Protection contre les requêtes spam avec reCAPTCHA

Comment puis-je ajouter reCAPTCHA à mon formulaire Web vers requête ?

Puis-je ajouter reCAPTCHA à un formulaire Web vers requête déjà en ligne ?

Oui. Suivez les étapes ci-dessus. Vous devez régénérer le code HTML pour inclure le code de vérification reCAPTCHA, puis mettre à jour le code sur votre site Web.

Remarque Dans les organisations créées avant la version Winter ’19, vous devez sélectionner Demander la vérification reCAPTCHA, puis régénérer votre code HTML et mettre à jour votre site Web. Dans les organisations créées après la version Winter ’19, l'option Demander la vérification reCAPTCHA est sélectionnée par défaut.

Quelle autre méthode permet d'éviter les requêtes spam ?

reCAPTCHA est votre première ligne de défense contre les spammeurs qui utilisent votre formulaire Web vers requête. Configurez vos préférences reCAPTCHA dans les paramètres Web vers requête, puis assurez-vous que le code du formulaire Web de votre site Web inclut la vérification reCAPTCHA.

Ces approches peuvent être utilisées en complément ou comme alternative à reCAPTCHA.

• Téléchargez une application anti-spam depuis AppExchange.
• Pour obtenir l'adresse IP source des requêtes, créez un formulaire Web dynamique qui utilise le langage de programmation PHP et JavaScript. Essayez par exemple l'une des alternatives suivantes :
  • Utilisez JavaScript pour créer dynamiquement une balise personnalisée et masquée dans le formulaire pour stocker l'adresse IP.
  • Utilisez PHP pour générer une clé aléatoire qui est hébergée dans votre site Web et qui inclut cette clé dans les requêtes. Vous pouvez ainsi valider les requêtes qui contiennent cette clé et rejeter celles qui ne contiennent pas la clé.
• Utilisez une règle de workflow pour détecter les requêtes de sources spécifiques, puis réattribuez ces requêtes à une file d'attente spécifique. Cette approche éloigne les requêtes de votre équipe de support. Vous pouvez également utiliser la file d'attente pour vérifier et supprimer périodiquement les requêtes. Si vous adoptez cette approche, ajustez l'une de vos règles d'attribution pour ne pas envoyer un e-mail de création de requête à l'expéditeur du spam.
• Créez un flux pour effectuer une validation supplémentaire sur les requêtes créées en utilisant Web vers requête ou Web vers piste. Par exemple, vous pouvez fermer automatiquement les requêtes créées qui ne sont pas associées à un compte ou à un contact avec le statut Dévié. Vous pouvez ensuite renvoyer un e-mail à l'expéditeur pour lui signifier qu'il n'était pas autorisé à soumettre une requête. Vous pouvez en outre implémenter un code pour extraire son domaine, puis notifier son administrateur qu'un utilisateur non autorisé a contacté votre équipe de support.
• Utilisez une classe ou un déclencheur Apex qui supprime les demandes spam avant de créer des requêtes. Les déclencheurs Apex sont efficaces pour créer des flux complets et complexes.

Comment Salesforce valide reCAPTCHA ?

Salesforce utilise l'API Google afin de valider la paire de clés d'API reCAPTCHA que vous saisissez dans la Configuration. Assurez-vous que la paire de clés est valide et qu'elle n'a pas expiré. Si nous ne pouvons pas valider la paire de clés, les requêtes entrantes échouent. Web vers requête n'a pas de règles de validation d'objet.

Salesforce ajoute également un en-tête CSP qui facilite la détection de l'adresse IP source de la requête. Nous n'envoyons pas de notification par e-mail sur les attaques spam, mais nous consignons les échecs. Pour plus d'informations, contactez le Support client de Salesforce.

Comment Web vers requête isole-t-il les données malveillantes ?

Toutes les données des requêtes Web vers requête sont enregistrées dans des requêtes Salesforce en utilisant safeHTML. Si une demande échoue à la validation reCAPTCHA, aucune requête n'est créée. Si un utilisateur essaie d'insérer des données malveillantes ou un script dans votre formulaire, les données sont enregistrées en texte brut. Par exemple, si un utilisateur soumet un SOQL ou JavaScript en utilisant votre formulaire, le code est enregistré en texte brut et le code malveillant n'est pas exécuté. Les résultats sont correctement codés conformément aux meilleures pratiques de sécurité.