Itserekisteröinti

Ohjaimen nimi

Itserekisteröinti

Suositeltu kokoonpano

Poista/poista itserekisteröinti käytöstä kutsumaan uusia vierailijoita Experience Cloud -sivustolle.

Määritykset>Visual Force Pages>CommunitiesSelfReg - ei tulisi kohdistaa profiilia tai sivu viitataan ja ei käytettävissä Lightning Experiencelle, Kokemusten rakentaja -sivustoille ja mobiilisovellukselle (ei valittu).

Ohjauksen yleiskatsaus

Tämä ohjaus sisältää itserekisteröintiominaisuuden ja siihen liittyvien Visualforce deaktivoinnin varmistaaksesi, että sivuston uusia jäseniä voidaan lisätä vain valtuutetun, pääkäyttäjän johtaman kutsuprosessin kautta.

Tietoturvariski, jos ei määritetty

Kun itserekisteröinti on käytössä tai se jätetään aktiiviseksi taustalla, kuka tahansa internetissä oleva henkilö (tai automatisoitu botti) voi luoda voimassa olevan käyttäjätilin Salesforce-organisaatiossasi, ohittaen sisäiset tarkastus- ja henkilöllisyydenvahvistustoimenpiteesi.

Uhkien skenaariot

Hyökkääjä käyttää komentosarjaa joukkorekisteröidäkseen tuhansia esimerkkitilejä, joita hän käyttää sitten tutkiakseen sisäistä sivustoa haavoittuvuuksien varalta, kaappaakseen käyttäjähakemistoja tai käynnistääkseen palvelun hylkäämisen (DoS) hyökkäyksen lisenssien määrälle.

Arvioitu CVSS-pistealue

Kriittinen (9.0–10.0).

Riskien vaikutuksissa huomioitavia asioita

Ei-hallittu tilien luominen johtaa lisenssien loppumiseen, datan saastumiseen ja laajentuneeseen hyökkäysalueeseen, koska jokainen uusi "käyttäjä" on mahdollinen lähtökohta objektitason jakosääntöjen hyödyntämiseen.

Korkeampi riski, kun

Jos Visualforce "CommunitiesSelfReg" on edelleen kohdistettu profiileille, se pysyy toiminnallisena "taustaovena", johon pääsee suoran URL-osoitteen kautta, vaikka "Rekisteröi"-painike olisi piilotettu käyttöliittymästä.

Matalan riskin milloin

Jos sivusto käyttää reCAPTCHA-vahvistusta ja itserekisteröinnin käsittelijää (Apex), joka vaatii manuaalisen pääkäyttäjän hyväksynnän ennen kuin uudet tilit aktivoidaan.

Liiketoiminnassa ja integraatiossa huomioitavia asioita

Itserekisteröinnin poistaminen käytöstä siirtää käyttäjien perehdytyksen taakan sisäiselle tiimillesi tai automatisoituun API-pohjaiseen kutsujärjestelmään, mikä voi lisätä hallinnallisia kustannuksia, mutta tarjoaa parempaa tietoturvavalvontaa.

Suositeltu korjaus

Avaa Kirjautuminen ja rekisteröinti, poista "Salli asiakkaiden ja kumppanien rekisteröityä itse" -vaihtoehdon valinta ja varmista, että CommunitiesSelfReg Visualforce -sivua ei viitata tai että profiileja ei voi käyttää.

Tietoturvan terveystarkastuksen ohjeet

Suojauksen terveystarkastus tunnistaa "vain kutsutut" -käyttöoikeuden ensisijaiseksi puolustukseksi portaalin automatisoitua hyödyntämistä vastaan itserekisteröinnin avulla, mikä vaatii, että "Self-Registration" -ikkuna avataan vain, jos liiketoiminnan välttämättömyys on vahvistettu ja robusta bottien havaintastrategia on käytössä.