Paramètres OAuth et OpenID Connect

Nom du contrôle

Paramètres OAuth et OpenID Connect.

Configuration recommandée

Forcez les paramètres OAuth sécurisés et désactivez les flux OAuth faibles.

Vue d'ensemble du contrôle

OAuth est principalement utilisé pour fournir un accès sécurisé et délégué aux données de la plate-forme pour des applications externes, telles que des applications mobiles, des intégrations tierces ou des portails Web personnalisés, sans demander aux utilisateurs de partager leurs identifiants Salesforce directement avec ces applications. La configuration sécurisée des paramètres ou du flux OAuth permet de protéger les secrets OAuth.

Risque de sécurité s'il n'est pas configuré

Une configuration OAuth non sécurisée dans Salesforce crée une vulnérabilité de porte dérobée dans laquelle des jetons volés ou trop privilégiés permettent aux assaillants de contourner les contrôles de sécurité standard tels que l'authentification multifacteur (MFA) et les invites de mot de passe.

Scénarios de menace

Application externe compromise ou Compromis de la chaîne d'approvisionnement permettant à l'assaillant de cibler une intégration tierce largement utilisée plutôt que Salesforce elle-même. Comme ces jetons sont « pré-autorisés » par un administrateur Salesforce, l'assaillant peut les rejouer pour obtenir un accès instantané et hautement privilégié à des données CRM confidentielles sans jamais avoir besoin d'un nom d'utilisateur, d'un mot de passe ou de l'authentification multifacteur (MFA).

Plage de score CVSS estimée

Critique (9,0 à 10,0) ou Élevée (7,0 à 8,9), selon la configuration OAuth.

Considérations relatives à l'impact sur le risque

La sévérité du risque dépend des paramètres et du flux configurés, de l'étendue de l'API et de la sécurité du point de terminaison client OAuth.

Risque plus élevé quand

Les contrôles de session ne sont pas appliqués aux organisations de production, sandbox ou Developer : API Full Access Scope Absence de configuration de la liste d'autorisations IP Single Logout.

Risque faible quand

Ce contrôle peut être considéré comme à faible risque lorsqu'un ou plusieurs des éléments suivants sont mis en œuvre :

• Étendue d'API limitée : L'étendue de l'API de l'utilisateur de l'intégration est restreinte en fonction du moindre privilège
• Actualisation périodique du jeton : Le jeton est actualisé périodiquement et force la validation secrète lors de l'actualisation du jeton
• Liste d'autorisations IP de connexion : Limitez l'adresse IP de l'application connectée pour vous assurer qu'elle provient d'un réseau de confiance.
• Clé de vérification requise pour l'échange de code (PKCE) : Assurez-vous que seul le client exact qui a demandé la connexion peut réellement utiliser le code généré.
• Déconnexion unique : Terminez toutes les sessions lorsqu'un utilisateur se déconnecte.

Considérations relatives à l'entreprise et à l'intégration

Les clients doivent évaluer la compatibilité des paramètres OAuth avec l'application externe, les outils d'automatisation et les intégrations.

Remédiation recommandée

Activez le flux OAuth sécurisé pour les applications connectées, limitez la connexion aux réseaux de confiance et limitez la portée de l'API.

Guide d'examen sanitaire de sécurité

Security Health Review évalue les paramètres OAuth en inspectant le type de flux activé, les paramètres de rotation de jeton, la déconnexion unique, l'étendue d'API et les méthodes de connexion IP Allow List afin d'aider les clients à réduire les risques d'attaque basés sur les identifiants et à s'aligner sur les normes de sécurité recommandées par Salesforce et les principes de Zero Trust.