ما هو security.txt؟

security.txt هو ملف نصي صغير، محدد في RFC 9116، يوضح لباحثي الأمن كيفية الإبلاغ عن ثغرة في موقعك الإلكتروني. يوجد في /.well-known/security.txt. ومن دونه، سيضطر من يعثر على خلل إلى تخمين الجهة التي يرسل إليها رسالة بريد إلكتروني، أو قد يستسلم.

يحتاج الملف إلى حقلين. يوضح Contact كيفية التواصل معك، ويحدد Expires التاريخ الذي يصبح الملف بعده منتهي الصلاحية. توصي RFC بأن يكون تاريخ Expires خلال أقل من عام، كي يتحقق أحدهم من الملف مرة واحدة على الأقل كل عام.

وصف الأداة

اكتب جهة اتصال واحدة في كل سطر. يتحول عنوان البريد الإلكتروني العادي إلى رابط mailto:، ويتحول رقم الهاتف إلى رابط tel: بعد إزالة المسافات والشرطات والنقاط والأقواس. أما أي جهة اتصال أخرى، فيجب أن تكون رابطًا يبدأ بـ https://. يكون تاريخ انتهاء الصلاحية بعد عام من تاريخ اليوم، ويُكتب على هيئة آخر ثانية من ذلك اليوم بتوقيت UTC. أما اللغات المفضلة، فهي قائمة مفصولة بفواصل، والقيمة الافتراضية هي en.

الحقول الاختيارية هي مفتاح التشفير والسياسة والإقرارات والتوظيف وعناوين URL الأساسية. تُحذف الحقول الفارغة من الملف.

انسخ الملف أو نزّله باسم security.txt. وتعرض ملاحظة أسفله أي مشكلة، مثل عدم وجود جهة اتصال، أو كون جهة الاتصال ليست عنوان بريد إلكتروني أو رقم هاتف أو رابطًا يبدأ بـ https://، أو غياب تاريخ انتهاء الصلاحية أو كونه قد مضى أو يبعد أكثر من عام، أو عدم بدء عنوان URL بـ https://. وقد يكون مفتاح التشفير أيضًا قيمة openpgp4fpr: أو dns:.

تسمح RFC 9116 أيضًا بنسخة موقّعة باستخدام OpenPGP. تنشئ هذه الأداة الملف بصيغته النصية العادية.

مثال

جهتا اتصال، وتاريخ انتهاء صلاحية هو 2027-10-21، واللغتان الإنجليزية والألمانية، وثلاثة من عناوين URL، تعطي النتيجة التالية:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

أُدخلت جهتا الاتصال بصيغتي security@example.com و+1 (555) 010-0199.

الميزات

  • تحويل عناوين البريد الإلكتروني وأرقام الهواتف العادية إلى جهات اتصال صالحة
  • التحقق من تاريخ انتهاء الصلاحية والروابط أثناء الكتابة
  • نسخ الملف أو تنزيله باسم security.txt