Salta al contingut
Duravigil

Serveis

El que fem per cada producte

Avui tot funciona en línia, sense visites ni laboratori: puges el firmware o la documentació a la plataforma i l'anàlisi, la vigilància i els esborranys dels avisos surten sols, amb una persona que revisa el que és urgent. Cada servei es pot contractar per separat, però estan pensats per encaixar.

Per a fabricants i marques blanques

Si el producte porta el teu nom o la teva marca, l'hagis fabricat tu o te'l fabriqui un altre, tens les obligacions del fabricant (art. 3, punt 13, i art. 21). La de notificar ja s'aplica.

1.1

Anàlisi del firmware

Puges el firmware compilat o la llista de components del teu sistema de compilació i la plataforma l'analitza sola: què porta el producte, en quina versió i quines vulnerabilitats conegudes té. Si vens amb la teva marca i no tens el firmware, demana'l a qui et fabrica l'aparell.

En donar d'alta el producte.

Què reps

  • Llista de components (SBOM) en CycloneDX, amb una nota sobre la qualitat
  • Vulnerabilitats conegudes de cada component, ordenades per gravetat i segons si s'estan explotant
  • Categoria probable del producte segons el CRA, amb la mateixa lògica que el test
  • Informe tècnic a la plataforma
1.2

Vigilància diària

Mantenim al dia la llista de components de cada versió i la creuem cada dia amb les fonts públiques de vulnerabilitats i amb els catàlegs de fallades explotades (CISA KEV i la base europea EUVD de l'ENISA).

Per producte i mes.

Què reps

  • Avís tan bon punt veiem que una fallada explotada afecta un component del teu producte
  • Decisió per escrit sobre cada vulnerabilitat rellevant: t'afecta, no t'afecta i per què
  • Resum periòdic del que s'ha revisat
  • Historial que demostra que vigilaves, per si te'l demana una autoritat o un client
1.3

Avisos per la plataforma de l'ENISA

Quan cal notificar, el temps corre. La plataforma obre un cas amb el compte enrere de 24 h, 72 h i informe final i prepara cada camp de la plataforma única de l'ENISA en anglès, amb la traducció al castellà, perquè el revisis. Si el teu establiment principal és a Espanya, l'avís arriba a l'INCIBE-CERT (art. 14.7). La plataforma de l'ENISA no té API: l'enviament el fa una persona, no és automàtic.

Inclòs en la vigilància.

Què reps

  • Esborranys d'alerta primerenca (24 h), notificació (72 h) i informe final
  • Avís per als teus usuaris afectats (art. 14.8)
  • Presentació pel teu representant principal o, amb la teva autorització, per nosaltres com a secundaris
  • Fins que el teu representant principal no estigui verificat i ens convidi, l'avís el presenta ell amb el nostre text
  • Registre de qui ha presentat cada avís i quan
1.4

Canal de comunicació de vulnerabilitats

Per a les unitats que introdueixis en el mercat a partir de l'11 de desembre de 2027, el CRA et demana una política de divulgació coordinada i una adreça perquè et comuniquin fallades. Et deixem les dues coses a punt i rebem les comunicacions per tu.

Inclòs en la vigilància.

Què reps

  • Política de divulgació en castellà i anglès
  • security.txt al teu web, comprovat cada setmana
  • Adreça de comunicació amb el teu domini que ens arriba a nosaltres
  • Primera resposta a l'investigador i proposta per a tu
1.5

Prova de seguretat automàtica de núvol, web i API

Revisa la part del teu producte que és a internet: el núvol, el web i l'API amb què parlen l'aparell i l'app. La fa Claude, el model d'IA d'Anthropic, amb un conjunt fix d'eines no destructives, només sobre dominis que hagis verificat com a teus amb un registre DNS o un fitxer al teu web, i amb la teva autorització signada en línia, on fixes l'abast i la finestra. Avui mira el que es veu amb peticions normals: DNS, certificats i TLS, capçaleres, correu, security.txt i subdominis. L'escaneig de ports i les proves amb plantilles arribaran més endavant.

Per prova, o dins de la quota.

Què reps

  • Cada troballa amb la gravetat (CVSS 4.0) i com arreglar-la
  • Relació de cada troballa amb els requisits de l'annex I del CRA
  • Informe a la plataforma
  • Repetició quan ho hagis corregit

Per a importadors i distribuïdors

A partir de l'11-12-2027 hauràs de comprovar cada producte abans d'introduir-lo en el mercat (importador, art. 19) o abans de vendre'l (distribuïdor, art. 20). Les comandes per vendre a partir d'aquella data es tanquen durant el 2027.

El que hauràs de comprovar de cada producte (art. 19.2)

  • Que el fabricant ha fet l'avaluació de la conformitat i té la documentació tècnica.
  • Que porta el marcatge CE i ve amb la declaració UE de conformitat.
  • Que porta la informació i les instruccions de l'annex II en una llengua que s'entengui.
  • Que hi consten el número de tipus, lot o sèrie, les dades de contacte del fabricant i la data de fi del suport.
  • Que el fabricant té un procés per gestionar vulnerabilitats (art. 19.1 i annex I, part II).

A més, hauràs de guardar la declaració de conformitat deu anys, o el període de suport si és més llarg (art. 19.6). Si saps d'una vulnerabilitat, hauràs d'avisar el fabricant i, si hi ha un risc significatiu, les autoritats de vigilància del mercat (art. 19.5).

2.1

Verificació de proveïdors i referències

Per a cada referència que importes, comprovem el que demana l'article 19 del CRA abans que la posis a la venda i ho deixem guardat per si t'ho demana una autoritat. Els teus proveïdors poden pujar els documents i el firmware directament a la plataforma amb una invitació teva, en una pàgina en anglès.

Per referència i mes.

Què reps

  • Llista de l'art. 19 per referència, amb les proves i l'estat de cada punt
  • Anàlisi del firmware: què porta i quines fallades conegudes té, per veure si el producte és el que diuen els papers
  • Veredicte tècnic de cada referència
  • Arxiu de la declaració de conformitat i de l'expedient durant deu anys
  • Vigilància de les referències mentre les venguis, amb avís si surt una fallada greu
2.2

Prova ràpida abans de comprar

Abans de tancar una comanda, ens passes la documentació i el firmware d'un model i et donem un veredicte tècnic sobre si, amb el que hi ha, el podràs vendre a partir de l'11-12-2027: apte, amb dubtes o no apte, i per què.

Per prova.

Què reps

  • Veredicte en tres nivells, amb els motius
  • El que li falta al proveïdor, perquè li ho demanis
  • Vulnerabilitats conegudes del firmware

Com comencem

  1. 01

    Ens expliques el teu cas

    Per correu o en una trucada: quins productes fas o importes, com es connecten i on els vens.

  2. 02

    Acord de confidencialitat

    Mutu i signat abans de veure el teu firmware, el teu codi o els teus proveïdors.

  3. 03

    Accés a la plataforma

    Et donem accés per invitació i puges el firmware o la documentació. L'anàlisi comença sola.

  4. 04

    Vigilància

    Per producte o referència i mes, durant el període de suport o mentre el venguis.

El que convé saber

Demana una proposta
  • No certifiquem ni som organisme notificat: l'article 39 del CRA ho impedeix a qui fa consultoria.
  • L'obligació de notificar és del fabricant. Nosaltres preparem la notificació i, amb la teva autorització, la presentem.
  • Avui tot és en línia: no fem proves sobre l'aparell físic, ni al laboratori ni per ràdio.
  • Només provem dominis que demostris que són teus i amb la teva autorització per escrit.
  • La plataforma de vigilància està allotjada a la UE.