Coordinated vulnerability disclosure
← Chính sách

Salesforce: Chính sách công bố có trách nhiệm

Tại Salesforce, sự tin cậy là giá trị số 1 của chúng tôi và chúng tôi rất nghiêm túc trong việc bảo vệ dữ liệu của khách hàng.

Đội ngũ bảo mật của Salesforce ghi nhận vai trò quý giá của các nhà nghiên cứu bảo mật độc lập đối với an ninh Internet. Vì vậy, chúng tôi khuyến khích báo cáo có trách nhiệm bất kỳ lỗ hổng nào có thể được tìm thấy trong trang web hoặc ứng dụng của chúng tôi. Salesforce cam kết làm việc với các nhà nghiên cứu bảo mật để xác minh và xử lý mọi lỗ hổng tiềm ẩn được báo cáo cho chúng tôi.

Vui lòng xem lại các điều khoản này trước khi bạn thử nghiệm và/hoặc báo cáo một lỗ hổng. Salesforce cam kết không khởi kiện các nhà nghiên cứu vì đã xâm nhập hoặc cố xâm nhập vào hệ thống của chúng tôi miễn là họ tuân thủ chính sách này.

Thử nghiệm các lỗ hổng bảo mật:

Bất cứ khi nào có sẵn phiên bản Trial hoặc Developer Edition, vui lòng tiến hành mọi thử nghiệm lỗ hổng trên các phiên bản đó. Luôn sử dụng tài khoản thử nghiệm hoặc demo khi thử nghiệm các dịch vụ trực tuyến của chúng tôi.

Để biết thông tin về đánh giá bảo mật, yêu cầu, hạn chế và lịch trình, hãy xem bài viết kiến thức có tiêu đề "Vulnerability Assessment and Penetration Test".

Báo cáo một lỗ hổng bảo mật tiềm ẩn:

  • Chia sẻ riêng tư chi tiết về lỗ hổng bị nghi ngờ với Salesforce bằng cách gửi email đến security@salesforce.com
  • Cung cấp đầy đủ chi tiết về lỗ hổng bị nghi ngờ để đội ngũ bảo mật của Salesforce có thể xác thực và tái hiện vấn đề

Salesforce không cho phép các loại nghiên cứu bảo mật sau:

Mặc dù chúng tôi khuyến khích bạn phát hiện và báo cáo cho chúng tôi bất kỳ lỗ hổng nào bạn tìm thấy một cách có trách nhiệm, các hành vi sau đây bị nghiêm cấm một cách rõ ràng:

  • Thực hiện các hành động có thể ảnh hưởng tiêu cực đến Salesforce hoặc người dùng của Salesforce (ví dụ: spam, Brute Force, từ chối dịch vụ…)
  • Truy cập, hoặc cố truy cập, dữ liệu hoặc thông tin không thuộc về bạn
  • Phá hủy hoặc làm hỏng, hoặc cố phá hủy hoặc làm hỏng, dữ liệu hoặc thông tin không thuộc về bạn
  • Thực hiện bất kỳ loại tấn công vật lý hoặc điện tử nào nhằm vào nhân sự, tài sản hoặc trung tâm dữ liệu của Salesforce
  • Dùng kỹ thuật xã hội đối với bất kỳ bộ phận hỗ trợ dịch vụ, nhân viên hoặc nhà thầu nào của Salesforce
  • Thực hiện thử nghiệm lỗ hổng các dịch vụ tham gia bằng bất kỳ thứ gì khác ngoài tài khoản thử nghiệm (ví dụ: các phiên bản Developer hoặc Trial Edition)
  • Vi phạm bất kỳ luật nào hoặc phá vỡ bất kỳ thỏa thuận nào để phát hiện lỗ hổng

Cam kết của đội ngũ bảo mật Salesforce:

Chúng tôi yêu cầu bạn không chia sẻ hoặc công khai một lỗ hổng chưa được giải quyết với/cho các bên thứ ba. Nếu bạn gửi báo cáo lỗ hổng một cách có trách nhiệm, đội ngũ bảo mật của Salesforce và các tổ chức phát triển liên quan sẽ nỗ lực hợp lý để:

  • Phản hồi kịp thời, xác nhận đã nhận báo cáo lỗ hổng của bạn
  • Cung cấp khung thời gian ước tính để xử lý báo cáo lỗ hổng
  • Thông báo cho bạn khi lỗ hổng đã được sửa

Chúng tôi vui mừng cảm ơn từng nhà nghiên cứu gửi báo cáo lỗ hổng, giúp chúng tôi cải thiện tình trạng bảo mật tổng thể tại Salesforce.