U bent hier:
Gastgebruikerstoegang: Sitevoorkeuren voor API voor gasttoegang
Deze beveiligingsvoorkeur dient als een hoofdpoort die bepaalt of niet-geauthenticeerde bezoekers kunnen werken met de onderliggende Salesforce Connect en openbare REST-eindpunten van een Experience Cloud-site.
Controlenaam
Gastgebruikerstoegang: Sitevoorkeuren voor API voor gasttoegang
Aanbevolen configuratie
Stel Digitale omgeving>Alle sites>Werkruimte>Beheer|Voorkeuren>Gastgebruikers toegang geven tot openbare API in op niet geselecteerd/uitgeschakeld.
Overzicht van besturingselementen
Deze beveiligingsvoorkeur dient als een hoofdpoort die bepaalt of niet-geauthenticeerde bezoekers kunnen werken met de onderliggende Salesforce Connect en openbare REST-eindpunten van een Experience Cloud-site.
Beveiligingsrisico indien niet geconfigureerd
Wanneer deze toegang is ingeschakeld, biedt deze een open programmatisch kanaal (API-kanaal) voor anonieme actoren om een query uit te voeren op sitemetagegevens en te proberen recordgegevens te extraheren die per ongeluk zijn vrijgegeven via onveilige machtigingen op objectniveau.
Dreigingsscenario's
Een aanvaller gebruikt geautomatiseerde scripts om de openbare API-eindpunten te bereiken, de interne structuur van aangepaste objecten te ontdekken en systematisch alle records te downloaden die niet strikt worden beschermd door een privémodel voor delen.
Geschatte CVSS-scorebereik
Hoog (7,0–8,9).
Overwegingen bij risico-impact
Het toestaan van anonieme API-toegang vergroot de kans op het schrapen van gegevens met groot volume en diefstal van intellectueel eigendom aanzienlijk, wat kan leiden tot strenge wettelijke sancties en verlies van concurrentievoordeel.
Hoger risico wanneer
Als aan het gastgebruikersprofiel leestoegang is verleend tot objecten die gevoelige bedrijfslogica bevatten of als de site aangepaste Apex controllers gebruikt die niet zijn gehard voor ongeauthenticeerd gebruik.
Laag risico wanneer
De site is puur statisch en gebruikt geen standaard of aangepaste objecten die gevoelige of gepatenteerde informatie zouden opslaan.
Overwegingen bij bedrijf en integratie
Als u deze voorkeur uitschakelt, kan het zijn dat bepaalde externe zoekmachines of webcomponenten van derden niet correct indexeren en inhoud van openbare sites tonen die is gebaseerd op realtime API-query's.
Aanbevolen oplossing
Ga naar de sectie Beheer van de sitewerkruimte, selecteer Voorkeuren en zorg ervoor dat het selectievakje Gastgebruikers toegang geven tot de openbare API is uitgeschakeld.
Begeleiding bij beoordeling van beveiligingstoestand
Beoordeling van beveiligingstoestand identificeert de beperking van openbare API-toegang als een verplichte architectonische standaard, waarbij ervoor wordt gezorgd dat gegevens alleen zichtbaar zijn via gecontroleerde gebruikersinterfacecomponenten in plaats van open en niet-bewaakte programmatische interfaces (API's).
