Du är här:
Gästanvändaråtkomst: Webbplatsinställningar för Gäståtkomst till API-kontroll
Denna säkerhetsinställning fungerar som en huvudgrind som avgör om ej inloggade besökare kan interagera med de underliggande Salesforce Connect och offentliga REST-slutpunkterna för en Experience Cloud-webbplats.
Kontrollnamn
Gästanvändaråtkomst: Webbplatsinställningar för gäståtkomst API
Rekommenderad konfiguration
Ange Digital upplevelse>Alla webbplatser>Arbetsområde>Administration|Inställningar>Låt gästanvändare komma åt offentlig API till avmarkerad/inaktiverad.
Kontrollöversikt
Denna säkerhetsinställning fungerar som en huvudgrind som avgör om ej inloggade besökare kan interagera med de underliggande Salesforce Connect och offentliga REST-slutpunkterna för en Experience Cloud-webbplats.
Säkerhetsrisk om den inte är konfigurerad
När denna åtkomst är aktiverad tillhandahåller den en öppen programmatisk (API) kanal för anonyma aktörer att fråga webbplatsmetadata och försöka extrahera postdata som oavsiktligen har exponerats genom osäkra objektnivåbehörigheter.
Hotscenarier
En attackerare använder automatiserade skript för att träffa offentliga API-slutpunkter, upptäcka den interna strukturen i egna objekt och systematiskt ladda ner alla poster som inte är strikt skyddade av en privat delningsmodell.
Uppskattat CVSS-betygintervall
Hög (7,0-8,9).
Att tänka på vad gäller riskpåverkan
Att tillåta anonym API-åtkomst ökar avsevärt sannolikheten för dataskrapning med hög volym och stöld av immateriella rättigheter, vilket kan leda till stränga lagstadgade påföljder och förlorade konkurrensfördelar.
Högre risk när
Om gästanvändarprofilen har beviljats läsåtkomst till objekt som innehåller känslig verksamhetslogik eller om webbplatsen använder egna Apex kontroller som inte har härdats för ej inloggad användning.
Låg risk när
Webbplatsen är helt statisk och använder inga standardobjekt eller egna objekt som skulle lagra känslig eller egen information.
Att tänka på vad gäller affärer och integration
Att inaktivera denna inställning kan förhindra vissa externa sökmotorer eller webbkomponenter från tredje part från att korrekt indexera och visa offentligt webbplatsinnehåll som förlitar sig på API-frågor i realtid.
Rekommenderad åtgärd
Gå till sektionen Administration i webbplatsens arbetsområde, välj Inställningar och se till att kryssrutan för att låta gästanvändare komma åt den offentliga API:n är avmarkerad.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar begränsningen av offentlig API-åtkomst som en obligatorisk arkitektonisk standard, vilket säkerställer att data endast exponeras genom kontrollerade användargränssnittkomponenter istället för öppna och oövervakade programmatiska (API) gränssnitt.
