Ihre Offenlegungsstrategie und Ihre security.txt

Der CRA verlangt von jedem Hersteller eine Strategie für die koordinierte Offenlegung von Schwachstellen und eine Kontaktadresse für die Meldung von Schwachstellen. Provetry erstellt beides aus wenigen Antworten, unter Offenlegungsstrategie (kostenpflichtige Tarife; Inhaber und Admins). Die Offenlegungsstrategie wird manchmal auch „Offenlegungsrichtlinie“ genannt.

1. Geben Sie Ihre Website an und wohin gemeldet wird (eine security@-Adresse oder ein Meldeformular).
2. Wählen Sie den Pfad der Offenlegungsstrategie auf Ihrer Website und optional einen OpenPGP-Schlüssel und eine Danksagungsseite.
3. Legen Sie Ihre Zusagen fest: Eingangsbestätigung innerhalb von, erste Einschätzung innerhalb von, Veröffentlichung eines Hinweises nach.
4. Entscheiden Sie, ob Sie zusagen, keine rechtlichen Schritte gegen Forschung in gutem Glauben einzuleiten. Das ist eine rechtliche Zusage: Lassen Sie sie anwaltlich prüfen.
5. Wählen Sie die Sprache der Offenlegungsstrategie: Englisch, Französisch oder Deutsch.
6. Klicken Sie auf Offenlegungsstrategie und security.txt schreiben.

Die Offenlegungsstrategie wird von einer zertifizierten Sicherheitsfachperson geprüft, bevor sie erscheint; den Entwurf sehen Sie in der Zwischenzeit. Sie listet Ihre Produkte und das Ende ihres Unterstützungszeitraums auf, aus ihren Profilen.

security.txt

Die security.txt-Datei ist bereit zur Veröffentlichung unter /.well-known/security.txt auf Ihrer Website. Sie läuft in weniger als einem Jahr ab, wie RFC 9116 es verlangt: Erstellen Sie sie vor diesem Datum auf dieser Seite neu und veröffentlichen Sie die neue Datei. Sobald Sie Hinweise veröffentlichen, erhält sie eine CSAF-Zeile, die auf diese verweist.