Usted está aquí:
Configurar los parámetros de OAuth de la aplicación cliente externa: Privilegio mínimo de ámbito de OAuth
Las CEPA permiten ámbitos de OAuth altamente granulares, que controlan los permisos para la CEPA.
Nombre de control
Aplicaciones cliente externas: Configurar los parámetros de OAuth de la aplicación cliente externa: Privilegio mínimo de ámbito de OAuth
Configuración recomendada
Ámbitos de OAuth: los ámbitos de OAuth definen permisos para la aplicación cliente externa.
Descripción general de control
Las CEPA permiten ámbitos de OAuth altamente granulares, que controlan los permisos para la CEPA. La restricción de estos minimiza el "radio de explosión".
Riesgo de seguridad si no está configurado
Al no restringir los ámbitos de OAuth, se obtiene un acceso con privilegios excesivos, donde se otorgan permisos más amplios de los necesarios a una aplicación externa para funcionar. Las aplicaciones comprometidas obtienen acceso a PII confidencial innecesariamente.
Escenarios de amenazas
Un atacante que obtiene el control de un token con el ámbito Full puede omitir restricciones de la interfaz de usuario para eliminar registros de forma programática, exportar bases de datos de clientes completas o modificar configuraciones del sistema.
Además, una "fuga de token" a través de una implementación del lado del cliente insegura permite a los actores malintencionados imitar al usuario en cualquier API de Salesforce, no solo las funciones específicas destinadas a la aplicación externa.
Intervalo de puntuaje de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones de impacto de riesgo
Ampliación masiva del radio de explosión durante un evento de robo de credenciales, convirtiendo potencialmente una brecha localizada menor en una pérdida total de datos de la compañía.
Mayor riesgo cuando
Las aplicaciones tienen asignado "Acceso completo" de forma predeterminada. Si la aplicación está configurada para "Todos los usuarios pueden autorizarse", permitiendo a cualquier empleado o cliente otorgar permisos amplios a herramientas externas sin investigar.
Bajo riesgo cuando
Utilice ámbitos estrechos o personalizados que restrinjan el token a acciones específicas no destructivas. La implementación de la política de OAuth 2.0 "Los usuarios aprobados por el administrador están autorizados previamente" reduce aún más el riesgo asegurándose de que solo perfiles o conjuntos de permisos específicos pueden utilizar la aplicación, independientemente de los ámbitos solicitados.
Consideraciones de negocio e integración
La definición estricta de ámbitos requiere una coordinación profunda entre desarrolladores y arquitectos para asignar cada llamada de API a su permiso requerido, lo que puede aumentar el tiempo de desarrollo inicial. Sin embargo, este esfuerzo inicial evita deudas de integración, donde la falta de granularidad le obliga a otorgar acceso excesivo y sin restricciones a herramientas sencillas, creando un pasivo de seguridad a largo plazo que es difícil desenredar más adelante.
Remediación recomendada
Revise la Configuración de OAuth de la ECA y seleccione solo los ámbitos específicos (por ejemplo, API, openid) requeridos para la función de negocio.
Directrices de revisión del estado de seguridad
Security Health Review hace hincapié en el principio de menor privilegio. Evalúe los requisitos de la aplicación para restringir ámbitos (por ejemplo: "Acceso completo") que podría convertir una pequeña brecha en un evento de pérdida de datos catastrófico.
