Aller au contenu
EU Rules Finder
Français (Langue)

Modèle de politique de divulgation coordonnée des vulnérabilités et générateur de security.txt

Le règlement sur la cyberrésilience impose à tout fabricant d’un produit comportant des éléments numériques une politique de divulgation coordonnée des vulnérabilités et une adresse de contact pour les signalements. Remplissez vos données pour obtenir le texte de la politique et un fichier security.txt assorti pour votre site. Rien de ce que vous saisissez ne quitte votre navigateur.

Vérifié par rapport aux sources le 2 novembre 2026

Noms de produits, modèles ou « tous nos produits comportant des éléments numériques ».
Une adresse e-mail ou l’adresse https d’un formulaire web : votre point de contact unique (article 13, paragraphe 17).
Une page https de votre site, par exemple https://example.com/security.
Pour la ligne Canonical de security.txt.
Un nombre entier de 1 à 30.

Votre politique

Encore à remplir

  • Indiquez le nom de l’entreprise.
  • Indiquez une adresse e-mail ou l’adresse https d’un formulaire web pour les signalements.
  • Indiquez l’adresse https où la politique sera publiée.
  • Indiquez la date de la politique.

Coordinated vulnerability disclosure policy of TO COMPLETE

TO COMPLETE welcomes reports of potential vulnerabilities in its products, including in third-party and open-source components they contain. This policy says how to report one and what we do with it.

Scope

This policy covers: TO COMPLETE.

How to report

  • Report to: TO COMPLETE. This is our single point of contact for vulnerability reports.
  • Please include the product and version, a description of the issue, the steps to reproduce it and any proof of concept, and how we can reach you.
  • You may report in English or in the language of your choice; you may stay anonymous, though we then cannot keep you informed.

What we do

  • We acknowledge your report within 5 working days and keep you informed until it is resolved.
  • We assess the report, and address and remediate a confirmed vulnerability without delay, in relation to its risk.
  • We agree a disclosure date with you. Please do not disclose the vulnerability before a fix is available or that date has passed.
  • Once a security update is available, we publish information about the fixed vulnerability: a description, the products affected, its impact and severity, and how users can remediate it. Where the security risks of publication outweigh its benefits, we may delay publication until users have had the possibility to apply the update.
  • Where the vulnerability is in a component made or maintained by someone else, we report it to them.
  • With your agreement, we credit you when we publish.

About this policy

Published at TO COMPLETE. Last updated TO COMPLETE.

security.txt

Publiez ce fichier à l’adresse /.well-known/security.txt de votre site. Il expire un an moins un jour après la date de la politique (la RFC 9116 demande moins d’un an) : renouvelez-le avant.

security.txt a besoin d’un contact et d’une date lisibles ; il apparaît ici dès que les deux sont remplis.

La politique est rédigée en anglais, la langue de la plupart des personnes qui signalent ; traduisez-la si vos utilisateurs en ont besoin. Les entrées illisibles s’affichent TO COMPLETE. C’est un modèle, pas un conseil juridique, et il ne montre pas qu’un produit est conforme au règlement (UE) 2024/2847.

L’ensemble des documents CRA, avec cette politique, les procédures de traitement et de signalement des vulnérabilités, la documentation technique et la déclaration UE de conformité en 9 langues (payant)

Ce que demande le règlement sur la cyberrésilience

  • Mettre en place et appliquer une politique de divulgation coordonnée des vulnérabilités (annexe I, partie II, point 5).
  • Faciliter le signalement des vulnérabilités, notamment en fournissant une adresse de contact pour les signalements (annexe I, partie II, point 6).
  • Dès qu’une mise à jour de sécurité est disponible, publier des informations sur la vulnérabilité corrigée : description, produits concernés, impact et gravité, et moyens d’y remédier pour les utilisateurs ; la publication peut être différée si ses risques de sécurité l’emportent sur ses avantages (annexe I, partie II, point 4).
  • Désigner un point de contact unique permettant aux utilisateurs de vous joindre directement et rapidement, y compris pour signaler des vulnérabilités (article 13, paragraphe 17), et l’indiquer, avec l’endroit où se trouve la politique, dans les informations destinées aux utilisateurs (annexe II, point 2).

Dates

Les exigences de traitement des vulnérabilités de l’annexe I, partie II, s’appliquent à partir du 11 décembre 2027. L’obligation de notifier les vulnérabilités activement exploitées et les incidents graves s’applique à partir du 11 septembre 2026 (article 71, paragraphe 2), et une adresse publiée pour les signalements vous aide à en être informé à temps.

Ce qu’est security.txt

Un court fichier texte à l’adresse /.well-known/security.txt qui indique aux chercheurs en sécurité où signaler (RFC 9116). Il faut une ligne Contact et une date Expires ; le générateur ajoute l’adresse de la politique, la langue préférée et, avec votre site, la ligne Canonical. Les adresses web doivent utiliser https.

Ce que le générateur ne fait pas

Il ne met pas en place de canal de signalement, ne trie pas les signalements et ne décide pas si quelque chose doit être notifié au titre de l’article 14. Pour les délais de notification, utilisez le registre des notifications CRA ; pour la nomenclature logicielle, le générateur de SBOM ; pour savoir où vous en êtes, le contrôle de préparation CRA.

Rien de ce que vous saisissez n’est enregistré ni envoyé : recharger la page l’efface. Copiez ou téléchargez les fichiers pour les conserver.

Sources