Вы находитесь здесь:
Удостоверение без заголовка для клиентов и партнеров
Защищает рукопожатие Backend API для настраиваемых пользовательских интерфейсов входа.
Управление именем
Удостоверение без заголовка для клиентов и партнеров
Рекомендованная конфигурация
Headless Identity позволяет разработчикам использовать Salesforce в качестве надежного опорного механизма идентификации при размещении пользовательских интерфейсов входа и регистрации на собственных внешних серверах или в настраиваемых приложениях.
Общие сведения о контроле
Защищает рукопожатие Backend API для настраиваемых пользовательских интерфейсов входа.
Риск безопасности, если он не настроен
Если архитектура без заголовка не используется для настраиваемых приложений, разработчики часто прибегают к небезопасным методам, например, «ифрейминг» стандартных страниц Salesforce или использование менее безопасных переадресаций обозревателя, более уязвимых для кликджекинга и межсайтового скриптинга (XSS).
Сценарии угроз
Злоумышленник использует уязвимость в устаревшем потоке переадресации обозревателя для перехвата кодов авторизации или cookie-файлов сеанса, риск, который значительно снижается при использовании более безопасной межсерверной связи, обнаруженной в потоках без заголовка «Код авторизации и средство проверки».
Примерный диапазон оценки CVSS
Критические (9,0-10,0).
Рекомендации по влиянию риска
Использование традиционных фронтальных переадресаций для крупномасштабных настраиваемых приложений может привести к фрагментации состояния безопасности, когда «рукопожатие» проверки подлинности будет видимым и уязвимым для манипуляций со стороны клиента.
Повышенный риск при
Риск выше при создании настраиваемых мобильных приложений или одностраничных приложений, требующих высокой степени безопасности, но не поддерживающих стандартную веб-версию входа Salesforce без ухудшения контекста безопасности пользователя.
Низкий риск при
Стандартные встроенные шаблоны Experience Cloud используются вместо настраиваемых панелей, поскольку эти шаблоны уже содержат встроенные средства защиты Salesforce для переадресации и обработки сеансов.
Рекомендации по бизнесу и интеграции
Внедрение Headless Identity требует расширенного опыта разработки в потоках OAuth 2.0 и возможности создания и обслуживания настраиваемого фронтального пользовательского интерфейса, взаимодействующего с Salesforce посредством Headless Identity API.
Рекомендованное исправление
Настройте средства обработки регистрации без заголовка и обнаружения входа в Salesforce и обновите внешнее приложение для использования Headless Identity API для всех запросов проверки подлинности.
Руководство по проверке состояния безопасности
Обзор состояния безопасности определяет Headless Identity в качестве модели безопасности, предоставляющей гибкость настраиваемого взаимодействия пользователя, не жертвуя строгими базовыми стандартами безопасности Salesforce Platform.
