Coordinated vulnerability disclosure
← Richtlinien

Salesforce: Richtlinie zur verantwortungsvollen Offenlegung

Bei Salesforce ist Vertrauen unser wichtigster Wert, und wir nehmen den Schutz der Daten unserer Kunden sehr ernst.

Das Sicherheitsteam von Salesforce erkennt die wertvolle Rolle an, die unabhängige Sicherheitsforscher für die Sicherheit im Internet spielen. Deshalb ermutigen wir zur verantwortungsvollen Meldung aller Schwachstellen, die in unserer Website oder unseren Anwendungen gefunden werden. Salesforce verpflichtet sich, mit Sicherheitsforschern zusammenzuarbeiten, um gemeldete potenzielle Schwachstellen zu überprüfen und zu beheben.

Bitte lesen Sie diese Bedingungen, bevor Sie eine Schwachstelle testen und/oder melden. Salesforce sagt zu, keine rechtlichen Schritte gegen Forscher einzuleiten, die in unsere Systeme eindringen oder dies versuchen, solange sie sich an diese Richtlinie halten.

Testen auf Sicherheitslücken:

Wann immer eine Trial- oder Developer Edition verfügbar ist, führen Sie alle Schwachstellentests gegen solche Instanzen durch. Verwenden Sie beim Testen unserer Online-Dienste stets Test- oder Demokonten.

Informationen zu Sicherheitsbewertungen, Anforderungen, Einschränkungen und Terminplanung finden Sie im Wissensartikel „Vulnerability Assessment and Penetration Test“.

Melden einer potenziellen Sicherheitslücke:

  • Teilen Sie die Einzelheiten der vermuteten Schwachstelle Salesforce vertraulich mit, indem Sie eine E-Mail an security@salesforce.com senden
  • Geben Sie alle Einzelheiten der vermuteten Schwachstelle an, damit das Sicherheitsteam von Salesforce das Problem bestätigen und reproduzieren kann

Salesforce erlaubt folgende Arten von Sicherheitsforschung nicht:

Wir ermutigen Sie, alle von Ihnen gefundenen Schwachstellen verantwortungsvoll zu entdecken und uns zu melden; folgendes Verhalten ist jedoch ausdrücklich untersagt:

  • Handlungen, die Salesforce oder seine Nutzer beeinträchtigen können (z. B. Spam, Brute Force, Denial of Service …)
  • Zugriff oder Zugriffsversuche auf Daten oder Informationen, die Ihnen nicht gehören
  • Zerstören oder Beschädigen bzw. Versuche, Daten oder Informationen zu zerstören oder zu beschädigen, die Ihnen nicht gehören
  • Jede Art von physischem oder elektronischem Angriff auf Salesforce-Personal, -Eigentum oder -Rechenzentren
  • Social Engineering gegen Service-Desks, Mitarbeitende oder Auftragnehmer von Salesforce
  • Schwachstellentests teilnehmender Dienste mit etwas anderem als Testkonten (z. B. Instanzen der Developer oder Trial Edition)
  • Verstöße gegen Gesetze oder Vereinbarungen, um Schwachstellen zu entdecken

Die Zusage des Sicherheitsteams von Salesforce:

Wir bitten Sie, eine ungelöste Schwachstelle nicht an Dritte weiterzugeben oder zu veröffentlichen. Wenn Sie einen Schwachstellenbericht verantwortungsvoll einreichen, werden das Sicherheitsteam von Salesforce und die zugehörigen Entwicklungsorganisationen angemessene Anstrengungen unternehmen, um:

  • zeitnah zu antworten und den Eingang Ihres Schwachstellenberichts zu bestätigen
  • einen geschätzten Zeitrahmen für die Bearbeitung des Schwachstellenberichts zu nennen
  • Sie zu benachrichtigen, wenn die Schwachstelle behoben wurde

Wir danken gerne jedem einzelnen Forscher, der einen Schwachstellenbericht einreicht und uns hilft, unsere Sicherheitslage bei Salesforce insgesamt zu verbessern.