Limiter le TTL de jeton d'actualisation inactif dans les applications clientes externes
Pour plus de sécurité, définissez une limite de 30 jours sur le jeton d'actualisation inactif TTL (time-to-live). Le TTL inactif est la durée pendant laquelle un jeton d'actualisation peut être inactif avant son expiration. Le TTL inactif fonctionne comme une fenêtre coulissante : Chaque fois que le jeton est utilisé dans la période de 30 jours, son TTL inactif est réinitialisé. En tant que développeur d'application, lorsque vous activez cette limite, elle affecte les stratégies de jeton d'actualisation pour vos abonnés.
Éditions requises
| Disponible avec : Lightning Experience |
| Disponible avec : Professional Edition, Performance Edition, Unlimited Edition et Developer Edition |
| Autorisations utilisateur requises | |
|---|---|
| Pour configurer les paramètres OAuth de l'application cliente externe | Créer, modifier et supprimer des applications clientes externes |
Avec vos abonnés, informez-les lorsque vous activez ces modifications. Voici quelques faits saillants importants que vous et vos abonnés devez connaître.
- Ces polices sont affectées par la limite.
- Le jeton d'actualisation est valide jusqu'à sa révocation
- Expirer le jeton d'actualisation après une heure spécifique
- Expirer le jeton d'actualisation s'il n'est pas utilisé pendant une période spécifique
- Pour les stratégies « Le jeton d'actualisation est valide jusqu'à sa révocation » et « Expirer le jeton d'actualisation s'il n'est pas utilisé pendant une période spécifique », la limite introduit des incohérences avec l'interface utilisateur, le comportement et les métadonnées. Pour corriger ces incohérences, mettez à jour vos applications et encouragez les abonnés à faire de même.
- La stratégie « Expirer immédiatement le jeton d'actualisation » n'est pas affectée par la limite.
| Stratégie de jeton d'actualisation | Changements de comportement avec la limite en TTL inactifs | Comment corriger les incohérences avec l'interface utilisateur, le comportement et les métadonnées |
|---|---|---|
| Le jeton d'actualisation est valide jusqu'à sa révocation | Cette stratégie n'est plus valide lorsque la limite en TTL inactif est appliquée. Dans l'interface utilisateur, cette option est masquée et la sélection de la stratégie change en « Expirer le jeton d'actualisation s'il n'est pas utilisé pendant une période spécifique » avec une période de validité définie sur 30 jours. |
Salesforce ne met pas automatiquement à jour les métadonnées de l'application pour refléter cette modification. Dans le type de métadonnées ExtlClntAppOauthConfigurablePolicies :
|
| Expirer immédiatement le jeton d'actualisation | Aucune | Non applicable |
| Expirer le jeton d'actualisation après une heure spécifique | Les jetons d'actualisation utilisent toujours la période de validité configurée dans les stratégies de l'application. Si elle dépasse 30 jours, la limite en TTL inactif s'applique également. Par exemple, si la période de validité configurée est d'un an, les jetons inactifs expirent au bout de 30 jours. Avec une utilisation continue, les jetons peuvent durer jusqu'à 1 an. |
Non applicable |
| Expirer le jeton d'actualisation s'il n'est pas utilisé pendant une période spécifique | Cette période de validité configurée pour cette stratégie fonctionne déjà comme un TTL inactif avec une fenêtre glissante. La seule modification est que la période de validité ne peut désormais pas dépasser 30 jours. | Salesforce ne met pas automatiquement à jour l'interface utilisateur ou les métadonnées pour refléter cette modification. Dans l'interface utilisateur, mettez à jour la période de validité sur 30 jours. Dans le type de métadonnées ExtlClntAppOauthConfigurablePolicies :
|
Pour activer la limite en TTL inactifs, procédez comme suit.
- Dans Configuration, saisissez Externe dans la case Recherche rapide, puis cliquez sur Gestionnaire d'applications clientes externes.
- Recherchez votre application, puis cliquez sur Modifier les paramètres.
- Dans Paramètres OAuth, recherchez la section Sécurité, puis activez Limiter la durée de vie du jeton d'actualisation inactif (TTL) à 30 jours.
- Enregistrez vos modifications.
- Accédez à l'onglet Stratégies et recherchez la section Autorisation de l'application. L'en-tête Politique de jeton d'actualisation indique maintenant que la limite en TTL inactif est appliquée.
- Corrigez les incohérences avec le comportement, l'interface utilisateur et les métadonnées. Pour plus d'informations sur les types de métadonnées et les champs à mettre à jour, consultez le tableau ci-dessus.
