MFA 微网站
启用多重身份验证
多重身份验证 (MFA) 可增加一个额外的保护层，以抵御钓鱼攻击、凭证填充和帐户侵权等常见威胁。实施 MFA 是您的公司可以提升 Salesforce 数据安全性的最有效途径之一。因此，自 2022 年 2 月 1 日起，Salesforce 将开始要求客户启用 MFA，以便访问 Salesforce 产品。
我们的产品从一开始就考虑到了安全性。Salesforce 可为我们的客户提供保护数据所需的创新工具和培训材料，但我们认为安全是我们共同的责任。我们强烈建议所有客户采用以下最佳实践，以更好地防止您的 Salesforce 实例出现漏洞，并与行业标准保持一致。
掌握基础知识
实施 MFA 或 单点登录
实施强有力的安全措施来保护您的企业和客户比以往任何时候都更重要。随着危及用户凭据的威胁越来越普遍，用户名和密码无法再针对未授权帐户访问提供充分的保障。
多重身份验证 (MFA) 可增加一个额外的保护层，以抵御钓鱼攻击、凭证填充和帐户侵权等常见威胁。实施 MFA 是您的公司可以提升 Salesforce 数据安全性的最有效途径之一。
在每次发行时运行安全运行状况检查
运行状况检查是 Salesforce 产品附带的一种标准免费工具。它建立在我们的核心平台上，允许管理员在单个仪表板中管理他们组织的最重要的安全设置。使用运行状况检查，管理员只需轻点鼠标，即可无缝地识别并修复潜在的安全设置漏洞。客户还可以创建自定义基线标准，以更紧密地配合其公司的个人安全需求。
了解更多最佳实践
随时了解证书轮换和续订情况
Salesforce 不建议固定叶证书或中间 SSL/TLS 证书，因为它们可能会在例行操作期间轮换中间证书时产生可用性问题。然而，可能会有一些涉及中间件集成的用例，可能需要固定证书。如果您正在固定叶/中间证书，请考虑仅固定根证书。要及时收到即将到来的证书轮换和续订通知，请加入证书变更 Trailblazer Community并订阅群电子邮件更新。
设置登录 IP 范围
登录 IP 范围可通过要求用户从指定的 IP 地址（通常是您的公司网络或 VPN）登录 Salesforce 来限制未经授权的访问。通过使用“登录 IP 范围”，管理员可以定义允许的 IP 地址范围，控制对 Salesforce 的访问。那些试图从指定 IP 地址之外登录 Salesforce 的用户将无法获得访问权限。
- 如果您使用的是专业版、群组版或个人版，您可以在“安全控制 > 会话设置”下配置登录 IP 范围。
- 如果您使用的是企业版、无限版、性能版或开发人员版，您可以在“管理用户 > 配置文件”下配置登录 IP 范围。
考虑 Salesforce Shield
作为整体安全策略的一部分，可以考虑 Salesforce Shield。虽然 Salesforce 可以提供许多开箱即用的安全控制，但 Shield 可以通过增强的加密、应用程序和数据监控以及安全策略自动化来补充您的安全功能。Shield 可以帮助管理员和开发人员在业务关键型应用程序中提升信任和透明度水平。
My Domain
My Domain 允许您向 Salesforce 组织 URL 添加自定义域名。拥有自定义域名可以让您突出品牌，让您的组织更加安全。此外，您还可以通过该功能遵循在代码和集成中不指定实例名的最佳实践（例如 na1.salesforce.com）。遵循此最佳实践将在未来的任何维护中为您和您的最终用户提供更无缝的体验。
使用 My Domain，您可以定义一个自定义域名，作为 Salesforce 域名的一部分。自定义域名实际上是主域名的子域名。如果我们以 Universal Containers 为例，他们的子域名将会是“universal-containers”，在这个 My Domain 示例中，他们的自定义域名就是：https://universal-containers.my.salesforce.com。
自定义域名可以通过几种重要的方式帮助您更好地管理组织的登录和身份验证。您可以：
- 阻止或重定向不使用新域名的页面请求
- 设置自定义登录策略，确定用户的身份验证方式
- 同时在多个 Salesforce 组织中工作
- 让用户在登录页面使用 Google 和 Facebook 等社交媒体帐户登录
- 允许用户登录一次即可访问外部服务
- 用唯一的域名 URL 突出您的企业形象
- 对您的登录屏幕进行品牌化设计并自定义设置右侧边框中显示的内容
降低会话超时阈值
用户有时会让自己的电脑处于无人看管或未注销的状态。如果一段时间内没有活动的会话，可以通过自动关闭会话的方式来防止应用程序受到未获授权的访问。默认超时时间为 2 小时；您可以在 30 分钟到 8 小时之间设置该阈值。要修改会话超时时间，请点击：设置 > 安全控制 > 会话设置。
启用 TLS 1.2 或更高版本
传输层安全（Transport Layer Security，简称 TLS）协议是网络浏览器和其他需要在网络上安全交换数据的应用程序中部署最广泛的安全协议。自 2019 年 10 月起，Salesforce 要求所有安全组织连接使用 TLS 1.2 或更高版本，以确保最安全的环境和持续符合支付卡行业的相关规定。
向用户提供关于网络钓鱼的培训
Salesforce 强烈建议对所有 Salesforce 用户进行关于网络钓鱼的培训。大多数网络攻击都会使用恶意软件感染计算机，这些软件会通过恶意代码窃取密码、数据，或破坏整个计算机/网络。幸运的是，无需成为安全专家，您也可以阻止恶意软件。
网络钓鱼诈骗会利用欺诈性电子邮件让用户泄露保密信息。这类邮件通常看起来像是来自一个合法的组织，并可能包含貌似该组织网站的链接（例如，快递查询，工资查询，税务查询，社交网络），但实则是一个假冒的网站或旨在安装恶意软件并窃取信息的附件。随着这些骗术变得越来越复杂，我们很难判断一封电子邮件到底是真是假。以下是当您的 Salesforce 用户查看电子邮件时，您应该向他们提供的一些建议（另外， 还可以浏览我们的安全通告页面，查看近期欺诈行为的示例：）
- 检查主题行是否包含出乎意料的信息和令人尴尬的语言
- 验证人员和组织（例如，将鼠标悬停在发件人姓名和 URL 上，但不要点击）
- 不要点击可疑的附件（例如文件名或格式比较奇怪）
- 除非您确定邮件来自可信的发件人，否则不要泄露凭据信息（例如用户名、密码）
- 仔细检查语言（例如语法、拼写）
- 对紧急和即时发送的信息务必要谨慎，尤其是索要钱财的信息
如果您或您的任何用户不确定 Salesforce 的邮件是否合法，请将可疑邮件的副本作为附件转发到 security@salesforce.com。请在主题栏中注明“网络钓鱼”或“恶意软件”，以表明该邮件是一封可疑的网络钓鱼邮件。
关于如何使用 Gmail 将电子邮件作为附件转发的说明，请在 Google 支持中查看将电子邮件作为附件发送。
密码策略
强大的密码安全是保护 Salesforce 帐户的重要一步，Salesforce 推荐以下最佳实践：
- 密码过期——Salesforce 建议强制用户重置密码的时间不超过 90 天
- 密码长度——Salesforce 建议密码最小长度为 8-10 个字符
- 密码复杂程度——管理员应该要求用户在 Salesforce 密码中同时包含字母、数字和特殊字符
此外，提醒用户不要在多个帐户上使用相同的密码，否则他们可能会面临多个帐户被盗的风险。最后，用户需要明白，他们永远不能与任何人共享密码，无论是线上还是线下——这包括他们的 Salesforce 密码。
使用简档和权限集实施细粒度的访问权限控制
权限集是赋予用户访问各种工具和功能的设置和权限的集合。权限集扩展了用户的功能访问权限，而不更改他们的简档。
创建权限集，在用户的逻辑分组之间授予访问权限，而无论他们的主要工作职能如何。例如，假设您有几个用户必须删除和转移潜在客户。您可以根据这些用户必须执行的任务创建权限集，并将权限集包含在基于工作职能的权限集组中。虽然用户只能有一个简档，但他们可以有多个权限集。
审计和日志记录
审计日志提供了系统中所有活动的时间顺序记录，例如登录、权限更改和添加/删除记录。它们用于检测系统的异常使用，对于诊断潜在或实际的安全问题至关重要。
我们建议您为 Salesforce 实例设置审计跟踪，并执行定期审计以监控意外更改或使用趋势。
使用硬件安全模块 (HSM) 作为信任根
硬件安全模块是一种强化的物理或虚拟系统，用于在企业环境中提供和管理加密功能。HSM 与核心安全功能结合使用，包括加密、解密和身份验证。
我们建议将 HSM 用作信任根，以保护用于保护多个云和内部环境中的数据的密钥。它们应通过最高安全标准的认证（例如 FIPS 140-2和通用标准），与组织的企业网络隔离，仅限授权人员访问。