Wat een Salesforce PDO doet, en wanneer je er een inhuurt

Kort antwoord: een Salesforce PDO (Product Development Outsourcer) is een Salesforce-consultingpartner die commerciele apps op het platform bouwt voor softwareleveranciers, ze verpakt en door de security review loodst naar AgentExchange, de marketplace waarin AppExchange in april 2026 is opgegaan. Je huurt er een in als je een product op Salesforce wilt uitbrengen, niet als je een ontwikkelaar tekortkomt.

Wat is een Salesforce PDO?

Een Product Development Outsourcer is een Salesforce-partner die gespecialiseerd is in het bouwen van producten op het platform, in plaats van het platform in te richten voor een enkel bedrijf. ISV's (onafhankelijke softwareleveranciers) besteden aan een PDO de onderdelen uit die specifiek Salesforce zijn: pakketarchitectuur, namespace- en dependency-strategie, licenties, de marketplace-listing en de security review die dat alles afdekt.

Het verschil in een zin:

• Een systeemintegrator laat Salesforce passen bij jouw bedrijf.
• Een PDO maakt van jouw idee iets dat andere bedrijven installeren.

Wat doet een Salesforce PDO precies?

• Productarchitectuur. Wat hoort in het managed package, wat blijft in je eigen service en wat moet per abonnee configureerbaar zijn.
• Packaging. 1GP of 2GP, namespace-registratie, dependencies tussen pakketten en een versiestrategie waar je jaren mee vooruit kunt. Heb je dat nog niet besloten, dan zet onze gids over Salesforce-packagingmodellen voor ISV's de afwegingen op een rij voordat een PDO ze vastlegt.
• Security review. Voorbereiding, indiening en herstelwerk als de reviewers met bevindingen terugkomen.
• Licenties en provisioning. De License Management App, trialflows en de listing zelf.
• Release-engineering na de lancering. Patches, upgrades en push-versies die orgs die je niet kunt zien niet stukmaken.
• Supportmodel. Een ISV ondersteunt installaties die hij niet beheert, en dat is een ander vak dan een enkele org ondersteunen.

Alleen het eerste punt lijkt op gewoon Salesforce-werk. De rest is productoperatie, en daar verliezen ISV's hun eerste kwartalen. Die volledige scope, van eerste ontwerp tot gelist pakket, dekt onze AppExchange app build-dienst.

Wat veranderde er in 2026 voor Salesforce PDO's en ISV's?

Drie platformverschuivingen veranderen wat een PDO dit jaar moet weten:

• AppExchange werd AgentExchange. Op 17 april 2026 kondigde Salesforce AgentExchange aan: een marketplace die AppExchange, de Slack Marketplace en het Agentforce-ecosysteem samenvoegt, met meer dan 10.000 Salesforce- en partnerapps. Elke gelijste oplossing gaat nog steeds door de security review.
• Connected apps maakten plaats voor external client apps. De ontwikkelaarsdocs van Salesforce stellen dat het aanmaken van connected apps vanaf Spring '26 beperkt is en raden external client apps aan. Trailhead noemt de mogelijkheid om external client apps te distribueren met second-generation managed packages hun grootste voordeel, waarbij de OAuth consumer credentials buiten het pakket blijven.
• De deadline voor OAuth-hardening is verstreken. Partners hadden tot 11 mei 2026 om vier controls op hun apps aan te zetten en dat zelf te verklaren. Meer daarover hieronder.

Wanneer huur je een Salesforce PDO in?

Vijf signalen, ruwweg op volgorde van urgentie:

1. Je hebt een productidee en een eerste designpartner, maar nog geen namespace en geen packagingbesluit op papier. Dit is het goedkoopste moment om een PDO te betrekken, omdat nog niets vastligt.
2. Je app werkt in een sandbox en breekt als pakket. Namespace-prefixen, dynamische SOQL en dependencies tussen pakketten falen op manieren die je in ongepakte code nooit ziet.
3. Je gaat voor het eerst de security review in. Het risico is zelden een enkele afwijzing, maar drie afwijzingen en twee verloren kwartalen. Onze uitleg over hoe ISV's slagen voor de AppExchange Security Review laat zien waar die cycli meestal verloren gaan.
4. Je zit op 1GP en wilt naar 2GP. Salesforce maakte Package Migrations algemeen beschikbaar in Summer '25: het converteert een 1GP-pakket naar 2GP en migreert bestaande abonnees mee. De vraag is niet meer of, maar wanneer en in welke volgorde, en welke 2GP-keuzes permanent zijn zodra je ze maakt. External client apps versterken de case alleen maar, want ze zijn gebouwd om in 2GP te verschepen.
5. Je hebt abonnees en elke release is risico geworden. Zodra andere bedrijven van je versienummers afhangen, is release-engineering geen keuze meer.

Waarom is een PDO inhuren een productbeslissing en geen personeelskwestie?

Detachering beantwoordt een capaciteitsvraag: we hebben zes maanden lang twee Apex-ontwikkelaars extra nodig. Een PDO-opdracht beantwoordt een productvraag: versie 1.0 moet in Q2 gelist, gereviewd en installeerbaar zijn. Dat tweede kader is lastiger in te kopen en veel beter om zelf te sturen, want vrijwel elke dure fout in ISV-levering is een beslissing, geen tekort aan handen.

Een namespace registreer je een keer en blijft aan het pakket hangen. De keuze tussen 1GP en 2GP legt je releasemodel voor jaren vast. Wat je in het pakket stopt, bepaalt wat je later kunt wijzigen zonder elke abonnee om toestemming te vragen. Niets daarvan los je op door capaciteit toe te voegen aan een team dat nog nooit een pakket heeft uitgebracht.

Heeft je Salesforce-werk een roadmap, abonnees en een versienummer, dan koop je productengineering in. Koop het dan ook zo in.

Waar toetst de Salesforce security review echt op?

De security review is een productpoort, geen codestijlcontrole. Er wordt gekeken naar hoe je pakket omgaat met data, secrets, sharing en toegang, en de poort komt terug zodra de eisen van het platform strenger worden.

Het actuele voorbeeld is OAuth op connected apps en external client apps. De ISVforce-gids van Salesforce verplichtte partners om OAuth PKCE, refresh token rotation, een idle refresh token time-to-live van 30 dagen en een IP-allowlist voor refresh tokens aan te zetten en om zelf te verklaren dat de app daarop is aangesloten, uiterlijk 11 mei 2026. Na die verklaring vergrendelen de controls en kunnen ze niet meer uit; de gids waarschuwt dat wie niet voldoet, de-listing of opschorting van de koppeling met Salesforce riskeert. Heeft je app die datum gemist, dan is het nu een herstelpunt in plaats van een roadmappunt, precies het soort verplichting dat een PDO voor je bewaakt.

Voor de review zelf noemt onze Salesforce security review checklist de gangbare bevindingen die je op volgorde oplost voor je indient, en onze security review-dienst neemt indiening en herstel uit handen.

Hoe kies je een Salesforce PDO?

Stel vijf vragen en laat de antwoorden zwaar wegen:

• Welke pakketten hebben jullie door de security review gebracht, en in welke sectoren? Gereguleerde sectoren leggen de lat hoger.
• Laat een 2GP-pakket zien dat jullie vandaag onderhouden. Iets bouwen is niet hetzelfde als het versioneren over abonnee-orgs.
• Hoe gaan jullie om met external client apps en de OAuth-controls van 2026? Een actuele PDO beantwoordt dit zonder het op te zoeken.
• Wie herstelt de bevindingen als de review terugkomt? Het antwoord zou zij moeten zijn.
• Wat gebeurt er na de lancering? Een partner die bij de listing verdwijnt, laat je met het moeilijkste deel achter.

Tekunda beantwoordt die vragen vanuit levering, niet vanuit een brochure. We zijn gecertificeerd Salesforce SI, ISV en PDO, we hebben de AppExchange security review doorstaan in zorg, logistiek en maakindustrie, en we hebben pakketten in productie opgeleverd en onderhouden: de Syntilio managed packages die we voor een eHealth ISV ontwikkelden (2022 tot 2025) op de AppExchange, en het 2GP managed package voor ASSA ABLOY dat de connected-device werklast draagt. Dat we ISV en PDO zijn, maakt ons ook een snellere integrator, omdat componenten van productkwaliteit hergebruikt worden in plaats van opnieuw gebouwd. Neem contact op over jouw app.

FAQ

Waar staat PDO voor in Salesforce?

Product Development Outsourcer: een Salesforce-consultingpartner gespecialiseerd in het bouwen, verpakken en listen van commerciele apps voor softwareleveranciers.

Wat is het verschil tussen een PDO en een Salesforce-implementatiepartner?

Een implementatiepartner richt Salesforce in voor het eigen gebruik van een bedrijf. Een PDO bouwt een verpakt product dat veel bedrijven installeren, waardoor namespace, versionering, licenties en security review erbij komen.

Heb ik een PDO nodig om de security review te halen?

Nee. Veel ISV's halen het zelf. Een PDO levert vooral minder reviewrondes op, omdat de gangbare bevindingen voorspelbaar worden als je het vaker hebt gedaan.

Is een Salesforce PDO hetzelfde als Plauti PDO?

Nee. Plauti Data Orchestration, ook afgekort tot PDO, is een Salesforce-product van Plauti. Een Salesforce PDO is een type consultingpartner.

Hoe vroeg moet een ISV een PDO betrekken?

Voordat de namespace- en packagingbesluiten vallen. Dat zijn de keuzes die duur zijn om terug te draaien, en ze worden meestal in week een gemaakt.