API-adgang

Kontrolnavn

API-adgang

Anbefalet konfiguration

Inaktiver API-adgang i gæstebrugerprofil.

Kontroller oversigt

Denne kontrol fjerner systemtilladelsen "API-aktiveret" fra ikke-godkendte gæstebrugerprofiler, hvilket forhindrer anonyme brugere i at få adgang til Salesforce-data gennem programmeringsmæssige grænseflader som REST- eller SOAP-API'er.

Sikkerhedsrisiko, hvis den ikke er konfigureret

Når det er aktiveret, kan en anonym angriber bruge Salesforce API-standardslutpunkter til systematisk at undersøge din organisations metadata og forsøge at udtrække registreringer, der kan blive utilsigtet vist gennem løse delingsregler.

Trusselscenarier

En ondsindet aktør bruger et script til at scanne slutpunkterne på din offentlige lokalitet, opdage følsomme objektnavne eller felter og downloade alle registreringer, de har "Læs"-adgang til uden nogensinde at skulle logge ind.

Estimeret CVSS-scoringsinterval

Kritisk (9,0-10,0).

Overvejelser i forbindelse med risikopåvirkning

Tilladelse af API-adgang til ikke-godkendte brugere øger risikoen for udfiltrering af data i stor skala og automatisk "skrabering" af din organisation, hvilket kan føre til større fortrolighedskrænkelser og regulerende bøder.

Højere risiko når

Hvis gæstebrugerprofilen har "Læs"-adgang til objekter, der indeholder personligt identificerbare oplysninger (PII), eller hvis indstillingen "Sikker registreringsadgang til gæstebrugere" er blevet tilsidesat manuelt.

Lav risiko når

Hvis firmaet allerede har begrænset gæstebrugeren til nul objekttilladelser og har håndhævet en "Privat"-delingsmodel, der nægter adgang til alle registreringer som standard.

Overvejelser i forbindelse med forretning og integration

Inaktivering af denne tilladelse kan afbryde tilpassede front-end-komponenter eller eksterne integrationer, der er afhængige af at foretage ikke-godkendte API-kald til din lokalitet for at vise offentlige oplysninger som produktkataloger eller butiksplaceringer.

Anbefalet rettelse

• 1. Fjern markeringen af "Tillad gæstebrugere at få adgang til offentlige API'er" i lokalitetsindstillinger.
• 2. Fjern markeringen af "API-aktiveret" i gæsteprofilen.

Vejledning til sikkerhedstilstandsgennemgang

Sikkerhedstilstandscheck identificerer fjernelse af gæste-API-adgang som et obligatorisk trin for at reducere den tilgængelige angrebsoverflade, så du sikrer, at offentlige lokaliteter kun leverer data gennem godkendte brugergrænsefladekomponenter snarere end åbne programmeringsmæssige kanaler.