Usted estĆ” aquĆ:
Control de inicio de sesiĆ³n integrado
Inicio de sesiĆ³n integrado es una funciĆ³n heredada que le permite poner un formulario de inicio de sesiĆ³n directamente en una pĆ”gina web externa utilizando un pequeƱo fragmento de JavaScript.
Nombre de control
Inicio de sesiĆ³n integrado
ConfiguraciĆ³n recomendada
Con Inicio de sesiĆ³n integrado de Salesforce Identity, los clientes pueden integrar funciones de inicio de sesiĆ³n de Salesforce en su propio sitio web externo. Este control no se recomienda.
DescripciĆ³n general de control
Inicio de sesiĆ³n integrado es una funciĆ³n heredada que le permite poner un formulario de inicio de sesiĆ³n directamente en una pĆ”gina web externa utilizando un pequeƱo fragmento de JavaScript y una estructura similar a <iframe>.
Riesgo de seguridad si no estĆ” configurado
Inicio de sesiĆ³n integrado no se recomienda porque crea un alto riesgo de secuestro de clics y secuencias de comandos de sitio cruzadas (XSS), ya que la interfaz de inicio de sesiĆ³n estĆ” tĆ©cnicamente "alojada" dentro de un sitio externo externo en vez de en un dominio de Salesforce exclusivo y seguro.
Escenarios de amenazas
Un atacante compromete el servidor web de alojamiento e inyecta cĆ³digo malicioso en la secuencia de comandos de inicio de sesiĆ³n integrada para "husmear" y capturar credenciales de usuario cuando se escriben en el formulario.
Intervalo de puntuaje de CVSS estimado
CrĆtico (9,0 a 10,0).
Consideraciones de impacto de riesgo
Debido a que la autenticaciĆ³n se produce en un marco externo, el usuario pierde la seguridad visual de la barra de URL con marca de Salesforce, lo que le hace casi imposible verificar que estĆ” interactuando con un portal de inicio de sesiĆ³n legĆtimo.
Mayor riesgo cuando
Si el sitio web de alojamiento no tiene una PolĆtica de seguridad de contenidos (CSP) estricta o si carece de encabezados de seguridad especĆficos que indiquen al navegador exactamente quĆ© dominios estĆ”n autorizados a mostrar el formulario de inicio de sesiĆ³n en un marco, dejando el sitio abierto al secuestro por pĆ”ginas externas no autorizadas.
Bajo riesgo cuando
El escenario es de menor riesgo solo cuando el sitio externo estĆ” completamente gestionado, es altamente seguro y utiliza los encabezados de seguridad basados en navegador mĆ”s restrictivos para aislar el cĆ³digo de inicio de sesiĆ³n integrado.
Consideraciones de negocio e integraciĆ³n
Mantener Inicio de sesiĆ³n integrado requiere un mantenimiento intensivo del desarrollador para asegurarse de que el JavaScript del sitio externo sigue siendo compatible con las polĆticas de gestiĆ³n de cookies y actualizaciones de seguridad en evoluciĆ³n de Salesforce.
RemediaciĆ³n recomendada
En vez de utilizar Inicio de sesiĆ³n integrado, las organizaciones deben migrar a Identidad desatendida para una interfaz de usuario personalizada o utilizar Flujos de redireccionamiento de OAuth 2.0 estĆ”ndar para asegurarse de que la autenticaciĆ³n se produce en un dominio de Salesforce endurecido.
Directrices de revisiĆ³n del estado de seguridad
Security Health Review no recomienda el uso de Inicio de sesiĆ³n integrado debido a su dependencia de iframes, que introduce riesgos significativos de secuestro de clics y fallos frecuentes de sesiĆ³n causados por restricciones modernas del navegador en cookies de terceros.
