Você está aqui:
API (Habilitar configurações do OAuth): Exigir segredo para fluxo do servidor da Web
Esse controle exige que o aplicativo cliente forneça seu Segredo do cliente criptograficamente forte durante a troca de um código de autorização para um token de acesso para verificar a identidade do cliente.
Nome do controle
Aplicativos conectados: API (Habilitar configurações do OAuth): Exigir segredo para fluxo do servidor da Web
Configuração recomendada
Exigir segredo para fluxo de servidor da Web.
Visão geral de controle
Esse controle exige que o aplicativo cliente forneça seu Segredo do cliente criptograficamente forte durante a troca de um código de autorização para um token de acesso para verificar a identidade do cliente.
Risco de segurança, se não configurado
O Fluxo de servidor da Web (Concessão de código de autorização) pode permitir que um invasor que intercepte um código de autorização temporário o troque com sucesso por um token de acesso de longa duração sem comprovar que ele controla o servidor de back-end autorizado.
Cenários de ameaça
Um adversário intercepta um código de autorização por meio de um redirecionamento de navegador ou vazamento de registro e executa imediatamente uma troca de token de sua própria infraestrutura, personificando com sucesso o aplicativo legítimo para obter acesso aos dados do usuário.
Intervalo de pontuação de CVSS estimado
Crítico (9.0 a 10.0).
Considerações sobre impacto de risco
Não exigir um segredo facilita a criação de sessão não autorizada e a extração de dados, tornando efetivamente um código único temporário em um gateway persistente para transferência de conta.
Risco maior quando
Quando o aplicativo está hospedado em um servidor compartilhado ou usa um esquema de URI personalizado que aumenta a probabilidade de interceptação de código de autorização por aplicativos locais ou proxies de rede mal-intencionados.
Baixo risco quando
Se a empresa tiver implementado a PKCE (Proof Key for Code Exchange) como um controle compensatório, que adiciona uma camada dinâmica secundária de verificação ao processo de troca de código.
Considerações de negócios e integração
Habilitar esse requisito poderá interromper as integrações existentes se o cliente de terceiros tiver sido configurado incorretamente para ignorar a troca secreta ou se o código do lado do cliente não tiver acesso seguro ao segredo.
Remediação recomendada
Vá para Configurações do OAuth do aplicativo conectado em Configuração e marque a caixa de seleção "Exigir segredo para fluxo de servidor da Web".
Diretriz de revisão de saúde de segurança
A Análise de integridade de segurança identifica isso como um requisito fundamental de "Cliente confidencial" para que os dados confidenciais do CRM sejam liberados apenas para aplicativos verificados no lado do servidor que possam proteger suas credenciais.
