Você está aqui:
API (Habilitar configurações do OAuth): Habilitar tokens de ativo
Tokens de ativo são um método especializado de autenticação baseado em JWT que vincula uma sessão do Salesforce diretamente a um dispositivo físico ou "ativo" específico.
Nome do controle
Aplicativos conectados: API (Habilitar configurações do OAuth): Habilitar tokens de ativo
Configuração recomendada
Habilite Tokens de ativo.
Visão geral de controle
Tokens de ativo são um método especializado de autenticação baseado em JWT que vincula uma sessão do Salesforce diretamente a um dispositivo físico específico ou "ativo", em vez de apenas um usuário, fornecendo identidade granular para a Internet das Coisas (IoT).
Risco de segurança, se não configurado
Sem tokens de ativo, as empresas costumam voltar às credenciais da conta de serviço genérica para dispositivos, que não podem verificar se o hardware solicitante é o dispositivo específico autorizado que afirma ser.
Cenários de ameaça
Um invasor "clona" as credenciais de um dispositivo de IoT legítimo e as usa para registrar um dispositivo fraudulento e não autorizado que envia dados de sensores fraudulentos ou extrai telemetria confidencial da sua organização do Salesforce.
Intervalo de pontuação de CVSS estimado
Crítico (9.0 a 10.0).
Considerações sobre impacto de risco
A ausência de identidade no nível do dispositivo leva a uma perda de integridade de dados e "não rejeição", impossibilitando a comprovação de qual hardware específico realizou uma ação ou acessou um registro.
Risco maior quando
O risco é significativamente maior quando os dispositivos são implantados em ambientes físicos não protegidos (como quiosques públicos ou sensores remotos) em que o hardware pode ser alterado ou o armazenamento local pode ser perdido para credenciais estáticas.
Baixo risco quando
O cenário é de menor risco quando os Tokens de ativo são implementados com autenticação baseada em certificado, garantindo que o dispositivo comprove a posse de uma chave privada vinculada a hardware exclusiva para receber um token.
Considerações de negócios e integração
A implementação de tokens de ativo exige uma estratégia para "Provisionamento de dispositivos", garantindo que cada ativo físico esteja registrado corretamente como um registro de Asset no Salesforce antes de tentar autenticar.
Remediação recomendada
Vá para Configurações do OAuth do aplicativo conectado, marque a caixa de seleção "Habilitar tokens de ativo" e configure o Manipulador de token de ativo (Apex) para validar as reivindicações de dispositivo recebidas.
Diretriz de revisão de saúde de segurança
A Análise de integridade de segurança identifica tokens de ativo como o padrão de segurança "Dispositivo como um usuário", levando as organizações para longe de contas de serviço compartilhadas em direção a uma identidade exclusiva e verificável para cada ponto final físico.
