Usted está aquí:
Configurar los parámetros de OAuth de la aplicación cliente externa: Control de privilegios mínimos de ámbito de OAuth
Las CEPA permiten ámbitos de OAuth altamente granulares, que controlan los permisos para la CEPA.
Nombre de control
Aplicaciones cliente externas: Configurar los parámetros de OAuth de la aplicación cliente externa: Privilegio mínimo de ámbito de OAuth
Configuración recomendada
Ámbitos de OAuth - Los ámbitos de OAuth definen permisos para la aplicación cliente externa.
Descripción general de control
Las CEPA permiten ámbitos de OAuth altamente granulares, que controlan los permisos para la CEPA. Restringir estos minimiza el "radio de explosión".
Riesgo de seguridad si no está configurado
No restringir ámbitos de OAuth da como resultado un acceso con privilegios excesivos, donde se otorgan a una aplicación externa permisos más amplios de lo necesario para funcionar. Las aplicaciones comprometidas obtienen acceso a PII confidencial innecesariamente.
Escenarios de amenazas
Un atacante que obtiene el control de un token con el ámbito Full puede omitir las restricciones de la interfaz de usuario para eliminar registros de forma programática, exportar bases de datos de clientes completas o modificar configuraciones del sistema.
Además, una "fuga de token" a través de una implementación del lado del cliente insegura permite a los actores malintencionados suplantar al usuario en cualquier API de Salesforce, no solo las funciones específicas destinadas a la aplicación externa.
Intervalo de puntuación de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
Ampliación masiva del radio de explosión durante un evento de robo de credenciales, convirtiendo potencialmente una brecha localizada menor en una pérdida total de datos de la empresa.
Riesgo más alto cuando
Las aplicaciones tienen asignado "Acceso completo" de forma predeterminada. Si la aplicación está configurada para "Todos los usuarios pueden autorizarse", permitiendo a cualquier empleado o cliente otorgar permisos amplios a herramientas externas sin investigar.
Bajo riesgo cuando
Utilice ámbitos estrechos o personalizados que restrinjan el token a acciones específicas no destructivas. La implementación de la política de OAuth 2.0 "Los usuarios aprobados por el administrador están previamente autorizados" reduce aún más el riesgo asegurándose de que solo perfiles o conjuntos de permisos específicos pueden utilizar la aplicación, independientemente de los ámbitos solicitados.
Consideraciones comerciales y de integración
La definición estricta de ámbitos requiere una coordinación profunda entre desarrolladores y arquitectos para asignar cada llamada de API a su permiso requerido, lo que puede aumentar el tiempo de desarrollo inicial. Sin embargo, este esfuerzo inicial evita deudas de integración, donde una falta de granularidad le obliga a otorgar acceso excesivo y sin restricciones a herramientas sencillas, creando una responsabilidad de seguridad a largo plazo que es difícil de desenredar más adelante.
Remediación recomendada
Revise la configuración de OAuth de la CEPA y seleccione solo los ámbitos específicos (por ejemplo, api, openid) requeridos para la función comercial.
Directrices de revisión del estado de seguridad
Security Health Review hace hincapié en el principio de privilegios mínimos. Evalúe los requisitos de la aplicación para restringir ámbitos (por ejemplo: "Acceso completo") que podría convertir una pequeña brecha en un evento de pérdida de datos catastrófico.
