Marketing Cloud Engagement のシークレットの有効期限と Time-To-Live (TTL)

※最新情報は英語版をご確認ください。

Salesforce は、すべての Marketing Cloud Engagement (MCE) インストール済みパッケージのクライアントシークレットに対して有効期限を導入します。継続的なサービスを確保し、MCE 環境を保護するために、お客様は適用開始の期限までに既存のクライアントシークレットをローテーションするための対応が必要です。

変更内容

• クライアントシークレットの有効期限 (180 日間の TTL): 新規作成および新たにローテーションされたすべてのクライアントシークレットには、生成日から 180 日間の Time-To-Live (TTL) が設定され、期限が切れると自動的に失効する。

• 既存のクライアントシークレットの有効期限: 既存のシークレットは 2026 年 9 月 30 日に有効期限が切れるよう設定されている。これは、2026 年 3 月 25 日に管理者に送信された最初のメール通知から 180 日強にあたる。

• 新しいシークレットの形式: 2026 年 3 月以降に生成されたすべてのシークレットでは、64 文字の文字列で構成される新しい形式が使用される。

• 管理者に対する可視性: 各インストール済みパッケージの視認性を確保するため、[インストール済みパッケージ] サマリーページに新しい有効期限の列が追加された。

Salesforce がこの変更を行う理由

Salesforce セキュリティ部門は、お客様の MCE インスタンスへの不正アクセス、フィッシングメールの送信、データの抽出を行うために、公開されているお客様の MCE API 認証情報 (クライアントシークレット) を悪用するアクティブな脅威アクターのキャンペーンを特定しました。このグローバルなセキュリティアップデートは、お客様環境および広範な Marketing Cloud エコシステムを保護するための予防的措置であり、特定の MCE インスタンスに影響を及ぼすインシデントの結果ではありません。

この変更の適用開始時期

• 2026 年 3 月 25 日: 180 日間の TTL ポリシー、新しいシークレット形式、およびサマリーページの更新を含むプロアクティブなセキュリティ対策が導入された。

• 2026 年 9 月 30 日: MCE インストール済みパッケージの既存のクライアントシークレットが自動的に失効する前にローテーションする必要がある最初の期日。

対象となるお客様

これらの変更は、インストール済みパッケージを使用しているすべてのお客様に影響します。2026 年 9 月 30 日のシークレットの有効期限切れは、2026 年 3 月 25 日のロールアウト以降に認証情報がまだローテーションされていないすべての既存のインストール済みパッケージに影響します。

想定される動作

MCE インストール済みパッケージの既存のクライアントシークレットには、180 日間の TTL に基づき、2026 年 9 月 30 日の有効期限が割り当てられています。システム管理者は、[インストール済みパッケージ] サマリーページで新しい有効期限の列を確認できます。有効期限までにクライアントシークレットがローテーションされない場合、シークレットは自動的に失効し、それらの古いシークレットを参照している連携機能でサービス停止が発生します。

適用開始前の準備

• ローテーション手順に従う: インストール済みパッケージごとに、ヘルプ記事「Rotate an OAuth 2.0 Secret」を参照する。

• アプリケーションを更新する: 古いシークレットを参照しているアプリケーションまたは連携機能を、新規作成したシークレットで更新する。Marketing Cloud から Marketing Cloud への更新が必要な API 連携機能を特定するには、ヘルプ記事「Audit Content Builder Assets (CloudPages & Emails) for Hardcoded Secrets with SSJS」を参照する。
• シークレットを有効化する: 新規作成したシークレットは有効化しないと機能しないため、提供されている手順に従って確実に有効化する。

継続的なモニタリング

• 管理者による確認: [インストール済みパッケージ] サマリーページの新しい有効期限の列を使用して、シークレットのステータスを監視および追跡する。

• 定期的なローテーション: クライアントシークレットが失効する前に、少なくとも 6 か月ごとに予防的にローテーションするベストプラクティスを確立する。 

よくある質問

MCE 環境のセキュリティをさらに強化するにはどうすればよいですか？

クライアントシークレットのローテーションに加えて、Salesforce では、公開リポジトリ (GitHub、GitLab、Postman コレクション、ドキュメントなど) に認証情報が公開されていないか監査することを強くお勧めします。また、すべての API 連携アカウントに対して IP 許可リストを実装し、[監査履歴] を有効にして、異常なアクティビティ、予期しない場所、または不明な IP アドレスがないか MCE のログイン履歴を監視する必要があります。