Secure coding external app integration

Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

Secure Coding: External App Integration

Dreamforce’2014

TerraSky Power Night

Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

自己紹介

2

salesforcec.com認定資格ほか

著書主な業務導入コンサルアーキテクチャーデザイン Apex、VF開発テクニカルライティング

株式会社テラスカイ

取締役ソリューション本部部長今岡純二


3

SFDCと連携する外部アプリ開発経験ありますか？


4

外部アプリのSFDCへの接続情報は安全に管理されていますか？


連携の目的＆ポイント

5

外部アプリと連携してSFDCの機能を拡張

SFDCユーザとの対応付けが必要

SFDCのセキュリティモデルに準じたACL


6

外部アプリと連携する時どうしてます？

IDとパスワードを保持してません？


7

OAuthを使いましょう！


API ／ OAuth

8

OAuthでアクセストークンを受け取る

トークンはパスワードを扱うのと同等に大事


9

Consumer Secretは安全に保存されてます？


10

カスタム設定を使いましょうSecure Credential Storage

カスタム設定で保護できる

外部システムのAPIキーのようなものの設定に使う


SFDCの重要な情報の扱い

11

OAuthで統合する場合、トークンを厳重に管理

セキュアストレージを使う

外部アプリでID、パスワードを保存しない

OAuthのスコープは最小限にする

トークンをログに出力しない


12

その他は？


外部アプリもセキュアに

13

安全なコーディングガイドラインに従うこと

Webアプリケーションの脆弱性を知る

•Cross-Site Scripting(XSS)

•SOQL Injection

•Cross-Site Request Forgery（CSRF）

•Remote Code Execution（RCE）など

Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.Copyright © 2012 TerraSky Co.,Ltd. All Rights Reserved.

14

ありがとうございました

Secure coding external app integration

Business