Publier une application sur Salesforce AppExchange : le guide complet

Publier une application sur Salesforce AppExchange n'est pas qu'une question de code : c'est un parcours administratif, technique et commercial qui s'étale généralement sur plusieurs mois. Ce guide résume les étapes réelles, dans l'ordre où vous les rencontrerez, pour éviter les allers-retours coûteux avec Salesforce.

1. Devenir Salesforce Partner

Avant même de penser au code, vous devez créer un compte sur le Partner Community (partners.salesforce.com) et rejoindre le programme ISV Partner Program. C'est ce statut qui vous donne accès aux environnements de développement gratuits, à la documentation Security Review et aux outils de packaging.

• Créez un Partner Business Org (PBO) : c'est votre org de référence pour gérer le compte partenaire.
• Demandez un Environment Hub pour provisionner vos orgs de développement et de test.
• Signez le Master Subscription Agreement et le contrat ISV avant de pouvoir soumettre un package.

2. Construire le package dans un Namespace dédié

Toute application distribuée sur AppExchange doit être empaquetée dans un Managed Package associé à un Namespace unique et réservé. Le namespace préfixe tous vos objets, champs et classes Apex (ex. monapp__Facture__c) pour éviter les collisions chez le client final.

Quelques règles à respecter dès le départ :

• Le namespace est définitif une fois choisi : réfléchissez au nommage avant de le réserver.
• Développez dans un Dev Hub avec des Scratch Orgs pour itérer rapidement, puis consolidez dans l'org packaging.
• Séparez clairement les composants publics (API) des composants internes pour limiter la surface exposée aux clients.

3. Préparer la Security Review

C'est l'étape la plus redoutée par les éditeurs. Salesforce audite votre package (analyse statique via Checkmarx, tests manuels, vérification des flux de données) avant d'autoriser sa mise en ligne. Comptez plusieurs semaines, parfois plusieurs cycles si des vulnérabilités sont trouvées.

Lancez le scan de sécurité automatisé disponible dans le Partner Portal avant votre soumission officielle : il détecte une bonne partie des problèmes courants (injection SOQL, CRUD/FLS non vérifiés, secrets en dur) et vous fait gagner des semaines.

Un exemple typique de correctif attendu par les reviewers :

// A éviter : accès direct sans vérification des droits
List<Facture__c> factures = [SELECT Id, Montant__c FROM Facture__c];

// Attendu : vérification CRUD/FLS explicite
if (Schema.sObjectType.Facture__c.isAccessible()) {
    List<Facture__c> factures = [SELECT Id, Montant__c FROM Facture__c WITH SECURITY_ENFORCED];
}

4. Créer la fiche AppExchange

Une fois le package validé, vous créez le listing dans le Partner Portal : nom commercial, description, captures d'écran, catégorie, vidéo de démonstration et modèle tarifaire. C'est aussi là que vous configurez le Trial Org (org d'essai provisionné automatiquement pour les prospects) si vous en proposez un.

• Rédigez une description orientée bénéfices métier, pas uniquement fonctionnelle.
• Prévoyez au moins 3 captures d'écran nettes et une vidéo courte (moins de 3 minutes).
• Indiquez précisément les éditions Salesforce supportées (Professional, Enterprise, Unlimited...).

5. Publication et suivi post-lancement

Après validation finale par l'équipe AppExchange, votre fiche passe en ligne. Le travail ne s'arrête pas là : vous devez maintenir un canal de support, surveiller les avis clients, et planifier vos futures versions via le processus de Push Upgrade pour déployer des correctifs sans action du client.

En résumé, la publication sur AppExchange combine trois dimensions indissociables : la rigueur technique du packaging managé, la discipline de sécurité imposée par la Security Review, et le soin apporté à la présentation commerciale. Sous-estimer l'une de ces dimensions retarde systématiquement la mise en ligne.