Habilitar configurações de OAuth para integração à API

Um URL de retorno não é usado no fluxo do dispositivo. Porém, quando esse fluxo for ativado, o valor do URL de retorno usará um espaço reservado como padrão. É possível especificar um URL de retorno conforme necessário, como quando esse mesmo cliente está sendo usado para um fluxo diferente.

Dependendo do fluxo OAuth usado, geralmente o URL é aquele para o qual o navegador do usuário é redirecionado depois de uma autorização bem-sucedida.

Visto que esse URL é usado para que alguns fluxos OAuth passem um token de acesso, ele deve usar HTTPS seguro ou um esquema de URI personalizado.

Se você inserir vários URLs de retorno, no tempo de execução, o Salesforce tentará encontrar uma correspondência do valor do URL de retorno especificado pelo aplicativo com um dos valores em URL de retorno. Ele deve corresponder a um dos valores para passar na validação. Separe vários URLs de retorno com quebras de linha. O campo URL de retorno possui um limite de 2.000 caracteres, cumulativamente. Se você inserir vários URLs e eles excederem esse limite, crie outro aplicativo conectado para gerenciar mais URLs de retorno.

Essa configuração exige a PKCE para o fluxo de servidor da Web, o fluxo de servidor da Web híbrido, o Fluxo de credenciais e código de autorização e todas as variações do Fluxo de credenciais e código de autorização, incluindo registro autônomo, login sem senha e identidade autônoma para usuários convidados. Com essa configuração habilitada, qualquer um desses fluxos que não implemente a PKCE será bloqueado para esse aplicativo conectado. Para obter mais informações sobre como usar a PKCE para proteger seus aplicativos, consulte Extensão de Chave de prova para troca de código (PKCE).

Você pode selecionar essa opção para aplicativos baseados no servidor da Web que podem proteger segredos dos clientes. Porém, para aplicativos que não podem proteger os segredos dos clientes, como aplicativos móveis ou aplicativos instalados no computador do usuário, não recomendamos a seleção dessa opção.

Habilitar essa configuração é uma prática recomendada de segurança. Com essa configuração habilitada, o token de atualização antigo é invalidado automaticamente depois de ser usado, de modo que cada token seja usado apenas uma vez. Se alguém tentar usar um token de atualização que foi rotacionado, o Salesforce invalidará o token de atualização atual e todos os tokens de acesso associados.

Por padrão, todos os aplicativos conectados podem verificar internamente seus próprios tokens. Além disso, um cliente OAuth que registra os aplicativos conectados filhos de OAuth 2.0 por meio do ponto de extremidade de registro de cliente dinâmico poderá verificar os tokens para si mesmo e seus aplicativos registrados. Consulte Verificação interna de token OpenID Connect.

Se a solicitação de OAuth incluir o escopo Permitir acesso ao seu identificador único (openid), o token retornado poderá incluir o token de ID.

O token de ID sempre é incluído nas respostas de token de acesso.

Com a configuração principal de token de ID ativada, defina as configurações secundárias, que controlam o conteúdo do token de ID nas respostas de token de acesso e atualização. Especifique essas configurações.

Configuração	Descrição
Token válido por	O período de tempo durante o qual o token de ID será valido após a emissão. O período pode ser de 1 a 720 minutos. O padrão são 2 minutos.
Públicos do token de ID	Os consumidores aos quais o token de ID se destina. Por exemplo, o serviço de destino em que você usa o token de ID, como https://your_service.com.
Incluir declarações padrão	Inclua as declarações padrão contendo informações sobre o usuário, como o nome, o perfil, o número de telefone e o endereço do usuário. As especificações OpenID Connect definem um conjunto de declarações padrão a ser retornado no token do ID.
Incluir atributos personalizados	Se o seu aplicativo tiver atributos personalizados especificados, inclua-os no token de ID.
Incluir permissões personalizadas	Se o seu aplicativo tiver permissões personalizadas especificadas, inclua-as no token de ID.

Configuração	Descrição
Token válido por	A duração de tempo em que o token de ativo é válido após sua emissão.
Certificado de assinatura do ativo	O certificado autoassinado que você criou para assinar tokens de ativo. O tamanho do certificado não pode exceder 4 KB.
Públicos-alvo de ativo	Os consumidores pretendidos do token do ativo. Por exemplo, o serviço de back-end para o dispositivo conectado, como https://backend_do_seu_dispositivo.com.
Incluir atributos personalizados	Se seu aplicativo tiver atributos personalizados especificados, inclua-os no token de ativo.
Incluir permissões personalizadas	Se seu aplicativo tiver permissões personalizadas especificadas, inclua-as no token de ativo.

Especifique o URL de retorno (ponto final). Por exemplo, https://backend_do_seu_dispositivo.com/callback.

Selecione os escopos do OAuth Acessar e gerenciar seus dados (api) e Permitir acesso a seu identificador exclusivo (openid), que são obrigatórios para tokens de ativo.

Essas configurações são apenas uma parte de uma única configuração de logout. Para concluir a configuração de logout único, defina o URL para o qual os usuários serão redirecionados depois de fazerem logout e compartilharem informações com seu provedor do OpenID Connect. Consulte Configurar logout único do OpenID Connect com o Salesforce como provedor do OpenID Connect.