Coordinated vulnerability disclosure
← Policy

Salesforce: policy di divulgazione responsabile

In Salesforce, la fiducia è il nostro valore n. 1 e prendiamo molto sul serio la protezione dei dati dei nostri clienti.

Il team di sicurezza di Salesforce riconosce il ruolo prezioso che i ricercatori di sicurezza indipendenti svolgono nella sicurezza di internet. Di conseguenza, incoraggiamo la segnalazione responsabile di qualsiasi vulnerabilità che possa essere trovata nel nostro sito o nelle nostre applicazioni. Salesforce si impegna a lavorare con i ricercatori di sicurezza per verificare e affrontare qualsiasi potenziale vulnerabilità che ci venga segnalata.

Ti preghiamo di leggere questi termini prima di testare e/o segnalare una vulnerabilità. Salesforce si impegna a non avviare azioni legali contro i ricercatori per aver penetrato o tentato di penetrare nei nostri sistemi, purché rispettino questa policy.

Test delle vulnerabilità di sicurezza:

Ogni volta che è disponibile un'edizione Trial o Developer Edition, esegui tutti i test di vulnerabilità su tali istanze. Usa sempre account di test o demo quando testi i nostri servizi online.

Per informazioni su valutazioni di sicurezza, requisiti, restrizioni e pianificazione, consulta l'articolo della knowledge base intitolato "Vulnerability Assessment and Penetration Test".

Segnalare una potenziale vulnerabilità di sicurezza:

  • Condividi privatamente i dettagli della presunta vulnerabilità con Salesforce inviando un'email a security@salesforce.com
  • Fornisci tutti i dettagli della presunta vulnerabilità affinché il team di sicurezza di Salesforce possa convalidare e riprodurre il problema

Salesforce non consente i seguenti tipi di ricerca sulla sicurezza:

Pur incoraggiandoti a scoprire e a segnalarci in modo responsabile qualsiasi vulnerabilità trovi, la seguente condotta è espressamente vietata:

  • Eseguire azioni che possano avere un impatto negativo su Salesforce o sui suoi utenti (ad es. spam, brute force, denial of service…)
  • Accedere, o tentare di accedere, a dati o informazioni che non ti appartengono
  • Distruggere o corrompere, o tentare di distruggere o corrompere, dati o informazioni che non ti appartengono
  • Condurre qualsiasi tipo di attacco fisico o elettronico contro il personale, le proprietà o i data center di Salesforce
  • Fare ingegneria sociale ai danni di qualsiasi service desk, dipendente o collaboratore di Salesforce
  • Condurre test di vulnerabilità dei servizi partecipanti usando qualcosa di diverso dagli account di test (ad es. istanze Developer o Trial Edition)
  • Violare qualsiasi legge o infrangere qualsiasi accordo allo scopo di scoprire vulnerabilità

L'impegno del team di sicurezza di Salesforce:

Ti chiediamo di non condividere né rendere pubblica una vulnerabilità non risolta con/a terze parti. Se invii responsabilmente una segnalazione di vulnerabilità, il team di sicurezza di Salesforce e le organizzazioni di sviluppo associate faranno ogni ragionevole sforzo per:

  • Rispondere tempestivamente, confermando la ricezione della tua segnalazione di vulnerabilità
  • Fornire una tempistica stimata per affrontare la segnalazione di vulnerabilità
  • Avvisarti quando la vulnerabilità è stata corretta

Siamo lieti di ringraziare ogni singolo ricercatore che invia una segnalazione di vulnerabilità aiutandoci a migliorare la nostra postura complessiva di sicurezza in Salesforce.