Andrew Hanna
Tekunda Team
TL;DR : Depuis début septembre 2025, Salesforce restreint l'accès aux Connected Apps non installées et retire OAuth 2.0 Device Flow de Data Loader. Ces améliorations de sécurité exigent une action immédiate des admins pour éviter les interruptions d'intégrations existantes.
En septembre, Salesforce a introduit des changements importants dans la sécurité Connected App, ce qui déplace l'équilibre entre accès et contrôle. Il est donc crucial de se préparer.
Ces derniers mois, une vague de voice-phishing (“vishing”) et de social engineering a visé des clients Salesforce. Des attaquants se faisant passer pour le help desk IT ont poussé des employés à accorder un accès OAuth à des apps malveillantes et utilisé ces credentials pour exfiltrer des données client.
Les victimes connues incluent Google, où des contacts business et notes commerciales ont été volés, ainsi que Chanel, Farmers Insurance et des marques LVMH comme Louis Vuitton, Dior et Tiffany & Co. Dans l'aérien, Air France et KLM ont indiqué en août 2025 qu'une plateforme customer-service tierce compromise avait exposé noms, e-mails, numéros de téléphone et détails de programme de fidélité.
Ces incidents montrent pourquoi Salesforce renforce le contrôle des connected apps non installées et déprécie OAuth Device Flow.
En tant qu'administrateurs Salesforce, nous équilibrons accessibilité et sécurité. Les utilisateurs doivent avoir les outils nécessaires, tout en protégeant l'organisation.
Le changement principal est simple mais important : les Connected Apps non installées ne sont plus accessibles à la plupart des utilisateurs. Si une app n'est pas installée formellement dans votre org, elle est bloquée.
Voici ce que cela signifie :
Salesforce a introduit de nouvelles façons pour des utilisateurs de confiance de contourner ces restrictions, avec plus de responsabilité :
L'efficacité de ces permissions dépend des paramètres API Access Control de votre org.
Le 2 septembre 2025, l'option OAuth Device Flow pour l'app Data Loader auto-installée a été entièrement supprimée. Les utilisateurs doivent passer à password authentication ou OAuth Web Server Flow.
La réponse est simple : la sécurité. Des attaques récentes de social engineering ont ciblé des utilisateurs Salesforce en les poussant à autoriser des Connected Apps malveillantes se faisant passer pour des outils légitimes comme Data Loader. Ces attaques ont réussi parce qu'elles exploitaient l'écart entre confort utilisateur et contrôle organisationnel.
Les chercheurs notent que des groupes comme ShinyHunters/UNC6040 utilisent le social engineering téléphonique pour contourner MFA et convaincre le personnel d'approuver des OAuth scopes. Après accès, les attaquants extraient discrètement des customer-care records et utilisent les données pour l'extorsion ou du phishing.
Comme l'analyse de Google l'a montré, les attaquants n'exploitaient pas Salesforce lui-même. Ils manipulaient des utilisateurs pour leur faire accorder l'accès à des apps malveillantes. En appliquant une logique de “porte fermée” par défaut, Salesforce oblige les organisations à choisir délibérément les apps accessibles.
Action immédiate requise : allez dans Setup → Connected Apps OAuth Usage et vérifiez chaque app utilisée.
Cherchez le bouton “Install” dans la colonne Actions. S'il apparaît, l'app est non installée et concernée.
Lors de la revue, vérifiez :
Pour chaque app non installée identifiée :
Auditez, installez ou bloquez les apps avec un processus d'approbation clair. Utilisez Serpent pour suivre les permissions et garder votre org sécurisée sans ralentir la delivery.
N'accordez “Approve Uninstalled Connected Apps” que si c'est absolument nécessaire. Les profils adaptés peuvent inclure :
⚠️ Rappel : c'est une permission tout ou rien. Les utilisateurs peuvent autoriser toute Connected App non installée.
Si vos utilisateurs dépendent de Data Loader :
Si vos utilisateurs dépendent de Data Loader :
Utilisez cette transition pour améliorer votre Connected App governance :
Vérifiez les demandes help desk et limitez l'accès tiers. Beaucoup de breaches 2025 ont commencé quand des attaquants ont usurpé l'IT support et persuadé le service desk d'accorder ou réinitialiser des credentials. Exigez une vérification d'identité stricte pour toute action service desk, imposez MFA partout, auditez les scopes d'apps tierces et retirez les intégrations inutilisées. Révisez régulièrement les connected apps et révoquez les tokens longue durée pour limiter l'impact en cas de compromission.
Laissez Tekunda concevoir une stratégie DevOps security-first adaptée à votre setup Salesforce, pour que vous restiez concentré sur la valeur business pendant que nous gérons la gouvernance.
Le rollout a commencé fin août et se poursuit en septembre :
Il est important de savoir que tout ne change pas. Voici ce qui reste pareil :
Même si Salesforce fournit ces nouveaux contrôles, la sécurité de plateforme reste une responsabilité partagée. Les contrôles techniques les plus forts ne protègent pas d'un utilisateur manipulé par social engineering.
Utilisez cette transition pour renforcer la culture sécurité :
Ces mises à jour montrent l'engagement de Salesforce à fermer les failles de sécurité tout en conservant la flexibilité de la plateforme. En les reliant aux incidents récents, de Google et Chanel à Air France–KLM, on comprend pourquoi restreindre les apps non installées et retirer OAuth Device Flow est nécessaire. Les attaquants abusent de plus en plus de la confiance et du confort ; votre gouvernance et l'éducation utilisateur doivent évoluer aussi vite.
Ces changements donnent plus de contrôle aux admins, mais demandent aussi une préparation proactive. En auditant Connected Apps, en mettant à jour les permissions et en formant les utilisateurs, vous éviterez les interruptions et renforcerez votre posture de sécurité pendant le rollout.
Vos utilisateurs comptent sur vous pour garder les bonnes portes ouvertes et les mauvaises bien fermées.
Andrew Hanna
Serpent Team
Tekunda Team
Tekunda Team
Tekunda Team
Andrew Hanna