Kostenloses Werkzeug
security.txt-Generator und -Prüfer
Eine security.txt-Datei sagt Sicherheitsforschenden, wie sie Sie wegen einer Schwachstelle erreichen. Füllen Sie das Formular aus, um eine zu erstellen, oder fügen Sie Ihre ein, um sie nach RFC 9116 zu prüfen.
Läuft vollständig in Ihrem Browser: Nichts, was Sie eingeben oder öffnen, wird an uns gesendet oder gespeichert.
Wo sie hingehört
Veröffentlichen Sie sie unter /.well-known/security.txt jeder Domain, die Sie nutzen, über https und als text/plain. Eine Signatur mit OpenPGP wird empfohlen.
security.txt und die Cyberresilienz-Verordnung
Der CRA verlangt von jedem Hersteller, eine zentrale Anlaufstelle für die Meldung von Schwachstellen in seinen Produkten anzugeben (Artikel 13 Absatz 17) und eine Strategie für die koordinierte Offenlegung von Schwachstellen aufzustellen und umzusetzen (Anhang I Teil II). Die security.txt-Datei ist der standardisierte, maschinenlesbare Weg, diesen Kontakt zu veröffentlichen: Forschende und ihre Werkzeuge suchen zuerst dort.
Halten Sie sie aktuell: Eine Datei mit abgelaufenem Datum sagt Forschenden, dass der Kontakt vielleicht nicht mehr funktioniert. Provetry erneuert die Datei jedes Ihrer Produkte für Sie.
Weitere kostenlose Werkzeuge
- CVSS-3.1-Rechner
Bewerten Sie eine Schwachstelle anhand ihrer acht Basismetriken, oder fügen Sie einen Vektor ein, um ihn zu lesen.
- CVSS-4.0-Rechner
Die neuere CVSS-Version, berechnet mit dem Referenzverfahren von FIRST: Basismetriken oder ein beliebiger eingefügter Vektor.
- EPSS-Score abfragen
Wie wahrscheinlich eine Schwachstelle in den nächsten 30 Tagen ausgenutzt wird: der aktuelle Score von FIRST, für bis zu 30 CVEs auf einmal.
- Generator für eine Offenlegungsstrategie
Eine Strategie für die koordinierte Offenlegung von Schwachstellen in Ihren Produkten, bereit zur Veröffentlichung, auf Deutsch, Englisch oder Französisch.
- SBOM-Generator
Erzeugen Sie aus Ihren Lock-Dateien eine SBOM in CycloneDX oder SPDX: npm, pnpm, Yarn, Python, Go, Rust, Java, .NET, PHP und Ruby.
- SBOM-Viewer und -Prüfer
Öffnen Sie eine CycloneDX- oder SPDX-Datei: ihre Komponenten und was der CRA erwartet, das noch fehlt.