भेद्यता प्रकटीकरण नीति जनरेटर

प्रकटीकरण नीति क्या करती है

समन्वित भेद्यता प्रकटीकरण नीति बाहरी लोगों को बताती है कि आपके सॉफ़्टवेयर में कमज़ोरी मिले तो क्या करें, और यह भी कि बदले में आप क्या करेंगे। इसके बिना शोधकर्ता को अंदाज़ा लगाना पड़ता है कि किसे लिखें, कहीं उन पर मुक़दमा तो नहीं होगा, और आपको कितना समय चाहिए। अंदाज़ा ग़लत निकले तो नतीजा या तो बिना फ़िक्स के सार्वजनिक पोस्ट होता है, या कोई रिपोर्ट ही नहीं आती। एक छोटी, पढ़ने लायक़ नीति यह अंदाज़ा लगाने की ज़रूरत ख़त्म कर देती है।

यूरोपीय संघ के विक्रेताओं के लिए यह साइबर रेज़िलिएंस एक्ट (CRA) की तैयारी का भी हिस्सा है: निर्माताओं से अपेक्षा है कि उनके पास ऐसी नीति और एक प्रकाशित संपर्क हो। बाक़ी बातें, जिनमें सक्रिय रूप से शोषित भेद्यताओं की रिपोर्टिंग घड़ी भी है, छोटे विक्रेताओं के लिए रिपोर्टिंग गाइड में हैं।

बनाई गई नीति में क्या लिखा होता है

उसमें दायरे में आने वाले प्रोडक्ट और बाहर रखी गई चीज़ें होती हैं, रिपोर्ट कहाँ भेजनी है और उसमें क्या लिखना है, और आप पावती, आकलन और समाधान कितनी जल्दी देंगे, यह बताया जाता है। उसमें परीक्षण के नियम होते हैं, नियम मानने वाले शोधकर्ताओं को सेफ़ हार्बर दिया जाता है, प्रकटीकरण की समय-सीमा तय की जाती है, और समझाया जाता है कि कुछ भेद्यताओं की रिपोर्ट अधिकारियों को करनी पड़ती है। इसका हर वादा आपका अपना है: सिर्फ़ वही जवाब-समय तय करें जो आपकी टीम निभा सके।

सुझाव

• नीति को किसी स्थायी पते पर प्रकाशित करें और उसे अपनी security.txt से Policy फ़ील्ड के ज़रिए जोड़ें।
• पक्का करें कि रिपोर्ट वाले इनबॉक्स को हर कार्य-दिवस पर कोई पढ़े, और 24 घंटे की घड़ी शुरू होने से पहले तय कर लें कि एक्सप्लॉइट असली है, यह कौन तय करेगा। समय-सीमाएँ CRA इंसिडेंट क्लॉक में दिखती हैं।
• Markdown को वेब पेज बनाना है? Markdown से HTML कन्वर्टर यह कर देता है, हालाँकि यह पेज पहले से HTML भी बनाता है।