AutenticaĆ§Ć£o baseada em certificado
AlĆ©m de mĆ©todos de autenticaĆ§Ć£o, como Single Sign On, o Salesforce oferece autenticaĆ§Ć£o baseada em certificado, que vocĆŖ pode configurar para autenticar seus usuĆ”rios do Salesforce com certificados X.509 exclusivos codificados em PEM.
EdiƧƵes obrigatĆ³rias
| DisponĆvel em: Salesforce Classic e Lightning Experience em todas as ediƧƵes |
A autenticaĆ§Ć£o baseada em certificado cumpre os requisitos de identidade digital FedRAMP High Authenticator Assurance Level (AAL) 3 e cartƵes de verificaĆ§Ć£o de identificaĆ§Ć£o pessoal. Sua organizaĆ§Ć£o tambĆ©m pode usar certificados assinados por autoridades certificadoras (CA) com autenticaĆ§Ć£o baseada em certificado. Visualize a lista de Certificados SSL da AC de mensagens de saĆda.
A autenticaĆ§Ć£o baseada em certificado usa o protocolo de SeguranƧa de camada de transporte mĆŗtua (mTLS). Com esse protocolo, o Salesforce e o usuĆ”rio comprovam mutuamente sua identidade usando um processo chamado de handshake mTLS. Esta Ć© uma visĆ£o geral de alto nĆvel do fluxo de autenticaĆ§Ć£o.
- O usuĆ”rio acessa a pĆ”gina de login do Meu domĆnio e clica em Login baseado em certificado.
- O Salesforce envia seu certificado de servidor e cadeia de certificados para o navegador do usuƔrio.
- O navegador verifica o certificado e a cadeia do servidor.
- Se solicitado, o usuĆ”rio seleciona ou fornece um certificado de autenticaĆ§Ć£o do usuĆ”rio, tambĆ©m conhecido como certificado do cliente. Essa etapa pode variar dependendo do navegador, do serviƧo do Salesforce que o usuĆ”rio estĆ” acessando e de se o usuĆ”rio usou o certificado anteriormente.
- O navegador do usuĆ”rio envia o certificado de autenticaĆ§Ć£o do usuĆ”rio e a cadeia de certificados para o servidor do Salesforce. O Salesforce verifica o certificado e a cadeia usando o certificado de autenticaĆ§Ć£o do usuĆ”rio configurado nas configuraƧƵes da sua organizaĆ§Ć£o.
- Depois que o Salesforce e o navegador se autenticam mutuamente, o usuƔrio Ʃ conectado.
Para adicionar o certificado de autenticaĆ§Ć£o do usuĆ”rio Ć sua organizaĆ§Ć£o, carregue-o em Certificados de autenticaĆ§Ć£o do usuĆ”rio em ConfiguraĆ§Ć£o. Como alternativa, use a API REST, a API SOAP e a criaĆ§Ć£o de objeto de API padrĆ£o para gerenciar o objeto UserAuthCertificate. VocĆŖ entĆ£o pode integrar os certificados de usuĆ”rio carregados a uma ferramenta de API externa, como o Data Loader. As ferramentas de API externas podem ajudĆ”-lo a gerenciar os certificados de seus usuĆ”rios.
Observe estes requisitos antes de habilitar a autenticaĆ§Ć£o baseada em certificado.
- Esse recurso estĆ” disponĆvel apenas em organizaƧƵes configuradas com a configuraĆ§Ć£o Permitir que usuĆ”rios se autentiquem com um certificado ativada na pĆ”gina VerificaĆ§Ć£o de identidade em ConfiguraĆ§Ć£o.
- A autenticaĆ§Ć£o baseada em certificado nĆ£o tem suporte nos sites do Experience Cloud.
- Se vocĆŖ usar um certificado de autenticaĆ§Ć£o do usuĆ”rio de um fornecedor de CA pĆŗblico, o certificado deverĆ” ser encadeado a uma CA raiz vĆ”lida para sua instĆ¢ncia. Para obter uma lista de fornecedores de CA pĆŗblica vĆ”lidos, adicione /cacerts.jsp ao URL da sua instĆ¢ncia, como https://MyCompany.my.salesforce.com/cacerts.jsp.
- Os certificados de autenticaĆ§Ć£o do usuĆ”rio devem conter a extensĆ£o EKU de autenticaĆ§Ć£o do cliente (Uso de chave estendida).
Importante Com a PolĆtica do programa raiz do Google Chrome v1.7, sua autenticaĆ§Ć£o de usuĆ”rio (cliente) e os certificados de servidor nĆ£o podem se originar da mesma CA raiz pĆŗblica na Lista raiz confiĆ”vel do Chrome. Com essa alteraĆ§Ć£o, nĆ£o Ć© mais possĆvel usar certificados que incluam EKUs para autenticaĆ§Ć£o de usuĆ”rio e servidor. Para evitar interrupƧƵes, mude para hierarquias de certificados separadas. As alteraƧƵes da polĆtica do Google Chrome entram em vigor em 15 de junho de 2026, mas vocĆŖ poderĆ” enfrentar problemas com a renovaĆ§Ć£o de certificado para alguns fornecedores de CA pĆŗblica antes dessa data.Para obter mais informaƧƵes, consulte AlteraƧƵes obrigatĆ³rias futuras Ć Infraestrutura de chave pĆŗblica (PKI).
- Certificados de autenticaĆ§Ć£o do usuĆ”rio carregados devem ser certificados digitais X.509 codificados em PEM.
- Um arquivo PEM carregado pode conter um Ćŗnico certificado ou atĆ© dez certificados em uma cadeia de certificados.
- Um arquivo PEM carregado pode ter atƩ 1 MB.
- O certificado de autenticaĆ§Ć£o do usuĆ”rio nĆ£o pode estar expirado.
- O certificado de autenticaĆ§Ć£o do usuĆ”rio deve ser exclusivo para uma Ćŗnica organizaĆ§Ć£o do Salesforce.
- Um usuĆ”rio pode ter vĆ”rios certificados de autenticaĆ§Ć£o, mas um certificado deve ser Ćŗnico de um usuĆ”rio.
- O usuĆ”rio precisa estabelecer conexĆ£o na porta 8443. A autenticaĆ§Ć£o baseada em certificado funciona na porta 8443 do Salesforce.
Tarefas de configuraĆ§Ć£o
Para configurar a autenticaĆ§Ć£o baseada em certificado para um cliente de API, consulte Configurar um certificado de autenticaĆ§Ć£o mĆŗtua e Configurar seu cliente de API para usar autenticaĆ§Ć£o mĆŗtua.
Para configurar a autenticaĆ§Ć£o baseada em certificado para login na IU, consulte os recursos abaixo.
- Habilitar autenticaĆ§Ć£o baseada em certificado
Para usar certificados para autenticar usuĆ”rios individuais para a sua organizaĆ§Ć£o, Ć© preciso habilitar autenticaĆ§Ć£o baseada em certificado. - Validar o status de revogaĆ§Ć£o de certificados de autenticaĆ§Ć£o de usuĆ”rio
Sempre que os usuĆ”rios fizerem login com um certificado, vocĆŖ pode validar o status de revogaĆ§Ć£o usando o Protocolo de status de certificado online (OCSP) ou Listas de revogaĆ§Ć£o de certificados (CRL). Com OCSP, o Salesforce verifica o status da revogaĆ§Ć£o dos certificados em tempo real. Se uma verificaĆ§Ć£o de status de OCSP falhar ou se um certificado nĆ£o estiver configurado para OCSP, o Salesforce usarĆ” CRL. - Revisar erros de login de certificado
Quando vocĆŖ habilita as verificaƧƵes de status de revogaĆ§Ć£o de certificado, o Salesforce impede logins com certificados que sĆ£o revogados ou que nĆ£o podem ser validados. Para ver por que o login de um certificado falhou, verifique a pĆ”gina HistĆ³rico de login da sua organizaĆ§Ć£o. Revise estes erros de login. - Carregar um certificado de autenticaĆ§Ć£o do usuĆ”rio
ApĆ³s habilitar a autenticaĆ§Ć£o baseada em certificado, vocĆŖ pode carregar certificados digitais X.509 codificados em PEM para autenticar usuĆ”rios individuais para a sua organizaĆ§Ć£o. - Adicionar autenticaĆ§Ć£o baseada em certificado Ć sua pĆ”gina de login Meu domĆnio
ApĆ³s habilitar a autenticaĆ§Ć£o baseada em certificado em VerificaĆ§Ć£o de identidade, adicione o botĆ£o Login baseado em certificado Ć sua pĆ”gina de login Meu domĆnio. Os usuĆ”rios podem clicar no botĆ£o para autenticarem-se usando o prĆ³prio certificado de autenticaĆ§Ć£o do usuĆ”rio exclusivo. - Exibir detalhes sobre certificados de autenticaĆ§Ć£o do usuĆ”rio
VocĆŖ pode visualizar todos os certificados de autenticaĆ§Ć£o do usuĆ”rio carregados para a sua organizaĆ§Ć£o e pode visualizar os certificados atribuĆdos a um Ćŗnico usuĆ”rio. Dessas visualizaƧƵes, vocĆŖ pode ver quando os certificados sĆ£o carregados e quando eles expiram. VocĆŖ tambĆ©m pode renomear e excluir certificados. - Fazer download de um certificado de autenticaĆ§Ć£o do usuĆ”rio
VocĆŖ pode fazer download do certificado digital X.509 codificado por PEM que foi carregado anteriormente na sua organizaĆ§Ć£o. - Alterar o nome de certificados de autenticaĆ§Ć£o do usuĆ”rio
VocĆŖ pode alterar o nome de um certificado de autenticaĆ§Ć£o do usuĆ”rio. Para editar mais de um nome de certificado do usuĆ”rio, exclua o certificado e carregue um novo certificado digital X.509 codificado em PEM. - Excluir certificados de autenticaĆ§Ć£o do usuĆ”rio
Exclua um certificado de autenticaĆ§Ć£o do usuĆ”rio se ele estiver comprometido e o certificado tiver sido revogado, expirado ou nĆ£o estiver mais em uso. - Efetuar login em sua organizaĆ§Ć£o com autenticaĆ§Ć£o baseada em certificado
Se sua organizaĆ§Ć£o do Salesforce tiver suporte para autenticaĆ§Ć£o baseada em certificado, como mĆ©todo de login, vocĆŖ poderĆ” efetuar login com seu certificado de autenticaĆ§Ć£o do usuĆ”rio exclusivo, em vez de um nome de usuĆ”rio e senha.
