Was ist security.txt?

security.txt ist eine kleine Textdatei, die in RFC 9116 definiert ist. Sie informiert Sicherheitsforscher darüber, wie sie eine Sicherheitslücke auf Ihrer Website melden können. Sie befindet sich unter /.well-known/security.txt. Ohne diese Datei muss jemand, der eine Sicherheitslücke entdeckt, raten, an wen er eine E-Mail schicken soll, oder gibt auf.

Die Datei benötigt zwei Felder. Contact gibt an, wie man Sie erreicht, und Expires ist das Datum, nach dem die Datei als veraltet gilt. Der RFC empfiehlt ein Expires-Datum, das weniger als ein Jahr in der Zukunft liegt, damit jemand die Datei mindestens einmal im Jahr überprüft.

Beschreibung des Tools

Geben Sie einen Kontakt pro Zeile ein. Aus einer einfachen E-Mail-Adresse wird ein mailto:-Link, und aus einer Telefonnummer wird ein tel:-Link, bei dem Leerzeichen, Bindestriche, Punkte und Klammern entfernt werden. Jeder andere Kontakt sollte ein https://-Link sein. Das Ablaufdatum wird auf ein Jahr ab dem heutigen Tag festgelegt und als letzte Sekunde dieses Tages in UTC angegeben. Preferred-Languages ist eine durch Kommas getrennte Liste; standardmäßig ist en eingetragen.

Zu den optionalen Feldern gehören der Verschlüsselungsschlüssel sowie die URLs für Richtlinien, Danksagungen, Stellenangebote und Canonical. Leere Felder werden in der Datei weggelassen.

Kopieren Sie die Datei oder laden Sie sie als security.txt herunter. Ein Hinweis darunter listet alle Fehler auf: kein Kontakt, ein Kontakt, der weder eine E-Mail-Adresse noch eine Telefonnummer oder ein https://-Link ist, ein fehlendes, in der Vergangenheit liegendes oder mehr als ein Jahr in der Zukunft liegendes Ablaufdatum oder eine URL, die nicht mit https:// beginnt. Der Verschlüsselungsschlüssel kann auch ein Wert im Format openpgp4fpr: oder dns: sein.

RFC 9116 erlaubt auch eine mit OpenPGP signierte Version. Dieses Tool erstellt die unsignierte Datei.

Beispiel

Zwei Kontakte, ein Ablaufdatum am 21.10.2027, Englisch und Deutsch sowie drei der URLs ergeben:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Als Kontakte wurden security@example.com und +1 (555) 010-0199 eingegeben.

Funktionen

  • Wandelt einfache E-Mail-Adressen und Telefonnummern in gültige Kontakte um
  • Überprüft das Ablaufdatum und die Links während der Eingabe
  • Kopieren Sie die Datei oder laden Sie sie als security.txt herunter