# security.txt a kanál na nahlasovanie zraniteľností: povinnosť z Prílohy I za jednu hodinu Canonical: https://craguard.eu/sk/blog/security-txt-a-kanal-na-zranitelnosti Language: sk Naposledy aktualizované: 2026-09-02 - [CRAguard](https://craguard.eu/sk)/ - [Blog](https://craguard.eu/sk/blog)/ - security.txt a kanál na nahlasovanie zraniteľností: povinnosť z Prílohy I za jednu hodinu 21. 8. 2026 · CRAguard Zhrnutie Príloha I časť II nariadenia (EÚ) 2024/2847 žiada, aby ste mali kontaktnú adresu, na ktorú vám môžu nahlasovať zraniteľnosti. Naplníte ju dvomi krokmi: verejná adresa (typicky security@vasa-domena) a súbor /.well-known/security.txt podľa RFC 9116 s poľami Contact, Policy, Preferred-Languages, Canonical a Expires. Zaberie to hodinu a budete to potrebovať aj pri prvom hlásení. Medzi povinnosťami Cyber Resilience Act je jedna, ktorá stojí hodinu práce a vybavíte ju raz a navždy: **kanál, cez ktorý vám ľudia nahlásia zraniteľnosť**. Vyžaduje ho **Príloha I, časť II** nariadenia (EÚ) 2024/2847 — a hoci znie formálne, v praxi ide o jednu e-mailovú adresu a jeden textový súbor na webe. Poďme na to. ## Čo presne CRA žiada Príloha I časť II hovorí o procese riešenia zraniteľností a jeho súčasťou je **kontaktná adresa na nahlasovanie zraniteľností** — miesto, kam vám bezpečnostný výskumník, zákazník alebo ktokoľvek iný vie oznámiť, že vo vašom produkte našiel dieru. Bez takého kanála sa o probléme dozviete náhodou a neskoro; s ním máte definované, kam správy chodia a kto ich číta. Nie je to len „papierová" povinnosť. Je to prvý článok reťaze, ktorá pri aktívne zneužívanej zraniteľnosti končí 24-hodinovým hlásením podľa čl. 14 — a tá reťaz musí niekde začínať. ## Krok 1: verejná adresa Zriaďte adresu, ktorá je zjavne určená na bezpečnostné hlásenia. Konvenčne je to **security@vasa-domena**. Nemusí to byť nová schránka — môže smerovať do existujúceho tímového inboxu — ale malo by byť jasné, kto ju sleduje a ako rýchlo reaguje. Kľúčové je, aby správa neskončila v nikoho e-maile. Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Krok 2: /.well-known/security.txt Aby ten, kto chce niečo nahlásiť, kontakt **našiel bez hádania**, existuje štandard **RFC 9116**: textový súbor na pevnej ceste `/.well-known/security.txt` na vašej doméne. Výskumníci ho hľadajú automaticky. Obsahuje pár polí; pre malý produkt stačí: - `Contact:` — kam písať, napr. `mailto:security@vasa-domena` (môžete uviesť aj URL formulára). - `Policy:` — odkaz na vašu politiku nahlasovania (viď [CVD policy](https://craguard.eu/sk/blog/cvd-policy-co-ma-obsahovat-sablona)). - `Preferred-Languages:` — v akých jazykoch viete komunikovať, napr. `sk, en`. - `Canonical:` — kanonická URL samotného súboru, `https://vasa-domena/.well-known/security.txt`. - `Expires:` — dokedy je súbor platný; odporúča sa najviac rok dopredu, aby ste ho pravidelne obnovovali. Voliteľne pridáte `Encryption:` (odkaz na váš PGP kľúč), ak chcete prijímať šifrované hlásenia. To je celé — obyčajný text, žiadny kód. ## Časté chyby Pár vecí, ktoré sa oplatí urobiť správne hneď: - **Nezabudnite na Expires.** Bez neho súbor formálne nezodpovedá RFC 9116; s ním nezabudnite ho pred vypršaním obnoviť. - **Adresa musí byť sledovaná.** Kanál, ktorý nikto nečíta, je horší než žiadny — vytvára falošný dojem, že máte proces. - **Odkaz na politiku, nie právny esej.** `Policy:` má viesť na krátku stránku „ako u nás nahlasovanie funguje", nie na dlhý dokument. - **Umiestnenie na /.well-known/.** Súbor patrí presne sem; kópia inde ho nenahrádza (aj keď historicky sa toleroval aj koreň webu). ## Príklad, ako to môže vyzerať Konkrétny súbor je krátky. Pre firmu na doméne `priklad.sk` môže obsahovať: - `Contact: mailto:security@priklad.sk` - `Policy: https://priklad.sk/security-policy` - `Preferred-Languages: sk, en` - `Canonical: https://priklad.sk/.well-known/security.txt` - `Expires: 2027-09-24T00:00:00.000Z` To je celé. Súbor uložíte na `https://priklad.sk/.well-known/security.txt`, aby bol dostupný presne na tejto ceste. ## Ako to overiť Nastaviť súbor je jedna vec, overiť dostupnosť druhá. Rýchla kontrola z príkazového riadka: `curl https://priklad.sk/.well-known/security.txt` má vrátiť obsah súboru (nie 404 a nie presmerovanie na inú stránku). Skontrolujte tiež, že server ho servíruje ako `text/plain` a že `Expires` je v budúcnosti. A napokon to najdôležitejšie: pošlite skúšobný e-mail na adresu z `Contact:` a presvedčte sa, že naozaj dorazí človeku, ktorý vie reagovať. ## Ako to zapadá do zvyšku security.txt je viditeľná špička procesu, ktorý má ešte dve časti: **CVD policy** (ako s hláseniami nakladáte — [samostatný článok so šablónou](https://craguard.eu/sk/blog/cvd-policy-co-ma-obsahovat-sablona)) a **advisories** (ako opravenú zraniteľnosť zverejníte — [tiež samostatne](https://craguard.eu/sk/blog/security-advisory-kedy-a-ako)). Spolu tvoria to, čomu sa hovorí koordinované zverejňovanie zraniteľností, a CRA ich chce mať zavedené počas celej support periódy. ## Časté otázky - **Stačí len e-mail bez security.txt?** Adresa je nutná, ale security.txt je štandardný spôsob, ako ju výskumníci nájdu automaticky (RFC 9116). Odporúčame oboje. - **Kam patrí súbor, ak máme viac domén?** Na doménu, pod ktorou produkt sprístupňujete; ak ich je viac, zvážte security.txt na každej relevantnej. - **Musíme prijímať šifrované hlásenia?** Nemusíte; pole `Encryption:` je voliteľné. Ak ho neuvediete, komunikujte aspoň bezpečne bežnou cestou. - **Ako často súbor obnovovať?** Pred vypršaním poľa `Expires:` — preto sa odporúča najviac rok dopredu. ## Prečo sa oplatí zriadiť to teraz Nahlasovací kanál je jedna z mála CRA povinností, ktorú vybavíte za hodinu a platí najskôr — je súčasťou „piatich krokov", ktoré odporúčame spraviť hneď. Navyše ho budete potrebovať aj do technickej dokumentácie (Príloha VII žiada doklad o kontaktnej adrese) a pýtajú si ho odberatelia v dotazníkoch. Jedna hodina práce, ktorá sa vráti na troch miestach naraz. ## Kľúčový bod Nahlasovací kanál je najlacnejšia CRA povinnosť s najlepším pomerom cena/výkon: hodina práce, ktorá platí navždy. Skladá sa z dvoch častí — **verejnej adresy** (typicky security@vasa-domena), ktorú niekto reálne sleduje, a **súboru /.well-known/security.txt** podľa RFC 9116 s poľami Contact, Policy, Preferred-Languages, Canonical a Expires. Vyžaduje ho **Príloha I časť II** ako kontaktnú adresu na nahlasovanie zraniteľností a je to prvý článok reťaze, ktorá pri aktívne zneužívanej zraniteľnosti končí hlásením podľa čl. 14. Overte dostupnosť (`curl` na cestu, `text/plain`, `Expires` v budúcnosti) a hlavne to, že správa dorazí človeku, ktorý vie reagovať. Kanál budete potrebovať na troch miestach naraz: pre samotné nahlasovanie, do technickej dokumentácie (Príloha VII žiada doklad o kontaktnej adrese) a pri dodávateľských dotazníkoch. Jedna hodina, ktorá sa vráti trojnásobne. ## Ako pomáha CRAguard CRAguard vie hostovať váš nahlasovací kanál za vás: verejnú stránku s formulárom, `/.well-known/security.txt` s korektnými poľami a doručenie hlásení k vám s potvrdením nahlasovateľovi. Nemusíte nič konfigurovať na vlastnej infraštruktúre. [Zistite, či sa vás CRA týka](https://craguard.eu/sk/checker), alebo sa [zaraďte do waitlistu](https://craguard.eu/sk#waitlist) — dáme vedieť pri spustení. *Tento článok je informatívny a nie je právnym poradenstvom. Vychádza z nariadenia (EÚ) 2024/2847 (Príloha I časť II), štandardu RFC 9116 a usmernenia Európskej komisie zo dňa 27. 7. 2026.* Scope-checker ### Zistite, či sa vás CRA týka Šesť otázok, dve minúty, bez účtu. Dostanete triedu produktu a prvé kroky. [Spustiť scope-checker](https://craguard.eu/sk/checker) ## Zdroje - [EUR-Lex — Regulation (EU) 2024/2847 (Cyber Resilience Act)](https://eur-lex.europa.eu/eli/reg/2024/2847/oj) - [ENISA — Single Reporting Platform](https://www.enisa.europa.eu/) --- Zdroj: CRAguard — https://craguard.eu