Usted está aquí:
Gestionar control de URL de confianza
Especifique las direcciones URL en las que confía para interactuar con sus usuarios y red.
Nombre de control
Gestionar configuración de URL y CSP de confianza
Configuración recomendada
- Especifique las direcciones URL y los dominios de confianza que interactúan con los usuarios y la red.
- Definir contexto de CSP para todos
Configuración>Direcciones URL de confianza>Nuevas direcciones URL de confianza>Configuración de CSP.
Descripción general de control
Especifique las direcciones URL en las que confía para interactuar con sus usuarios y red. Utilice directivas de Política de seguridad de contenidos (CSP) para controlar los tipos de recursos que los componentes Lightning, las API externas y las conexiones WebSocket pueden cargar desde cada URL de confianza.
Riesgo de seguridad si no está configurado
Sin las URL de confianza y la configuración de CSP configuradas correctamente, un entorno de Salesforce es altamente susceptible a la creación de secuencias de comandos de sitio cruzadas (XSS) y la exfiltración de datos, ya que las secuencias de comandos externas maliciosas o los extremos de API no autorizados pueden interactuar con la plataforma sin marcar.
Escenarios de amenazas
Un atacante aprovecha una vulnerabilidad de secuencias de comandos de sitio cruzadas (XSS) para inyectar una secuencia de comandos maliciosa que raspa silenciosamente datos de registros confidenciales y tokens de sesión directamente desde el navegador de un usuario. Debido a que el entorno carece de una Política de seguridad de contenidos (CSP) y direcciones URL de confianza estrictamente definidas, la plataforma no bloquea el intento de la secuencia de comandos de exfiltrar estos datos robados a un servidor de comando y control externo no autorizado.
Intervalo de puntuaje de CVSS estimado
Crítico (9,0 a 10,0).
Consideraciones de impacto de riesgo
Datos alojados en la URL de confianza.
Mayor riesgo cuando
El riesgo de configuraciones incorrectas de URL de confianza y CSP se eleva significativamente por la falta de prácticas de codificación seguras, como no limpiar las entradas de usuario o codificar correctamente las salidas en componentes personalizados.
Además, la falta de monitoreo activo para registros de infracciones de CSP y la ausencia de Seguridad web Lightning (LWS) dejan a la organización incapaz de detectar o aislar secuencias de comandos maliciosas que omiten con éxito las defensas debilitadas a nivel del navegador.
Bajo o ningún riesgo cuando
Para minimizar los riesgos asociados con direcciones URL de confianza y configuración de CSP que faltan o están mal configuradas, las organizaciones deben aplicar Lightning Web Security (LWS) o Lightning Locker para proporcionar un entorno sandbox seguro que aísle componentes personalizados y evite el acceso a datos de espacios de nombres cruzados.
Además, la implementación de Autenticación de múltiples factores (MFA) y rigurosas prácticas de codificación segura (como codificación de salida obligatoria y análisis de código estático regular) sirve como una capa crítica de "defensa en profundidad" para bloquear secuencias de comandos maliciosas y evitar la exfiltración de datos no autorizada.
Consideraciones de negocio e integración
Integración con sitios externos.
Remediación recomendada
Configure y active URL de confianza para la conexión de sitio externo.
Directrices de revisión del estado de seguridad
Security Health Review inspecciona la URL de confianza configurada en la plataforma para ayudar a identificar la posible configuración de URL de confianza ineficaz, como URL demasiado permisiva que utiliza comodines o URL con protocolo inseguro (HTTP).
