Salesforce Health Check : décoder votre score, et vraiment agir dessus

La plupart des admins Salesforce ont ouvert Health Check, vu un nombre, et refermé. C'est exactement la mauvaise réaction. Le score Health Check est l'audit honnête que Salesforce fait de votre posture de sécurité, et pourtant l'un des tableaux les plus ignorés. Ce guide explique ce que chaque dimension mesure vraiment, ce que les items jaunes et rouges risquent, et comment les corriger dans un sprint de 30 jours qui protège d'un vrai incident.

Ce que Salesforce Health Check mesure vraiment

Health Check compare vos paramètres Session, Mot de passe, Certificat et autres à la Standard Baseline de Salesforce (une High-Assurance Baseline plus stricte existe aussi). Chaque écart est marqué par une sévérité, High, Medium, Low, Informational, et un score de 0 à 100 sort.

Sous 70 : rouge. 70–89 : jaune. 90+ : vert. Sous 70, ce n'est pas juste un mauvais audit, c'est souvent une fuite de credentials ou une Connected App mal configurée qui vous sépare d'un vrai incident.

Les 5 dimensions qui bougent le plus le score

1. Paramètres de session. Timeout, restrictions IP, session haute assurance pour les opérations sensibles.
2. Politiques de mot de passe. Longueur, expiration, historique, seuil de verrouillage.
3. Certificats et clés. Certificats expirés et clés auto-signées sont des billets silencieux vers la panne.
4. Accès et MFA. Le MFA est obligatoire, vérifiez qu'aucune exemption ne subsiste.
5. Sharing et groupes publics. Pas scorés directement, mais l'audit qui suit trouve toujours des groupes surdotés.

Ce qu'il faut corriger en semaine 1

• Supprimer toute exemption MFA sur les utilisateurs interactifs.
• Session timeout à 2 heures max (30 minutes pour secteurs régulés).
• Forcer la déconnexion en fin de session et verrouiller les sessions à l'IP.
• Rouler les certificats expirant dans les 60 prochains jours.
• Revoir les profils admin, chaque « View All Data » et « Modify All Data » a besoin d'une justification.

Ces cinq changements font typiquement passer un 62 à un 82 en une semaine.

Les items jaunes qui comptent vraiment

• Tout ce qui touche aux Login IP ranges, la façon la plus rapide de baisser le risque de credential stuffing.
• Complexité, historique et expiration de mot de passe, pas cher à corriger, vraie valeur sécurité.
• Protection anti-clickjacking sur pages Visualforce, souvent oublié, facile à activer.

Ce que Health Check ne voit pas

Health Check est une photo de conformité, pas un modèle de menace. Il ne détecte pas :

• Connected Apps trop permissives et leurs refresh tokens expirés.
• Sites publics avec des objets exposés.
• Sharing rules qui laissent fuir des données entre BU.
• Features IA (Einstein, Agentforce) non auditées lisant des données sensibles.

Un audit sécurité Salesforce complet attrape tout ça. Voir aussi préparation Agentforce.

Comment maintenir le score

Health Check dérive. Chaque nouvelle feature, chaque nouvel admin, chaque filiale rachetée modifie des paramètres. Best practice : Health Check hebdo, tout baisse de score > 2 points = un ticket, re-baseline après chaque release majeure (trois par an).

Notes régionales

• Europe (France, Allemagne, Belgique, Luxembourg, Suisse) : un score Health Check sous 80 est de plus en plus remonté dans les audits DPO. Voir notre guide RGPD.
• États-Unis & Canada : les audits SOC 2, HIPAA et Loi 25 exigent souvent une remédiation documentée des items Health Check. Voir États-Unis, Canada.

Questions fréquentes

Quel bon score Salesforce Health Check ?

90+ est la cible. Secteurs régulés : viser 95+ avec la High-Assurance Baseline.

À quelle fréquence lancer Health Check ?

Hebdo minimum, re-baseline après chaque release majeure.

Un score vert = org sécurisée ?

Non. Health Check est un input. Connected Apps, sharing rules et permissions sont d'autres audits.

Health Check peut-il être automatisé ?

Oui, via la Tooling API, beaucoup poussent le score dans Slack et alertent sur toute baisse.

Sprint Health Check en 30 jours

Notre audit Salesforce inclut un plan de remédiation Health Check et fait typiquement passer une org de rouge à vert en 30 jours. Réservez un appel de 30 minutes.