Coordinated vulnerability disclosure
← Політики

Salesforce: політика відповідального розкриття

У Salesforce довіра — наша цінність № 1, і ми дуже серйозно ставимося до захисту даних наших клієнтів.

Команда безпеки Salesforce визнає цінну роль, яку незалежні дослідники безпеки відіграють у безпеці інтернету. Тому ми заохочуємо відповідальне повідомлення про будь-які вразливості, які можуть бути виявлені на нашому сайті чи в застосунках. Salesforce зобов'язується співпрацювати з дослідниками безпеки для перевірки й усунення будь-яких потенційних вразливостей, про які нам повідомляють.

Будь ласка, ознайомтеся з цими умовами перед тестуванням та/або повідомленням про вразливість. Salesforce обіцяє не розпочинати судових дій проти дослідників за проникнення чи спроби проникнення в наші системи, доки вони дотримуються цієї політики.

Тестування вразливостей безпеки:

Щоразу, коли доступна пробна версія (Trial) або версія для розробників (Developer Edition), проводьте все тестування вразливостей на таких екземплярах. Завжди використовуйте тестові або демонстраційні облікові записи під час тестування наших онлайн-сервісів.

Інформацію про оцінки безпеки, вимоги, обмеження та планування дивіться в статті бази знань «Vulnerability Assessment and Penetration Test».

Повідомлення про потенційну вразливість безпеки:

  • Приватно діліться подробицями підозрюваної вразливості із Salesforce, надіславши лист на security@salesforce.com
  • Надайте повні подробиці підозрюваної вразливості, щоб команда безпеки Salesforce могла підтвердити й відтворити проблему

Salesforce не дозволяє такі види досліджень безпеки:

Хоча ми заохочуємо вас виявляти та відповідально повідомляти нам про будь-які вразливості, які ви знаходите, таку поведінку явно заборонено:

  • Виконання дій, які можуть негативно вплинути на Salesforce або його користувачів (наприклад, спам, Brute Force, Denial of Service…)
  • Доступ або спроби доступу до даних чи інформації, що вам не належать
  • Знищення чи пошкодження, або спроби знищення чи пошкодження даних чи інформації, що вам не належать
  • Проведення будь-якого виду фізичної чи електронної атаки на персонал, майно чи центри обробки даних Salesforce
  • Застосування соціальної інженерії до будь-якої служби підтримки, працівника чи підрядника Salesforce
  • Проведення тестування вразливостей сервісів-учасників за допомогою чогось, окрім тестових облікових записів (наприклад, екземпляри Developer або Trial Edition)
  • Порушення будь-яких законів або угод з метою виявлення вразливостей

Зобов'язання команди безпеки Salesforce:

Ми просимо вас не ділитися нерозв'язаною вразливістю та не оприлюднювати її третім сторонам. Якщо ви відповідально надішлете звіт про вразливість, команда безпеки Salesforce та пов'язані організації розробки докладуть розумних зусиль, щоб:

  • Своєчасно відповісти, підтвердивши отримання вашого звіту про вразливість
  • Надати орієнтовні часові рамки для опрацювання звіту про вразливість
  • Повідомити вас, коли вразливість буде виправлено

Ми із задоволенням дякуємо кожному досліднику, який надсилає звіт про вразливість, допомагаючи нам покращити загальний стан безпеки в Salesforce.