Du er her:
API-tilgang
Denne kontrollen fjerner systemtillatelsen API-aktivert fra ikke-godkjente gjestebrukerprofiler.
Navn på kontroll
API-tilgang
Anbefalt konfigurasjon
Deaktiver API-tilgang i Gjestebruker-profil.
Oversikt over kontroll
Denne kontrollen fjerner systemtillatelsen API-aktivert fra ikke-godkjente gjestebrukerprofiler, og hindrer at anonyme brukere får tilgang til Salesforce-data via programmatiske grensesnitt som REST- eller SOAP-API-er.
Sikkerhetsrisiko hvis ikke konfigurert
Når dette alternativet er aktivert, kan en anonym angriper bruke standard Salesforce API-sluttpunkter til å systematisk undersøke organisasjonens metadata og forsøke å trekke ut poster som kan være utilsiktet eksponert gjennom løse delingsregler.
Trusselscenarier
En skadelig utøver bruker et skript til å skanne endepunktene på det offentlige nettstedet, oppdage sensitive objektnavn eller felt og laste ned alle poster de har Lese-tilgang til, uten å måtte logge seg på.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Hvis du tillater API-tilgang til ikke-godkjente brukere, øker du betydelig risikoen for dataekspiltrering i stor skala og automatisert "skraping" av organisasjonen, noe som kan føre til store personvernbrudd og lovpålagte bøter.
Høyere risiko når
Hvis Gjestebruker-profilen har Lese-tilgang til objekter som inneholder personlig identifiserbar informasjon (PII), eller hvis innstillingen Sikker posttilgang for gjestebrukere har blitt omgått manuelt.
Lav risiko når
Hvis firmaet allerede har begrenset Gjestebruker til null objekttillatelser og har håndhevet en privat delingsmodell som nekter tilgang til alle poster som standard.
Viktige punkter om virksomheten og integrasjonen
Deaktivering av denne tillatelsen kan avbryte tilpassede frontend-komponenter eller eksterne integrasjoner som er avhengig av å utføre ikke-godkjente API-kall til nettstedet for å vise felles informasjon som produktkataloger eller butikkplasseringer.
Anbefalt rettelse
- 1. Fjern merket for Tillat gjestebrukere å få tilgang til felles API-er i nettstedsinnstillinger.
- 2. Fjern merket for API aktivert i gjesteprofilen.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer fjerning av gjeste-API-tilgang som et obligatorisk trinn for å redusere tilgjengelig angrepsareal, og sikrer at offentlige nettsteder bare leverer data via godkjente brukergrensesnittkomponenter i stedet for åpne programmatiske kanaler.
