Du är här:
Inbäddad inloggning
Inbäddad inloggning är en äldre funktion som låter dig placera ett inloggningsformulär direkt på en extern webbsida med hjälp av en liten bit JavaScript.
Kontrollnamn
Inbäddad inloggning
Rekommenderad konfiguration
Med inbäddad inloggning i Salesforce Identity kan kunder integrera Salesforces inloggningsfunktioner på sin egen externa webbplats. Denna kontroll rekommenderas inte.
Kontrollöversikt
Inbäddad inloggning är en äldre funktion som låter dig placera ett inloggningsformulär direkt på en extern webbsida med hjälp av en liten bit JavaScript och en <iframe> struktur.
Säkerhetsrisk om den inte är konfigurerad
Inbäddad inloggning rekommenderas inte eftersom det skapar en hög risk för klickkapning och skript för flera webbplatser (XSS), eftersom inloggningsgränssnittet tekniskt "värdas" inuti en extern webbplats från tredje part snarare än på en dedikerad, säker Salesforce-domän.
Hotscenarier
En attackerare komprometterar värdwebbservern och injicerar skadlig kod i det inbäddade inloggningsskriptet för att "sniffa" och samla in användaruppgifter medan de skrivs in i formuläret.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Eftersom autentiseringen sker inom en extern ram förlorar användaren den visuella säkerheten i det Salesforce-varumärkta URL-fältet, vilket gör det nästan omöjligt för dem att bekräfta att de interagerar med en legitim inloggningsportal.
Högre risk när
Om värdwebbplatsen inte har en strikt innehållsäkerhetspolicy (CSP) eller om den inte har specifika säkerhetssidhuvuden som talar om för webbläsaren exakt vilka domäner som är auktoriserade att visa inloggningsformuläret i en ram, vilket lämnar webbplatsen öppen för övertagande av oauktoriserade tredjepartssidor.
Låg risk när
Scenariot har endast lägre risk när den externa webbplatsen är fullständigt hanterad, mycket säker och använder de mest restriktiva webbläsarbaserade säkerhetssidhuvudena för att isolera den inbäddade inloggningskoden.
Att tänka på vad gäller affärer och integration
Att upprätthålla inbäddad inloggning kräver tungt utvecklarunderhåll för att säkerställa att tredjepartswebbplatsens JavaScript fortsätter vara kompatibelt med Salesforces växande säkerhetsuppdateringar och cookiehanteringspolicyer.
Rekommenderad åtgärd
Istället för att använda inbäddad inloggning bör organisationer migrera till Sidhuvudlös identitet för ett eget användargränssnitt eller använda standardflöden för OAuth 2.0-omdirigering för att säkerställa att autentisering sker på en härdad Salesforce-domän.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning rekommenderar inte användning av inbäddad inloggning på grund av dess beroende av iframes, vilket introducerar betydande risker för klickkapning och frekventa sessionsfel orsakade av moderna webbläsarbegränsningar för cookies från tredje part.
