Hva er security.txt?

security.txt er en liten tekstfil, definert i RFC 9116, som forteller sikkerhetsforskere hvordan de kan rapportere en sårbarhet på nettstedet ditt. Den ligger på /.well-known/security.txt. Uten den må noen som oppdager en feil, gjette hvem de skal sende e-post til, eller gi opp.

Filen trenger to felt. Contact angir hvordan man kan få tak i deg, og Expires er datoen etter hvilken filen regnes som utdatert. RFC-en anbefaler en Expires-dato mindre enn ett år fram i tid, slik at noen sjekker filen minst én gang i året.

Verktøybeskrivelse

Skriv inn én kontakt per linje. En vanlig e-postadresse blir en mailto:-lenke, og et telefonnummer blir en tel:-lenke der mellomrom, bindestreker, punktum og parenteser fjernes. Alle andre kontakter må være en https://-lenke. Utløpsdatoen settes til ett år fra dagens dato og angis som dagens siste sekund i UTC. Preferred languages er en kommaseparert liste, med en som standard.

De valgfrie feltene er krypteringsnøkkel, policy, anerkjennelser, rekruttering og kanoniske URL-er. Tomme felt utelates fra filen.

Kopier filen eller last den ned som security.txt. En merknad under filen viser eventuelle feil: manglende kontakt, en kontakt som ikke er en e-postadresse, et telefonnummer eller en https://-lenke, en utløpsdato som mangler, er passert eller er mer enn ett år fram i tid, eller en URL som ikke begynner med https://. Krypteringsnøkkelen kan også være en openpgp4fpr:- eller dns:-verdi.

RFC 9116 tillater også en versjon signert med OpenPGP. Dette verktøyet lager en ren tekstfil.

Eksempel

To kontakter, en utløpsdato på 2027-10-21, engelsk og tysk, samt tre av URL-ene gir:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Kontaktene ble skrevet inn som security@example.com og +1 (555) 010-0199.

Funksjoner

  • Gjør vanlige e-postadresser og telefonnumre om til gyldige kontakter
  • Kontrollerer utløpsdatoen og lenkene mens du skriver
  • Kopier filen eller last den ned som security.txt