Votre politique de divulgation et votre security.txt

Le CRA demande à chaque fabricant d’avoir une politique de divulgation coordonnée des vulnérabilités et un point de contact pour les signalements. Provetry rédige les deux à partir de quelques réponses, dans Divulgation (offres payantes ; propriétaires et administrateurs).

1. Indiquez votre site web et où signaler (une adresse securite@ ou un formulaire de signalement).
2. Choisissez le chemin de la politique sur votre site, et si vous le souhaitez une clé OpenPGP et une page de remerciements.
3. Fixez vos engagements : accusé de réception sous, première évaluation sous, publication d’un avis après.
4. Décidez si vous vous engagez à ne pas poursuivre les recherches menées de bonne foi. C’est un engagement juridique : faites-le relire par votre avocat.
5. Choisissez la langue de la politique : anglais, français ou allemand.
6. Cliquez sur Rédiger la politique et le security.txt.

La politique est relue par un expert en sécurité certifié avant d’apparaître ; vous pouvez voir le brouillon en attendant. Elle liste vos produits et la fin de leur période d’assistance, d’après leurs profils.

security.txt

Le fichier security.txt est prêt à publier à l’adresse /.well-known/security.txt de votre site. Il expire dans moins d’un an, comme le demande la RFC 9116 : rédigez-le à nouveau depuis cette page avant cette date et publiez le nouveau fichier. Dès que vous publiez des avis, il reçoit une ligne CSAF qui y renvoie.