Vous êtes ici :
Configurez les paramètres OAuth de l'application cliente externe : Contrôle des moindres privilèges du périmètre OAuth
Les ECA permettent des étendues OAuth très précises, qui contrôlent les autorisations de la ECA.
Nom du contrôle
Applications clientes externes : Configurez les paramètres OAuth de l'application cliente externe : Le moindre privilège du périmètre OAuth
Configuration recommandée
Étendues OAuth : les étendues OAuth définissent les autorisations pour l'application cliente externe.
Vue d'ensemble du contrôle
Les ECA permettent des étendues OAuth très précises, qui contrôlent les autorisations de la ECA. La restriction de ces derniers réduit le "rayon d'explosion".
Risque de sécurité s'il n'est pas configuré
Ne pas restreindre les étendues OAuth entraîne un accès trop privilégié, où une application externe reçoit des autorisations plus larges que nécessaire pour fonctionner. Les applications compromises accèdent inutilement aux informations d'identification personnelle confidentielles.
Scénarios de menace
Un assaillant qui prend le contrôle d'un jeton avec l'étendue Full peut contourner les restrictions de l'interface utilisateur pour supprimer par programmation des enregistrements, exporter des bases de données clients complètes ou modifier les configurations système.
De plus, une « fuite de jeton » via une implémentation côté client non sécurisée permet à des acteurs malveillants d'usurper l'identité de l'utilisateur dans n'importe quelle API Salesforce, pas seulement les fonctionnalités spécifiques destinées à l'application externe.
Plage de score CVSS estimée
Critique (9,0 à 10,0).
Considérations relatives à l'impact sur le risque
Extension massive du rayon d'explosion lors d'un vol d'identifiants, transformant potentiellement une brèche mineure localisée en perte totale de données de l'entreprise.
Risque plus élevé quand
Les applications sont attribuées par défaut à « Accès complet ». Si l'application est configurée pour « Tous les utilisateurs peuvent s'autoriser eux-mêmes », permettez à n'importe quel employé ou client d'accorder de larges autorisations à des outils tiers non approuvés.
Risque faible quand
Utilisez des étendues étroites ou personnalisées qui limitent le jeton à des actions spécifiques et non destructives. L'implémentation de la stratégie OAuth 2.0 « Les utilisateurs approuvés par l'administrateur sont pré-autorisés » réduit encore les risques en s'assurant que seuls des profils ou des ensembles d'autorisations spécifiques peuvent utiliser l'application, quelles que soient les étendues demandées.
Considérations relatives à l'entreprise et à l'intégration
La définition stricte des étendues nécessite une coordination profonde entre développeurs et architectes pour mapper chaque appel d'API avec l'autorisation requise, ce qui peut augmenter le temps de développement initial. Cependant, cet effort initial évite la dette d'intégration, où un manque de granularité vous oblige à accorder un accès excessif et illimité à des outils simples, créant un passif de sécurité à long terme difficile à démêler plus tard.
Remédiation recommandée
Vérifiez les paramètres OAuth de la CEA et sélectionnez uniquement les étendues spécifiques (par exemple, api, openid) requises pour la fonction métier.
Guide d'examen sanitaire de sécurité
L'examen de l'intégrité de la sécurité met l'accent sur le principe du moindre privilège. Évaluer les exigences de l'application pour restreindre les étendues (par exemple : "Accès complet") qui pourrait transformer une petite brèche en événement catastrophique de perte de données.
