Selon Varonis (référence citée), Salesforce introduit une nouvelle fonctionnalité d’API Access Control visant à contrer les attaques de phishing OAuth en imposant une pré-approbation administrative des applications connectées. Cette évolution marque un passage d’une posture réactive à une gouvernance proactive de la sécurité SaaS.
Au niveau opérationnel, la fonction bloque par défaut les applications non gérées 🚫, applique des restrictions d’accès au niveau utilisateur (principe du moindre privilège) et instaure des processus manuels de validation de confiance. L’objectif est de réduire la surface d’attaque en contrôlant quelles applications peuvent se connecter à l’environnement Salesforce et en limitant finement les permissions.
Sur le plan technique, l’API Access Control met en place un connection gating où les apps doivent être installées avant d’être débloquées, des restrictions IP pour les applications tierces, des contrôles d’accès par profils et Permission Sets, ainsi que des workflows d’approbation manuels. Les administrateurs configurent ces accès via des OAuth Policies avec trois niveaux:
- Tous les utilisateurs peuvent s’auto‑autoriser
- Des utilisateurs approuvés par l’admin sont pré‑autorisés
- Restrictions ciblées par profil/Permission Set La fonctionnalité inclut des mécanismes d’application de base et s’intègre à l’interface de gestion des Connected Apps dans Salesforce Setup 🔐.
TTPs renseignées: Phishing OAuth (abus d’autorisations via applications connectées et consentement utilisateur).
Il s’agit d’une mise à jour de produit visant principalement à renforcer le contrôle des applications connectées et la gouvernance des accès API dans Salesforce.
🔗 Source originale : https://www.varonis.com/blog/oauth-salesforce-apps
🖴 Archive : https://web.archive.org/web/20250915093848/https://www.varonis.com/blog/oauth-salesforce-apps