Coordinated vulnerability disclosure
← Políticas

Salesforce: Política de divulgação responsável

Na Salesforce, a confiança é o nosso valor n.º 1 e levamos muito a sério a proteção dos dados dos nossos clientes.

A equipa de segurança da Salesforce reconhece o papel valioso que os investigadores de segurança independentes desempenham na segurança da Internet. Por isso, incentivamos a comunicação responsável de quaisquer vulnerabilidades que possam ser encontradas no nosso sítio ou nas nossas aplicações. A Salesforce compromete-se a trabalhar com investigadores de segurança para verificar e resolver quaisquer potenciais vulnerabilidades que nos sejam comunicadas.

Reveja estes termos antes de testar e/ou comunicar uma vulnerabilidade. A Salesforce compromete-se a não iniciar ação judicial contra investigadores por penetrarem ou tentarem penetrar nos nossos sistemas, desde que cumpram esta política.

Testar vulnerabilidades de segurança:

Sempre que estiver disponível uma edição Trial ou Developer, realize todos os testes de vulnerabilidade nessas instâncias. Utilize sempre contas de teste ou de demonstração ao testar os nossos serviços em linha.

Para informações sobre avaliações de segurança, requisitos, restrições e agendamento, consulte o artigo de conhecimento intitulado "Vulnerability Assessment and Penetration Test".

Comunicar uma potencial vulnerabilidade de segurança:

  • Partilhe em privado os detalhes da vulnerabilidade suspeita com a Salesforce enviando um correio eletrónico para security@salesforce.com
  • Forneça todos os detalhes da vulnerabilidade suspeita para que a equipa de segurança da Salesforce possa validar e reproduzir o problema

A Salesforce não permite os seguintes tipos de investigação de segurança:

Embora o incentivemos a descobrir e a comunicar-nos de forma responsável quaisquer vulnerabilidades que encontre, a seguinte conduta é expressamente proibida:

  • Realizar ações que possam afetar negativamente a Salesforce ou os seus utilizadores (por exemplo, spam, força bruta, negação de serviço…)
  • Aceder, ou tentar aceder, a dados ou informação que não lhe pertencem
  • Destruir ou corromper, ou tentar destruir ou corromper, dados ou informação que não lhe pertencem
  • Realizar qualquer tipo de ataque físico ou eletrónico contra pessoal, propriedade ou centros de dados da Salesforce
  • Fazer engenharia social a qualquer balcão de serviço, funcionário ou contratado da Salesforce
  • Realizar testes de vulnerabilidade dos serviços participantes usando qualquer coisa que não sejam contas de teste (por exemplo, instâncias Developer ou Trial Edition)
  • Violar quaisquer leis ou quebrar quaisquer acordos para descobrir vulnerabilidades

O compromisso da equipa de segurança da Salesforce:

Pedimos-lhe que não partilhe nem divulgue uma vulnerabilidade não resolvida com/a terceiros. Se submeter responsavelmente um relatório de vulnerabilidade, a equipa de segurança da Salesforce e as organizações de desenvolvimento associadas envidarão esforços razoáveis para:

  • Responder atempadamente, acusando a receção do seu relatório de vulnerabilidade
  • Fornecer um prazo estimado para tratar o relatório de vulnerabilidade
  • Notificá-lo quando a vulnerabilidade tiver sido corrigida

Teremos todo o gosto em agradecer a cada investigador que submeta um relatório de vulnerabilidade, ajudando-nos a melhorar a nossa postura geral de segurança na Salesforce.