Connected Apps Salesforce : auditer, gouverner, sécuriser avant qu'elles vous possèdent
Chaque org Salesforce accumule des Connected Apps comme elle accumule de la poussière. La plupart ont des tokens expirés, des scopes oubliés et pas de propriétaire. Voici le playbook d'audit et de gouvernance.
Chaque org Salesforce accumule des Connected Apps comme un laptop accumule les onglets, avec autant de discernement. Certaines ont été installées pour un POC il y a trois ans. D'autres sont utilisées quotidiennement sans savoir par qui. La moitié ont des scopes « Full Access » et des refresh tokens expirés. C'est la surface la moins auditée d'une org mature, et le vecteur de fuite de credentials le plus probable en 2026.
L'audit en 5 catégories
- Propriété : chaque app doit avoir un propriétaire métier et un propriétaire technique nommés.
- Scopes : quels scopes OAuth ? « Full Access » et « Perform requests at any time » ensemble ne devraient exister que là où c'est absolument nécessaire.
- Usage : dernier échange de token réussi ? Toute app inutilisée depuis 90+ jours est candidate au retrait.
- Flow d'auth : les anciens flows JWT et web-server sans PKCE sont de plus en plus risqués. Migrer vers les flows modernes.
- Rate limits : quelles apps consomment le plus d'API ? Une intégration folle peut DoS votre org en pleine journée.
Le modèle de gouvernance qui tient
- Demande : nouvelle Connected App uniquement via un formulaire (propriétaire, usage, scopes justifiés, volume attendu).
- Revue : équipe sécu approuve les scopes.
- Déploiement : taguée en metadata avec propriétaire + date d'expiration.
- Revue trimestrielle : re-vérifier l'usage ; archiver les inutilisées.
Que faire des apps « inconnues »
- Activer la restriction Login IP et observer 7 jours.
- Aucun login : révoquer. Des logins : tracer la source avant de toucher.
- Documenter le résultat, le prochain auditeur vous remerciera.
Automatiser l'audit
Salesforce Shield Event Monitoring streame chaque login et appel API. Pipez-les dans Splunk, Datadog ou un dashboard natif. Combinez avec notre guide Health Check.
Notes régionales
- UE (France, Allemagne, Belgique, Luxembourg, Suisse) : les Connected Apps qui accèdent à des données personnelles doivent être au registre des traitements. Voir guide RGPD.
- États-Unis & Canada : les audits SOC 2 et ISO 27001 testent explicitement la gouvernance des Connected Apps en 2026.
Questions fréquentes
Fréquence d'audit ?
Audit complet annuel. Contrôles trimestriels sur les apps à scope large. Monitoring continu si budget.
Bloquer l'installation de nouvelles apps ?
Oui, configurer les policies d'installation pour exiger l'approbation admin. Dès le jour 1.
Plus gros risque ?
Apps « Full Access » + refresh token > 90 jours + aucun utilisateur actif lié.
Faut-il Shield ?
Pas pour commencer. Shield ajoute le monitoring continu ; l'audit initial se fait sur les rapports standards.
Obtenez un audit Connected Apps au forfait
Notre audit Salesforce inclut inventaire, revue des scopes et politique de gouvernance en 2 semaines. Réservez un appel de 30 minutes.
Si ça ressemble à votre CRM, regardons-le ensemble.
Trente minutes, sans slides, sans pitch commercial. Vous repartez avec un diagnostic dans tous les cas.