Você está aqui:
API (Habilitar configurações do OAuth): Exigir chave de comprovação para controle de troca de código (PKCE)
Uma extensão de segurança do OAuth 2.0 que usa um "verificador de código" criptográfico criado dinamicamente para garantir que o aplicativo que troca um código de autorização para um token de acesso seja o mesmo que solicitou o código originalmente.
Nome do controle
Aplicativos conectados: API (Habilitar configurações do OAuth): Exigir chave de comprovação para troca de código (PKCE)
Configuração recomendada
Exigir extensão de Chave de comprovação para troca de código (PKCE) para fluxos de autorização com suporte – Selecionado.
Visão geral de controle
A PKCE é uma extensão de segurança para OAuth 2.0 que usa um "verificador de código" criado dinamicamente para garantir que o aplicativo que troca um código de autorização para um token de acesso seja o mesmo aplicativo que solicitou o código originalmente.
Risco de segurança, se não configurado
Sem a PKCE, os clientes públicos (como aplicativos móveis ou aplicativos de página única) são vulneráveis à "Intercepção de código de autorização" porque não podem armazenar com segurança um segredo do cliente para verificar sua identidade durante a troca de token.
Cenários de ameaça
Um invasor intercepta um código de autorização bem-sucedido por meio de um esquema de URI personalizado ou redirecionamento do navegador e o troca imediatamente por um token de acesso válido antes que o aplicativo legítimo possa, sequestrando efetivamente a sessão do usuário.
Intervalo de pontuação de CVSS estimado
Crítico (9.0 a 10.0).
Considerações sobre impacto de risco
Uma intercepção bem-sucedida leva a uma transferência total da conta dentro do escopo do aplicativo, potencialmente permitindo que o adversário exfiltre PII confidencial ou realize transações não autorizadas como o usuário comprometido.
Risco maior quando
O risco é alto para aplicativos móveis e aplicativos de página única em que o código é transmitido por meio de navegadores do sistema potencialmente inseguros ou ambientes de dispositivo compartilhados.
Baixo risco quando
O risco é considerado menor para "clientes confidenciais" (integrações entre servidores) que podem armazenar e usar com segurança um segredo do cliente para autenticar a troca de token, embora a PKCE ainda seja recomendada como defesa em profundidade.
Considerações de negócios e integração
Impor a PKCE exige que os desenvolvedores atualizem a lógica de handshake do OAuth do aplicativo para gerar e enviar os parâmetros code_challenge e code_verifier, o que pode exigir a atualização de bibliotecas móveis legadas.
Remediação recomendada
Acesse as configurações do Aplicativo conectado no Salesforce e ative a caixa de seleção "Exigir extensão de Chave de comprovação para Code Exchange (PKCE)".
Diretriz de revisão de saúde de segurança
A Análise de integridade de segurança identifica a PKCE como uma linha de base obrigatória para todas as integrações modernas voltadas para o público para fechar a lacuna de "injeção de código" e garantir a verificação de identidade de alta garantia para usuários móveis e da Web.
