Mikä on security.txt?

security.txt on RFC 9116 -standardissa määritelty pieni tekstitiedosto, joka kertoo tietoturvatutkijoille, miten verkkosivustosi haavoittuvuudesta voi ilmoittaa. Tiedosto sijaitsee osoitteessa /.well-known/security.txt. Ilman sitä virheen löytäneen on arvattava, kenelle siitä pitäisi lähettää sähköpostia, tai hän saattaa luovuttaa.

Tiedostossa tarvitaan kaksi kenttää. Contact kertoo, miten sinuun saa yhteyden, ja Expires on päivämäärä, jonka jälkeen tiedosto katsotaan vanhentuneeksi. RFC suosittelee, että Expires-päivämäärä on alle vuoden päässä, jotta joku tarkistaa tiedoston vähintään kerran vuodessa.

Työkalun kuvaus

Kirjoita yksi yhteystieto riville. Tavallisesta sähköpostiosoitteesta luodaan mailto:-linkki, ja puhelinnumerosta luodaan tel:-linkki, josta välilyönnit, yhdysmerkit, pisteet ja sulkeet on poistettu. Muiden yhteystietojen tulee olla https://-linkkejä. Oletusarvoinen vanhenemispäivä on vuoden päässä tästä päivästä, ja ajankohdaksi asetetaan kyseisen päivän viimeinen sekunti UTC-ajassa. Preferred-Languages on pilkuilla eroteltu luettelo, jonka oletusarvo on en.

Valinnaisia kenttiä ovat salausavain sekä käytäntö-, kiitokset-, rekrytointi- ja kanoniset URL-osoitteet. Tyhjät kentät jätetään pois tiedostosta.

Kopioi tiedosto tai lataa se nimellä security.txt. Tiedoston alla oleva huomautus kertoo mahdollisista virheistä: yhteystieto puuttuu, yhteystieto ei ole sähköpostiosoite, puhelinnumero eikä https://-linkki, vanhenemispäivä puuttuu tai se on mennyt umpeen tai yli vuoden päässä, tai URL-osoite ei ala merkkijonolla https://. Salausavain voi olla myös openpgp4fpr:- tai dns:-arvo.

RFC 9116 sallii myös OpenPGP:llä allekirjoitetun version. Tämä työkalu luo allekirjoittamattoman tiedoston.

Esimerkki

Kaksi yhteystietoa, vanhenemispäivä 2027-10-21, englanti ja saksa sekä kolme URL-osoitetta tuottavat seuraavan tuloksen:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Yhteystiedot kirjoitettiin muodossa security@example.com ja +1 (555) 010-0199.

Ominaisuudet

  • Muuntaa tavalliset sähköpostiosoitteet ja puhelinnumerot kelvollisiksi yhteystiedoiksi
  • Tarkistaa vanhenemispäivän ja linkit kirjoittamisen aikana
  • Kopioi tiedoston tai lataa sen nimellä security.txt