Partager un dossier sécurité avec les acheteurs

Les acheteurs demandent de plus en plus comment vous gérez la sécurité de ce qu’ils achètent. Avec les offres payantes, chaque produit a un dossier sécurité acheteurs : une page que vous leur envoyez, en anglais, en français ou en allemand, avec ce que Provetry enregistre sur le produit et rien que vous n’ayez choisi de partager.

Ce que montre la page

• le produit, sa catégorie CRA et la fin de sa période d’assistance ;
• ses versions maintenues, et si vous le souhaitez le SBOM de la dernière (CycloneDX) ;
• combien de vulnérabilités vous avez évaluées sans effet sur lui ou corrigées, avec le flux VEX (OpenVEX) ;
• vos délais de correction sur les 12 derniers mois, face à vos délais cibles ;
• comment signaler une vulnérabilité, avec des liens vers votre politique de divulgation et votre security.txt sur votre site ;
• les avis publiés, et un lien vers la page publique de sécurité quand elle est ouverte.

Elle ne montre jamais vos vulnérabilités ouvertes, vos notes, vos brouillons ni vos signalements.

La partager

1. Sur le produit, ouvrez Dossier sécurité acheteurs.
2. Choisissez qui peut l’ouvrir : toute personne qui a le lien secret, ou aussi depuis la page publique de sécurité du produit.
3. Cochez Joindre le SBOM seulement si vous voulez que les acheteurs téléchargent la liste complète des composants : elle dit aussi à un attaquant quoi chercher.
4. Choisissez la durée de validité du lien (30 jours, 90 jours, un an, ou sans limite), puis Enregistrer.
5. Copiez le lien et envoyez-le. La page compte à peu près combien de fois des personnes l’ont ouverte, et quand pour la dernière fois (les aperçus de lien et les analyseurs de messagerie ne comptent pas).

Créer un nouveau lien arrête aussitôt l’actuel : utilisez-le quand un lien est allé plus loin que prévu. Un nouveau lien est aussi créé quand vous quittez le mode public (l’ancien figurait sur une page que lisent les moteurs de recherche) et quand vous rouvrez un lien expiré. Choisir Personne ferme la page ; le même lien remarche si vous la rouvrez plus tard, sauf si vous en créez un nouveau. La page n’est jamais indexée par les moteurs de recherche. Le lien vers votre politique de divulgation mène à votre propre site.