Usted está aquí:
Gestionar URL de confianza
Especifique las direcciones URL en las que confía para interactuar con sus usuarios y red.
Nombre de control
Gestionar configuración de URL y CSP de confianza
Configuración recomendada
- Especifique las direcciones URL y los dominios de confianza que interactúan con los usuarios y la red.
- Definir contexto de CSP para todos
Configuración>Direcciones URL de confianza>Nuevas direcciones URL de confianza>Configuración de CSP.
Descripción general de control
Especifique las direcciones URL en las que confía para interactuar con sus usuarios y red. Utilice directivas de Política de seguridad de contenidos (CSP) para controlar los tipos de recursos que los componentes Lightning, las API externas y las conexiones WebSocket pueden cargar desde cada URL de confianza.
Riesgo de seguridad si no está configurado
Sin las direcciones URL de confianza y la configuración de CSP configuradas correctamente, un entorno de Salesforce es altamente susceptible a la secuencia de comandos de sitio cruzado (XSS) y la exfiltración de datos, ya que las secuencias de comandos externas maliciosas o los extremos de API no autorizados pueden interactuar con la plataforma sin marcar.
Escenarios de amenazas
Un atacante explota una vulnerabilidad de Cross-Site Scripting (XSS) para inyectar una secuencia de comandos maliciosa que raspa silenciosamente datos de registros confidenciales y tokens de sesión directamente desde el navegador de un usuario. Debido a que el entorno carece de una Política de seguridad de contenido (CSP) y direcciones URL de confianza estrictamente definidas, la plataforma no bloquea el intento de la secuencia de comandos de exfiltrar estos datos robados a un servidor de comando y control externo no autorizado.
Intervalo de puntuación de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones sobre el impacto del riesgo
Datos alojados en la URL de confianza.
Riesgo más alto cuando
El riesgo de configuraciones incorrectas de URL de confianza y CSP es significativamente elevado por la falta de prácticas de codificación seguras, como no depurar entradas de usuario o codificar correctamente salidas en componentes personalizados.
Además, la falta de supervisión activa para registros de infracciones de CSP y la ausencia de Lightning Web Security (LWS) dejan a la organización incapaz de detectar o aislar secuencias de comandos maliciosas que omiten con éxito las defensas debilitadas a nivel del navegador.
Riesgo bajo o nulo cuando
Para minimizar los riesgos asociados con direcciones URL de confianza y configuración de CSP que faltan o están mal configuradas, las organizaciones deben aplicar Lightning Web Security (LWS) o Lightning Locker para proporcionar un entorno sandbox seguro que aísle componentes personalizados y evite el acceso a datos de espacios de nombres cruzados.
Además, la implementación de Autenticación de múltiples factores (MFA) y rigurosas prácticas de codificación segura, como codificación de salida obligatoria y análisis de código estático regular, sirve como una capa crítica de "defensa en profundidad" para bloquear secuencias de comandos maliciosas y evitar la exfiltración de datos no autorizada.
Consideraciones comerciales y de integración
Integración con sitios externos.
Remediación recomendada
Configure y active URL de confianza para la conexión de sitio externo.
Directrices de revisión del estado de seguridad
Security Health Review inspecciona la configuración de URL de confianza en la plataforma para ayudar a identificar posibles configuraciones de URL de confianza ineficaces como URL demasiado permisiva que utiliza comodines o URL con protocolo inseguro (HTTP).
