詳細情報:
顧客とパートナーのヘッドレス ID の制御
カスタムログイン UI のバックエンド API ハンドシェイクを保護します。
コントロール名
顧客とパートナー向けのヘッドレス ID
推奨設定
ヘッドレス ID を使用すると、開発者は Salesforce を堅牢なバックエンド ID エンジンとして使用しながら、独自の外部サーバーまたはカスタムアプリケーションでログインおよび登録ユーザーインターフェースをホストできます。
制御の概要
カスタムログイン UI のバックエンド API ハンドシェイクを保護します。
設定されていない場合のセキュリティリスク
カスタムアプリケーションでヘッドレスアーキテクチャを使用していない場合、開発者は、多くの場合、標準 Salesforce ページを「フレーム化」したり、クリックジャックやクロスサイトスクリプティング (XSS) に対して脆弱な安全性の低いブラウザーリダイレクトを使用するなど、安全性の低い方法を使用します。
脅威のシナリオ
攻撃者は従来のブラウザーリダイレクトフローの脆弱性を悪用して認証コードまたはセッション Cookie を傍受します。このリスクは、ヘッドレスの「認証コードおよび検証」フローにあるより安全なサーバー間通信を使用する場合に大幅に軽減されます。
推定 CVSS スコア範囲
重大 (9.0 ～ 10.0)。
リスクの影響に関する考慮事項
大規模カスタムアプリケーションの従来のフロントエンドリダイレクトに依存すると、認証の「ハンドシェイク」が表示され、クライアント側の操作に対して脆弱になる、断片的なセキュリティ体制が発生する可能性があります。
より高いリスク
高度なセキュリティを必要とするが、ユーザーのセキュリティコンテキストを低下させることなく標準の Salesforce Web ベースのログイン環境をネイティブでサポートできないカスタムモバイルアプリケーションまたは単一ページアプリケーションを作成する場合、リスクは高くなります。
低リスク
カスタムのフロントエンドではなく、標準の組み込み Experience Cloud テンプレートが使用されます。これらのテンプレートにはリダイレクトとセッション処理用の組み込み Salesforce 保護がすでに含まれているためです。
ビジネスと統合に関する考慮事項
ヘッドレス ID を実装するには、OAuth 2.0 フローに関する高度な開発専門知識と、ヘッドレス ID API を介して Salesforce と通信するカスタムフロントエンド UI を構築および管理する機能が必要です。
推奨される修復
Salesforce でヘッドレス登録ハンドラーとログイン検出ハンドラーを設定し、すべての認証要求にヘッドレス ID API を使用するように外部アプリケーションを更新します。
Security Health Review Guidance (セキュリティ状態レビューガイダンス)
Security Health Review では、Salesforce Platform の厳格なバックエンドセキュリティ標準を犠牲にすることなく、カスタムユーザーエクスペリエンスの柔軟性を提供する API ファーストセキュリティモデルとしてヘッドレス ID が特定されます。
