Coordinated vulnerability disclosureSalesforce: Política de divulgación responsable
- Contacto: security@salesforce.com
- Sitio web: https://trust.salesforce.com/en/security/responsible-disclosure-policy/
- Verificado: 2017-09-21
En Salesforce, la confianza es nuestro valor n.º 1 y nos tomamos muy en serio la protección de los datos de nuestros clientes.
El equipo de seguridad de Salesforce reconoce el valioso papel que desempeñan los investigadores de seguridad independientes en la seguridad de internet. Por ello, fomentamos la notificación responsable de cualquier vulnerabilidad que pueda encontrarse en nuestro sitio o aplicaciones. Salesforce se compromete a trabajar con los investigadores de seguridad para verificar y abordar cualquier posible vulnerabilidad que se nos notifique.
Revise estos términos antes de probar y/o notificar una vulnerabilidad. Salesforce se compromete a no iniciar acciones legales contra los investigadores por penetrar o intentar penetrar en nuestros sistemas siempre que cumplan esta política.
Pruebas de vulnerabilidades de seguridad:
Siempre que haya disponible una edición de prueba (Trial) o de desarrollador (Developer Edition), realice todas las pruebas de vulnerabilidad en dichas instancias. Utilice siempre cuentas de prueba o de demostración al probar nuestros servicios en línea.
Para obtener información sobre evaluaciones de seguridad, requisitos, restricciones y programación, consulte el artículo de conocimiento titulado "Vulnerability Assessment and Penetration Test".
Notificación de una posible vulnerabilidad de seguridad:
- Comparta en privado los detalles de la presunta vulnerabilidad con Salesforce enviando un correo electrónico a security@salesforce.com
- Proporcione todos los detalles de la presunta vulnerabilidad para que el equipo de seguridad de Salesforce pueda validar y reproducir el problema
Salesforce no permite los siguientes tipos de investigación de seguridad:
Aunque le animamos a descubrir y notificarnos de forma responsable cualquier vulnerabilidad que encuentre, se prohíbe expresamente la siguiente conducta:
- Realizar acciones que puedan afectar negativamente a Salesforce o a sus usuarios (p. ej., spam, fuerza bruta, denegación de servicio…)
- Acceder, o intentar acceder, a datos o información que no le pertenezcan
- Destruir o corromper, o intentar destruir o corromper, datos o información que no le pertenezcan
- Llevar a cabo cualquier tipo de ataque físico o electrónico contra el personal, la propiedad o los centros de datos de Salesforce
- Hacer ingeniería social contra cualquier servicio de asistencia, empleado o contratista de Salesforce
- Realizar pruebas de vulnerabilidad de los servicios participantes utilizando algo distinto de cuentas de prueba (p. ej., instancias de Developer Edition o Trial)
- Infringir leyes o incumplir acuerdos para descubrir vulnerabilidades
El compromiso del equipo de seguridad de Salesforce:
Le pedimos que no comparta ni haga pública una vulnerabilidad sin resolver con terceros. Si envía un informe de vulnerabilidad de forma responsable, el equipo de seguridad de Salesforce y las organizaciones de desarrollo asociadas harán esfuerzos razonables para:
- Responder a tiempo, acusando recibo de su informe de vulnerabilidad
- Proporcionar un plazo estimado para abordar el informe de vulnerabilidad
- Notificarle cuando la vulnerabilidad se haya corregido
Nos complace dar las gracias a cada investigador que envía un informe de vulnerabilidad y nos ayuda a mejorar nuestra postura general de seguridad en Salesforce.