Coordinated vulnerability disclosureSalesforce: سیاست افشای مسئولانه
- تماس: security@salesforce.com
- وب‌سایت: https://trust.salesforce.com/en/security/responsible-disclosure-policy/
- راستی‌آزمایی: 2017-09-21
در Salesforce اعتماد ارزش شماره ۱ ماست و حفاظت از داده‌های مشتریان خود را بسیار جدی می‌گیریم.
تیم امنیتی Salesforce نقش ارزشمند پژوهشگران امنیتی مستقل را در امنیت اینترنت به رسمیت می‌شناسد. در نتیجه، گزارش مسئولانه هر آسیب‌پذیری را که ممکن است در سایت یا برنامه‌های ما یافت شود تشویق می‌کنیم. Salesforce متعهد است با پژوهشگران امنیتی برای راستی‌آزمایی و رسیدگی به هر آسیب‌پذیری بالقوه‌ای که به ما گزارش می‌شود همکاری کند.
لطفاً پیش از آزمایش و/یا گزارش آسیب‌پذیری این شرایط را مرور کنید. Salesforce تعهد می‌کند علیه پژوهشگران به‌دلیل نفوذ یا تلاش برای نفوذ به سامانه‌های ما اقدام حقوقی آغاز نکند، مادام که از این سیاست پیروی کنند.
آزمایش آسیب‌پذیری‌های امنیتی:
هرگاه نسخه Trial یا Developer Edition در دسترس است، لطفاً همه آزمایش‌های آسیب‌پذیری را بر آن نمونه‌ها انجام دهید. هنگام آزمایش خدمات آنلاین ما همواره از حساب‌های آزمایشی یا نمایشی استفاده کنید.
برای اطلاعات درباره ارزیابی‌های امنیتی، الزامات، محدودیت‌ها و زمان‌بندی، مقاله پایگاه دانش با عنوان «Vulnerability Assessment and Penetration Test» را مرور کنید.
گزارش یک آسیب‌پذیری امنیتی بالقوه:
- جزئیات آسیب‌پذیری مظنون را با ایمیل به security@salesforce.com به‌صورت خصوصی با Salesforce به اشتراک بگذارید
- جزئیات کامل آسیب‌پذیری مظنون را ارائه دهید تا تیم امنیتی Salesforce بتواند مسئله را تأیید و بازتولید کند
Salesforce انواع زیر از پژوهش امنیتی را مجاز نمی‌داند:
در حالی که شما را تشویق می‌کنیم هر آسیب‌پذیری‌ای را که می‌یابید به‌شیوه‌ای مسئولانه کشف کنید و به ما گزارش دهید، رفتار زیر صراحتاً ممنوع است:
- انجام اقداماتی که ممکن است بر Salesforce یا کاربران آن اثر منفی بگذارد (مثلاً هرزنامه، Brute Force، Denial of Service…)
- دسترسی یا تلاش برای دسترسی به داده یا اطلاعاتی که متعلق به شما نیست
- نابودی یا خراب‌کردن، یا تلاش برای نابودی یا خراب‌کردن، داده یا اطلاعاتی که متعلق به شما نیست
- انجام هر نوع حمله فیزیکی یا الکترونیکی علیه کارکنان، دارایی یا مراکز داده Salesforce
- مهندسی اجتماعی علیه هر میز خدمات، کارمند یا پیمانکار Salesforce
- انجام آزمایش آسیب‌پذیری خدمات مشارکت‌کننده با چیزی غیر از حساب‌های آزمایشی (مثلاً نمونه‌های Developer یا Trial Edition)
- نقض هر قانون یا زیر پا گذاشتن هر توافقی برای کشف آسیب‌پذیری‌ها
تعهد تیم امنیتی Salesforce:
از شما می‌خواهیم آسیب‌پذیری حل‌نشده را با اشخاص ثالث به اشتراک نگذارید یا برای آن‌ها علنی نکنید. اگر گزارش آسیب‌پذیری را مسئولانه ارسال کنید، تیم امنیتی Salesforce و سازمان‌های توسعه مرتبط تلاش‌های معقولی خواهند کرد تا:
- به‌موقع پاسخ دهند و دریافت گزارش آسیب‌پذیری شما را تأیید کنند
- یک چارچوب زمانی برآوردی برای رسیدگی به گزارش آسیب‌پذیری ارائه دهند
- وقتی آسیب‌پذیری رفع شد به شما اطلاع دهند
با کمال میل از هر پژوهشگری که گزارش آسیب‌پذیری ارسال می‌کند و به ما در بهبود وضعیت امنیتی کلی‌مان در Salesforce کمک می‌کند سپاسگزاری می‌کنیم.