Vous êtes ici :
API (Activer les paramètres OAuth) : Nécessite un secret pour le contrôle de flux de jeton d'actualisation
Ce contrôle exige qu'une application cliente confidentielle fournisse son Secret client lors de l'échange d'un jeton d'actualisation contre un nouveau jeton d'accès pour vérifier l'identité du client.
Nom du contrôle
Application connectée : API (Activer les paramètres OAuth) : Nécessite un secret pour le flux de jeton d'actualisation
Configuration recommandée
Nécessite un secret pour le flux de jeton d'actualisation.
Vue d'ensemble du contrôle
Ce contrôle exige qu'une application cliente confidentielle fournisse son Secret client lors de l'échange d'un jeton d'actualisation contre un nouveau jeton d'accès pour vérifier l'identité du client.
Risque de sécurité s'il n'est pas configuré
Un assaillant qui vole un jeton d'actualisation peut obtenir de nouveaux jetons d'accès indéfiniment sans avoir besoin des identifiants privés de l'application, contournant ainsi un facteur d'authentification critique.
Scénarios de menace
Un assaillant extrait un jeton d'actualisation d'un appareil mobile ou d'un fichier journal compromis et l'utilise à partir d'un serveur séparé et non autorisé pour maintenir un accès permanent et « headless » aux données Salesforce de l'utilisateur.
Plage de score CVSS estimée
Critique (9,0 à 10,0).
Considérations relatives à l'impact sur le risque
L'absence de secret permet une persistance à long terme, non détectée dans l'environnement, prolongeant considérablement la durée d'une violation de données au-delà de la durée de vie de la session initiale.
Risque plus élevé quand
Les jetons d'actualisation n'ont pas de date d'expiration ou lorsque l'application connectée est associée à des utilisateurs d'intégration à privilèges élevés qui peuvent accéder à des informations d'identification personnelle confidentielles ou à des métadonnées système.
Risque faible quand
Si la permutation du jeton d'actualisation est activée, vous vous assurez que tout jeton d'actualisation volé devient inutile immédiatement après sa première utilisation non autorisée.
Considérations relatives à l'entreprise et à l'intégration
L'application de cette exigence peut rompre des intégrations héritées ou des applications mobiles qui n'ont pas été conçues pour stocker ou transmettre un secret client pendant le processus d'actualisation en arrière-plan.
Remédiation recommandée
Accédez aux Paramètres OAuth de l'application connectée, puis cochez la case « Nécessite un secret pour le flux de jeton d'actualisation ».
Guide d'examen sanitaire de sécurité
Security Health Review identifie ce contrôle comme une défense vitale contre la persistance de la session. Par conséquent, un jeton volé seul ne suffit pas à maintenir une porte dérobée permanente dans l'organisation.
