Mejores prácticas de seguridad generales en B2C Commerce

En Salesforce, comprendemos que la confidencialidad, integridad y disponibilidad de sus datos son fundamentales para su negocio. Queremos que implemente la protección máxima para sus sitios frente a las amenazas de seguridad y recomendamos usar las siguientes mejores prácticas básicas cuando configure sus entornos de Salesforce B2C Commerce.

• Uso de 2FA en todas las cuentas privilegiadas
  La autenticación de dos factores (2FA) es una capa adicional de protección más allá de una única contraseña. La protección adicional puede ser conocimiento (algo que usted sabe), posesión (algo que usted tiene) o biométrica (algo que usted es). Usar un segundo factor de autenticación, como un teléfono móvil (algo que usted tiene), proporciona protección adicional contra las amenazas de seguridad comunes, como toma de control de la cuenta, fraude, pérdida de datos, código malicioso y ataques de phishing.
• Siga el principio de menos privilegios
  El principio de menos privilegios es un concepto básico de confianza cero. Implementar el concepto de privilegios mínimos significa que usted otorga a los usuarios, aplicaciones, sistemas y otros componentes solo el nivel de privilegios mínimo requerido para hacer su trabajo.
• Aplicación de defensa en profundidad
  Defensa en profundidad significa usar múltiples capas de seguridad dentro de su entorno en vez de solo una. Si un ataque genera que un mecanismo de seguridad falle, otros mecanismos aún pueden proporcionar la seguridad necesaria para proteger el sistema. Piense en crear una cebolla de seguridad y no un huevo de seguridad. Cuando se los deja caer, un huevo se revienta para todos lados, mientras que una cebolla solo se abolla un poco porque tiene múltiples capas.
• Uso de un modelo de seguridad positivo
  Un modelo de seguridad positivo, también conocido como enfoque de lista segura, define lo que está permitido y rechaza todo lo demás. Use este enfoque para asegurarse de que puede agregar a listas permitidas solo los aportes buenos conocidos en vez de intentar deshabilitar todos los aportes malos posibles.
• Fallar de forma segura
  Fallar de forma segura significa implementar una lógica de decisión que pone a los sistemas en un estado seguro cuando ocurren errores. Manejar los errores de forma segura garantiza que la ruta del error, como las excepciones, no divulgue información adicional que de otra forma no estaría disponible. Los atacantes pueden usar esta información adicional para saber cómo atacar al sistema.
• Hacer que la seguridad pueda usarse
  Una característica de seguridad difícil de ver es aquella que está desactivada. Escriba las características de seguridad de una manera que sea fácil de comprender para los usuarios. Para ayudar a los usuarios a comprender las decisiones de seguridad que toman, bríndeles visibilidad y control de su configuración de seguridad.
• Uso de valores por defecto seguros
  Como administrador, debe hacer que la experiencia del usuario sea segura y reducir el número de elementos de configuración de seguridad predeterminada. Configure la seguridad para que los usuarios deban rechazar la configuración de seguridad predeterminada en vez de aceptarla. Si hay un riesgo de seguridad, etiquete claramente la funcionalidad insegura en las API o la interfaz de usuario para desalentar su uso.
• Minimización de la superficie de ataque
  Para reducir el riesgo general en el desarrollo seguro, reduzca la superficie de ataque que está expuesta a los posibles atacantes. Cada puerto que abre, cada biblioteca externa que use en su código y cada usuario al que le da acceso a sus datos crea una nueva superficie de ataque. Para reducir el riesgo general para el sistema, minimice la superficie de ataque.
• Evite el fraude de comercio electrónico
  El fraude de comercio electrónico es un desafío de seguridad creciente. Los ciberatacantes usan listas de credenciales robadas para obtener acceso a las cuentas de los usuarios y realizar ataques de fuerza bruta para hacer transacciones no autorizadas.
• Incorporación segura de aplicaciones de terceros
  Las capacidades del storefront y la venta en línea son las especialidades de Salesforce B2C Commerce. Para las demás operaciones, las aplicaciones de terceros aportan su experiencia a la plataforma de su storefront, como al procesar impuestos en línea, hacer pagos de tarjetas de crédito y los servicios de transportistas de envíos. Usar una aplicación de un tercero creada por personas que se enfocan exclusivamente en procesos específicos es uno de los factores que hacen que B2C Commerce sea tan flexible.