Salesforce CLI gibt Tokens nur noch auf ausdrückliche Anfrage aus

Seit 27. Mai schwärzt die Salesforce CLI Access Tokens, Passwörter und Auth-URLs. Die Übergangsvariable entfällt am 28. Oktober – Pipelines jetzt umstellen.

Wer in Skripten oder CI/CD-Pipelines Zugangsdaten aus der Salesforce CLI ausliest, muss umbauen. Seit dem Release vom 27. Mai 2026 gibt die CLI Access Tokens, Passwörter und SFDX Auth URLs in ihrer normalen Ausgabe nicht mehr aus – auch nicht mit --json. Das hat das CLI-Team in einem GitHub-Issue angekündigt. Begründet wird der Schritt mit dem Schutz vor versehentlich offengelegten Zugangsdaten, gerade wenn KI-Agenten Befehle ausführen und Ausgaben mitlesen.

Betroffene Befehle

Geschwärzt wird in sf org display, sf org list, sf org create scratch, sf org resume scratch, sf org display user, sf org list users, sf org list auth sowie in den Login-Befehlen sf org login jwt, web, sfdx-url und access-token. Statt des Tokens zeigt etwa sf org display nur noch einen Hinweis auf den neuen Befehl.

Schaubild (vereinfacht): Zugangsdaten werden in der normalen Ausgabe geschwärzt und nur noch über eigene Befehle ausgegeben.

So kommt man an die Werte

Für die sensiblen Werte gibt es eigene Befehle:

sf org auth show-access-token
sf org auth show-sfdx-auth-url
sf org auth show-user-password

Sie fragen standardmäßig interaktiv nach und zeigen eine Warnung – laut Salesforce-Dokumentation ist das Weitergeben eines Access Tokens gleichbedeutend mit dem Weitergeben der eigenen Zugangsdaten. In Pipelines ergänzt man --json oder --no-prompt.

Übergangslösung endet

Mit der Umgebungsvariable SF_TEMP_SHOW_SECRETS=true lässt sich das alte Verhalten vorübergehend wiederherstellen. Laut einem Kommentar der Maintainer vom 16. Oktober fällt diese Hintertür am 28. Oktober 2026 weg. Wer sie noch nutzt, sollte seine Pipelines vorher umstellen.

Unverändert bleiben das Anmelden mit einer vorhandenen Auth URL über sf org login sfdx-url, sf org open --url-only und die Bibliothek @salesforce/core. Die Maintainer empfehlen außerdem, die sf org auth show-*-Befehle für KI-Coding-Agenten zu sperren.