Usted está aquí:
Seguridad: Requerir secreto para flujo de servidor web
Esta configuración de seguridad exige que el servidor web o la aplicación proporcione un secreto de cliente exclusivo a Salesforce para completar el intercambio de un código de autorización para un token de acceso.
Nombre de control
Aplicaciones cliente externas: Seguridad: Requerir secreto para flujo de servidor web
Configuración recomendada
Requerir secreto para flujo de servidor web.
Descripción general de control
Esta configuración de seguridad exige que el servidor web o la aplicación proporcione un secreto de cliente exclusivo a Salesforce para completar el intercambio de un código de autorización para un token de acceso.
Riesgo de seguridad si no está configurado
Sin un secreto obligatorio, el flujo del servidor web se basa únicamente en el código de autorización, que puede interceptarse a través del historial del navegador, encabezados de referencia o archivos de registro y luego intercambiarse por una sesión por un actor no autorizado.
Escenarios de amenazas
Un atacante captura un código de autorización válido desde el URI de redireccionamiento de un usuario e imita con éxito la aplicación para solicitar un token de acceso porque el extremo de Salesforce no requiere autenticación secundaria del lado del servidor.
Intervalo de puntuaje de CVSS estimado
Alto (7,0 a 8,9).
Consideraciones de impacto de riesgo
Permitir flujos de servidor web sin secretos permite el secuestro de sesiones generalizado y el acceso a datos no autorizado, ya que la identidad de la aplicación solicitante nunca se verifica criptográfica o administrativamente durante el intercambio de tokens.
Mayor riesgo cuando
Si la aplicación está alojada en un dominio compartido o utiliza un URI de redireccionamiento no cifrado, proporcionando múltiples vectores para que un atacante observe y robe el código de autorización en tránsito.
Bajo riesgo cuando
Si la aplicación ya aplica Proof Key for Code Exchange (PKCE) para cada transacción, ya que vincula el código de autorización a un verificador de alta entropía desconocido para el atacante.
Consideraciones de negocio e integración
La activación de este requisito garantiza que los secretos permanecen protegidos en el servidor back-end, pero requiere que la arquitectura de la aplicación sea capaz de almacenar y transmitir el secreto de forma segura sin exponerlo al navegador del lado del cliente.
Remediación recomendada
Vaya a la configuración de OAuth de la aplicación cliente externa y seleccione la casilla de verificación para requerir el secreto de cliente para el flujo del servidor web.
Directrices de revisión del estado de seguridad
Security Health Review identifica el uso obligatorio de un secreto de cliente para flujos del lado del servidor como un estándar de defensa en profundidad fundamental, de modo que los códigos de autorización confidenciales no se pueden armar sin una credencial privada secundaria.
