Du er her:
API (Aktiver OAuth-innstillinger): Aktivere oppdateringstokenrotasjon
Denne kontrollen gjør hvert oppdateringstoken ugyldig og erstatter det med et nytt hver gang det brukes til å hente et nytt tilgangstoken.
Navn på kontroll
Tilkoblede apper: API (Aktiver OAuth-innstillinger): Aktivere oppdateringstokenrotasjon
Anbefalt konfigurasjon
Aktiver Oppdater tokenrotasjon.
Oversikt over kontroll
Denne kontrollen gjør hvert oppdateringstoken ugyldig og erstatter det med et nytt hver gang det brukes til å hente et nytt tilgangstoken.
Sikkerhetsrisiko hvis ikke konfigurert
Uten rotasjon er et oppdateringstoken "statisk" og har lang levetid, som betyr at hvis det noen gang blir stjålet, kan det brukes på ubestemt tid til å generere nye økter uten at angriperen trenger brukerens passord eller MFA.
Trusselscenarier
En angriper eksfiltrerer et oppdateringstoken fra en brukers lokale enhetslager eller en kompromittert loggfil og bruker den til å opprettholde fast, stille tilgang til Salesforce-organisasjonen lenge etter at den opprinnelige brukeren har logget av.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Fraværet av rotasjon tillater "Uendelig varig økt", slik at en motstander kan oppholde seg i miljøet uoppdaget i måneder og systematisk filtrere data.
Høyere risiko når
Risikoen er betydelig høyere for offentlige klienter (mobilapper og apps med én side) som lagrer tokener i mindre sikre nettleser- eller enhetsmiljøer der de er mer utsatt for tyveri av skadelig programvare.
Lav risiko når
Når Oppdateringstokenrotasjon pares med PKCE (Proof Key for Code Exchange) og tilgangstokener med kort levetid, må du forsikre deg om at ethvert stjålet token faktisk er for engangsbruk, og angriperen kan ikke matematisk bevise at de er den opprinnelige anmoderen om å få et nytt.
Viktige punkter om virksomheten og integrasjonen
Aktivering av rotasjon krever at klientprogrammet er i stand til å oppdatere sitt lagrede oppdateringstoken etter hver samtale, fordi feil å lagre det nye tokenet vil føre til at appen blir "låst ute" ved neste synkroniseringsforsøk.
Anbefalt rettelse
Gå til OAuth-innstillingene i den tilkoblede appen, og merk av for "Aktiver oppdateringstokenrotasjon".
Veiledning for vurdering av sikkerhetstilstand
Security Health Review identifiserer Refresh Token Rotation som en kritisk "Zero Trust"-mekanisme som drastisk reduserer "blast radius" av en stjålet legitimasjon ved å gjøre hvert token til et engangsaktivum.
