O que é security.txt?

security.txt é um pequeno arquivo de texto, definido na RFC 9116, que informa aos pesquisadores de segurança como relatar uma vulnerabilidade no seu site. Ele fica em /.well-known/security.txt. Sem esse arquivo, quem encontra um bug precisa adivinhar para quem enviar um e-mail ou acaba desistindo.

O arquivo precisa de dois campos. Contact informa como entrar em contato com você, e Expires é a data após a qual o arquivo é considerado desatualizado. A RFC recomenda que a data de Expires seja inferior a um ano, para que alguém verifique o arquivo pelo menos uma vez por ano.

Descrição da ferramenta

Digite um contato por linha. Um endereço de e-mail simples se torna um link mailto:, e um número de telefone se torna um link tel: sem espaços, hífens, pontos ou parênteses. Qualquer outro contato deve ser um link https://. A data de expiração começa em um ano a partir de hoje e é definida como o último segundo desse dia em UTC. Preferred-Languages é uma lista separada por vírgulas, com en como valor padrão.

Os campos opcionais são a chave de criptografia, a política, os agradecimentos, a contratação e os URLs canônicos. Os campos vazios não são incluídos no arquivo.

Copie o arquivo ou baixe-o como security.txt. Uma observação abaixo dele lista os problemas: ausência de contato; contato que não seja um e-mail, número de telefone ou link https://; data de expiração ausente, passada ou com mais de um ano de distância; ou URL que não comece com https://. A chave de criptografia também pode ser um valor openpgp4fpr: ou dns:.

A RFC 9116 também permite uma versão assinada com OpenPGP. Esta ferramenta gera o arquivo sem assinatura.

Exemplo

Dois contatos, uma data de expiração de 2027-10-21, inglês e alemão e três URLs resultam em:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Os contatos foram inseridos como security@example.com e +1 (555) 010-0199.

Recursos

  • Converte endereços de e-mail e números de telefone simples em contatos válidos
  • Verifica a data de expiração e os links enquanto você digita
  • Copie o arquivo ou baixe-o como security.txt