Du är här:
Inställningskontroll för OAuth och OpenID Connect
OAuth används främst för att ge säker, delegerad åtkomst till plattformens data för externa program.
Kontrollnamn
Inställningar för OAuth och OpenID Connect
Rekommenderad konfiguration
Tillämpa säkra OAuth-inställningar och inaktivera svaga OAuth-flöden.
Kontrollöversikt
OAuth används främst för att ge säker, delegerad åtkomst till plattformens data för externa program—som mobilappar, integreringar från tredje part eller egna webbportaler—utan att kräva att användare delar sina Salesforce-inloggningsuppgifter direkt med dessa appar. Säker konfiguration av OAuth-inställningarna eller flödet hjälper till att säkerställa att OAuth-hemligheter skyddas.
Säkerhetsrisk om den inte är konfigurerad
En osäker OAuth-konfiguration i Salesforce skapar en bakdörrssårbarhet där stulna eller överpriviligierade tokens låter attacker kringgå standardsäkerhetskontroller som flerfaktorsautentisering (MFA) och lösenordsuppmaningar.
Hotscenarier
Extern app eller kompromiss för leveranskedja som gör att attacker riktar in sig på en integrering från tredje part som används i stor utsträckning istället för Salesforce självt. Eftersom dessa tokens är "förauktoriserade" av en Salesforce-administratör kan attackeraren spela upp dem igen för att få direkt åtkomst med hög behörighet till känsliga CRM-data utan att behöva ett användarnamn, lösenord eller flerfaktorsautentisering (MFA).
Uppskattat CVSS-betygintervall
Kritisk (9.0–10.0) eller Hög (7.0–8.9), beroende på OAuth-inställningen.
Att tänka på vad gäller riskpåverkan
Riskernas allvarlighetsgrad beror på inställningarna och flödet som konfigurerats, API-omfånget och säkerheten för OAuth-klientslutpunkten.
Högre risk när
Sessionskontroller tillämpas inte för produktionsorganisationer, sandbox- eller utvecklarorganisationer: Fullständig åtkomst Scope API Avsaknad av IP-tillåtelselista Konfiguration för enkel utloggning.
Låg risk när
Denna kontroll kan anses vara låg risk när en eller flera av följande implementeras:
- Begränsat API-omfång: API-omfattningen för integreringsanvändaren är begränsad baserat på minsta behörighet
- Periodisk tokenuppdatering: Token uppdateras regelbundet och tillämpar hemlig validering när token uppdateras
- Tillåtelselista för inloggnings-IP: Begränsa IP-adressen för den anslutna appen för att säkerställa att den kommer från ett pålitligt nätverk.
- Kräv bevisnyckel för kodutbyte (PKCE): Se till att endast den exakta klienten som begärde inloggningen faktiskt kan använda den resulterande koden.
- Enkel utloggning: Avsluta alla sessioner när en användare loggar ut.
Att tänka på vad gäller affärer och integration
Kunder bör bedöma OAuth-inställningarnas kompatibilitet med det externa programmet, automatiseringsverktygen och integreringarna.
Rekommenderad åtgärd
Aktivera säkert OAuth-flöde för anslutna appar, begränsa anslutningen till betrodda nätverk och begränsa API-omfattningen.
Vägledning för granskning av säkerhetshälsa
Säkerhetshälsogranskning utvärderar OAuth-inställningar genom att inspektera typen av flöden aktiverade, tokenrotationsinställningar, enkel utloggning, API-omfång och inloggningsmetoder för IP-tillåtelselista för att hjälpa kunder minska den autentiseringsbaserade attackrisken och anpassa sig till Salesforce-rekommenderade säkerhetsbaslinjer och Zero Trust.
