Vous êtes ici :
Sécurité : Nécessite un secret pour le contrôle de flux de jeton d'actualisation
Ce paramètre de sécurité exige qu'une application fournisse un secret client valide avec un jeton d'actualisation pour obtenir un nouveau jeton d'accès actif depuis le serveur d'autorisation Salesforce.
Nom du contrôle
Applications clientes externes : Sécurité : Nécessite un secret pour le flux de jeton d'actualisation
Configuration recommandée
Demandez un secret pour Flux de jeton d'actualisation.
Vue d'ensemble du contrôle
Ce paramètre de sécurité exige qu'une application fournisse un secret client valide avec un jeton d'actualisation pour obtenir un nouveau jeton d'accès actif depuis le serveur d'autorisation Salesforce.
Risque de sécurité s'il n'est pas configuré
Sans secret requis, un jeton d'actualisation compromis peut être utilisé par un acteur non autorisé pour générer une série interminable de sessions valides sans avoir besoin d'authentification côté serveur secondaire.
Scénarios de menace
Un assaillant extrait un jeton d'actualisation de longue durée d'un appareil local ou d'un journal d'application, et génère avec succès par programmation de nouveaux jetons d'accès à partir de sa propre infrastructure, car le point de terminaison ne vérifie pas les identifiants privés de l'application.
Plage de score CVSS estimée
Élevée (7,0 à 8,9).
Considérations relatives à l'impact sur le risque
L'autorisation des cycles d'actualisation sans secret permet une exfiltration de données persistante et non détectée, ainsi qu'un accès non autorisé au compte qui reste actif même après l'expiration de la session de connexion initiale d'un utilisateur.
Risque plus élevé quand
Si l'application n'implémente pas la rotation du jeton d'actualisation (RTR) ou si la durée de vie des jetons d'actualisation est indéfinie, offre une porte dérobée permanente à un assaillant.
Risque faible quand
Si l'entreprise applique des restrictions strictes en matière d'adresses IP pour l'utilisateur de l'intégration et utilise des jetons d'actualisation de courte durée qui nécessitent une réauthentification interactive fréquente.
Considérations relatives à l'entreprise et à l'intégration
L'activation de cette exigence garantit que les secrets restent protégés sur le serveur back-end, mais empêche les clients publics tels que les applications mobiles ou à page unique d'actualiser les sessions directement sans proxy sécurisé.
Remédiation recommandée
Accédez aux paramètres OAuth de l'application cliente externe, puis cochez la case pour demander le secret client du flux de jeton d'actualisation.
Guide d'examen sanitaire de sécurité
Security Health Review identifie l'utilisation obligatoire d'un secret client pour les opérations d'actualisation en tant que norme de défense en profondeur critique, de sorte que les jetons de porteur volés ne peuvent pas être militarisés sans l'identifiant de l'application privée correspondante.
