Du är här:
Headless Identity för kunder och partners
Säkrar backend API-handskakning för egna inloggningsgränssnitt.
Kontrollnamn
Headless Identity för kunder och partners
Rekommenderad konfiguration
Sidhuvudlös identitet låter utvecklare använda Salesforce som en robust backendidentitetsmotor samtidigt som de är värdar för användargränssnitten för inloggning och registrering på sina egna externa servrar eller egna program.
Kontrollöversikt
Säkrar backend API-handskakning för egna inloggningsgränssnitt.
Säkerhetsrisk om den inte är konfigurerad
När utvecklare inte använder sidhuvudlös arkitektur för egna appar använder de ofta osäkra metoder som att "inrama" Salesforce-standardsidor eller använda mindre säkra webbläsaromdirigeringar som är mer sårbara för klickkapning och skript för flera webbplatser (XSS).
Hotscenarier
En attackerare utnyttjar en sårbarhet i ett äldre webbläsaromdirigeringsflöde för att fånga upp auktoriseringskoder eller sessionscookies, en risk som minskas avsevärt vid användning av den mer säkra server-till-server-kommunikationen som finns i sidhuvudlösa "Auktoriseringskod och verifierare"-flöden.
Uppskattat CVSS-betygintervall
Kritisk (9,0-10,0).
Att tänka på vad gäller riskpåverkan
Att förlita sig på traditionella frontend-omdirigeringar för egna program i hög skala kan leda till en fragmenterad säkerhetshållning där autentiserings-"handskakningen" är synlig och sårbar för manipulation på klientsidan.
Högre risk när
Risken är högre när du bygger egna mobilappar eller program med enskilda sidor som kräver hög säkerhet men inte har inbyggt stöd för Salesforces standardupplevelse för webbaserad inloggning utan att försämra användarens säkerhetssammanhang.
Låg risk när
Standard, inbyggda Experience Cloud-mallar används istället för egna frontends, eftersom dessa mallar redan innehåller inbyggda Salesforce-skydd för omdirigeringar och sessionshantering.
Att tänka på vad gäller affärer och integration
Att implementera Headless Identity kräver avancerad utvecklingsexpertis i OAuth 2.0-flöden och möjligheten att bygga och underhålla ett eget frontend-gränssnitt som kommunicerar med Salesforce via Headless Identity APIs.
Rekommenderad åtgärd
Konfigurera hanterarna för Sidhuvudlös registrering och Inloggningsupptäckt i Salesforce och uppdatera din externa app så att den använder Sidhuvudlös identitets-API för alla autentiseringsbegäranden.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning identifierar Headless Identity som en API-första säkerhetsmodell som ger flexibiliteten hos en egen användarupplevelse utan att offra Salesforce Platforms strikta backendsäkerhetsstandarder.
