Loading

Preguntas más frecuentes de Seguridad web Lightning

Fecha de publicación: Jan 30, 2025
Descripción
Seguridad web Lightning (LWS) es una nueva arquitectura de seguridad del lado del cliente para componentes Lightning. Esta nueva arquitectura está definida con menos restricciones y más funciones proporcionando al mismo tiempo sólidas funciones de sandbox y una postura de seguridad para aplicar el aislamiento de espacios de nombres. El resultado es una seguridad sólida, flexible y utilizable para sus componentes Lightning. LWS está llamada a sustituir Lightning Locker para componentes Lightning.
Solución

Preguntas más frecuentes


Fundamentos de Seguridad web Lightning


Activación de Seguridad web Lightning


Más información


*********************************************************************************************************************************

Fundamentos de Seguridad web Lightning


¿Qué es Seguridad web Lightning?
Seguridad web Lightning (LWS) es una nueva arquitectura de seguridad del lado del cliente para componentes Lightning. Esta nueva arquitectura está definida con menos restricciones y más funciones proporcionando al mismo tiempo sólidas funciones de sandbox y una postura de seguridad para aplicar el aislamiento de espacios de nombres. El resultado es una seguridad sólida, flexible y utilizable para sus componentes Lightning.

Lightning Locker ha sido la arquitectura de seguridad predeterminada para todos los componentes Lightning. Seguridad web Lightning (LWS) va a sustituir inicialmente a Lightning Locker Lightning para componentes web, y Salesforce va a agregar cobertura para componentes Aura durante varias versiones.

Volver al principio

¿Qué problemas resuelve Seguridad web Lightning?
Seguridad Lightning evita que los componentes web Lightning interfieran o accedan a datos de componentes de otros espacios de nombres sin el permiso explícito del espacio de nombres.

Una página Lightning puede incluir componentes creados por múltiples empresas. Los componentes creados por el equipo de desarrollo de una organización coexisten con los componentes creados por Salesforce. Si crea y distribuye aplicaciones en paquetes en AppExchange, sus componentes coexisten con componentes creados por Salesforce y los componentes del cliente que instala su aplicación.

Sin medidas preventivas en vigor, un componente puede acceder a los objetos globales de la ventana y obtener recursos privados o datos de otros componentes de la página. Una medida es aislar los componentes por espacio de nombres de modo que un componente malicioso no pueda acceder a los recursos de componentes que estén fuera de su espacio de nombres.

El aislamiento de espacios de nombres es transparente y virtual, lo que permite que los componentes parezcan importar componentes desde otros espacios de nombres como si todos estuvieran ejecutándose en el mismo entorno.

Volver al principio

Cómo funciona Seguridad web Lightning?
Seguridad web Lightning aísla los componentes en un sandbox de JavaScript dedicado al espacio de nombres de los componentes. Este tratamiento de sandbox nos permite exponer objetos globales de documento, ventana y elemento directamente, sin abrir la puerta a amenazas de seguridad. LWS altera la ejecución del código en el sandbox de JavaScript para ayudar a evitar un comportamiento inseguro. Consulte Cómo funciona Seguridad web Lightning para obtener más información.

Volver al principio

¿En qué difiere Seguridad web Lightning de Lightning Locker?
Seguridad web Lightning difiere de Lightning Locker de estas formas:

  • Uso de componentes entre espacios de nombres. Sus componentes Lightning pueden importar componentes o módulos de otros espacios de nombres y utilizarlos a través de composición o extensión. Los componentes se aíslan en su propio sandbox de JavaScript de espacio de nombres, pero esto es transparente para usted porque LWS realiza una comunicación virtual en segundo plano.
  • Interacciones seguras con objetos globales. Debido a que cada espacio de nombres tiene su propio sandbox de JavaScript, podemos exponer objetos globales de documento, ventana y elemento directamente sin necesidad de utilizar contenedores para asegurar sus componentes. Seguridad web Lightning modifica los comportamientos de aquellos objetos para evitar que un componente acceda a objetos globales utilizados por componentes de otro espacio de nombres.
  • Acceder a contenido de iframe e identidad. Sus componentes Lightning pueden acceder a contenido en elementos iframe, incluso cuando el contenido proviene de un origen diferente. La identidad de iframe también se mantiene en los límites del sandbox, de modo que la comprobación del origen del evento postMessage funciona con normalidad. Lightning Locker bloquea el acceso a contenido en iframes.
  • Uso de elementos personalizados y componentes web no Lightning de terceros. Sus componentes Lightning pueden crear elementos personalizados y usar componentes web de terceros. Lightning Locker bloquea el uso de elementos personalizados y componentes web de terceros.
  • Rendimiento mejorado. La ejecución de su código en el sandbox de JavaScript de espacio de nombres es más rápida que en Lightning Locker porque Seguridad web Lightning no utiliza contenedores seguros, que pueden reducir el rendimiento.
  • Mejor cobertura para JavaScript de terceros. Las bibliotecas pueden utilizar técnicas como la manipulación de objetos globales porque se están ejecutando en un sandbox de JavaScript y sus cambios en los objetos globales no afectan a componentes de otros espacios de nombres. Lightning Locker proporciona versiones de contenedor seguras de los objetos de ventana, documento y elemento para evitar el acceso a algunas API de estos objetos globales. Estos contenedores evitan el uso de algunas bibliotecas externas que acceden a esas API protegidas.
  • Compatibilidad con JavaScript estándar a medida que evoluciona. Seguridad web Lightning está modelada con los estándares TC39 más recientes que evolucionan con las plataformas de navegadores.


Volver al principio

¿Es Seguridad web Lightning más segura que Lightning Locker?
Seguridad web Lightning y Lightning Locker ofrecen en estos momentos niveles equivalentes de seguridad. La diferencia clave es que Seguridad web Lightning permite unas funciones JavaScript aumentadas y una ejecución más rápida del código.

LWS puede activar funciones con seguridad que Lightning Locker evita porque la arquitectura permite un enfoque más preciso para bloquear comportamientos inseguros. Por ejemplo, en vez de evitar el uso de una API completamente, LWS es capaz de evitar que un componente establezca una propiedad de la API.

Consulte ¿Cómo se compara Seguridad web Lightning con Lightning Locker? para obtener más información.

Volver al principio

¿Por qué debo pasarme a LWS si Locker es igual de segura?
A medida que Seguridad web Lightning se integra en la plataforma Lightning Experience, proporciona la mismas protecciones de seguridad que Lightning Locker para facilitar la transición entre las dos arquitecturas. Queremos que sus componentes Lightning puedan ejecutarse bajo cualquier arquitectura inicialmente. No obstante las arquitecturas son diferentes fundamentalmente. 

LWS está adoptando nuevos estándares web que están en desarrollo activo, mientras que Lightning Locker es una solución exclusiva que Salesforce implementó cuando los estándares web adecuados no existían aún. Piense en LWS como el futuro de la seguridad de los componentes Lightning, y en Lightning Locker como una implementación heredada de la seguridad de componentes Lightning. Salesforce es un participante en el desarrollo de los estándares web que implementa LWS. Nuestros esfuerzos de desarrollo están detrás de LWS ahora, y Lightning Locker se está manteniendo, no mejorando. 

Se adelantará adoptando LWS porque tiene un rendimiento general mejor que Lightning Locker. La arquitectura LWS utiliza conceptos de virtualización en sandboxes en vez de contenedores alrededor de cada API no segura. Este enfoque reduce la penalización del rendimiento que siempre se impone para garantizar la seguridad de los datos. Después de la carga inicial de la página, los componentes se ejecutan más rápido bajo LWS que bajo Lightning Locker.

Cuando todos sus componentes pueden ejecutarse bajo LWS y no necesita cambiar de nuevo a Lightning Locker, puede mejorar sus componentes para acceder a otras ventajas descritas en Cómo se compara Seguridad web Lightning con Lightning Locker.

Hemos estado trabajando entre bambalinas para aportar compatibilidad para componentes Aura en Seguridad web Lightning. La restricción inicial solo de LWC sobre la disponibilidad de forma general es un punto temporal en la evolución de Seguridad web Lightning. Con el lanzamiento de la versión Summer ’23, LWS para Aura está disponible de forma general.

La decisión de trasladar su organización y componentes a LWS es una cuestión del momento de hacerlo, no de si debería hacerlo. En su momento, Lightning Locker no será una solución viable para la seguridad de componentes Lightning. Cuanto antes pueda pasarse a LWS, mejor para la seguridad y el rendimiento de sus componentes.

Volver al principio

¿Cuándo tendrá disponibilidad general Seguridad web Lightning?
Seguridad web Lightning tiene disponibilidad general para los componentes de LWC y Aura en la versión Summer ’23.

Con el tiempo Salesforce pretende sustituir por completo Lightning Locker por LWS.

Volver al principio

¿Deben los clientes activar Seguridad web Lightning?
Animamos a los clientes a activar Seguridad web Lightning, primero en un entorno sandbox para probarlo y luego en el entorno de producción. LWS afecta a todos los componentes Lightning, incluidos los componentes instalados mediante paquetes. Para obtener más información, consulte Cuándo activar Seguridad web Lightning

Salesforce va a activar LWS automáticamente empleando un enfoque por fases. Consulte la sección Activación de Seguridad web Lightning para obtener más información.

Volver al principio

¿Cuáles son las implicaciones sobre paquetes para socios ISV?
Las estrategias de empaquetado para socios ISV dependen de varios factores, incluyendo el tipo de componentes empleados en la solución de ISV y la arquitectura de seguridad activada en la organización del cliente.

Esta tabla resume las implicaciones de empaquetado para socios ISV.

Componentes en
el paquete ISV
Admitido por
Lightning Locker
Admitido por Seguridad web LightningPaquetes necesariosConfiguración de LWS
en organización de cliente
Solo componentes Aura.1Activado o Desactivado
Componentes Aura y componentes web Lightning
que no utilizan funciones solo LWS*.
1Activado o Desactivado
Sin componentes Aura. Componentes web Lightning
que no utilizan funciones solo LWS.
1Activado o Desactivado
Sin componentes Aura.
Componentes web Lightning que utilizan funciones solo LWS.
No.

Locker requiere un paquete separado
con componentes que no utilizan funciones solo LWS.
2Activado, para el paquete que
utiliza funciones solo LWS.

Desactivado, para el paquete que
no utiliza funciones solo LWS.

*Las funciones solo LWS incluyen manipulación de objetos global, que importa o se amplía a componentes y módulos de otros espacios de nombres, y accede a contenido en elementos iframe.

Para obtener más información, consulte el blog Lo que los socios ISV tienen que saber sobre Seguridad web Lightning.

El socio puede probar su producto en un sandbox u organización de prueba en la versión más reciente con LWS activada para verificar el correcto comportamiento. Consulte Flujo de trabajo para probar sus componentes con Seguridad web Lightning.

Después de comprobar que el producto se comporta como se espera con Seguridad web Lightning, los socios pueden trabajar con sus clientes para determinar si la organización del cliente puede activar Seguridad web Lightning. Consulte Cuándo activar Seguridad web Lightning, que indica las condiciones donde es aceptable activar LWS en producción.

Si un socio no está aprovechando las nuevas funciones de Seguridad web Lightning, no hay necesidad de mantener dos versiones de los paquetes. Un paquete que ha funcionado con Lightning Locker también funcionará con LWS.

Si un socio desea publicar nuevos paquetes para aprovechar funciones habilitadas por LWS, como importar componentes desde otro espacio de nombres:

  • El socio informa a su cliente que la organización del cliente debe activar Seguridad web Lightning para utilizar los nuevos paquetes.
  • El cliente consulta Cuándo activar Seguridad web Lightning para verificar que se admite activar LWS en producción en su organización.
  • El cliente activa Seguridad web Lightning en su organización y realiza pruebas según se describe en Flujo de trabajo para probar sus componentes con Seguridad web Lightning para garantizar que sus propios componentes funcionan como se espera.
  • Después de verificar que los componentes funcionan como se espera, el cliente instala los paquetes del socio y prueba el producto en su organización.


Si el socio también desea admitir clientes que no pueden activar Seguridad web Lightning, el socio debe proporcionar paquetes separados que funcionan con Lightning Locker hasta que Salesforce haya activado Seguridad web Lightning al 100% en todas las organizaciones.

Admitir clientes con ambas arquitecturas requiere paquetes separados que son específicos para Lightning Locker y Seguridad web Lightning solo cuando el socio desea utilizar funciones que Lightning Locker bloquea.

Volver al principio

¿Cómo sabe un socio ISV si un cliente está en LWS hoy?
Solicite al cliente que compruebe la configuración de LWS en Configuración, o compruebe programáticamente el valor de lockerServiceNext empleando la API de metadatos. Si el valor es verdadero, LWS está activado. Consulte la sección SessionSettings de la Guía del desarrollador de la API de metadatos.

Para sitios de Experience Builder, LWS y Locker se establecen de forma independiente de la configuración de LWS de la organización. Solicite al cliente que compruebe la configuración de Lightning Locker en Experience Builder, o que compruebe programáticamente el valor del parámetro isLockerServiceEnabled empleando la API de metadatos. Si el valor es verdadero, LWS está activado. Consulte la sección ExperienceBundle de la Guía del desarrollador de la API de metadatos.

Volver al principio

¿Cómo afecta LWS a los sitios de Experience Cloud?
Experience Cloud dispone de muchos tipos de sitios. Consulte el glosario de Experience Cloud para ver descripciones de cada uno.

Los sitios Aura pueden incluir componentes LWC y componentes Aura. En Summer ’23, cuando la configuración de LWS se active en la organización, LWS protegerá ambos tipos de componentes en sitios Aura. Cuando LWS no está activado en la organización, Lightning Locker protege los componentes en un sitio Aura. Si desactiva Lightning Locker en la configuración de un sitio Aura, desactiva la arquitectura de seguridad vigente en esos momentos. Si LWS está activado a nivel de organización, la desactivación de Lightning Locker en el sitio Aura desactiva en realidad LWS para el sitio Aura.

Los sitios LWR se ejecutan utilizando Lightning Web Runtime (LWR), que proporciona su propia instancia de LWS para proteger los componentes LWC en los sitios. Debido a que hay una instancia de LWS separada, el parámetro de organización para LWS no tiene efecto sobre los sitios LWR. Si desactiva Lightning Locker en el sitio LWR, la instancia de LWS del sitio se desactiva, incluso si LWS está activada en la organización. El nombre “Lightning Locker” se utiliza porque la nueva arquitectura de seguridad se agregó a LWR antes de que se eligiera el nombre Seguridad web Lightning. Tenemos planificado actualizar el nombre en Experience Builder. Consulte Limitaciones de la plantilla LWR en la Ayuda de Salesforce para obtener información adicional.

Fichas de Salesforce + Sitios de Visualforce no están protegidos por LWS o Lightning Locker. Utilizan una arquitectura de seguridad diferente. El parámetro LWS de la organización no tiene ningún efecto.

Si desea obtener más información, consulte Develop Secure Sites: CSP, LWS, and Lightning Locker (en inglés) en la Guía del desarrollador de Experience Cloud.

Volver al principio

¿Utiliza LWS Field Service?
Field Service utiliza Lightning Web Runtime, que proporciona su propia instancia de LWS. La configuración de LWS en la organización no afecta a la instancia utilizada en Field Service. Los componentes web Lightning personalizados que los desarrolladores crean para ampliar Field Service están protegidos por la instancia de LWS en LWR. La mayoría de la documentación de LWS es pertinente para los desarrolladores que trabajan con componentes para Field Service, exceptuando la información sobre la activación y desactivación de LWS en la organización.

Volver al principio
 

Activación de Seguridad web Lightning


¿Activará Salesforce Seguridad web Lightning para sus clientes?
Sí, con el tiempo. Cuando LWS se encuentre en una fase de desarrollo avanzada y podamos garantizar una transición sin contratiempos para las organizaciones que pasen de Lightning Locker a LWS, el plan de Salesforce es seguir activando LWS de forma gradual en las próximas versiones. Esperamos reanudar la activación automática a partir de la versión Winter ’24 (safe harbor).


Volver al principio

¿Salesforce activará de forma automática Seguridad web Lightning en Summer ’23?
No. No vamos a activar automáticamente LWS en ninguna organización existente con la versión Summer ’23.  Le animamos a probar sus componentes web Lightning y Aura con LWS en una organización sandbox y activar LWS en la organización de producción cuando comprueben que los componentes funcionan de la forma esperada.

Si las pruebas en la organización sandbox revelan problemas con los componentes web Lightning o Aura, le recomendamos no activar LWS en la organización de producción.  Abra un caso de asistencia.

Volver al principio



¿Cuál es la repercusión potencial cuando LWS se active de forma predeterminada en nuevas organizaciones?
Anunciamos en las notas de la versión de Winter ’23 que LWS para componentes web Lightning queda activada de forma predeterminada en nuevas organizaciones de Salesforce. A partir de la versión Spring ’23, LWS para componentes Aura (beta) quedó activado de forma predeterminada en nuevas organizaciones de Salesforce. LWS para componentes Aura tiene disponibilidad general en Summer ’23  y se sigue activando de forma predeterminada en organizaciones nuevas.

En el caso de organizaciones personalizadas que tenga pensado fusionar o dividir en una nueva organización, determine si se usan componentes Lightning en las organizaciones existentes. Del mismo modo, si es un cliente con varias organizaciones, determine si se utilizan componentes Lightning en cualquier plantilla de metadatos y depósitos de código que utiliza para arrancar nuevas organizaciones. Si aporta a su nueva organización sus propios componentes Lightning o componentes Lightning empaquetados que haya estado utilizando en organizaciones sin LWS activada, sea consciente de que se ejecutan con LWS activada en su nueva organización. Asegúrese de probar sus componentes Lightning o paquetes gestionados que contengan componentes Lightning en un entorno sandbox con el parámetro Utilizar Seguridad web Lightning para Lightning y componentes Aura activado.

Pregunte a los proveedores de paquetes gestionados si sus paquetes son compatibles con LWS. Puede desactivar LWS si es necesario, pero recomendamos que abra un caso de asistencia para ayudar a resolver cualquier problema con LWS primero.

Volver al principio

¿Dónde se activa Seguridad web Lightning de forma predeterminada?
Por el momento, LWS afecta a los componentes web Lightning y Aura, y se activa en estos tipos de organizaciones:

  • Nuevas organizaciones
  • Organizaciones borrador
  • Organizaciones de producción que no contienen componentes LWC o Aura
  • Organizaciones de producción que contienen componentes LWC, pero que no contienen componentes Aura, si LWS para LWC se activó en Spring ’23.

Volver al principio

¿Se excluirán algunas organizaciones que tienen activado Seguridad web Lightning a la hora de usar LWS en componentes Aura?
Sí. Un parámetro interno excluía LWS para Aura para las organizaciones de producción que contenían componentes Aura a fin de impedir que participaran en el programa beta de LWS para Aura sin tener conocimiento al respecto. Este parámetro sigue en vigor para esas organizaciones en la versión Summer ’23. 

Le recomendamos probar sus componentes Aura con LWS activada en un entorno sandbox antes de solicitar a Salesforce que desactive el parámetro de exclusión de LWS para Aura. 

Volver al principio

¿Cómo puedo determinar si mi organización de producción utiliza Seguridad web Lightning para componentes Aura?
Consulte Determine if LWS is Enabled (en inglés) en la Guía del desarrollador de componentes web Lightning.

Volver al principio

Si mi organización se excluye del uso de Seguridad web Lightning para componentes Aura, ¿cómo puedo activarlo?
Si se determina que su organización de producción se excluye del uso de LWS para Aura, póngase en contacto con el equipo de asistencia para solicitar que eliminen su exclusión. Le recomendamos encarecidamente que pruebe primero sus componentes Aura en una organización sandbox con LWS activada. A fin de que se puedan realizar las pruebas, si LWS para Aura se excluye en una organización de producción, no se excluye en una organización sandbox.

Volver al principio
¿Puedo desactivar Seguridad web Lightning después de que Salesforce la active?
Sí. Puede volver fácilmente al uso de Lightning Locker para componentes Lightning anulando la selección de Utilizar Seguridad web Lightning para componentes web Lightning y componentes Aura en la página Configuración de la sesión. Si encuentra que sus componentes Lightning no están funcionando adecuadamente, abra un caso en el Servicio de asistencia.

Tenemos intención de activar Seguridad web Lightning gradualmente para todos los clientes durante las próximas versiones. El parámetro para desactivar la función es temporal y se eliminará en su momento. (safe harbor)

Volver al principio

Después de que se active Seguridad web Lightning en mi organización de producción, ¿existe un mecanismo para especificar excepciones en el nivel de componentes?
No. Cuando Seguridad web Lightning está activada, todos los componentes Lightning en la organización están afectados. LWS no se puede desactivar en componentes individuales y no está asociada con una versión de API.

Asegúrese de que todos sus componentes Lightning están listos para ejecutarse en LWS antes de activarla en una organización de producción. Consulte Flujo de trabajo para probar sus componentes con Seguridad web Lightning para obtener más información.

Volver al principio

¿Cuál es la cronología de la implementación de Seguridad web Lightning?
El objetivo de la implementación gradual de Seguridad web Lightning siempre ha sido empezar con las organizaciones a las que no se prevé que afecte la activación e ir activando LWS para todas las organizaciones con el tiempo. No tenemos una fecha definitiva de conclusión de la implementación. En cada versión intentamos anticiparnos y eliminar el posible impacto negativo para las organizaciones y los componentes de nuestros clientes, además de mejorar las protecciones de seguridad de LWS.

Aquí tiene un resumen de cómo ha sido el proceso hasta ahora.

Spring 22
  • Seguridad web Lightning tuvo disponibilidad general para componentes web Lightning, pero no para componentes Aura. Consulte las notas de la versión de Spring ’22 Asegurar sus componentes mejor, de forma más sólida y más rápido con Seguridad web Lightning.
  • Salesforce ha activado gradualmente Seguridad web Lightning para los componentes de miles de clientes cuyas organizaciones contenían únicamente componentes web Lightning, no sin antes enviar una notificación anticipada por correo electrónico.

Summer 22

Winter 23

Spring 23

  • LWS para componentes Aura se puso a disposición de los usuarios como una función beta controlada por el mismo parámetro de configuración. Consulte las notas de la versión de Spring ’23 Utilizar Seguridad web Lightning para componentes web Lightning (GA) y componentes Aura (Beta).
  • El parámetro cambió de nombre a Utilizar Seguridad web Lightning para componentes web Lightning (GA) y componentes Aura (Beta)
  • La opción Utilizar Seguridad web Lightning para componentes web Lightning (GA) y componentes Aura (Beta) se activó en las organizaciones sin componentes personalizados. Consulte las notas de la versión de Spring ’23 Activación de Seguridad web Lightning para organizaciones sin componentes personalizados.
  • Se activó la opción Utilizar Seguridad web Lightning para componentes web Lightning (GA) y componentes Aura (Beta) en las organizaciones de producción que tenían activada la Seguridad web Lightning para componentes web Lightning en su organización antes del lanzamiento de la versión Spring ’23, siempre y cuando no tuvieran componentes Aura. Un parámetro interno excluía LWS para Aura para las organizaciones de producción que contenían componentes Aura a fin de impedir que participaran en el programa beta de LWS para Aura sin tener conocimiento al respecto. Sin embargo, las organizaciones sandbox asociadas a esas organizaciones de producción no se excluyeron de la versión beta de LWS para Aura.

Summer ’23

  • LWS para componentes Aura se puso a disposición de los usuarios de forma general, controlada por el mismo parámetro de configuración. Consulte las notas de la versión de Summer ’23 Utilizar Seguridad web Lightning para componentes web Lightning y componentes Aura (disponibilidad general).
  • El parámetro cambió de nombre a Utilizar Seguridad web Lightning para componentes web Lightning y componentes Aura
  • El parámetro interno que desactivaba LWS para Aura en las organizaciones de producción que contenían componentes Aura en Spring ’23 sigue en vigor para las mismas organizaciones en la versión Summer ’23. 

Volver al principio


Más información


¿Dónde puedo encontrar más información sobre LWS?
Los clientes y socios pueden utilizar los siguientes recursos para conocer más detalles sobre LWS:

Volver al principio
 
¿A dónde puedo dirigirme si tengo preguntas o dudas sobre LWS?


Volver al principio

 

Número del artículo de conocimiento

000392327

 
Cargando
Salesforce Help | Article