Autodeclaración CRA

Documenta tu contacto de seguridad y tu periodo de soporte en dos minutos. Con tus datos se generan tres textos listos para copiar: un security.txt, una sección de readme para wordpress.org e información pública de seguridad para tu web. Todo funciona en tu navegador, no se transmite ni se guarda nada.

Esta herramienta crea plantillas de texto a partir de tus propios datos. Es una orientación, no una evaluación de la conformidad. No comprueba si el Reglamento de Ciberresiliencia se aplica a tu producto ni valora si tus datos o tu producto cumplen los requisitos legales. Los textos generados no son asesoramiento jurídico y no sustituyen la revisión por parte de un abogado o una abogada, en particular en la cuestión de si el Reglamento de Ciberresiliencia te afecta y en qué medida, y de qué periodo de soporte resulta adecuado para tu producto. Tú respondes de la exactitud del contenido de los textos que publiques. Toda la información sin garantía, a fecha de agosto de 2026.
Tal como se llama el producto en el directorio o en la tienda.
Déjalo vacío si los datos valen para todo el producto.
Nombre de la empresa o de la persona, como en el aviso legal.
Se usa para la línea canonical del security.txt.
Un buzón propio como security@ funciona mejor que el foro de soporte. La dirección solo se inserta en los textos generados, no se envía a ninguna parte.
Por ejemplo una página sobre divulgación coordinada de vulnerabilidades. Sin entrada se omite la línea Policy.
Sin entrada se omite la línea Encryption.
El art. 13, apartado 8 del CRA menciona al menos cinco años, o la vida útil prevista del producto si es más corta.
Ten en cuenta que esta fecha es un compromiso público, no una declaración de intenciones. Quien hasta entonces no entregue actualizaciones de seguridad se ha comprometido igualmente. En caso de duda, fija una fecha más corta y amplíala después.
Idiomas preferidos para los avisos
El security.txt y la sección de readme siempre están en inglés, es la convención.

1. security.txt

Se guarda en /.well-known/security.txt

					

						
						
					

					
Plantilla a partir de tus datos, no es asesoramiento jurídico. Revisa el contenido antes de publicarlo y, en caso de duda, consulta a un abogado.

				


				

					
2. Sección de readme para wordpress.org

					
En el readme.txt del plugin, como sección propia

					

					

						
						
					

					
Plantilla a partir de tus datos, no es asesoramiento jurídico. Revisa el contenido antes de publicarlo y, en caso de duda, consulta a un abogado.

				


				

					
3. Información pública de seguridad

					
Para una página como /seguridad o el área de producto

					

					

						
						
					

					
Plantilla a partir de tus datos, no es asesoramiento jurídico. Revisa el contenido antes de publicarlo y, en caso de duda, consulta a un abogado.

				

			


			

				
Fechas del Reglamento de Ciberresiliencia (Reglamento (UE) 2024/2847), a fecha de agosto de 2026: las obligaciones de notificación del art. 14 se aplican desde el 11/09/2026, y las obligaciones completas del fabricante desde el 11/12/2027. Para una lista de materiales de tus dependencias (SBOM), cyclonedx/cyclonedx-php-composer es la vía habitual, esta herramienta no genera ninguna SBOM.

				
El security.txt terminado va después al servidor, en /.well-known/. Para forzar HTTPS y añadir cabeceras de seguridad en ese mismo servidor tienes aquí el generador de .htaccess, también gratuito y sin cuenta. Para ver cómo queda una página de seguridad terminada, echa un vistazo a nuestra propia página de seguridad, que es a la vez nuestra política de divulgación coordinada de vulnerabilidades. Los plazos verificados y cuatro primeros pasos, desde la lista de componentes hasta la vía de notificación, están en nuestra página Cyber Resilience Act: plazos y qué hacer ahora (en alemán).

				
← Todas las herramientas gratuitas