Che cos'è security.txt?

security.txt è un piccolo file di testo, definito nella RFC 9116, che spiega ai ricercatori di sicurezza come segnalare una vulnerabilità sul tuo sito web. Si trova in /.well-known/security.txt. In sua assenza, chi individua un bug deve indovinare a chi scrivere oppure rinuncia.

Il file richiede due campi. Contact indica come contattarti, mentre Expires specifica la data dopo la quale il file è considerato non aggiornato. La RFC consiglia di impostare una data di scadenza entro un anno, così che qualcuno controlli il file almeno una volta all'anno.

Descrizione dello strumento

Inserisci un contatto per riga. Un semplice indirizzo email diventa un link mailto:, mentre un numero di telefono diventa un link tel: senza spazi, trattini, punti o parentesi. Qualsiasi altro contatto deve essere un link https://. La data di scadenza viene impostata a un anno da oggi e scritta come l'ultimo secondo di quel giorno in UTC. Preferred languages è un elenco separato da virgole, con en come valore predefinito.

I campi facoltativi sono la chiave di crittografia, la policy, i riconoscimenti, le assunzioni e gli URL canonici. I campi vuoti non vengono inclusi nel file.

Copia il file o scaricalo come security.txt. Una nota sotto il file elenca eventuali problemi: nessun contatto, un contatto che non è un indirizzo email, un numero di telefono o un link https://, una data di scadenza mancante, passata o distante più di un anno, oppure un URL che non inizia con https://. La chiave di crittografia può anche essere un valore openpgp4fpr: o dns:.

La RFC 9116 consente anche una versione firmata con OpenPGP. Questo strumento genera il file in formato semplice.

Esempio

Due contatti, una data di scadenza del 2027-10-21, l'inglese e il tedesco e tre degli URL producono:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

I contatti sono stati inseriti come security@example.com e +1 (555) 010-0199.

Funzionalità

  • Trasforma semplici indirizzi email e numeri di telefono in contatti validi
  • Controlla la data di scadenza e i link mentre scrivi
  • Copia il file o scaricalo come security.txt