要があります。この制限を超えるリクエストは、最初は Hyperforce 上で動作していたとしても、予告なく失敗する可能性があります。

いずれかのエラーが発生した場合、API 呼び出しが 16KB を大幅に超過しています。主な原因は長い SOQL または SOSL クエリです。エラーを回避するため、長いリクエストの送信には Composite 機能を使用します。

その他の問題

コンテンツファイルのプレビューに関する問題

「コンテンツファイルのプレビューの問題」の記事を確認し、解決策を実施することをお勧めします。この問題は、Hyperforce とファーストパーティの両方のユーザーに影響します。

改訂日	改訂内容
2025/10/22	Hyperforce IP に関する情報を更新。JSON ファイルにインバウンドおよびアウトバウンド接続の IP アドレスが追加されました。
2025/10/08	Salesforce Express Connect に関する考慮事項のセクションを更新し、グローバルログインエンドポイントの移行予定について追記。
2025/09/16	サードパーティ CDN で提供されるカスタムドメインに関する手順を更新
2025/09/02	証明書のピン留めに関するアドバイスの細かな変更。Mozilla リスト全体のピンセットを作成するように記載変更。
2025/08/27	REST API の URI と HTTP ヘッダーの 16KB 制限を遵守するよう追記
2025/06/23	SEC の代替として AWS DX に関する情報を更新
2024/12/05	ハードコードされた IP 許可リストを使用しないのセクションを新しい Hyperforce エグレス IP で更新
2024/05/24	Hyperforce IP が使用できない製品のリストから Tableau を削除
2024/05/23	一時的な既知の問題を削除。すべてのオープンイシューは追跡されて解決されます。
2024/05/07	SEC の記述を更新して AWS DX のガイダンスを追加。カスタムドメインの手順を追加。
2024/02/09	URL エンコードの要件を追加
2024/01/16	ストリーミング API の要件を削除
2023/12/07	High Scale Orders、Service Cloud Voice、Event Relay、Salesforce Payments に関する一時的な制限事項を削除。
2023/10/20	ストリーミング API バージョンの要件を追加。一時的な機能制限の日時を更新。
2023/08/18	ハードコードされた参照を確認するためのツールを更新
2023/08/10	証明書をピン留めしない要件を追加。"Marketing Cloud" から "Marketing Cloud Engagement" に製品名を変更して明示。
2023/07/14	Service Cloud Voice の既知の問題を更新
2023/06/08	Hyperforce IP に関する説明の追加。High Scale Orders、Service Cloud Voice、Event Relay の既知の問題を更新、Salesforce Payments を追加。
2023/04/26	Hyperforce IP に関するスタンスを更新し、ダウンロード先へのリンクを追加。Salesforce Express Connect の代替の実装を、一時的な既知の問題から本格的な要件に上げて、詳細情報を追加。ApexREST サービスヘッダーのリンクを更新
2023/02/01	一時的な既知の問題からカスタム HTTPS 証明書を削除
2023/01/26	一時的な既知の問題にイベントリレーを追加
2022/12/08	非準拠 ApexREST サービスヘッダーで RFC 2616 を 7230 に変更
2022/10/20	一時的な既知の問題をテーブルにまとめ、リストを更新し、目標とする解決期日を追加。プラットフォームおよびストリーミングイベントに .NET 5.0 の要件を追加
2022/09/09	HTTP 1.1 の要件を削除
2022/08/19	一時的な既知の問題に ApexREST および .NET の情報を追加
2022/08/09	IP 許可リストのセクションの表現を更新
2022/07/28	SNI の問題を .cloudforce.com または .database.com で解決するために拡張ドメインの使用を推奨する記述を追加
2022/03/24	カスタム HTTPS 証明書を使用したカスタムドメインの目標とする解決期日を更新
2022/02/21	Hiperforce のメールリレー機能での IP 許可リストの使用について補足説明を追加「Hyperforce のメールリレーで使用される IP アドレスはより静的であり、必要に応じてそれらをお使いいただくことができます。」
2021/12/30	新規作成

Hyperforce 上の Salesforce サービスへの中断しないアクセスを維持する