Vous êtes ici :
Clés pour la MFA
La vérification de l'authentification multifacteur (MFA) est aisée avec un service de clé secrète (auparavant appelé authentificateur intégré) tel que Windows Hello, Touch ID ou Face ID, ou un gestionnaire de mot de passe. Les utilisateurs peuvent vérifier rapidement leur identité avec un scanner d'empreinte digitale, d'iris ou de reconnaissance faciale (ou dans certains cas, avec un code PIN ou un mot de passe que l'utilisateur configure dans le système d'exploitation de son appareil). Les clés offrent une connexion sécurisée, rapide et facile. Ils satisfont à l'exigence de résistance à l'hameçonnage par MFA pour les utilisateurs privilégiés.
Salesforce applique automatiquement les exigences de la MFA à l'été 2026. Consultez ces articles pour plus d'informations et des calendriers de déploiement détaillés.
Les clés sont une excellente option si l'utilisation d'une application d'authentification mobile n'est pas viable. Prenons par exemple cette option pour les utilisateurs qui n'ont pas d'appareil mobile fourni par l'entreprise. Les clés secrètes peuvent être utiles dans les environnements conformes PCI ou dans les situations où l'appareil de travail d'un utilisateur ne dispose pas de ports pour une clé de sécurité physique.
Création d'une clé
Pour les étapes de configuration, consultez Création d'une clé de passe. Si vous avez besoin d'aide sur les clés secrètes, consultez Dépannage des problèmes de clé secrète.
Considérations et exigences relatives à Tableau
-
Les clés sont automatiquement activées en tant que méthode de vérification pour tous les utilisateurs.
Après l'application automatique de la MFA, tous les utilisateurs qui ne remplissent pas les exigences de la MFA sont invités à créer un passkey.
-
Salesforce prend en charge les clés secrètes gérées via un Gestionnaire de mot de passe ou un trousseau cloud, à condition qu'elles soient conformes FIDO2/WebAuthn.
-
Pour permettre aux utilisateurs d'enregistrer un mot de passe auprès de Salesforce, le service doit être activé sur leur appareil et configuré pour vérifier leur identité par le biais d'un code biométrique, d'un code PIN ou d'un mot de passe.
-
L'appareil, le système d'exploitation et le navigateur d'un utilisateur doivent prendre en charge la norme FIDO2 Web Authentication (WebAuthn). Pour plus d'informations, visitez le site Web FIDO et le guide WebAuthn.
-
Les clés ne sont pas prises en charge dans les versions non-Chromium du navigateur Edge.
-
Les clés ne sont pas disponibles pour les sites Experience Cloud.
-
Les utilisateurs qui accèdent à Salesforce via une API ne peuvent pas vérifier leur identité avec une clé.
-
Les connexions OAuth Data Loader ne prennent pas en charge l'utilisation de clés de passe.
Pour plus d'informations, consultez FIDO2: Web Authentication (WebAuthn) ou la documentation relative aux clés de passe de vos utilisateurs.
À l'arrière-plan
L'enregistrement d'une clé secrète crée une paire de clés privées et publiques uniques au compte de l'utilisateur. La clé privée est stockée en toute sécurité sur l'ordinateur de bureau ou l'appareil mobile de l'utilisateur et est sécurisée par les données biométriques de l'utilisateur. La clé privée et les données biométriques de l'utilisateur ne quittent jamais son appareil et ne sont jamais partagées avec Salesforce. Lorsqu'un utilisateur se connecte à son compte, le navigateur appelle le système d'exploitation de l'appareil pour lancer la clé enregistrée de l'utilisateur. Selon son navigateur et son système d'exploitation, l'utilisateur vérifie son identité avec une méthode telle que Touch ID, Face ID ou Windows Hello.
Les clés de passe compatibles WebAuthn sont résistantes à l'hameçonnage et aux attaques de l'homme du milieu. Une raison principale est que la clé privée d'un utilisateur est liée à un domaine associé au compte de l'utilisateur. Par exemple, supposons qu'un utilisateur est piégé en utilisant un site malveillant. Lorsque le site invite le passkey à approuver la requête de connexion, l'authentificateur reconnaît que le domaine du site n'est pas conforme à l'attente et empêche l'utilisateur de se connecter.
