Sie befinden sich hier:
CORS-Zulassungsliste
Bei der Salesforce CORS-Zulassungsliste (Cross-Origin Resource Sharing) handelt es sich um eine Sicherheitssteuerung, mit der Administratoren vertrauenswürdige externe Domänen angeben können, die berechtigt sind, Cross-Origin-Anforderungen an Salesforce-APIs und -Ressourcen auszuführen.
Steuerelementname
CORS-Zulassungsliste
Empfohlene Konfiguration
- Allowed Origins List (Zulässige Ursprungsliste): Fügen Sie der zulässigen Liste den Ursprung hinzu, damit in einem Webbrowser ausgeführter Code (z. B. JavaScript) über einen bestimmten Ursprung mit Salesforce kommunizieren kann.
Setup>CORS>Neu>Ursprungs-URL-Muster.
Steuerelementübersicht
Bei der Salesforce CORS-Zulassungsliste (Cross-Origin Resource Sharing) handelt es sich um eine Sicherheitssteuerung, mit der Administratoren vertrauenswürdige externe Domänen angeben können, die berechtigt sind, Cross-Origin-Anforderungen an Salesforce-APIs und -Ressourcen auszuführen. Durch die explizite Autorisierung nur dieser Ursprünge ermöglicht die Plattform es Webbrowsern, sicher mit Salesforce-Daten aus externen Anwendungen zu interagieren und gleichzeitig alle nicht autorisierten Drittanbieterdomänen zu blockieren.
Sicherheitsrisiko, wenn nicht konfiguriert
Da keine ordnungsgemäß konfigurierte Salesforce CORS-Zulassungsliste (Cross-Origin Resource Sharing) vorhanden ist, kann die Organisation Sicherheitslücken beim nicht autorisierten Datenzugriff und Cross-Site Scripting (XSS) aufweisen, da nicht vertrauenswürdige externe Domänen Anforderungen an Salesforce-APIs oder Lightning-Ressourcen initiieren können.
Bedrohungsszenarien
Ein Angreifer hostet eine bösartige Website, die ein Skript im Browser eines Benutzers ausführt, der über eine aktive Salesforce-Sitzung verfügt. Da die CORS-Zulassungsliste zu permissiv oder falsch konfiguriert ist, ermöglicht der Browser es der bösartigen Site, nicht autorisierte API-Aufrufe an Salesforce zu senden, wodurch der Angreifer vertrauliche Daten stillschweigend exfiltrieren oder Aktionen als authentifizierter Benutzer ausführen kann.
Geschätzter CVSS-Bewertungsbereich
Kritisch (9.0–10.0).
Überlegungen zu Risikoauswirkungen
Verbundene Anwendung oder Umfang der externen Client-Anwendung.
Höheres Risiko, wenn
Das Risiko einer ineffektiven CORS-Zulassungsliste wird durch mangelnde Governance in Bezug auf Drittanbieteranwendungen, die dann die Einstellungen für den zulässigen Ursprung zum Abkratzen von Daten ausnutzen können, erheblich erhöht.
Darüber hinaus kann eine schwache Inhaltssicherheitsrichtlinie (Content Security Policy, CSP) oder das Fehlen von Lightning Web Security zu gefährlichen Synergien führen, bei denen bösartige Skripts einfach auf die Benutzeroberfläche geladen werden können und dann die ineffektiven CORS-Grenzen verwenden, um vertrauliche Informationen direkt aus dem Browser des Benutzers zu extrahieren.
Geringes oder kein Risiko, wenn
Um das Risiko einer ineffektiven CORS-Zulassungsliste zu minimieren, sollten Organisationen die API-Zugriffssteuerung implementieren, um einzuschränken, welche verbundenen Anwendungen und Benutzer auf Salesforce-Daten zugreifen können, und sicherzustellen, dass nur autorisierte Identitäten unabhängig vom Ursprung Anforderungen senden können.
Darüber hinaus bieten eine zuverlässige Inhaltssicherheitsrichtlinie (Content Security Policy, CSP) und Lightning Web Security (LWS) einen wichtigen Schutz im Detail, indem sie einschränken, wohin der Browser Daten senden kann, und Komponenten isolieren, um zu verhindern, dass bösartige Skripts auf Sitzungstoken zugreifen oder nicht autorisierte ursprungsübergreifende Aufrufe tätigen.
Überlegungen zu Unternehmen und Integration
Integration in die externe Anwendung "API-Umfang".
Empfohlene Sanierung
Aktivieren Sie CORS-Zulassungsliste und überprüfen Sie die Konfiguration regelmäßig.
Anleitung zur Sicherheitsintegritätsprüfung
Die Sicherheitsintegritätsprüfung untersucht die CORS-Zulassungslisten, um die ineffektive Einrichtung von CORS zu identifizieren, beispielsweise um den Ursprung von CORS in der Liste zuzulassen.
