URL 内の機密情報の保護
組織 ID など、URL 内の機密情報を保護するには、Referrer-Policy HTTP ヘッダーを有効にします。Salesforce のアクションで別の URL に対するリクエストが行われると、そのリクエストを受信する Web サイトではオリジンに関する情報を表示できます。たとえば、Salesforce ページで画像が読み込まれた場合、画像がある Web サイトではその Salesforce ページの URL を表示できます。また、リンクをクリックすると、訪問しているウェブサイトでリンク先の Salesforce ページの URL が表示されることがあります。Referrer-Policy HTTP ヘッダーにより、そのリクエスト中にその URL、つまり参照元をどの程度共有するかが制御されます。
必要なエディション
| 使用可能なインターフェース: Lightning Experience および Salesforce Classic |
使用可能なエディション: Essentials Edition、Personal Edition、Contact Manager Edition、Group Edition、Professional Edition、Enterprise Edition、Performance Edition、Unlimited Edition、Developer Edition、および Database.com Edition |
| 必要なユーザー権限 | |
|---|---|
| セキュリティ設定を変更する | 「アプリケーションのカスタマイズ」 |
- [設定] で、[クイック検索] ボックスに「セッションの設定」と入力して、[セッションの設定] を選択します。
-
[参照元 URL の保護] セクションで、[Referrer-Policy HTTP ヘッダーを含める] を選択します。
この設定を有効にすると、Salesforce によって提供されるすべてのページに
referrer-policyHTTP ヘッダーが含まれます。この設定を無効にすると、ブラウザーでデフォルトの referrer-policy ディレクティブが使用され、通常はこれによって完全な URL が公開されます。 -
HTTP 参照元ポリシーを選択します。
- 同じオリジンのリクエストで参照元 URL を送信し、同じプロトコルのクロスオリジンリクエストでのみオリジンを送信して、対象 Web サイトがダウングレードされたプロトコルにある場合は参照元を省略するには、[strict-origin-when-cross-origin] を選択します。これはデフォルトです。
- 参照元を含めない場合は、[no-referrer] を選択します。
- 常にオリジンのみを送信するには、[origin] を選択します。
- クロスオリジンリクエストの参照元を省略するには、[same-origin] を選択します。
- 同じプロトコルレベルのリクエストでのみオリジンを送信し、対象 Web サイトがダウングレードされたプロトコルにある場合は参照元を省略するには、[strict-origin] を選択します。
- 変更内容を保存します。
strict-origin-when-cross-origin HTTP Referrer Policy を使用した場合に URL がどのように共有されるかを見てみましょう。
まずは、URL が https://MyDomainName.my.site.com/pageName/s/profile/userId の Experience Cloud サイトのユーザープロファイルがあるとします。プロファイルで URL が https://MyDomainName.my.site.com/pageName の別の Experience Cloud サイトページへのリンクをクリックすると、両方の URL が site.com ドメインにあるため、両方の URL で HTTPS プロトコルが使用されます。そのため、ユーザープロファイルの完全な URL が参照元として共有されます。
その Experience Cloud サイトページには、URL が http://example.com/images/header_image.png の画像が埋め込まれています。その画像の読み込みは、ダウングレードされたプロトコルに対するリクエストの例です。これは、サイトページでは HTTPS が使用されているのに対して対象 URL では HTTP が使用されているためです。画像を読み込むリクエストには参照元情報が含まれません。
次に、その Experience Cloud サイトページのリンクをクリックして、URL が https://MyDomainName.lightning.force.com/lightning/r/Report/reportId/view のレポートにアクセスします。site.com と force.com は異なるドメインであるため、このアクションではクロスオリジンリクエストが開始されます。さらに、両方の URL で同じプロトコルである HTTPS を使用しています。そのため、この場合はリクエストに参照元としてオリジンのみが含まれます。オリジンはパスのない URL であり、この場合は https://MyDomainName.my.site.com です。https://www.example.com などの同じプロトコルの外部 Web サイトへのリクエストにも、参照元としてオリジンのみが含まれます。
現在のポリシーを選択できるように、非推奨のポリシーは [HTTP Referer Policy (HTTP 参照元ポリシー)] リストの最後に表示されます。これらのポリシーはお勧めしません。
- no-referrer-when-downgrade: このポリシーは、ページの完全な URL が同等以上のプロトコルレベルへのクロスオリジン要求にさらされるため、お勧めしません。たとえば、HTTPS から HTTPS への要求や、HTTP から HTTP または HTTPS への要求に公開されるためです。
- origin-when-cross-origin: 複数のブラウザーでこのポリシーがサポートされなくなったため、このポリシーはお勧めしません。代わりに、strict-origin-when-cross-origin を選択します。
- unsafe-url: ページの完全な URL が安全でないオリジンからの要求にさらされるため、このポリシーはお勧めしません。
例を含む HTTP 参照元ポリシーの値についての詳細は、『MDN Docs HTTP Guide (MDN ドキュメント HTTP ガイド)』の「Referencer-Policy」エントリを参照してください。
