Retrait de la fonction login() de l’API SOAP pour les plates-formes et nouvelles exigences de sécurité

Quel est l’impact du retrait de la fonction login() de l’API SOAP ? 

Ce retrait affecte tout code, package, application ou intégration qui s’authentifie avec une Salesforce org à l’aide de la fonction login() de l’API SOAP.

Dans le champ d’application :

• Appels de la fonction login() de l’API SOAP vers /services/Soap/c/<v>/ (Enterprise WSDL) et /services/Soap/u/<v>/ (Partner WSDL) où <v> est la version d’API 31.0–64.0

Pas dans le champ d’application :

• La page Setup/soap/wsdl.jsp (utilisée pour télécharger des fichiers WSDL)

• Les paramètres de requête de version WSDL du package géré, tels que ver_<package>=<n> 

Quelles fonctionnalités Salesforce sont concernées par le retrait de la fonction login() de l’API SOAP ?

Ces fonctionnalités Salesforce utilisent la fonction login() de l’API SOAP. Les équipes produit sont au courant du retrait de la fonction login() de l’API SOAP.

• Adaptateur inter-organisations Salesforce Connect (consultez cette note de publication pour en savoir plus).

• Le Connecteur CRMA sera migré hors de la fonction login() de l’API SOAP avant son retrait.

Ces fonctionnalités seront également affectées dans les nouvelles organisations où la fonction login() de l’API SOAP est désactivée par défaut. Vérifiez que la fonction login() de l’API SOAP est activée conformément aux instructions de cette note de publication et de cette documentation.

Que se passera-t-il si je ne fais rien ?

Si vous ne mettez pas à niveau les composants et les applications qui utilisent la fonction login() de l’API SOAP avant la date de retrait lors de la version Summer ’27, les utilisateurs ne pourront pas s’authentifier auprès de votre Salesforce org et tous les appels d’API ultérieurs effectués par ces composants et applications vers votre organisation échoueront.

Avant la version Summer ’27, les exigences de sécurité supplémentaires du 15 décembre 2026 (sandbox) / du 31 janvier 2027 (production) peuvent également bloquer la fonction login() de l’API SOAP : les connexions depuis une plage d’adresses IP étendue sans jeton de sécurité échouent, et une vérification unique désactive la fonction login() de l’API SOAP dans les organisations sans activité SOAP login() au cours des 6 derniers mois.

Quelles sont les mesures à prendre ?

• Identifiez les composants et les applications qui utilisent la fonction login() de l’API SOAP pour vous authentifier auprès de votre organisation.

• Contactez les développeurs et les fournisseurs pour déterminer si ces composants et ces applications utilisent la fonction login() de l’API SOAP.

• Utilisez l’historique de connexion pour identifier les applications qui effectuent des appels login() de l’API SOAP Vérifiez quels noms d’utilisateurs se sont connectés et contactez ces utilisateurs pour identifier l’application.

• Utilisez API Total Usage EventLogFile pour identifier les applications qui s’authentifient à l’aide de la fonction login() de l’API SOAP à partir des appels d’API effectués par ces applications. Bien que l’historique de connexion soit le principal chemin d’identification, API Total Usage EventLogFile peut fournir des informations supplémentaires pour aider à identifier les applications.

• Si vous avez développé le composant ou l’application sur mesure, mettez-le à niveau pour utiliser des applications clientes externes et OAuth pour l’authentification.

  • Pour une intégration serveur à serveur ou « headless », utilisez le flux OAuth 2.0 JWT bearer ou le flux OAuth 2.0 client credentials.
  • Pour une intégration basée sur un navigateur ou pilotée par un utilisateur, utilisez le flux OAuth 2.0 web server.

• Si le composant ou l’application provient d’un fournisseur tiers, contactez le fournisseur pour effectuer une mise à niveau vers la version qui prend en charge les applications clientes externes et OAuth.
• Attribuez l’autorisation Utiliser n’importe quelle authentification API aux utilisateurs qui requièrent la fonction login() de l’API SOAP pour s’authentifier pendant que l’opération est active. Utilisez des outils tels que Configuration avec Agentforce pour identifier rapidement les utilisateurs actifs qui disposent d’un accès à l’API mais ne bénéficient pas de l’attribution d’autorisation Utiliser n’importe quelle authentification API. 
• Avant le 15 décembre 2026 (sandbox) / le 31 janvier 2027 (production) :

  • Si vous utilisez la fonction login() de l’API SOAP depuis une plage d’adresses IP étendue sans jeton de sécurité, migrez vers des applications clientes externes et OAuth (consultez Présentation des applications clientes externes), ajoutez le jeton de sécurité de l’utilisateur au mot de passe (consultez Réinitialisation de mon jeton de sécurité), ou restreignez la plage d’adresses IP afin qu’elle ne soit plus étendue (consultez Accès réseau Salesforce et Restrictions IP basées sur les profils).

  • Si votre organisation n’a enregistré aucune activité SOAP login() au cours des 6 derniers mois, confirmez qu’il n’y a aucune intégration exécutée rarement qui nécessite encore la fonction login() de l’API SOAP. S’il y en a, migrez-les vers des applications clientes externes et OAuth avant la vérification unique. Après la désactivation, ces appels login() de l’API SOAP échouent.

Utilisez l’historique de connexion pour identifier les applications qui effectuent des appels login() de l’API SOAP

Pour identifier des appels login() de l’API SOAP effectués par les applications, accédez à la page Historique de connexion dans Configuration. Vous pouvez vérifier les entrées en ligne et les télécharger dans un fichier CSV.

Recherchez des entrées contenant :

• Type de connexion « Other Apex API » ou « Partner Product », et

• Sous-type de connexion « SOAP API », et

• Type d’API « SOAP Enterprise », « SOAP Partner » ou « SOAP Tooling »

Ces entrées représentent les appels login() de l’API SOAP effectués par des applications qui doivent être migrées. Contactez l’utilisateur répertorié dans le champ Nom d’utilisateur afin d’identifier l’application.

Le champ Application affiche « N/A » pour indiquer que le client SOAP n’est pas liés à une application connectée ou à une application cliente externe. Cette entrée est intentionnelle pour les intégrations ciblées par ce retrait. Les données ne sont pas des données manquantes.

Utilisez API Total Usage EventLogFile pour identifier les applications qui s’authentifient à l’aide de la fonction login() de l’API SOAP à partir des appels d’API

Outre l’utilisation de l’historique de connexion, vous pouvez identifier des applications qui utilisent la fonction login() de l’API SOAP pour l’authentification à partir des appels d’API qu’elles effectuent en examinant les événements d’API dans le API Total Usage EventLogFile (fichier journal des événement d’utilisation totale de l’API) gratuit qui génère des rapports sur l’activité des API SOAP, REST, de transfert en masse, ApexREST et ApexSOAP.  

Tous les utilisateurs ont accès à API Total Usage EventLogFile des dernières 24 heures. Si vous avez acheté et activé la Surveillance des événements, vous avez accès aux 30 derniers jours. Vous pouvez augmenter cette période de rétention jusqu’à un an dans les paramètres de Surveillance des événements ou en utilisant l’API de métadonnées EventSettings.  

Pour vérifier les événements d’API, téléchargez-les en fichiers CSV à l’aide de l’une de ces méthodes. 

• Dans Configuration, accédez à Sécurité → Surveillance des événements → Navigateur du fichier journal des événements. Utilisez le Navigateur du fichier journal des événements afin de localiser API Total Usage EventLogFile. Téléchargez les fichiers journaux individuels au format CSV pour consulter les événements de l’API.  

• Téléchargez automatiquement API Total Usage EventLogFile chaque jour en utilisant cet outil. Il s’agit d’un script Python qui récupère les données des dernières 24 heures dans les fichiers journaux et télécharge les événements dans des fichiers CSV. Le script Python utilise Salesforce CLI pour l’authentification et la récupération de données.  

• Utilisez manuellement un client, tel que Salesforce CLI, pour exécuter une requête SOQL sur l’objet API Total Usage EventLogFile.

sf data query -q "SELECT Id, LogFile, EventType, CreatedDate FROM EventLogFile WHERE EventType IN ('ApiTotalUsage')" -o <your-username>

Pour chaque résultat, effectuez une requête d’API REST à l’aide des points de terminaison dans le résultat de requête afin de récupérer les données des journaux d’événements dans ce fichier journal des évènements.

/services/data/v65.0/sobjects/EventLogFile/0AT3i000005vXpWGAU/LogFile

Collez le corps de la réponse dans une application pour inspecter les données des journaux d’événements en tant que fichier CSV.

Les événements d’API dans les journaux des évènements indiquent les appels d’authentification vers la fonction login() de l’API SOAP. Ces appels correspondent aux appels login() de l’API SOAP répertoriés sur la page Historique des connexions dans Configuration. Recherchez ces entrées.

• Champ API_FAMILY : SOAP

• Champ API_RESOURCE : connexion

• Champ USER_NAME : utilisateur que l’application a authentifié

• Champ CLIENT_NAME : en-tête facultatif que les applications clientes remplissent pour s’identifier

Vérifiez tous les événements d’utilisation totale de l’API qui ont un champ CONNECTED_APP_ID vide, ce qui indique que l’application a utilisé soit la fonction login() de l’API SOAP, soit une Session pour l’authentification. Contactez cet utilisateur afin d’identifier l’application et pour savoir si l’application utilise la fonction login() de l’API SOAP.  

Contactez l’utilisateur pour identifier l’application, puis vérifiez si l’application utilise la fonction login() de l’API SOAP.

Puis-je tester l’application automatique du retrait de la fonction login() de l’API SOAP dans mon organisation ?

Oui. Tout d’abord, utilisez une sandbox pour tester les intégrations qui ont été migrées. Dans Configuration, sous Mises à jour de version, recherchez la carte de mise à jour de version Retrait de la fonction login() de l’API SOAP. Sélectionnez Afficher la mise à jour. Sélectionnez Activer l'exécution test. Cette fonctionnalité bloque tous les appels login() de l’API SOAP à l’organisation, en renvoyant la même réponse que lorsque le retrait est officiellement appliqué. Pour réactiver la fonction login() de l’API SOAP, sélectionnez Désactiver l’exécution test.

L’activation d’une exécution test en production bloque tous les appels login() de l’API SOAP pendant la durée du test, ce qui entraîne l’échec de toutes les intégrations qui n’ont pas encore été migrées.

Où puis-je trouver des informations sur les applications clientes externes ?

Suivez ce parcours pour découvrir comment utiliser les applications clientes externes afin de créer des intégrations.

Si vous avez des questions, consultez l’Aide de Salesforce ou contactez votre équipe de compte Salesforce. Pour afficher les retraits actuels et passés, consultez la page Retraits de produits et de fonctionnalités Salesforce.

Pour en savoir plus sur l'approche de Salesforce concernant le retrait de produits et de fonctionnalités, lisez notre Philosophie de retrait de fonctionnalité.

FAQ

Question : J’ai reçu un e-mail intitulé « ACTION REQUISE : Mise à jour de la fonction login() de l’API SOAP pour les plates-formes non prises en charge » mais la fonction login() de l’API SOAP est désactivée dans mon organisation. Pourquoi reçois-je cet e-mail ?

Réponse : Cet e-mail est envoyé aux organisations où l’utilisation de la fonction login() de l’API SOAP a été détectée au cours de la période indiquée dans l’e-mail. Si l’organisation a désactivé la fonction login() de l’API SOAP pendant ou après cette période, les appels login() de l’API SOAP détectés pendant cette période avant la désactivation de la fonction login() de l’API SOAP déclencheront l’e-mail.