Coordinated vulnerability disclosure
← Politiques

Salesforce : Politique de divulgation responsable

Chez Salesforce, la confiance est notre valeur n° 1 et nous prenons très au sérieux la protection des données de nos clients.

L'équipe de sécurité de Salesforce reconnaît le rôle précieux que jouent les chercheurs en sécurité indépendants dans la sécurité d'internet. C'est pourquoi nous encourageons le signalement responsable de toute vulnérabilité pouvant être trouvée dans notre site ou nos applications. Salesforce s'engage à travailler avec les chercheurs en sécurité pour vérifier et traiter toute vulnérabilité potentielle qui nous est signalée.

Veuillez examiner ces conditions avant de tester et/ou de signaler une vulnérabilité. Salesforce s'engage à ne pas intenter d'action en justice contre les chercheurs qui pénètrent ou tentent de pénétrer nos systèmes tant qu'ils respectent cette politique.

Test des vulnérabilités de sécurité :

Chaque fois qu'une édition d'essai (Trial) ou développeur (Developer Edition) est disponible, effectuez tous les tests de vulnérabilité sur de telles instances. Utilisez toujours des comptes de test ou de démonstration pour tester nos services en ligne.

Pour des informations sur les évaluations de sécurité, les exigences, les restrictions et la planification, consultez l'article de connaissances intitulé « Vulnerability Assessment and Penetration Test ».

Signalement d'une vulnérabilité de sécurité potentielle :

  • Partagez en privé les détails de la vulnérabilité présumée avec Salesforce en envoyant un courriel à security@salesforce.com
  • Fournissez tous les détails de la vulnérabilité présumée afin que l'équipe de sécurité de Salesforce puisse valider et reproduire le problème

Salesforce n'autorise pas les types de recherche en sécurité suivants :

Si nous vous encourageons à découvrir et à nous signaler de manière responsable toute vulnérabilité que vous trouvez, les comportements suivants sont expressément interdits :

  • Effectuer des actions susceptibles d'affecter négativement Salesforce ou ses utilisateurs (p. ex. spam, force brute, déni de service…)
  • Accéder, ou tenter d'accéder, à des données ou informations qui ne vous appartiennent pas
  • Détruire ou corrompre, ou tenter de détruire ou de corrompre, des données ou informations qui ne vous appartiennent pas
  • Mener tout type d'attaque physique ou électronique contre le personnel, les biens ou les centres de données de Salesforce
  • Pratiquer l'ingénierie sociale contre un service d'assistance, un employé ou un sous-traitant de Salesforce
  • Effectuer des tests de vulnérabilité des services participants avec autre chose que des comptes de test (p. ex. des instances Developer Edition ou Trial)
  • Enfreindre des lois ou violer des accords pour découvrir des vulnérabilités

L'engagement de l'équipe de sécurité de Salesforce :

Nous vous demandons de ne pas partager ni rendre public avec/à des tiers une vulnérabilité non résolue. Si vous soumettez un rapport de vulnérabilité de manière responsable, l'équipe de sécurité de Salesforce et les organisations de développement associées feront des efforts raisonnables pour :

  • Répondre en temps utile, en accusant réception de votre rapport de vulnérabilité
  • Fournir un délai estimé pour traiter le rapport de vulnérabilité
  • Vous informer lorsque la vulnérabilité a été corrigée

Nous sommes heureux de remercier chaque chercheur qui soumet un rapport de vulnérabilité et nous aide à améliorer notre posture de sécurité globale chez Salesforce.