*********************************************************************************************************************************
¿Qué es Seguridad web Lightning?
Seguridad web Lightning (LWS) es una nueva arquitectura de seguridad del lado del cliente para componentes Lightning. Esta nueva arquitectura está definida con menos restricciones y más funciones proporcionando al mismo tiempo sólidas funciones de sandbox y una postura de seguridad para aplicar el aislamiento de espacios de nombres. El resultado es una seguridad sólida, flexible y utilizable para sus componentes Lightning.
Lightning Locker ha sido la arquitectura de seguridad predeterminada para todos los componentes Lightning. Seguridad web Lightning (LWS) va a sustituir inicialmente a Lightning Locker Lightning para componentes web, y Salesforce va a agregar cobertura para componentes Aura durante varias versiones.
Volver al principio
¿Qué problemas resuelve Seguridad web Lightning?
Seguridad Lightning evita que los componentes web Lightning interfieran o accedan a datos de componentes de otros espacios de nombres sin el permiso explícito del espacio de nombres.
Una página Lightning puede incluir componentes creados por múltiples empresas. Los componentes creados por el equipo de desarrollo de una organización coexisten con los componentes creados por Salesforce. Si crea y distribuye aplicaciones en paquetes en AppExchange, sus componentes coexisten con componentes creados por Salesforce y los componentes del cliente que instala su aplicación.
Sin medidas preventivas en vigor, un componente puede acceder a los objetos globales de la ventana y obtener recursos privados o datos de otros componentes de la página. Una medida es aislar los componentes por espacio de nombres de modo que un componente malicioso no pueda acceder a los recursos de componentes que estén fuera de su espacio de nombres.
El aislamiento de espacios de nombres es transparente y virtual, lo que permite que los componentes parezcan importar componentes desde otros espacios de nombres como si todos estuvieran ejecutándose en el mismo entorno.
Volver al principio
Cómo funciona Seguridad web Lightning?
Seguridad web Lightning aísla los componentes en un sandbox de JavaScript dedicado al espacio de nombres de los componentes. Este tratamiento de sandbox nos permite exponer objetos globales de documento, ventana y elemento directamente, sin abrir la puerta a amenazas de seguridad. LWS altera la ejecución del código en el sandbox de JavaScript para ayudar a evitar un comportamiento inseguro. Consulte Cómo funciona Seguridad web Lightning para obtener más información.
Volver al principio
¿En qué difiere Seguridad web Lightning de Lightning Locker?
Seguridad web Lightning difiere de Lightning Locker de estas formas:
Volver al principio
¿Es Seguridad web Lightning más segura que Lightning Locker?
Seguridad web Lightning y Lightning Locker ofrecen en estos momentos niveles equivalentes de seguridad. La diferencia clave es que Seguridad web Lightning permite unas funciones JavaScript aumentadas y una ejecución más rápida del código.
LWS puede activar funciones con seguridad que Lightning Locker evita porque la arquitectura permite un enfoque más preciso para bloquear comportamientos inseguros. Por ejemplo, en vez de evitar el uso de una API completamente, LWS es capaz de evitar que un componente establezca una propiedad de la API.
Consulte ¿Cómo se compara Seguridad web Lightning con Lightning Locker? para obtener más información.
Volver al principio
¿Por qué debo pasarme a LWS si Locker es igual de segura?
A medida que Seguridad web Lightning se integra en la plataforma Lightning Experience, proporciona la mismas protecciones de seguridad que Lightning Locker para facilitar la transición entre las dos arquitecturas. Queremos que sus componentes Lightning puedan ejecutarse bajo cualquier arquitectura inicialmente. No obstante las arquitecturas son diferentes fundamentalmente.
LWS está adoptando nuevos estándares web que están en desarrollo activo, mientras que Lightning Locker es una solución exclusiva que Salesforce implementó cuando los estándares web adecuados no existían aún. Piense en LWS como el futuro de la seguridad de los componentes Lightning, y en Lightning Locker como una implementación heredada de la seguridad de componentes Lightning. Salesforce es un participante en el desarrollo de los estándares web que implementa LWS. Nuestros esfuerzos de desarrollo están detrás de LWS ahora, y Lightning Locker se está manteniendo, no mejorando.
Se adelantará adoptando LWS porque tiene un rendimiento general mejor que Lightning Locker. La arquitectura LWS utiliza conceptos de virtualización en sandboxes en vez de contenedores alrededor de cada API no segura. Este enfoque reduce la penalización del rendimiento que siempre se impone para garantizar la seguridad de los datos. Después de la carga inicial de la página, los componentes se ejecutan más rápido bajo LWS que bajo Lightning Locker.
Cuando todos sus componentes pueden ejecutarse bajo LWS y no necesita cambiar de nuevo a Lightning Locker, puede mejorar sus componentes para acceder a otras ventajas descritas en Cómo se compara Seguridad web Lightning con Lightning Locker.
Hemos estado trabajando entre bambalinas para aportar compatibilidad para componentes Aura en Seguridad web Lightning. La restricción inicial solo de LWC sobre la disponibilidad de forma general es un punto temporal en la evolución de Seguridad web Lightning. Con el lanzamiento de la versión Summer ’23, LWS para Aura está disponible de forma general.
La decisión de trasladar su organización y componentes a LWS es una cuestión del momento de hacerlo, no de si debería hacerlo. En su momento, Lightning Locker no será una solución viable para la seguridad de componentes Lightning. Cuanto antes pueda pasarse a LWS, mejor para la seguridad y el rendimiento de sus componentes.
Volver al principio
¿Cuándo tendrá disponibilidad general Seguridad web Lightning?
Seguridad web Lightning tiene disponibilidad general para los componentes de LWC y Aura en la versión Summer ’23.
Con el tiempo Salesforce pretende sustituir por completo Lightning Locker por LWS.
Volver al principio
¿Deben los clientes activar Seguridad web Lightning?
Animamos a los clientes a activar Seguridad web Lightning, primero en un entorno sandbox para probarlo y luego en el entorno de producción. LWS afecta a todos los componentes Lightning, incluidos los componentes instalados mediante paquetes. Para obtener más información, consulte Cuándo activar Seguridad web Lightning.
Salesforce va a activar LWS automáticamente empleando un enfoque por fases. Consulte la sección Activación de Seguridad web Lightning para obtener más información.
Volver al principio
¿Cuáles son las implicaciones sobre paquetes para socios ISV?
Las estrategias de empaquetado para socios ISV dependen de varios factores, incluyendo el tipo de componentes empleados en la solución de ISV y la arquitectura de seguridad activada en la organización del cliente.
Esta tabla resume las implicaciones de empaquetado para socios ISV.
| Componentes en el paquete ISV | Admitido por Lightning Locker | Admitido por Seguridad web Lightning | Paquetes necesarios | Configuración de LWS en organización de cliente |
| Solo componentes Aura. | Sí | Sí | 1 | Activado o Desactivado |
| Componentes Aura y componentes web Lightning que no utilizan funciones solo LWS*. | Sí | Sí | 1 | Activado o Desactivado |
| Sin componentes Aura. Componentes web Lightning que no utilizan funciones solo LWS. | Sí | Sí | 1 | Activado o Desactivado |
| Sin componentes Aura. Componentes web Lightning que utilizan funciones solo LWS. | No. Locker requiere un paquete separado con componentes que no utilizan funciones solo LWS. | Sí | 2 | Activado, para el paquete que utiliza funciones solo LWS. Desactivado, para el paquete que no utiliza funciones solo LWS. |
*Las funciones solo LWS incluyen manipulación de objetos global, que importa o se amplía a componentes y módulos de otros espacios de nombres, y accede a contenido en elementos iframe.
Para obtener más información, consulte el blog Lo que los socios ISV tienen que saber sobre Seguridad web Lightning.
El socio puede probar su producto en un sandbox u organización de prueba en la versión más reciente con LWS activada para verificar el correcto comportamiento. Consulte Flujo de trabajo para probar sus componentes con Seguridad web Lightning.
Después de comprobar que el producto se comporta como se espera con Seguridad web Lightning, los socios pueden trabajar con sus clientes para determinar si la organización del cliente puede activar Seguridad web Lightning. Consulte Cuándo activar Seguridad web Lightning, que indica las condiciones donde es aceptable activar LWS en producción.
Si un socio no está aprovechando las nuevas funciones de Seguridad web Lightning, no hay necesidad de mantener dos versiones de los paquetes. Un paquete que ha funcionado con Lightning Locker también funcionará con LWS.
Si un socio desea publicar nuevos paquetes para aprovechar funciones habilitadas por LWS, como importar componentes desde otro espacio de nombres:
Si el socio también desea admitir clientes que no pueden activar Seguridad web Lightning, el socio debe proporcionar paquetes separados que funcionan con Lightning Locker hasta que Salesforce haya activado Seguridad web Lightning al 100% en todas las organizaciones.
Admitir clientes con ambas arquitecturas requiere paquetes separados que son específicos para Lightning Locker y Seguridad web Lightning solo cuando el socio desea utilizar funciones que Lightning Locker bloquea.
Volver al principio
¿Cómo sabe un socio ISV si un cliente está en LWS hoy?
Solicite al cliente que compruebe la configuración de LWS en Configuración, o compruebe programáticamente el valor de lockerServiceNext empleando la API de metadatos. Si el valor es verdadero, LWS está activado. Consulte la sección SessionSettings de la Guía del desarrollador de la API de metadatos.
Para sitios de Experience Builder, LWS y Locker se establecen de forma independiente de la configuración de LWS de la organización. Solicite al cliente que compruebe la configuración de Lightning Locker en Experience Builder, o que compruebe programáticamente el valor del parámetro isLockerServiceEnabled empleando la API de metadatos. Si el valor es verdadero, LWS está activado. Consulte la sección ExperienceBundle de la Guía del desarrollador de la API de metadatos.
Volver al principio
¿Cómo afecta LWS a los sitios de Experience Cloud?
Experience Cloud dispone de muchos tipos de sitios. Consulte el glosario de Experience Cloud para ver descripciones de cada uno.
Los sitios Aura pueden incluir componentes LWC y componentes Aura. En Summer ’23, cuando la configuración de LWS se active en la organización, LWS protegerá ambos tipos de componentes en sitios Aura. Cuando LWS no está activado en la organización, Lightning Locker protege los componentes en un sitio Aura. Si desactiva Lightning Locker en la configuración de un sitio Aura, desactiva la arquitectura de seguridad vigente en esos momentos. Si LWS está activado a nivel de organización, la desactivación de Lightning Locker en el sitio Aura desactiva en realidad LWS para el sitio Aura.
Los sitios LWR se ejecutan utilizando Lightning Web Runtime (LWR), que proporciona su propia instancia de LWS para proteger los componentes LWC en los sitios. Debido a que hay una instancia de LWS separada, el parámetro de organización para LWS no tiene efecto sobre los sitios LWR. Si desactiva Lightning Locker en el sitio LWR, la instancia de LWS del sitio se desactiva, incluso si LWS está activada en la organización. El nombre “Lightning Locker” se utiliza porque la nueva arquitectura de seguridad se agregó a LWR antes de que se eligiera el nombre Seguridad web Lightning. Tenemos planificado actualizar el nombre en Experience Builder. Consulte Limitaciones de la plantilla LWR en la Ayuda de Salesforce para obtener información adicional.
Fichas de Salesforce + Sitios de Visualforce no están protegidos por LWS o Lightning Locker. Utilizan una arquitectura de seguridad diferente. El parámetro LWS de la organización no tiene ningún efecto.
Si desea obtener más información, consulte Develop Secure Sites: CSP, LWS, and Lightning Locker (en inglés) en la Guía del desarrollador de Experience Cloud.
Volver al principio
¿Utiliza LWS Field Service?
Field Service utiliza Lightning Web Runtime, que proporciona su propia instancia de LWS. La configuración de LWS en la organización no afecta a la instancia utilizada en Field Service. Los componentes web Lightning personalizados que los desarrolladores crean para ampliar Field Service están protegidos por la instancia de LWS en LWR. La mayoría de la documentación de LWS es pertinente para los desarrolladores que trabajan con componentes para Field Service, exceptuando la información sobre la activación y desactivación de LWS en la organización.
¿Activará Salesforce Seguridad web Lightning para sus clientes?
Sí, con el tiempo. Cuando LWS se encuentre en una fase de desarrollo avanzada y podamos garantizar una transición sin contratiempos para las organizaciones que pasen de Lightning Locker a LWS, el plan de Salesforce es seguir activando LWS de forma gradual en las próximas versiones. Esperamos reanudar la activación automática a partir de la versión Winter ’24 (safe harbor).
Volver al principio
¿Salesforce activará de forma automática Seguridad web Lightning en Summer ’23?
No. No vamos a activar automáticamente LWS en ninguna organización existente con la versión Summer ’23. Le animamos a probar sus componentes web Lightning y Aura con LWS en una organización sandbox y activar LWS en la organización de producción cuando comprueben que los componentes funcionan de la forma esperada.
Si las pruebas en la organización sandbox revelan problemas con los componentes web Lightning o Aura, le recomendamos no activar LWS en la organización de producción. Abra un caso de asistencia.
Volver al principio
¿Cuál es la repercusión potencial cuando LWS se active de forma predeterminada en nuevas organizaciones?
Anunciamos en las notas de la versión de Winter ’23 que LWS para componentes web Lightning queda activada de forma predeterminada en nuevas organizaciones de Salesforce. A partir de la versión Spring ’23, LWS para componentes Aura (beta) quedó activado de forma predeterminada en nuevas organizaciones de Salesforce. LWS para componentes Aura tiene disponibilidad general en Summer ’23 y se sigue activando de forma predeterminada en organizaciones nuevas.
En el caso de organizaciones personalizadas que tenga pensado fusionar o dividir en una nueva organización, determine si se usan componentes Lightning en las organizaciones existentes. Del mismo modo, si es un cliente con varias organizaciones, determine si se utilizan componentes Lightning en cualquier plantilla de metadatos y depósitos de código que utiliza para arrancar nuevas organizaciones. Si aporta a su nueva organización sus propios componentes Lightning o componentes Lightning empaquetados que haya estado utilizando en organizaciones sin LWS activada, sea consciente de que se ejecutan con LWS activada en su nueva organización. Asegúrese de probar sus componentes Lightning o paquetes gestionados que contengan componentes Lightning en un entorno sandbox con el parámetro Utilizar Seguridad web Lightning para Lightning y componentes Aura activado.
Pregunte a los proveedores de paquetes gestionados si sus paquetes son compatibles con LWS. Puede desactivar LWS si es necesario, pero recomendamos que abra un caso de asistencia para ayudar a resolver cualquier problema con LWS primero.
Volver al principio
¿Dónde se activa Seguridad web Lightning de forma predeterminada?
Por el momento, LWS afecta a los componentes web Lightning y Aura, y se activa en estos tipos de organizaciones:
Summer ’22
Winter ’23
Spring ’23
Summer ’23
¿Dónde puedo encontrar más información sobre LWS?
Los clientes y socios pueden utilizar los siguientes recursos para conocer más detalles sobre LWS:
Trailhead:
Guía del desarrollador de componentes web Lightning:
Notas de la versión:
Blog:
Partner Learning Camp:
Volver al principio
¿A dónde puedo dirigirme si tengo preguntas o dudas sobre LWS?
Para obtener ayuda o reportar un problema, abra un caso de asistencia con el tema Asistencia de desarrollador para determinar si hay un fallo en su código o en el marco de trabajo.
Registre una Idea si su caso de uso no tiene cobertura en estos momentos.
Para formular preguntas, visite nuestro grupo Lightning Components Development (Desarrollo de componentes Lightning) en Trailblazer Community.
000392327

We use three kinds of cookies on our websites: required, functional, and advertising. You can choose whether functional and advertising cookies apply. Click on the different cookie categories to find out more about each category and to change the default settings.
Privacy Statement
Required cookies are necessary for basic website functionality. Some examples include: session cookies needed to transmit the website, authentication cookies, and security cookies.
Functional cookies enhance functions, performance, and services on the website. Some examples include: cookies used to analyze site traffic, cookies used for market research, and cookies used to display advertising that is not directed to a particular individual.
Advertising cookies track activity across websites in order to understand a viewer’s interests, and direct them specific marketing. Some examples include: cookies used for remarketing, or interest-based advertising.