Qu’est-ce que security.txt ?

security.txt est un petit fichier texte, défini dans la RFC 9116, qui indique aux chercheurs en sécurité comment signaler une vulnérabilité sur votre site web. Il se trouve à l’adresse /.well-known/security.txt. Sans ce fichier, une personne qui découvre un bug doit deviner à qui envoyer un e-mail, ou abandonne.

Le fichier doit contenir deux champs. Contact indique comment vous joindre, et Expires correspond à la date après laquelle le fichier est considéré comme périmé. La RFC recommande une date Expires située à moins d’un an, afin que quelqu’un vérifie le fichier au moins une fois par an.

Description de l’outil

Saisissez un contact par ligne. Une adresse e-mail seule devient un lien mailto:, et un numéro de téléphone devient un lien tel: dont les espaces, tirets, points et parenthèses sont supprimés. Tout autre contact doit être un lien https://. La date d’expiration est fixée à un an à partir d’aujourd’hui et correspond à la dernière seconde de cette journée en UTC. Preferred languages est une liste séparée par des virgules ; sa valeur par défaut est en.

Les champs facultatifs sont la clé de chiffrement, la politique, les remerciements, le recrutement et les URL canoniques. Les champs laissés vides sont omis du fichier.

Copiez le fichier ou téléchargez-le sous le nom security.txt. Une note affichée en dessous répertorie les erreurs éventuelles : absence de contact, contact qui n’est ni une adresse e-mail, ni un numéro de téléphone, ni un lien https://, date d’expiration manquante, passée ou située à plus d’un an, ou URL qui ne commence pas par https://. La clé de chiffrement peut également être une valeur openpgp4fpr: ou dns:.

La RFC 9116 autorise également une version signée avec OpenPGP. Cet outil génère le fichier en texte brut.

Exemple

Deux contacts, une date d’expiration au 2027-10-21, les langues anglais et allemand, et trois des URL donnent :

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Les contacts saisis étaient security@example.com et +1 (555) 010-0199.

Fonctionnalités

  • Convertit les adresses e-mail et les numéros de téléphone seuls en contacts valides
  • Vérifie la date d’expiration et les liens pendant la saisie
  • Copiez le fichier ou téléchargez-le sous le nom security.txt