Coordinated vulnerability disclosure
← Политики

Salesforce: Политика ответственного раскрытия

В Salesforce доверие — наша ценность № 1, и мы очень серьёзно относимся к защите данных наших клиентов.

Команда безопасности Salesforce признаёт ценную роль, которую независимые исследователи безопасности играют в безопасности интернета. Поэтому мы поощряем ответственное сообщение о любых уязвимостях, которые могут быть обнаружены на нашем сайте или в наших приложениях. Salesforce обязуется работать с исследователями безопасности, чтобы проверять и устранять любые потенциальные уязвимости, о которых нам сообщают.

Пожалуйста, ознакомьтесь с этими условиями, прежде чем тестировать и/или сообщать об уязвимости. Salesforce обязуется не начинать судебное преследование исследователей за проникновение или попытку проникновения в наши системы, пока они придерживаются этой политики.

Тестирование на уязвимости безопасности:

Когда доступно пробное (Trial) издание или издание для разработчиков (Developer Edition), проводите всё тестирование уязвимостей на таких экземплярах. Всегда используйте тестовые или демонстрационные учётные записи при тестировании наших онлайн-сервисов.

Информацию об оценках безопасности, требованиях, ограничениях и планировании см. в статье базы знаний «Vulnerability Assessment and Penetration Test».

Сообщение о потенциальной уязвимости безопасности:

  • Конфиденциально поделитесь подробностями предполагаемой уязвимости с Salesforce, отправив письмо на security@salesforce.com
  • Предоставьте полные подробности предполагаемой уязвимости, чтобы команда безопасности Salesforce могла подтвердить и воспроизвести проблему

Salesforce не разрешает следующие виды исследований безопасности:

Хотя мы призываем вас ответственно находить и сообщать нам об уязвимостях, которые вы обнаружили, следующие действия прямо запрещены:

  • Выполнение действий, которые могут негативно повлиять на Salesforce или её пользователей (например, спам, подбор паролей (brute force), отказ в обслуживании…)
  • Доступ или попытка доступа к данным или информации, которые вам не принадлежат
  • Уничтожение или повреждение, или попытка уничтожения или повреждения, данных или информации, которые вам не принадлежат
  • Проведение любых физических или электронных атак на персонал, имущество или центры обработки данных Salesforce
  • Применение социальной инженерии к любой службе поддержки, сотруднику или подрядчику Salesforce
  • Проведение тестирования уязвимостей участвующих сервисов с использованием чего-либо, кроме тестовых учётных записей (например, экземпляров Developer или Trial Edition)
  • Нарушение любых законов или соглашений для обнаружения уязвимостей

Обязательство команды безопасности Salesforce:

Мы просим вас не делиться нерешённой уязвимостью и не обнародовать её перед третьими сторонами. Если вы ответственно отправите сообщение об уязвимости, команда безопасности Salesforce и связанные с ней подразделения разработки приложат разумные усилия, чтобы:

  • Своевременно ответить, подтвердив получение вашего сообщения об уязвимости
  • Предоставить ориентировочные сроки решения вопроса, изложенного в сообщении об уязвимости
  • Уведомить вас, когда уязвимость будет исправлена

Мы рады поблагодарить каждого исследователя, который отправляет сообщение об уязвимости, помогая нам улучшать общее состояние безопасности в Salesforce.