./cra/security.txt --generate
security.txt i polityka ujawniania
CRA oczekuje, że każdy producent będzie miał politykę skoordynowanego ujawniania podatności i adres kontaktowy do ich zgłaszania. Standardowym sposobem publikacji takiego kontaktu jest plik security.txt, a ta strona przygotuje dla ciebie oba dokumenty.
- Dodaj co najmniej jeden kontakt. Oprócz Expires to jedyne pole wymagane w security.txt.
security.txt
Opublikuj plik jako zwykły tekst pod adresem /.well-known/security.txt w swojej domenie. Pola Contact i Expires są wymagane, a data w Expires powinna przypadać za mniej niż rok, więc ustaw w kalendarzu przypomnienie o odnowieniu. Zaleca się podpisanie pliku kluczem OpenPGP.
Contact: mailto:security@example.com
Expires: 2027-01-01T23:59:59Z
Preferred-Languages: pl, en
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security/policy
Polityka skoordynowanego ujawniania podatności
Szablon na początek. Dostosuj go do tego, jak naprawdę pracuje twój zespół, i przed publikacją daj go komuś do sprawdzenia, zwłaszcza fragment o krokach prawnych. Większość badaczy zgłasza podatności po angielsku, więc warto opublikować obie wersje.
# Polityka ujawniania podatności
Nasza firma poważnie podchodzi do bezpieczeństwa swoich produktów. Jeśli uważasz, że w którymś z naszych produktów lub usług jest podatność, daj nam znać.
## Jak zgłosić podatność
Napisz na adres security@example.com. Opisz problem, podaj produkt i wersję, których dotyczy, kroki pozwalające go odtworzyć oraz, jeśli to możliwe, proof of concept. Aktualne dane kontaktowe zawsze znajdziesz pod adresem https://example.com/.well-known/security.txt.
Prosimy, abyś nie uzyskiwał dostępu do cudzych danych, nie zmieniał ich ani nie usuwał, nie zakłócał działania naszych usług ani urządzeń w terenie oraz dał nam rozsądny czas na usunięcie problemu przed jego publicznym ujawnieniem.
## Czego możesz od nas oczekiwać
Potwierdzimy otrzymanie zgłoszenia w ciągu 5 dni roboczych i będziemy cię informować o postępach analizy i naprawy. Termin ujawnienia uzgodnimy z tobą, a jeśli zechcesz, po wydaniu poprawki wymienimy cię jako autora zgłoszenia.
Gdy aktualizacja bezpieczeństwa jest już dostępna, publikujemy informacje o usuniętej podatności, aby użytkownicy mogli sprawdzić, czy ich dotyczy i jak zaktualizować urządzenia. Jeśli podatność w naszych produktach jest aktywnie wykorzystywana, zgłaszamy ją właściwym organom zgodnie z unijnym aktem o cyberodporności (Cyber Resilience Act).
## Działanie w dobrej wierze
Nie podejmiemy kroków prawnych wobec nikogo, kto zgłosi podatność w dobrej wierze i będzie postępować zgodnie z tą polityką.
## Zakres
Polityka obejmuje nasze produkty, ich firmware oraz usługi online, od których zależy ich działanie. Chętnie przyjmiemy też zgłoszenia podatności w komponentach zewnętrznych dostawców i skoordynujemy ich obsługę z opiekunami tych komponentów.
Plik zgodny z RFC 9116, obsługa podatności zgodna z częścią II załącznika I do CRA. Tekst polityki to szablon, a nie porada prawna.