Czym jest security.txt?

security.txt to niewielki plik tekstowy zdefiniowany w RFC 9116, który informuje badaczy bezpieczeństwa, jak zgłosić lukę w zabezpieczeniach na Twojej stronie internetowej. Plik znajduje się pod adresem /.well-known/security.txt. Bez niego osoba, która znajdzie błąd, musi zgadywać, do kogo wysłać wiadomość e-mail, albo rezygnuje.

Plik wymaga dwóch pól. Contact wskazuje, jak się z Tobą skontaktować, a Expires to data, po której plik uznaje się za nieaktualny. RFC zaleca, aby data Expires przypadała wcześniej niż za rok, dzięki czemu ktoś sprawdzi plik przynajmniej raz w roku.

Opis narzędzia

Wpisz jeden kontakt w każdym wierszu. Zwykły adres e-mail zostanie zamieniony na link mailto:, a numer telefonu na link tel: z usuniętymi spacjami, myślnikami, kropkami i nawiasami. Każdy inny kontakt powinien być linkiem https://. Data wygaśnięcia jest domyślnie ustawiona na rok od dzisiaj i zapisywana jako ostatnia sekunda tego dnia w UTC. Preferred-Languages to lista rozdzielona przecinkami; domyślnie zawiera en.

Pola opcjonalne to klucz szyfrujący oraz adresy URL do zasad, podziękowań, rekrutacji i adresu kanonicznego. Puste pola są pomijane w pliku.

Skopiuj plik lub pobierz go jako security.txt. Poniższa informacja wymienia ewentualne problemy: brak kontaktu, kontakt, który nie jest adresem e-mail, numerem telefonu ani linkiem https://, brakującą, przeszłą lub przypadającą za ponad rok datę wygaśnięcia albo adres URL, który nie zaczyna się od https://. Klucz szyfrujący może też mieć wartość openpgp4fpr: lub dns:.

RFC 9116 dopuszcza również wersję podpisaną za pomocą OpenPGP. To narzędzie tworzy zwykły plik.

Przykład

Dwa kontakty, data wygaśnięcia 2027-10-21, języki angielski i niemiecki oraz trzy adresy URL dają:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Jako kontakty wpisano security@example.com i +1 (555) 010-0199.

Funkcje

  • Zamienia zwykłe adresy e-mail i numery telefonów na prawidłowe kontakty
  • Sprawdza datę wygaśnięcia i linki podczas wpisywania
  • Skopiuj plik lub pobierz go jako security.txt