Andrew Hanna
Tekunda Team
En septembre 2025, Salesforce met en place des changements majeurs de sécurité pour les Connected Apps, avec un impact direct sur l'authentification de vos applications. Deux changements importants arrivent :
Le OAuth 2.0 Device Flow sera bloqué.
Les Connected Apps non installées ne seront plus accessibles à la plupart des utilisateurs.
Cet article explique la migration depuis Device Login flow vers Connected App OAuth2 Flow avec PKCE, pourquoi ce changement compte et comment se préparer sereinement.
Le Device Flow (RFC8628) présente une vulnérabilité connue : il peut être lancé avec un simple client_id. Un acteur malveillant peut l'exploiter dans des attaques de social engineering pour pousser des utilisateurs à approuver des applications non fiables.
Impact réel : De récentes compromissions très médiatisées chez KLM Airfrance, Adidas, Google, Qantas et Allianz Life ont été menées par des groupes comme UNC6040/ShinyHunters avec ce vecteur précis. Les attaquants ont utilisé le social engineering, notamment des appels se faisant passer pour l'IT, afin de faire autoriser des Connected Apps malveillantes via Device Flow.
Salesforce a confirmé que cette vulnérabilité a été exploitée dans des environnements de production, ce qui fait de la dépréciation une nécessité de sécurité plutôt qu'une simple mise à niveau technique.
Le remplacement sécurisé est PKCE (Proof Key for Code Exchange), une amélioration de Authorization Code Flow qui empêche l'interception du code d'autorisation.
Créez un code_verifier, une chaîne aléatoire cryptographiquement sûre de 43 à 128 caractères.
Hachez-la avec SHA256 et encodez-la en base64url → code_challenge.
Important : utilisez l'encodage base64url, pas base64 standard. Cela
remplace + par -, / par _ et
retire les caractères de padding = pour la sécurité URL.
Assurez-vous d'inclure le paramètre critique nécessaire à PKCE :
code_challenge_method=S256
Exemple :
https://login.salesforce.com/services/oauth2/authorize? client_id=YOUR_CLIENT_ID& response_type=code& redirect_uri=YOUR_CALLBACK_URL& scope=full refresh_token& code_challenge_method=S256& code_challenge=YOUR_CODE_CHALLENGE& state=YOUR_RANDOM_STATE
Renvoyez le code et le code_verifier à Salesforce :
POST /services/oauth2/token grant_type=authorization_code client_id=YOUR_CLIENT_ID code=AUTH_CODE code_verifier=ORIGINAL_CODE_VERIFIER redirect_uri=CALLBACK_URL
Salesforce ajoute de nouvelles permissions avec des règles selon la configuration de votre org :
Les utilisateurs peuvent accéder aux applications non installées avec l'une des permissions :
Seule la permission Use Any API Client fonctionnera pour accéder aux applications non installées.
Date limite critique : 2 septembre 2025, la prise en charge OAuth Device Flow prend fin dans Data Loader.
Erreurs PKCE ("invalid code verifier") : généralement causées par
l'absence de code_challenge_method=S256 ou un encodage base64url
incorrect.
Accès utilisateur bloqué après septembre : corrigez en assignant la permission appropriée selon le statut API Access Control.
Échecs de connexion Data Loader : migrez la méthode d'authentification avant le 2 septembre 2025.
Configuration Connected App incorrecte : lors de l'installation, définissez "Permitted Users" sur "Admin approved users are pre-authorized" pour un meilleur contrôle de sécurité.
Auditer les Connected Apps :
Identifier l'usage de Device Flow :
Planifier l'implémentation PKCE :
Implémenter un OAuth flow avec PKCE :
code_challenge_method=S256Tester dans Salesforce sandbox :
Configurer correctement les Connected Apps :
Préparer la migration Data Loader :
Surveiller les logs d'authentification :
Assurer le support utilisateur :
Revoir les security policies chaque trimestre :
Contactez Salesforce Support pour activer cette fonction, qui fournit :
Autorisations existantes : les utilisateurs ayant déjà autorisé des Connected Apps peuvent continuer à les utiliser après septembre 2025, SAUF si ces apps ont été autorisées via Device Flow. Toutes les autorisations Device Flow seront immédiatement bloquées, quel que soit l'usage précédent.
La dépréciation du Device Flow par Salesforce n'est pas qu'une mise à niveau technique. C'est une réponse de sécurité critique à des attaques réelles ayant compromis de grandes organisations. Les incidents récents chez des entreprises connues démontrent l'urgence de ces améliorations.
En migrant vers Connected App OAuth2 Flow avec PKCE et en configurant correctement les permissions, les organisations peuvent :
Facteurs clés de succès :
Une préparation précoce, des tests complets et une gouvernance adaptée minimisent les perturbations tout en renforçant nettement la posture de sécurité de votre organisation.
Andrew Hanna
Serpent Team
Tekunda Team
Tekunda Team
Tekunda Team
Andrew Hanna