Ti trovi qui:
Sicurezza: Richiede segreto per il flusso del server Web
Questa impostazione di protezione impone che il server Web o l'applicazione fornisca un segreto client univoco a Salesforce per completare lo scambio di un codice di autorizzazione con un token di accesso.
Nome controllo
App client esterne: Sicurezza: Richiede segreto per il flusso server Web
Configurazione consigliata
Richiede segreto per il flusso server Web.
Panoramica sul controllo
Questa impostazione di protezione impone che il server Web o l'applicazione fornisca un segreto client univoco a Salesforce per completare lo scambio di un codice di autorizzazione con un token di accesso.
Rischio per la sicurezza se non configurato
Senza un segreto richiesto, il flusso del server Web si basa esclusivamente sul codice di autorizzazione, che può essere intercettato tramite la cronologia del browser, le intestazioni referrer o i file di registro e in seguito scambiato con una sessione da un attore non autorizzato.
Scenari di minaccia
Un aggressore acquisisce un codice di autorizzazione valido dall'URI di reindirizzamento di un utente e impersona correttamente l'applicazione per richiedere un token di accesso poiché l'endpoint Salesforce non richiede l'autenticazione secondaria lato server.
Intervallo di punteggi CVSS stimato
Alto (7,0–8,9).
Considerazioni sull'impatto del rischio
L'autorizzazione dei flussi server Web senza segreto consente un hijack diffuso della sessione e l'accesso ai dati non autorizzato, poiché l'identità dell'applicazione richiedente non viene mai verificata crittograficamente o amministrativamente durante lo scambio di token.
Rischio maggiore quando
Se l'applicazione è ospitata su un dominio condiviso o utilizza un URI di reindirizzamento non crittografato, fornendo più vettori per consentire a un aggressore di osservare e rubare il codice di autorizzazione in transito.
Basso rischio quando
Se l'applicazione applica già Proof Key for Code Exchange (PKCE) per ogni transazione, poiché questo collega il codice di autorizzazione a un verificatore ad alta entropia sconosciuto all'autore dell'attacco.
Considerazioni su Business e integrazione
L'abilitazione di questo requisito garantisce che i segreti rimangano protetti nel server di back-end, ma richiede che l'architettura dell'applicazione sia in grado di archiviare e trasmettere il segreto in modo sicuro senza esporlo al browser lato client.
Rimedio consigliato
Accedere alle impostazioni OAuth dell'app client esterna e selezionare la casella di controllo per richiedere il segreto client per il flusso server Web.
Guida all'esame dello stato della sicurezza
Security Health Review identifica l'uso obbligatorio di un segreto client per i flussi lato server come standard fondamentale per la difesa in profondità, in modo che i codici di autorizzazione sensibili non possano essere armati senza una credenziale secondaria privata.
