--- schema_version: "1" id: ab9cb4e3d2420db53e27e9c811e75fc88b84c154f4b9d975398d40e3635e500b title: Seguro – Segurança da sessão collection: architect version: next locale: pt-br portal_url: https://docs.salesforce.com/architect/next/pt-br/well-architected-tools/guides/trusted-session-security.md canonical_url: https://staging.architect.salesforce.com/docs/architect/pt-br/well-architected-tools/guide/trusted-session-security.html source_site: staging.architect.salesforce.com content_type: documentation content_hash: 0b1a6283ae08785df5566b6e7976242fd28aebb9f7ef679013704a2dbf7f330c products: - Ferramentas bem criadas - Architect Site Content Repo --- # Seguro – Segurança da sessão ### Padrão de acesso do dispositivo Saiba mais sobre o Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Session Security](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Display Access](/docs/architect/pt-br/well-architected/guide/secure#acesso-ao-dispositivo) | Onde procurar?
Área de produtos \| Local | Qual é a aparência de um bom?
Padrão | | ------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Plataforma \| Documentação | ✅ Personalidades de segurança são mapeadas claramente para usos e políticas de dispositivo adequados | | Plataforma \| Documentação | ✅ As políticas do dispositivo são claras e descobríveis | | Plataforma \| Organização | ✅ A configuração do aplicativo móvel conectado do Salesforce exige desbloqueio de PIN/senha após a inatividade | | Plataforma \| Organização | ✅ Se as necessidades de negócio exigirem controle rígido de usuários que podem acessar o Salesforce móvel, o Controle de acesso à API será habilitado e os conjuntos de permissões serão atribuídos a todos os usuários dos aplicativos Salesforce móvel | ### Padrão de gerenciamento de sessão Saiba mais sobre Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Security Session](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Session Management](/docs/architect/pt-br/well-architected/guide/secure#gerenciamento-de-sessão) | Onde procurar?
Área de produtos \| Local | Qual é a aparência de um bom?
Padrão | | ------------------------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Plataforma \| Apex | ✅ Se houver fluxos de login personalizados, todo o código personalizado relacionado usará métodos SessionManagement apropriados para atribuir segurança em nível de sessão | | Plataforma \| Aura | ✅ Se houver fluxos de login personalizados, use um controlador do Apex com os métodos de `SessionManagement` necessários para atribuir segurança em nível de sessão | | Plataforma \| Padrões de design | ✅ Personalidades de segurança listam claramente os tipos de sessão aprovados e as configurações de tempo limite/duração para cada personalidade | | Plataforma \| Padrões de design | ✅ Os padrões são definidos para as atividades que exigem maior segurança no nível da sessão | | Plataforma \| Padrões de design | ✅ Os padrões são definidos para as atividades que exigem a atribuição de permissões elevadas | | Plataforma \| Padrões de design | ✅ O escopo do aplicativo conectado e as políticas de gerenciamento de token são claros e descobríveis | | Plataforma \| Documentação | ✅ O escopo do aplicativo conectado e as políticas de gerenciamento de token são claros e descobríveis | | Plataforma \| Documentação | ✅ Horas de login foram especificadas (ou identificadas como não necessárias) | | Plataforma \| Componentes da Web Lightning (LWC) | ✅ Se houver fluxos de login personalizados, use um controlador do Apex com os métodos de `SessionManagement` necessários para atribuir segurança em nível de sessão | | Plataforma \| Organização | ✅ Se os usuários acessarem o Salesforce de trás de um firewall, o firewall usará uma lista de permissões de domínios obrigatórios em vez de endereços IP para proteger as comunicações de/para o Salesforce | | Plataforma \| Organização | ✅ Intervalos de tempo limite de sessão inativo não ultrapassam o padrão (2 horas) | | Plataforma \| Organização | ✅ Todas as configurações a seguir estão habilitadas: - Proteção contra clickjack para páginas de Configuração - Proteção contra clickjack para páginas do Salesforce que não são de configuração - Proteção contra falsificação de solicitação entre sites (CSRF) - Proteção contra scripts entre sites (XSS) - Ativar proteção contra detecção de conteúdo - Proteção contra URL de referenciador - Avisar os usuários antes de serem redirecionados para fora do Salesforce | | Plataforma \| Organização | ✅ Auditorias de sessão mostram que os usuários acessam o Salesforce apenas por meio de tipos de sessão esperados | | Plataforma \| Organização | ✅ Há um conjunto de permissões claro e ativo para acesso "Único usuário da API" (com o conjunto de permissões "Único da API" definido como TRUE) e todos os usuários de integração e automatizados são atribuídos | ### Padrão de detecção e resposta de ameaças Saiba mais sobre Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Session Security](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Threat Detection & Response](/docs/architect/pt-br/well-architected/guide/secure#threat-detection-response) | Onde procurar?
Área de produtos \| Local | Qual é a aparência de um bom?
Padrão | | ------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Einstein \| Agentes | ✅ Registros de evento do agente incluem dados de conversa Habilitar a configuração para registros de evento aprimorados, a menos que haja um motivo crítico para que os dados da conversa devem ser mascarados | | Einstein \| Camada do Einstein Trust | Os recursos de IA generativa são auditados regularmente O recurso Dados de auditoria de IA generativa do Einstein é ativado na página de configuração de Feedback do Einstein. As conversas de IA generativa, incluindo o aviso e sua resposta, são auditadas e revisadas regularmente | | Plataforma \| Empresa | ✅ Os dados de auditoria estão disponíveis em relatórios que as partes interessadas da empresa podem entender e acessar | | Plataforma \| Empresa | ✅ Revisões regulares do histórico de auditoria e relatórios ocorrem | | Plataforma \| Documentação | ✅ Todas as respostas automatizadas são documentadas claramente | | Plataforma \| Documentação | ✅ As etapas para revisar os registros disponíveis no Salesforce são documentadas | | Plataforma \| Documentação | ✅ Os níveis de auditoria foram especificados para todos os objetos no modelo de dados | | Plataforma \| Documentação | ✅ As políticas de segurança contêm uma lista de eventos que devem acionar uma resposta junto com o tipo de resposta apropriado | | Plataforma \| Organização | ✅ Automações estão em vigor para responder a ameaças desativando contas de usuário ou bloqueando o acesso a recursos em tempo real se uso anormal for detectado | | Plataforma \| Organização | ✅ Notificações e alertas são configurados para notificar os usuários apropriados sobre atividade anômala | | Plataforma \| Organização | ✅ O rastreamento de histórico de campo está habilitado para todos os campos que contêm dados privados ou confidenciais | --- ### Antipadrão de acesso do dispositivo Saiba mais sobre o Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Session Security](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Display Access](/docs/architect/pt-br/well-architected/guide/secure#acesso-ao-dispositivo) | Onde procurar?
Área de produtos \| Local | O que evitar?
Antipadrão | | ------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Plataforma \| Documentação | ⚡️ As políticas de segurança não existem ou não contêm informações sobre o acesso ao dispositivo | | Plataforma \| Organização | ⚡️ O aplicativo móvel conectado do Salesforce não está configurado para exigir desbloqueio de PIN/senha para inatividade | | Plataforma \| Organização | ⚡️ As necessidades de negócios exigem um controle rígido dos usuários que podem acessar o Salesforce móvel, mas o Controle de acesso à API não está habilitado ou os conjuntos de permissões não são usados para controlar o acesso a aplicativos Salesforce móvel | ### Antipadrão do Gerenciamento de sessão Saiba mais sobre Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Security Session](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Session Management](/docs/architect/pt-br/well-architected/guide/secure#gerenciamento-de-sessão) | Onde procurar?
Área de produtos \| Local | O que evitar?
Antipadrão | | ------------------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Plataforma \| Apex | ⚡️ Se houver fluxos de login personalizados, não haverá lógica para atribuir segurança no nível da sessão | | Plataforma \| Aura | ⚡️ Se houver fluxos de login personalizados, não haverá lógica para atribuir segurança no nível da sessão | | Plataforma \| Padrões de design | Padrões não são definidos para as atividades que exigem segurança em nível de sessão aprimorada | | Plataforma \| Padrões de design | Padrões não são definidos para atividades que exigem atribuição de permissões elevadas | | Plataforma \| Padrões de design | Políticas de segurança não contêm informações sobre escopos de aplicativo conectado ou gerenciamento de token | | Plataforma \| Padrões de design | Personalidades de segurança não existem ou faltam informações sobre tipos de sessão e configurações de tempo limite/duração | | Plataforma \| Documentação | ⚡️ O escopo do aplicativo conectado e as políticas de gerenciamento de token não são documentados | | Plataforma \| Componentes da Web Lightning (LWC) | ⚡️ Se houver fluxos de login personalizados, não haverá lógica para atribuir segurança no nível da sessão | | Plataforma \| Organização | ⚡️ Não há definições de quais tipos de sessão os usuários devem ter | | Plataforma \| Organização | Permissões "apenas API" não estão claras ou estão ausentes de usuários automatizados e de integração | | Plataforma \| Organização | ⚡️ Não há auditoria de sessão regular | | Plataforma \| Organização | Se os usuários acessarem o Salesforce de trás de um firewall, o firewall usará endereços IP embutidos em código para proteger as comunicações de/para o Salesforce | | Plataforma \| Organização | ⚡️ Intervalos de tempo limite de sessão inativo excedem o padrão (2 horas) | | Plataforma \| Organização | ⚡️ Qualquer uma das seguintes configurações está desabilitada: -Proteção contra clickjack para páginas de Configuração -Proteção contra clickjack para páginas do Salesforce que não sejam de configuração -Proteção contra falsificação de solicitação entre sites (CSRF) -Proteção contra scripts entre sites (XSS) -Ativar proteção contra detecção de conteúdo -Proteção contra URL do referenciador -Avisar os usuários antes de serem redirecionados para fora do Salesforce | ### Antipadrão de detecção e resposta de ameaças Saiba mais sobre Well-Architected [Trusted](/docs/architect/pt-br/well-architected/guide/trusted-overview) → [Secure](/docs/architect/pt-br/well-architected/guide/secure) → [Session Security](/docs/architect/pt-br/well-architected/guide/secure#segurança-da-sessão) → [Threat Detection & Response](/docs/architect/pt-br/well-architected/guide/secure#threat-detection-response) | Onde procurar?
Área de produtos \| Local | O que evitar?
Antipadrão | | ------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Einstein \| Organização | Recursos de IA generativa não são auditados As conversas de IA generativa, incluindo o aviso e sua resposta, não são auditadas e revisadas regularmente | | Plataforma \| Empresa | Dados de auditoria estão disponíveis apenas por meio de arquivos de registro que exigem conhecimento sobre o assunto para acessar e interpretar | | Plataforma \| Empresa | ⚡️ Não há processos para revisar informações de auditoria | | Plataforma \| Documentação | Políticas de segurança não existem ou não incluem informações sobre detecção e alerta de ameaças | | Plataforma \| Documentação | A documentação para respostas automatizadas não existe ou não está clara | | Plataforma \| Organização | ⚡️ Não há automações em vigor para responder a ameaças | | Plataforma \| Organização | Notificações e alertas não estão configurados para notificar os usuários apropriados sobre atividades anômalas ou algumas notificações e alertas relacionados a atividades anômalas existem, mas são ad hoc | | Plataforma \| Organização | O rastreamento de histórico de campo não é habilitado de modo consistente para campos contendo dados privados ou confidenciais | ---