Apakah Anda mencari cara paling aman untuk mengimplementasikan MFA Salesforce menggunakan kode QR? Kegagalan dalam mengamankan proses pendaftaran dapat membuat organisasi Anda rentan terhadap serangan quishing dan pencurian kredensial. Panduan ini menjelaskan cara mengonfigurasi autentikasi berbasis QR dan mengikuti protokol keamanan standar industri untuk melindungi data Anda.
Bagaimana Kode QR Memfasilitasi MFA Salesforce
Salesforce menggunakan protokol Time-based One-Time Password (TOTP) untuk mendukung autentikasi multi-faktor (MFA) miliknya. Anggap kode QR sebagai jabat tangan digital antara instans Salesforce Anda dan perangkat tepercaya. Saat pengguna pertama kali mendaftarkan aplikasi autentikator, Salesforce menghasilkan kode QR unik yang berisi kunci rahasia bersama. Dengan memindai kode ini, perangkat seluler membuat tautan aman untuk menghasilkan kode verifikasi 6 digit setiap 30 detik.
Menerapkan alur ini secara efektif mengurangi risiko pengambilalihan akun otomatis sebesar 99.9%, menurut penelitian Microsoft. Namun, keamanan metode ini sangat bergantung pada fase pendaftaran yang bersih. Admin harus memastikan bahwa pengguna hanya memindai kode yang dihasilkan dalam domain resmi `login.salesforce.com`. Menggunakan kode QR terenkripsi untuk platform autentikasi menjadi standar untuk keamanan perusahaan, karena memastikan bahwa hanya pengguna yang berwenang dengan kunci dekripsi yang benar yang dapat mengakses data pendaftaran sensitif.
Mengelola Risiko Keamanan dalam Alur Pendaftaran
Meskipun kode QR menawarkan kenyamanan, kode tersebut rentan terhadap ancaman khusus. “Pendaftaran MFA yang lemah adalah kegagalan penerapan terbesar,” catat CISO Okta pada tahun 2025. Untuk mempertahankan pertahanan yang kuat, Anda harus memahami bagaimana penyerang mengeksploitasi proses pendaftaran.
Ancaman Umum terhadap Autentikasi QR
- Quishing (Phishing QR): Penyerang menggunakan halaman login palsu untuk menipu pengguna agar memindai kode QR berbahaya yang mendaftarkan perangkat penyerang alih-alih perangkat pengguna.
- Overlay Berbahaya: Di lingkungan fisik, stiker palsu ditempatkan di atas kode QR yang sah untuk mengarahkan pengguna ke situs palsu.
- Kompromi Perangkat: Jika malware menginfeksi perangkat seluler, malware tersebut berpotensi mengekstrak kunci rahasia TOTP langsung dari aplikasi autentikator.
- Penyadapan (MitM): Serangan proxy dapat mencegat komunikasi antara browser dan aplikasi pengautentikasi selama pengaturan awal.
Untuk memitigasi risiko ini, ikuti praktik terbaik untuk keamanan kode QR dalam pertahanan siber dengan memverifikasi sumber setiap kode. Salesforce juga menyarankan penggunaan metode MFA yang tahan phishing jika memungkinkan, seperti kunci keamanan FIDO2, atau menerapkan pencocokan angka dalam notifikasi push untuk memastikan pengguna hadir secara fisik selama upaya login.
Praktik Terbaik untuk Implementasi Admin
Penerapan MFA yang berhasil membutuhkan keseimbangan antara penegakan kebijakan yang ketat dan dukungan pengguna yang komprehensif. Menurut Verizon DBIR 2024, 61% serangan melewati MFA yang lemah atau salah konfigurasi, membuat pilihan konfigurasi Anda sangat penting. Gunakan strategi ini untuk memperkuat lingkungan Salesforce Anda:
- Wajibkan MFA untuk Semua Pengguna: Terapkan persyaratan MFA melalui bagian “Verifikasi Identitas” di Pengaturan, dimulai dengan Administrator Sistem sebelum peluncuran bertahap ke seluruh organisasi.
- Sediakan Beberapa Metode Cadangan: Pastikan pengguna mendaftarkan faktor sekunder, seperti kode cadangan atau kunci keamanan sekunder, untuk mencegah penguncian saat perangkat hilang.
- Audit Log Pendaftaran: Tinjau log audit Salesforce secara teratur untuk mengidentifikasi anomali geografis atau pola pendaftaran mencurigakan yang menyimpang dari perilaku pengguna normal.
- Terapkan Pengautentikasi Terikat Perangkat: Menggunakan Mobile Device Management (MDM) software to ensure that authenticator apps are only installed on company-approved and secured devices.
- Rotasi Rahasia Secara Teratur: Jika Anda mencurigai adanya kompromi, gunakan izin “Kelola MFA” untuk mengatur ulang rahasia pengguna dan memaksa pendaftaran QR baru.
| Fitur | Kode QR Statis | Kode QR dinamis |
|---|---|---|
| Kemampuan Edit | Data bersifat permanen setelah dibuat | Konten dapat diperbarui kapan saja |
| Pelacakan | Analitik pemindaian tidak tersedia | Menyediakan data pemindaian waktu nyata |
| Keamanan | Penyimpanan informasi dasar | Termasuk kata sandi dan kontrol akses |
| Gesekan | Pola yang lebih padat mungkin gagal dipindai | URL pendek menciptakan kode yang lebih bersih dan lebih cepat |
Perlu mengelola kode QR aman untuk organisasi Anda? Jelajahi Generator Kode QR Dinamis kami untuk membuat kode QR yang dapat diedit, dilacak, dan dilindungi kata sandi untuk dokumentasi internal dan orientasi teknis Anda.
Meningkatkan Keterbacaan dan Kinerja Kode QR
Hambatan umum bagi para profesional TI adalah tiket dukungan “pemindaian gagal”, yang menurut laporan Forrester menyebabkan 23% penguncian MFA. Resolusi layar yang buruk, kontras yang tidak tepat, atau silau dapat mencegah kamera ponsel membaca kode pendaftaran. Untuk mengurangi titik gesekan ini, ikuti praktik terbaik untuk keterbacaan kode QR dengan mempertahankan rasio kontras minimal 4:1.
Pastikan “zona tenang”, yaitu batas putih di sekitar kode, tetap tidak terhalang oleh elemen antarmuka pengguna lainnya. Saat membuat dokumentasi untuk tim Anda, targetkan ukuran minimum 0,8 x 0,8 inci untuk memastikan kompatibilitas dengan kamera ponsel cerdas lama. Dengan mengikuti praktik terbaik pembuatan kode QR yang aman, Anda dapat memastikan kode tetap tajam dan dapat dipindai bahkan saat dicetak dalam manual pelatihan.
Pelatihan Pengguna dan Persiapan Meja Bantuan
Kesalahan manusia tetap menjadi kerentanan signifikan dalam tumpukan keamanan. Di luar pengaturan teknis, admin harus mempersiapkan pengguna untuk mengenali ancaman dan mengelola pemulihan mereka sendiri. Memberikan pengguna dengan Kode QR untuk perangkat lunak panduan orientasi dapat mempercepat adopsi dan mengurangi beban pada meja bantuan.
- Verifikasi Domain: Latih pengguna untuk mencari ikon gembok dan URL resmi Salesforce sebelum memindai kode pendaftaran apa pun.
- Laporkan Anomali: Instruksikan pengguna untuk menolak dan melaporkan notifikasi push MFA apa pun yang mereka terima saat mereka tidak secara aktif mencoba masuk.
- Dokumentasikan Alur: Menggunakan kode QR statis vs dinamis dalam materi pelatihan Anda untuk menyediakan tutorial video terkini kepada pengguna yang tidak memerlukan pencetakan ulang saat UI berubah.
- Standardisasi Pemulihan: Buat skrip untuk meja bantuan Anda untuk memverifikasi identitas sebelum “memutuskan” perangkat yang hilang di Salesforce, yang memungkinkan pengguna untuk memindai kode pendaftaran baru.
FAQ
Navigasikan ke halaman detail pengguna di Salesforce Setup dan klik “Putuskan” di samping Pendaftaran Aplikasi. Tindakan ini membatalkan kunci rahasia lama dan memastikan perangkat yang hilang tidak dapat lagi digunakan untuk otentikasi. Saat pengguna masuk berikutnya, Salesforce akan meminta mereka untuk memindai kode QR baru untuk mendaftarkan perangkat pengganti mereka.
No, users should not use a general-purpose QR code scanner to register for MFA. They must use a dedicated TOTP authenticator app, such as Salesforce Authenticator, Google Authenticator, or Microsoft Authenticator. These apps are designed to securely process the secret key and generate the time-sensitive codes required for login.
Kode QR pendaftaran bersifat sementara untuk alasan keamanan. Jika pengguna menunggu terlalu lama untuk memindai kode, sesi akan habis waktu untuk mencegah kunci rahasia dicegat oleh pihak yang tidak berwenang. Jika kode kedaluwarsa, pengguna hanya perlu menyegarkan halaman login mereka untuk menghasilkan kode baru yang valid untuk pendaftaran.
