Coordinated vulnerability disclosure
← Policyer

Salesforce: Policy för ansvarsfullt röjande

På Salesforce är förtroende vårt värde nummer ett och vi tar skyddet av våra kunders data på mycket stort allvar.

Salesforces säkerhetsteam erkänner den värdefulla roll som oberoende säkerhetsforskare spelar för säkerheten på internet. Därför uppmuntrar vi ansvarsfull rapportering av alla sårbarheter som kan hittas på vår webbplats eller i våra applikationer. Salesforce har åtagit sig att arbeta med säkerhetsforskare för att verifiera och åtgärda alla potentiella sårbarheter som rapporteras till oss.

Läs igenom dessa villkor innan du testar och/eller rapporterar en sårbarhet. Salesforce lovar att inte inleda rättsliga åtgärder mot forskare för att ha trängt in eller försökt tränga in i våra system så länge de följer denna policy.

Testning av säkerhetssårbarheter:

Närhelst en Trial- eller Developer Edition finns tillgänglig, utför all sårbarhetstestning mot sådana instanser. Använd alltid test- eller demokonton när du testar våra onlinetjänster.

För information om säkerhetsbedömningar, krav, begränsningar och schemaläggning, läs kunskapsartikeln "Vulnerability Assessment and Penetration Test".

Rapportering av en potentiell säkerhetssårbarhet:

  • Dela privat detaljerna om den misstänkta sårbarheten med Salesforce genom att skicka e-post till security@salesforce.com
  • Lämna fullständiga detaljer om den misstänkta sårbarheten så att Salesforces säkerhetsteam kan validera och återskapa problemet

Salesforce tillåter inte följande typer av säkerhetsforskning:

Vi uppmuntrar dig att upptäcka och rapportera sårbarheter du hittar på ett ansvarsfullt sätt, men följande beteende är uttryckligen förbjudet:

  • Att utföra handlingar som kan påverka Salesforce eller dess användare negativt (t.ex. skräppost, brute force, överbelastning…)
  • Att komma åt, eller försöka komma åt, data eller information som inte tillhör dig
  • Att förstöra eller skada, eller försöka förstöra eller skada, data eller information som inte tillhör dig
  • Att genomföra någon form av fysiskt eller elektroniskt angrepp mot Salesforces personal, egendom eller datacenter
  • Att utsätta någon Salesforce-servicedesk, anställd eller entreprenör för social manipulation (social engineering)
  • Att genomföra sårbarhetstestning av deltagande tjänster med något annat än testkonton (t.ex. Developer- eller Trial Edition-instanser)
  • Att bryta mot lagar eller avtal för att upptäcka sårbarheter

Salesforces säkerhetsteams åtagande:

Vi ber dig att inte dela eller offentliggöra en olöst sårbarhet med/till tredje part. Om du på ett ansvarsfullt sätt lämnar in en sårbarhetsrapport kommer Salesforces säkerhetsteam och tillhörande utvecklingsorganisationer att göra rimliga ansträngningar för att:

  • Svara i rimlig tid och bekräfta mottagandet av din sårbarhetsrapport
  • Lämna en uppskattad tidsram för att åtgärda sårbarhetsrapporten
  • Meddela dig när sårbarheten har åtgärdats

Vi tackar gärna varje enskild forskare som lämnar in en sårbarhetsrapport och därmed hjälper oss att förbättra vår övergripande säkerhetsställning på Salesforce.