組み込みログインに関する考慮事項

組み込みログインを実装するときは、次の考慮事項に注意してください。

警告 Summer '24 では、組み込みログインがデフォルトで無効になりました。Web サーバーフロー、ユーザーエージェントフロー、または別のリダイレクトベース OAuth 2.0 フローを組み込みログインの代わりに使用することをお勧めします。

組み込みログインは、ほとんどのブラウザーでブロックまたは制限されているサードパーティの Cookie を使用します。また、組み込みログインは Google Chrome でのみ機能します。デフォルトでは、その場所でサードパーティの Cookie が許可されている場合に限り機能します。

サポートされるブラウザー

組み込みログインは、Lightning Experience をサポートするすべてのブラウザーでサポートされます。組み込みログインは、Google Chrome、Mozilla Firefox、Apple Safari、Microsoft Edge、Internet Explorer 11 のブラウザーで機能します。

HTTP および HTTPS URL

最新のブラウザーでは、同じページで HTTP プロトコルと HTTPS プロトコルを混在させることはできません。右フレームのコンテンツは iframe 内にあるため、URL でサイトと同じプロトコルを使用する必要があります。一般的に、ロゴや右フレームの URL には HTTPS を使用することをお勧めします。ただし、ローカル環境やテスト環境では、HTTP の方が柔軟性が高くなる可能性があります。

セルフ登録の URL リダイレクトと [パスワードを忘れた場合] リンク

組み込みログインは、サイトと連動して、セルフ登録と忘れたパスワードを処理します。顧客は、パスワードまたはセルフ登録ページを完了したら、Web サイトに移動する必要があります。自動的に Web サイトにリダイレクトされません。

ログインリダイレクト

組み込みログインがデフォルトで使用する簡単な認証プロセスは、iframe 内で完了し、マスクリダイレクトによってユーザーから非表示になります。ただし、次のいずれかのシナリオが組織に適用される場合、salesforce-mask-redirects メタタグを false に設定します。

• Web サイト内に追加ステップが必要なログインフロー (多要素認証 (MFA) やカスタムログインフローなど) を組織で使用している。
• Web サイト内に追加ステップが必要なログインページ (ログイン検出ページやカスタムログインページなど) を組織で使用している。
• 組織で組み込みログイン外部クライアントアプリケーションの OAuth 許可ユーザーポリシーを [すべてのユーザーは自己承認可能] に設定します。

エラーが発生した場合の CORS の設定

… an ancestor value violates the following Content Security Policy directive という語句を含むエラーが表示された場合は、「ステップ 1: ドメイン間でのリソース共有の有効化」の手順に従って CORS を設定します。

データを保存するための HTML5 localStorage

組み込みログインでは、localStorage を使用してユーザーのブラウザー内にローカルにデータが保存されます。これは、Cookie にデータを保存するよりも安全です。localStorageは、Webサイトのパフォーマンスに影響を与えることなく、大量のデータをローカルに保存できます。localStorageはオリジンごと (ドメインおよびプロトコルごと) です。1 つのオリジンのすべてのページで、同じデータを保存およびアクセスできます。localStorage のデータには有効期限がありません。このデータをクリアするには、JavaScript を使用するか、ブラウザーキャッシュまたはローカルに保存されたデータをクリアする必要があります。

メモ アクセス拒否メッセージが表示された場合、localStorage が使用可能かどうかを確認します。

Cookie へのアクセスが制限されていることに起因するログインボタンの欠落

サードパーティ Web サイトによる Cookie およびその他のデータのローカルへの保存をブロックするようにブラウザーを設定している場合、Web ページにログインボタンは表示されません。たとえば、Chrome の [サードパーティの Cookie をブロックする] オプションが設定されている場合、ログインボタンは表示されません。

この動作はすべてのブラウザーに適用されますが、特に Safari に当てはまります (Safari の Cookie とローカルストレージブロックポリシーのため)。Safari で組み込みログインを有効にするには、Safari のプライバシー設定で [サイト越えトラッキングを防ぐ] をオフにします。

メモ Salesforce は、特定のセッション中に暗号化された認証情報を記録するためだけに、セッション Cookie を発行します。セッション Cookie にはユーザー名とパスワードは含まれません。Salesforce が Cookie を使用してその他のユーザーおよびセッションに関する機密情報を保存することはありません。代わりに、動的データおよびエンコードされたセッション ID に基づく、より高度なセキュリティ方式を実装しています。