ISVforce ガイド
jソリューションのフォローアップレビューの申請
- ソリューションから見つかった具体的な例。
- 問題を再現する手順。
- 問題の修正方法に関するドキュメントへのリンクまたはコメント。
Salesforce の目標はできるだけ多くの異なる種類の脆弱性を見つけることですが、セキュリティレビューはブラックボックスのテストであり、時間が制限されているプロセスであることに留意してください。セキュリティの脆弱性のすべての事例を挙げることができるとは限らず、すべての問題の種類を最初に検出できない場合があります。セキュリティレビューの結果は、修正する必要のある問題の種類の代表例として考えてください。レポートに特に記載がない限り、ソリューション全体に関して、すべてのクラスの問題を修正する必要があります。
Salesforce が、検出事項の分析とセキュリティ脆弱性のトラブルシューティングをお手伝いします。Partner Security Portal で、テクニカルオフィスアワーの予定をスケジュールしてください。
ソリューションを改正するときには、前回のレビューで見つかったセキュリティ問題のみを修正し、既存のパッケージのコードを修正します。その他の修正 (機能変更など) を行った場合は、変更されたソリューションの最初のセキュリティレビューを申請する必要があります。修正したコードで新しいパッケージを作成した場合も同様です。
ソリューションを修正した後、フォローアップレビューを行うために必要なデータを集めます。改正したソリューションで必須のスキャナツールを再実行し、更新されたスキャンレポートを生成します。管理パッケージでの問題を修正した場合は、更新されたソーススキャナ結果を提出します。外部エンドポイントで検出された問題を修正した場合は、更新された ZAP または Chimera スキャンレポートを提出します。該当する場合は、偽陽性への対応を文書化します。
提出するデータについての詳細は、「セキュリティレビューの申請に必要なデータ」を参照してください。
フォローアップレビューを依頼するプロセスは、変更の範囲に応じて異なります。
- 新しいパッケージバージョン: Salesforce Platform で実行されるコードを修正した場合は、管理パッケージの新しいバージョンを作成して AppExchange リストにアップロードします。その後、新しいバージョンのレビューを開始します。パッケージ外の変更も行った場合は、セキュリティレビューウィザードでそれらの変更の詳細を提供する準備をしておきます。
- 外部コードまたは API 限定ソリューション: Salesforce の外部で実行されるコードのみを変更した場合は、既存のセキュリティレビュー申請を編集します。セキュリティレビューウィザードで変更の詳細を提供します。セキュリティレビューのケースを登録し、製品セキュリティチームにソリューションを再申請することを知らせます。