Wat een Salesforce PDO doet, en wanneer je er een inhuurt

Kort antwoord: een Salesforce PDO (Product Development Outsourcer) is een consultingpartner die commerciele apps op het Salesforce-platform bouwt voor softwareleveranciers, ze correct verpakt en door de AppExchange security review loodst. Je huurt er een in als je een product op Salesforce wilt uitbrengen, niet als je een ontwikkelaar tekortkomt. Dat onderscheid bepaalt hoe de samenwerking wordt afgebakend, geprijsd en beoordeeld.

Wat is een Salesforce PDO?

Een Product Development Outsourcer is een Salesforce-partner die gespecialiseerd is in het bouwen van producten op het platform, in plaats van het platform in te richten voor een enkel bedrijf. ISV's (onafhankelijke softwareleveranciers) besteden aan een PDO de onderdelen uit die specifiek Salesforce zijn: pakketarchitectuur, namespace- en dependency-strategie, licenties, de AppExchange-listing en de security review die dat alles afdekt.

Het verschil in een zin:

• Een systeemintegrator laat Salesforce passen bij jouw bedrijf.
• Een PDO maakt van jouw idee iets dat andere bedrijven installeren.

Wat doet een Salesforce PDO precies?

• Productarchitectuur. Wat hoort in het managed package, wat blijft in je eigen service en wat moet per abonnee configureerbaar zijn.
• Packaging. 1GP of 2GP, namespace-registratie, dependencies tussen pakketten en een versiestrategie waar je jaren mee vooruit kunt.
• Security review. Voorbereiding, indiening en herstelwerk als de reviewers met bevindingen terugkomen.
• Licenties en provisioning. De License Management App, trialflows en de listing zelf.
• Release-engineering na de lancering. Patches, upgrades en push-versies die orgs die je niet kunt zien niet stukmaken.
• Supportmodel. Een ISV ondersteunt installaties die hij niet beheert, en dat is een ander vak dan een enkele org ondersteunen.

Alleen het eerste punt lijkt op gewoon Salesforce-werk. De rest is productoperatie, en daar verliezen ISV's hun eerste kwartalen.

Wanneer huur je een Salesforce PDO in?

Vijf signalen, ruwweg op volgorde van urgentie:

1. Je hebt een productidee en een eerste designpartner, maar nog geen namespace en geen packagingbesluit op papier. Dit is het goedkoopste moment om een PDO te betrekken, omdat nog niets vastligt.
2. Je app werkt in een sandbox en breekt als pakket. Namespace-prefixen, dynamische SOQL en dependencies tussen pakketten falen op manieren die je in ongepakte code nooit ziet.
3. Je gaat voor het eerst de security review in. Het risico is zelden een enkele afwijzing, maar drie afwijzingen en twee verloren kwartalen.
4. Je zit op 1GP en wilt naar 2GP. Salesforce maakte Package Migrations algemeen beschikbaar in Summer '25: het converteert een 1GP-pakket naar 2GP en migreert bestaande abonnees mee. De vraag is niet meer of, maar wanneer en in welke volgorde.
5. Je hebt abonnees en elke release is risico geworden. Zodra andere bedrijven van je versienummers afhangen, is release-engineering geen keuze meer.

Waarom is een PDO inhuren een productbeslissing en geen personeelskwestie?

Detachering beantwoordt een capaciteitsvraag: we hebben zes maanden lang twee Apex-ontwikkelaars extra nodig. Een PDO-opdracht beantwoordt een productvraag: versie 1.0 moet in Q2 gelist, gereviewd en installeerbaar zijn. Dat tweede kader is lastiger in te kopen en veel beter om zelf te sturen, want vrijwel elke dure fout in ISV-levering is een beslissing, geen tekort aan handen.

Een namespace registreer je een keer en blijft aan het pakket hangen. De keuze tussen 1GP en 2GP legt je releasemodel voor jaren vast. Wat je in het pakket stopt, bepaalt wat je later kunt wijzigen zonder elke abonnee om toestemming te vragen. Niets daarvan los je op door capaciteit toe te voegen aan een team dat nog nooit een pakket heeft uitgebracht.

Heeft je Salesforce-werk een roadmap, abonnees en een versienummer, dan koop je productengineering in. Koop het dan ook zo in.

Waar toetst de AppExchange security review echt op?

De security review is een productpoort, geen codestijlcontrole. Er wordt gekeken naar hoe je pakket omgaat met data, secrets, sharing en toegang, en de poort komt terug zodra de eisen van het platform strenger worden.

Het actuele voorbeeld dat elke ISV op de roadmap hoort te hebben, zijn connected apps. De ISVforce-gids van Salesforce verplicht partners om OAuth PKCE, refresh token rotation, een idle refresh token time-to-live van 30 dagen en een IP-allowlist voor refresh tokens aan te zetten en om zelf te verklaren dat de app op alle vier is aangesloten, uiterlijk 11 mei 2026. Na die verklaring vergrendelen de controls en kunnen ze niet meer uit; wie niet voldoet, riskeert de-listing of opschorting van de koppeling. Precies het soort deadline dat een PDO voor je bewaakt.

Hoe kies je een Salesforce PDO?

Stel vier vragen en laat de antwoorden zwaar wegen:

• Welke pakketten hebben jullie door de security review gebracht, en in welke sectoren? Gereguleerde sectoren leggen de lat hoger.
• Laat een 2GP-pakket zien dat jullie vandaag onderhouden. Iets bouwen is niet hetzelfde als het versioneren over abonnee-orgs.
• Wie herstelt de bevindingen als de review terugkomt? Het antwoord zou zij moeten zijn.
• Wat gebeurt er na de lancering? Een partner die bij de listing verdwijnt, laat je met het moeilijkste deel achter.

Tekunda beantwoordt die vragen vanuit levering, niet vanuit een brochure. We zijn gecertificeerd Salesforce SI, ISV en PDO, we hebben de AppExchange security review doorstaan in zorg, logistiek en maakindustrie, en we onderhouden pakketten in productie: Syntilio CareHub bedient 12 of meer zorgorganisaties op de AppExchange, en ons 2GP managed package voor ASSA ABLOY draagt de connected-device werklast. Dat we ISV en PDO zijn, maakt ons ook een snellere integrator, omdat componenten van productkwaliteit hergebruikt worden in plaats van opnieuw gebouwd. Bekijk hoe we werken.

FAQ

Waar staat PDO voor in Salesforce?

Product Development Outsourcer: een Salesforce-consultingpartner gespecialiseerd in het bouwen, verpakken en listen van commerciele apps op de AppExchange voor softwareleveranciers.

Wat is het verschil tussen een PDO en een Salesforce-implementatiepartner?

Een implementatiepartner richt Salesforce in voor het eigen gebruik van een bedrijf. Een PDO bouwt een verpakt product dat veel bedrijven installeren, waardoor namespace, versionering, licenties en security review erbij komen.

Heb ik een PDO nodig om de AppExchange security review te halen?

Nee. Veel ISV's halen het zelf. Een PDO levert vooral minder reviewrondes op, omdat de gangbare bevindingen voorspelbaar worden als je het vaker hebt gedaan.

Moet een nieuwe AppExchange-app op 1GP of 2GP starten?

2GP is de moderne route voor nieuwe pakketten. Bestaande 1GP-leveranciers zitten ook niet vast: Package Migrations van Salesforce is sinds Summer '25 algemeen beschikbaar en converteert een 1GP-pakket naar 2GP inclusief de bestaande abonnees.

Hoe vroeg moet een ISV een PDO betrekken?

Voordat de namespace- en packagingbesluiten vallen. Dat zijn de keuzes die duur zijn om terug te draaien, en ze worden meestal in week een gemaakt.