安全なトークン管理のための Introspect エンドポイントへのアップグレード

Salesforce では、/tokeninfo エンドポイントを /dwsso/oauth2/introspect エンドポイントに置き換えることを強くお勧めします。/tokeninfo エンドポイントでは、トークンが URL パラメーターとして渡される必要があります。URL 内の機密情報は、ユーザーのブラウザー、Web サーバー、2 つのエンドポイント間のフォワードプロキシサーバーまたはリバースプロキシサーバーなど、さまざまな場所に記録される可能性があります。/dwsso/oauth2/introspect エンドポイントは、ログまたは記録されないリクエストボディに UUID アクセストークンを含みます。加えて、認証済みのクライアントのみ、このエンドポイントを使用できます。追加レベルのセキュリティとして、API クライアントは自身のトークンのみをイントロスペクトでき、組織外に情報を共有することはできません。

時期: 2025 年 3 月 1 日より、/tokeninfo エンドポイントは廃止となり、Salesforce はこのエンドポイントのサポートを終了します。

方法: 現在 /tokeninfo エンドポイントを使用している場合は、/dwsso/oauth2/introspect (https://account.demandware.com/dwsso/oauth2/introspect) エンドポイントに置き換えてください。このエンドポイントは RFC 7662 で指定されており、安全な代替手段です。詳細については、Deprecation Notice for /tokeninfo and /dw/oauth2 endpoints for Commerce Cloud B2C platform's Account Manager (Commerce Cloud B2C プラットフォームの Account Manager の /tokeninfo および /dw/oauth2 エンドポイントの廃止予定通知) を参照してください。