Configurações do OAuth e OpenID Connect

Nome do controle

Configurações do OAuth e OpenID Connect.

Configuração recomendada

Imponha configurações seguras do OAuth e desabilite fluxos de OAuth fracos.

Visão geral de controle

O OAuth é usado principalmente para fornecer acesso seguro e delegado aos dados da plataforma para aplicativos externos, como aplicativos móveis, integrações de terceiros ou portais da Web personalizados, sem exigir que os usuários compartilhem suas credenciais do Salesforce diretamente com esses aplicativos. A configuração segura das configurações ou fluxo do OAuth ajuda a proteger os segredos do OAuth.

Risco de segurança, se não configurado

Uma configuração de OAuth insegura no Salesforce cria uma vulnerabilidade de backdoor em que tokens roubados ou com privilégios excessivos permitem que os invasores ignorem controles de segurança padrão, como autenticação multifator (MFA) e avisos de senha.

Cenários de ameaça

Aplicativo externo comprometido ou Compromisso da cadeia de abastecimento permitindo que o invasor direcione uma integração de terceiros amplamente usada em vez do Salesforce em si. Como esses tokens são "pré-autorizados" por um administrador do Salesforce, o invasor pode reproduzi-los para obter acesso instantâneo e de alto privilégio a dados de CRM confidenciais sem precisar nunca de um nome de usuário, senha ou autenticação multifator (MFA).

Intervalo de pontuação de CVSS estimado

Crítico (9.0 a 10.0) ou Alto (7.0 a 8,9), dependendo da configuração do OAuth.

Considerações sobre impacto de risco

A gravidade do risco depende das configurações e do fluxo configurados, do escopo da API e da segurança do ponto de extremidade do cliente OAuth.

Risco maior quando

Os controles de sessão não são aplicados a organizações de produção, sandbox ou organizações de desenvolvedor: A API de escopo de acesso total Falta de IP permite ajustes de logout único da lista.

Baixo risco quando

Esse controle pode ser considerado de baixo risco quando um ou mais dos seguintes são implementados:

• Escopo de API limitado: O escopo da API do usuário de integração é restrito com base no privilégio mínimo
• Atualização periódica de token: O token é atualizado periodicamente e aplica validação secreta quando é atualizado
• Lista de permissões de IP de login: Restrinja o endereço IP do aplicativo conectado para garantir que ele seja de uma rede confiável.
• Exigir chave de comprovação para troca de código (PKCE): Garanta que apenas o cliente exato que solicitou o login possa realmente usar o código resultante.
• Logout único: Encerre todas as sessões quando um usuário fizer logout.

Considerações de negócios e integração

Os clientes devem avaliar a compatibilidade das configurações do OAuth com o aplicativo externo, ferramentas de automação e integrações.

Remediação recomendada

Habilite o fluxo seguro do OAuth para aplicativos conectados, restrinja a conexão a redes confiáveis e limite o escopo da API.

Diretriz de revisão de saúde de segurança

A Análise de integridade de segurança avalia as configurações do OAuth inspecionando o tipo de fluxos habilitados, as configurações de rotação de token, logout único, o escopo da API e os métodos de login Permitir lista de IP para ajudar os clientes a reduzir o risco de ataques baseados em credenciais e se alinharem com as linhas de base de segurança recomendadas pela Salesforce e os princípios Zero Trust.