Vad är security.txt?

security.txt är en liten textfil, definierad i RFC 9116, som talar om för säkerhetsforskare hur de rapporterar en sårbarhet på din webbplats. Den finns på /.well-known/security.txt. Utan den måste den som hittar ett programfel gissa vem de ska mejla eller ge upp.

Filen behöver två fält. Contact anger hur man når dig, och Expires är datumet efter vilket filen räknas som inaktuell. RFC:n rekommenderar ett Expires-datum som infaller inom ett år, så att någon kontrollerar filen minst en gång om året.

Verktygsbeskrivning

Ange en kontakt per rad. En vanlig e-postadress blir en mailto:-länk, och ett telefonnummer blir en tel:-länk där mellanslag, bindestreck, punkter och parenteser har tagits bort. Alla andra kontakter ska vara en https://-länk. Utgångsdatumet infaller ett år från dagens datum och anges som den sista sekunden den dagen i UTC. Preferred languages är en kommaseparerad lista, med en som standard.

De valfria fälten är krypteringsnyckel, policy, tack, rekrytering och kanoniska URL:er. Tomma fält utelämnas från filen.

Kopiera filen eller ladda ner den som security.txt. En anteckning under den listar eventuella fel: ingen kontakt, en kontakt som inte är en e-postadress, ett telefonnummer eller en https://-länk, ett utgångsdatum som saknas, har passerat eller infaller om mer än ett år, eller en URL som inte börjar med https://. Krypteringsnyckeln kan också vara ett openpgp4fpr:- eller dns:-värde.

RFC 9116 tillåter även en version som signerats med OpenPGP. Det här verktyget skapar den osignerade filen.

Exempel

Två kontakter, ett utgångsdatum den 2027-10-21, engelska och tyska samt tre av URL:erna ger:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Kontakterna angavs som security@example.com och +1 (555) 010-0199.

Funktioner

  • Gör om vanliga e-postadresser och telefonnummer till giltiga kontakter
  • Kontrollerar utgångsdatumet och länkarna medan du skriver
  • Kopiera filen eller ladda ner den som security.txt