تغييرات أمان Connected Apps في Salesforce: دليل الجاهزية

تنقل Salesforce وصول Connected Apps من "مفتوح افتراضيًا" إلى "معتمد افتراضيًا". أصبحت Connected Apps غير المثبتة محظورة الآن على معظم المستخدمين، ويجري إيقاف OAuth 2.0 Device Flow، وتوجّه Salesforce الجميع نحو External Client Apps كبديل طويل الأمد. وإذا لم تراجع الـ org ما لديه صلاحية الاتصال به فعلًا، فستتعطل عملية تكامل ما قبل أن تعرف السبب.

ما الذي يتغير فعلًا في Connected Apps؟

تحظر Salesforce الآن Connected Apps غير المثبتة افتراضيًا. يعني ذلك أن أي تطبيق فوّضه مستخدم بنفسه، دون أن يثبته admin رسميًا في الـ org، يفقد الوصول ما لم يمنحه أحد صلاحية تجاوز محددة. أما التطبيقات التي ما زالت تعتمد على OAuth 2.0 Device Flow فتفقد الوصول تمامًا، حتى لو كانت مفوّضة من قبل. وعلى المدى الأطول، تتخلى Salesforce عن Connected App التقليدي ككائن التكامل الأساسي لصالح External Client Apps، التي تفصل تعريف التطبيق عن سياساته وتمنح الـ admins تحكمًا أدق في الـ scopes ونطاقات IP وسلوك الجلسات.

لماذا تشدد Salesforce هذه القواعد الآن؟

باختصار: أصبح تفويض OAuth هدفًا مفضلًا. انتحل مهاجمون صفة الدعم الفني وأقنعوا موظفين بالموافقة على connected apps تبدو سليمة، ثم استخدموا هذا الوصول لسحب البيانات بهدوء على مدى أسابيع. هذه مشكلة هندسة اجتماعية وليست ثغرة في المنصة، لكن رد Salesforce جاء معماريًا: الوضع الافتراضي أصبح "لا شيء يتصل حتى يوافق الـ admin".

هذا التحول منطقي. لكنه يعني أيضًا أن نظافة الـ org التي كانت اختيارية، أي أن تعرف بالضبط أي التطبيقات لديها وصول إلى الـ API ولماذا، أصبحت الآن الفرق بين يوم ثلاثاء هادئ ومكالمة حادث غير متوقعة.

أين تتعطل عمليات التكامل فعلًا؟

من خبرتنا في مرافقة مؤسسات Salesforce خلال تغييرات المنصة، نادرًا ما تظهر الأعطال في المكان الذي تتوقعه الفرق. انتبه إلى:

• موصلات middleware و iPaaS التي أعدّها قبل سنوات شخص ترك الفريق، دون مالك موثق.
• مهام Data Loader وسكربتات ETL المجدولة التي ما زالت تستخدم OAuth Device Flow للتشغيل دون تدخل.
• أدوات التقارير أو BI التي فوّضها مستخدم بعينه بدلًا من تثبيتها على مستوى الـ org.
• تطبيقات الشركاء أو الـ ISV التي لم تُثبَّت رسميًا أبدًا، وفُوّضت مرة واحدة أثناء تجربة.

أي من هذه الحالات قد يمر دون أن يلاحظه أحد لشهور، حتى يبدأ التقييد فتتوقف مهمة المزامنة ببساطة، وغالبًا دون رسالة خطأ واضحة تدل على السبب.

إزاي تراجع الـ org قبل أن تبدأ القيود؟

لا يحتاج هذا إلى أدوات جديدة، بل إلى جولة مقصودة داخل Setup:

• افتح Setup > Connected Apps OAuth Usage واكتب قائمة بكل تطبيق مفوّض حاليًا، وليس فقط ما ثبّته أنت.
• علّم كل ما يظهر بجانبه إجراء "Install"، فهذه قائمتك للتطبيقات غير المثبتة المعرضة للخطر.
• راجع تواريخ آخر استخدام. التطبيقات التي لا نشاط حديث لها مرشحة للإلغاء، لا للاحتفاظ بها "للاحتياط".
• تأكد من سياسة API Access Control في الـ org ومن يملك صلاحية "Approve Uninstalled Connected Apps".
• لكل ما تحتفظ به، اكتب من يملكه ولماذا. هذا السجل هو ما يوفر وقتك في تغيير المنصة التالي، وليس في هذا التغيير فقط.

ما الذي يجب أن يتغير في حوكمة التكاملات من الآن فصاعدًا؟

اعتبر هذا دافعًا لوضع حوكمة رسمية للتكاملات، لا عملية تنظيف لمرة واحدة. يجب تثبيت التكاملات الجديدة وتحديد نطاقها بوعي من اليوم الأول، بدلًا من تفويضها بشكل عشوائي على يد من أعدّها. وإذا كنت تخطط لاتصالات خارجية جديدة، فبناؤها كـ External Client Apps من البداية يجنبك عملية ترحيل ثانية لاحقًا.

هذا بالضبط نوع العمل الذي نقوم به جنبًا إلى جنب مع فرق Salesforce الداخلية: رسم خريطة التكاملات الحالية، وتحديد ما يبقى وما يُلغى وما يُعاد بناؤه، ثم إدخال النتيجة في عملية تطوير تعامل التحكم في الوصول كجزء من الإصدار، لا كفكرة لاحقة.

وإذا كنت تفضل أن يراجع معك أحد مخزون Connected Apps في الـ org قبل وصول تحديث المنصة القادم، تواصل معنا وسنساعدك على تحويل قائمة التحقق إلى شيء قابل للتكرار.

FAQ

هل سيعطل هذا تكاملات Salesforce الحالية عندي؟

فقط إذا كانت غير مثبتة أو ما زالت تستخدم OAuth 2.0 Device Flow. التطبيقات المثبتة وتدفقات المصادقة الحديثة تستمر في العمل دون تغيير.

ما الفرق بين Connected App و External Client App؟

تفصل External Client Apps هوية التطبيق عن سياسات الوصول، فتمنح الـ admins تحكمًا أدق في الـ scopes والجلسات، وتقدمها Salesforce كبديل طويل الأمد لـ Connected Apps التقليدية.

من الذي يجب أن يحصل على صلاحية "Approve Uninstalled Connected Apps"؟

اجعلها في أضيق نطاق: الـ admins الذين يختبرون تطبيقات جديدة والمطورون الذين يصونون التكاملات، لأنها تجاوز شامل وليست منحة لكل تطبيق على حدة.

كم مرة يجب أن نراجع وصول Connected Apps؟

كل ربع سنة على الأقل، وفورًا بعد أي إصدار أمني من Salesforce، لأن اتساع نطاق التفويض يحدث تدريجيًا ويسهل أن يفوتك.