Вы находитесь здесь:
Доступ пользователя-гостя: Параметры сайта для API гостевого доступа
Этот параметр безопасности служит основными воротами, которые определяют возможность взаимодействия непроверенных посетителей с базовыми Salesforce Connect и общедоступными конечными точками REST сайта Experience Cloud.
Управление именем
Доступ пользователя-гостя: Параметры сайта для API гостевого доступа
Рекомендованная конфигурация
Установите цифровое взаимодействие>Все сайты>Рабочее пространство>Администрирование|Предпочтения>Разрешить пользователям-гостям доступ к общедоступному API без флажка/отключено.
Общие сведения о контроле
Этот параметр безопасности служит основными воротами, которые определяют возможность взаимодействия непроверенных посетителей с базовыми Salesforce Connect и общедоступными конечными точками REST сайта Experience Cloud.
Риск безопасности, если он не настроен
Если этот доступ включен, он предоставляет анонимным исполнителям открытый программный канал (API) для запроса метаданных сайта и попытки извлечения данных записи, случайно открытых посредством небезопасных полномочий объекта.
Сценарии угроз
Взломщик использует автоматические сценарии для проникновения в конечные точки общедоступного API, обнаруживая внутреннюю структуру настраиваемых объектов и систематически загружая все записи, которые не защищены строго моделью личного общего доступа.
Примерный диапазон оценки CVSS
Высокий (7,0-8,9).
Рекомендации по влиянию риска
Разрешение анонимного доступа к API значительно повышает вероятность массового списания данных и кражи интеллектуальной собственности, что может привести к суровым нормативным санкциям и потере конкурентных преимуществ.
Повышенный риск при
Если профилю пользователя-гостя был предоставлен доступ для чтения к объектам, содержащим конфиденциальную бизнес-логику, или если сайт использует настраиваемые контроллеры Apex, не закаленные для непроверенного использования.
Низкий риск при
Сайт является чисто статическим и не использует стандартные или настраиваемые объекты, которые могли бы хранить конфиденциальную или служебную информацию.
Рекомендации по бизнесу и интеграции
Отключение данного параметра может помешать некоторым внешним поисковым системам или сторонним веб-компонентам корректно индексировать и отображать общедоступное содержимое сайта, зависящее от запросов API в реальном времени.
Рекомендованное исправление
Перейдите в раздел «Администрирование» рабочего пространства сайта, выберите «Настройки» и убедитесь, что флажок для предоставления пользователям-гостям доступа к общедоступному API снят.
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет ограничение общего доступа к API в качестве обязательного архитектурного стандарта, убедившись, что данные открываются только посредством компонентов управляемого пользовательского интерфейса, а не открытых и неотслеживаемых программных интерфейсов (API).
