Du er her:
Tilsidehovedløse Identity-API'er for kunder og partnere
Sikrer API-koden for serverdel for tilpassede påloggingsgrensesnitt.
Navn på kontroll
Tilsidehovedløse Identity-API'er for kunder og partnere
Anbefalt konfigurasjon
Med Headless Identity kan utviklere bruke Salesforce som en robust identitetsmotor i serverdelen mens de er vert for påloggings- og registreringsbrukergrensesnittet på sine egne eksterne servere eller tilpassede programmer.
Oversikt over kontroll
Sikrer API-koden for serverdel for tilpassede påloggingsgrensesnitt.
Sikkerhetsrisiko hvis ikke konfigurert
Når du ikke bruker headless-arkitektur for tilpassede apper, bruker utviklere ofte usikre metoder som "iframing" standard Salesforce-sider eller bruk av mindre sikre nettleseromdirigeringer som er mer sårbare for clickjacking og skripting på tvers av nettsteder (XSS).
Trusselscenarier
En angriper utnytter en sårbarhet i en eldre nettleseromdirigeringsflyt for å fange opp godkjenningskoder eller øktinformasjonskapsler, en risiko som reduseres betydelig når den sikrere server-til-server-kommunikasjonen finnes i "Godkjenningskode- og Verifier"-flyter uten hoder.
Beregnet CVSS Score-område
Kritisk (9.0–10.0).
Viktige punkter om risikoinnvirkning
Å basere seg på tradisjonelle frontend-omdirigeringer for tilpassede programmer i stor skala kan føre til en fragmentert sikkerhetstilstand der godkjenningens "håndtrykk" er synlig og sårbar for manipulering på klientsiden.
Høyere risiko når
Risikoen er høyere når du bygger tilpassede mobilapper eller enkeltsideprogrammer som krever sikkerhet av høy grad, men som ikke kan støtte standard nettbasert Salesforce-påloggingsopplevelse som standard, uten å redusere brukerens sikkerhetskontekst.
Lav risiko når
Standard, innebygde Experience Cloud-maler brukes i stedet for tilpassede frontende, fordi disse malene allerede har innebygde Salesforce-beskyttelser for omdirigeringer og øktbehandling.
Viktige punkter om virksomheten og integrasjonen
Implementering av Headless Identity krever avansert utviklingskompetanse i OAuth 2.0-flyter og muligheten til å bygge og vedlikeholde et tilpasset frontend-grensesnitt som kommuniserer med Salesforce via API-ene for Headless Identity.
Anbefalt rettelse
Konfigurer behandlingene for Headless Registration og Login Discovery i Salesforce, og oppdater det eksterne programmet til å bruke API-et Headless Identity til alle godkjenningsforespørsler.
Veiledning for vurdering av sikkerhetstilstand
Sikkerhetstilstandsvurdering identifiserer Headless Identity som en API-første sikkerhetsmodell som gir fleksibiliteten til en tilpasset brukeropplevelse uten å ofre de strenge sikkerhetsstandardene i Salesforce Platform.
