Wat is security.txt?

security.txt is een klein tekstbestand, gedefinieerd in RFC 9116, dat beveiligingsonderzoekers vertelt hoe ze een kwetsbaarheid op je website kunnen melden. Het staat op /.well-known/security.txt. Zonder dit bestand moet iemand die een bug ontdekt raden naar welk e-mailadres die een bericht kan sturen, of diegene geeft het op.

Het bestand heeft twee velden nodig. Contact geeft aan hoe je bereikbaar bent, en Expires is de datum waarna het bestand als verouderd geldt. De RFC raadt een Expires-datum aan die minder dan een jaar in de toekomst ligt, zodat iemand het bestand minstens één keer per jaar controleert.

Beschrijving van de tool

Voer één contact in per regel. Een gewoon e-mailadres wordt een mailto:-link en een telefoonnummer wordt een tel:-link, waarbij spaties, streepjes, punten en haakjes worden verwijderd. Elk ander contact moet een https://-link zijn. De vervaldatum wordt ingesteld op één jaar vanaf vandaag en genoteerd als de laatste seconde van die dag in UTC. Preferred languages is een kommagescheiden lijst, standaard en.

De optionele velden zijn de encryptiesleutel, het beleid, de bedankjes, vacatures en canonieke URL's. Lege velden worden weggelaten uit het bestand.

Kopieer het bestand of download het als security.txt. Een melding eronder vermeldt eventuele fouten: geen contact, een contact dat geen e-mailadres, telefoonnummer of https://-link is, een ontbrekende vervaldatum, een vervaldatum in het verleden of meer dan een jaar in de toekomst, of een URL die niet begint met https://. De encryptiesleutel mag ook een waarde van het type openpgp4fpr: of dns: zijn.

RFC 9116 staat ook een versie toe die is ondertekend met OpenPGP. Deze tool maakt het gewone bestand.

Voorbeeld

Twee contactgegevens, een vervaldatum van 2027-10-21, Engels en Duits, en drie van de URL's leveren het volgende op:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

De contactgegevens zijn ingevoerd als security@example.com en +1 (555) 010-0199.

Functies

  • Zet gewone e-mailadressen en telefoonnummers om in geldige contactgegevens
  • Controleert de vervaldatum en links terwijl je typt
  • Kopieer het bestand of download het als security.txt