security.txt a kanál na nahlasovanie zraniteľností: povinnosť z Prílohy I za jednu hodinu

Medzi povinnosťami Cyber Resilience Act je jedna, ktorá stojí hodinu práce a vybavíte ju raz a navždy: kanál, cez ktorý vám ľudia nahlásia zraniteľnosť. Vyžaduje ho Príloha I, časť II nariadenia (EÚ) 2024/2847 — a hoci znie formálne, v praxi ide o jednu e-mailovú adresu a jeden textový súbor na webe. Poďme na to.

Čo presne CRA žiada

Príloha I časť II hovorí o procese riešenia zraniteľností a jeho súčasťou je kontaktná adresa na nahlasovanie zraniteľností — miesto, kam vám bezpečnostný výskumník, zákazník alebo ktokoľvek iný vie oznámiť, že vo vašom produkte našiel dieru. Bez takého kanála sa o probléme dozviete náhodou a neskoro; s ním máte definované, kam správy chodia a kto ich číta.

Nie je to len „papierová" povinnosť. Je to prvý článok reťaze, ktorá pri aktívne zneužívanej zraniteľnosti končí 24-hodinovým hlásením podľa čl. 14 — a tá reťaz musí niekde začínať.

Krok 1: verejná adresa

Zriaďte adresu, ktorá je zjavne určená na bezpečnostné hlásenia. Konvenčne je to security@vasa-domena. Nemusí to byť nová schránka — môže smerovať do existujúceho tímového inboxu — ale malo by byť jasné, kto ju sleduje a ako rýchlo reaguje. Kľúčové je, aby správa neskončila v nikoho e-maile.

Krok 2: /.well-known/security.txt

Aby ten, kto chce niečo nahlásiť, kontakt našiel bez hádania, existuje štandard RFC 9116: textový súbor na pevnej ceste /.well-known/security.txt na vašej doméne. Výskumníci ho hľadajú automaticky. Obsahuje pár polí; pre malý produkt stačí:

1. Contact: — kam písať, napr. mailto:security@vasa-domena (môžete uviesť aj URL formulára).
2. Policy: — odkaz na vašu politiku nahlasovania (viď CVD policy).
3. Preferred-Languages: — v akých jazykoch viete komunikovať, napr. sk, en.
4. Canonical: — kanonická URL samotného súboru, https://vasa-domena/.well-known/security.txt.
5. Expires: — dokedy je súbor platný; odporúča sa najviac rok dopredu, aby ste ho pravidelne obnovovali.

Voliteľne pridáte Encryption: (odkaz na váš PGP kľúč), ak chcete prijímať šifrované hlásenia. To je celé — obyčajný text, žiadny kód.

Časté chyby

Pár vecí, ktoré sa oplatí urobiť správne hneď:

1. Nezabudnite na Expires. Bez neho súbor formálne nezodpovedá RFC 9116; s ním nezabudnite ho pred vypršaním obnoviť.
2. Adresa musí byť sledovaná. Kanál, ktorý nikto nečíta, je horší než žiadny — vytvára falošný dojem, že máte proces.
3. Odkaz na politiku, nie právny esej. Policy: má viesť na krátku stránku „ako u nás nahlasovanie funguje", nie na dlhý dokument.
4. Umiestnenie na /.well-known/. Súbor patrí presne sem; kópia inde ho nenahrádza (aj keď historicky sa toleroval aj koreň webu).

Príklad, ako to môže vyzerať

Konkrétny súbor je krátky. Pre firmu na doméne priklad.sk môže obsahovať:

1. Contact: mailto:security@priklad.sk
2. Policy: https://priklad.sk/security-policy
3. Preferred-Languages: sk, en
4. Canonical: https://priklad.sk/.well-known/security.txt
5. Expires: 2027-09-24T00:00:00.000Z

To je celé. Súbor uložíte na https://priklad.sk/.well-known/security.txt, aby bol dostupný presne na tejto ceste.

Ako to overiť

Nastaviť súbor je jedna vec, overiť dostupnosť druhá. Rýchla kontrola z príkazového riadka: curl https://priklad.sk/.well-known/security.txt má vrátiť obsah súboru (nie 404 a nie presmerovanie na inú stránku). Skontrolujte tiež, že server ho servíruje ako text/plain a že Expires je v budúcnosti. A napokon to najdôležitejšie: pošlite skúšobný e-mail na adresu z Contact: a presvedčte sa, že naozaj dorazí človeku, ktorý vie reagovať.

Ako to zapadá do zvyšku

security.txt je viditeľná špička procesu, ktorý má ešte dve časti: CVD policy (ako s hláseniami nakladáte — samostatný článok so šablónou) a advisories (ako opravenú zraniteľnosť zverejníte — tiež samostatne). Spolu tvoria to, čomu sa hovorí koordinované zverejňovanie zraniteľností, a CRA ich chce mať zavedené počas celej support periódy.

Časté otázky

1. Stačí len e-mail bez security.txt? Adresa je nutná, ale security.txt je štandardný spôsob, ako ju výskumníci nájdu automaticky (RFC 9116). Odporúčame oboje.
2. Kam patrí súbor, ak máme viac domén? Na doménu, pod ktorou produkt sprístupňujete; ak ich je viac, zvážte security.txt na každej relevantnej.
3. Musíme prijímať šifrované hlásenia? Nemusíte; pole Encryption: je voliteľné. Ak ho neuvediete, komunikujte aspoň bezpečne bežnou cestou.
4. Ako často súbor obnovovať? Pred vypršaním poľa Expires: — preto sa odporúča najviac rok dopredu.

Prečo sa oplatí zriadiť to teraz

Nahlasovací kanál je jedna z mála CRA povinností, ktorú vybavíte za hodinu a platí najskôr — je súčasťou „piatich krokov", ktoré odporúčame spraviť hneď. Navyše ho budete potrebovať aj do technickej dokumentácie (Príloha VII žiada doklad o kontaktnej adrese) a pýtajú si ho odberatelia v dotazníkoch. Jedna hodina práce, ktorá sa vráti na troch miestach naraz.

Kľúčový bod

Nahlasovací kanál je najlacnejšia CRA povinnosť s najlepším pomerom cena/výkon: hodina práce, ktorá platí navždy. Skladá sa z dvoch častí — verejnej adresy (typicky security@vasa-domena), ktorú niekto reálne sleduje, a súboru /.well-known/security.txt podľa RFC 9116 s poľami Contact, Policy, Preferred-Languages, Canonical a Expires. Vyžaduje ho Príloha I časť II ako kontaktnú adresu na nahlasovanie zraniteľností a je to prvý článok reťaze, ktorá pri aktívne zneužívanej zraniteľnosti končí hlásením podľa čl. 14. Overte dostupnosť (curl na cestu, text/plain, Expires v budúcnosti) a hlavne to, že správa dorazí človeku, ktorý vie reagovať. Kanál budete potrebovať na troch miestach naraz: pre samotné nahlasovanie, do technickej dokumentácie (Príloha VII žiada doklad o kontaktnej adrese) a pri dodávateľských dotazníkoch. Jedna hodina, ktorá sa vráti trojnásobne.

Ako pomáha CRAguard

CRAguard vie hostovať váš nahlasovací kanál za vás: verejnú stránku s formulárom, /.well-known/security.txt s korektnými poľami a doručenie hlásení k vám s potvrdením nahlasovateľovi. Nemusíte nič konfigurovať na vlastnej infraštruktúre. Zistite, či sa vás CRA týka, alebo sa zaraďte do waitlistu — dáme vedieť pri spustení.

Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II), štandardu RFC 9116 a usmernenia Európskej komisie zo dňa 27. 7. 2026.