Ti trovi qui:
Impostazioni dell'app client esterna: Mascheramento segreto API REST
Questa impostazione di protezione blocca la possibilità di eseguire query o recuperare segreti consumatore OAuth in formato testo normale sensibili tramite chiamate API REST a livello di programmazione.
Nome controllo
Impostazioni dell'app client esterna: Mascheramento segreto API REST
Configurazione consigliata
Consentire l'accesso ai segreti consumatore dell'app client esterna tramite l'API REST - Off.
Panoramica sul controllo
Questa impostazione di protezione blocca la possibilità di eseguire query o recuperare segreti consumatore OAuth in formato testo normale sensibili tramite chiamate API REST a livello di programmazione.
Rischio per la sicurezza se non configurato
Quando questo accesso è abilitato, qualsiasi utente o applicazione autenticata con autorizzazioni API sufficienti può estrarre a livello di programmazione queste credenziali di valore elevato, causando la potenziale esposizione globale dei segreti di autenticazione.
Scenari di minaccia
Un aggressore compromette un account utente con autorizzazioni amministrative o di sviluppatore ed esegue uno script per raccogliere tutti i segreti consumatore tramite l'API REST per ottenere un accesso persistente e non autorizzato ai sistemi integrati.
Considerazioni sull'impatto del rischio
L'esposizione di questi segreti consente a un attore non autorizzato di ignorare i protocolli di accesso standard e impersonare un'applicazione esterna affidabile, causando una completa compromissione dei dati condivisi tra i sistemi.
Rischio maggiore quando
L'organizzazione utilizza molti strumenti di integrazione di terze parti che hanno ampio accesso all'API REST, poiché una singola integrazione compromessa potrebbe causare il furto di tutti gli altri segreti delle applicazioni.
Basso rischio quando
Se sono state implementate rigorose restrizioni degli indirizzi IP per tutti gli accessi API e si utilizzano token di sessione di breve durata che limitano la finestra di opportunità per un aggressore di eseguire script di estrazione.
Considerazioni su Business e integrazione
La disabilitazione di questo accesso impedisce agli strumenti amministrativi personalizzati o agli script di monitoraggio automatico di verificare o controllare a livello di programmazione i segreti consumatore utilizzati dalle applicazioni esterne.
Rimedio consigliato
Accedere alle impostazioni delle app client esterne in Imposta e verificare che il selettore per consentire l'accesso ai segreti consumatore tramite l'API REST sia attivato.
Guida all'esame dello stato della sicurezza
Security Health Review identifica la restrizione dell'accesso segreto tramite l'API REST come uno standard architettonico obbligatorio per garantire che le credenziali sensibili rimangano crittografate e accessibili solo tramite l'interfaccia utente Salesforce protetta.
