Publier des avis de sécurité (CSAF)

Le CRA vous demande de partager avec vos utilisateurs les informations sur les vulnérabilités corrigées. Avec les offres payantes, Provetry donne à chaque produit une page publique de sécurité avec ses avis, dans les formats que lisent les outils.

1. Sur le produit, ouvrez Avis et page publique.
2. Nouvel avis : identifiants (CVE, GHSA…), versions touchées, ce que les utilisateurs doivent faire, un contournement s’il y en a un, une mention du découvreur avec son accord.
3. Enregistrez : le brouillon reste privé.
4. Publier une nouvelle révision quand il est prêt. Les modifications suivantes deviennent de nouvelles révisions ; un avis publié reste en ligne.
5. Ouvrir la page rend la page publique de sécurité visible.

Ce qui est publié

• Les avis en CSAF 2.0, signés avec OpenPGP, avec les métadonnées du fournisseur, l’index et les empreintes qu’attendent les outils CSAF.
• Un flux VEX (OpenVEX) des vulnérabilités évaluées non concernées ou corrigées : statut, justification et composant, jamais vos explications.
• Un lien vers votre politique de divulgation.

Les avis sont rédigés en anglais, la langue des outils CSAF. Fermer la page rend l’adresse inactive jusqu’à ce que vous la rouvriez.