security.txt nedir?

security.txt, RFC 9116'da tanımlanan ve güvenlik araştırmacılarına web sitenizdeki bir güvenlik açığını nasıl bildireceklerini anlatan küçük bir metin dosyasıdır. /.well-known/security.txt konumunda bulunur. Bu dosya yoksa, bir güvenlik açığı bulan kişi kime e-posta göndereceğini tahmin etmek zorunda kalır ya da bildirimde bulunmaktan vazgeçer.

Dosyada iki alan bulunmalıdır. Contact, size nasıl ulaşılacağını belirtir; Expires ise dosyanın hangi tarihten sonra güncelliğini yitirmiş sayılacağını belirtir. RFC, Expires tarihinin bir yıldan daha yakın olmasını önerir; böylece birileri dosyayı en az yılda bir kez kontrol eder.

Araç açıklaması

Her satıra bir iletişim bilgisi yazın. Düz bir e-posta adresi mailto: bağlantısına, telefon numarası ise boşluklar, tireler, noktalar ve parantezler kaldırılarak tel: bağlantısına dönüştürülür. Diğer iletişim bilgileri https:// bağlantısı olmalıdır. Son kullanma tarihi bugünden bir yıl sonrasına ayarlanır ve o günün UTC cinsinden son saniyesi olarak yazılır. Tercih edilen diller, varsayılan olarak en olan virgülle ayrılmış bir listedir.

İsteğe bağlı alanlar şifreleme anahtarı, politika, teşekkürler, işe alım ve canonical URL'lerdir. Boş alanlar dosyaya eklenmez.

Dosyayı kopyalayın veya security.txt olarak indirin. Dosyanın altındaki bir not, sorunları listeler: iletişim bilgisi olmaması; e-posta, telefon numarası veya https:// bağlantısı olmayan bir iletişim bilgisi; eksik, geçmişte kalmış veya bir yıldan daha ileri bir son kullanma tarihi ya da https:// ile başlamayan bir URL. Şifreleme anahtarı ayrıca openpgp4fpr: veya dns: değerinde olabilir.

RFC 9116, OpenPGP ile imzalanmış bir sürüme de izin verir. Bu araç düz dosyayı oluşturur.

Örnek

İki iletişim bilgisi, 2027-10-21 son kullanma tarihi, İngilizce ve Almanca ile üç URL şu sonucu verir:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

İletişim bilgileri security@example.com ve +1 (555) 010-0199 olarak girildi.

Özellikler

  • Düz e-posta adreslerini ve telefon numaralarını geçerli iletişim bilgilerine dönüştürür
  • Yazarken son kullanma tarihini ve bağlantıları denetler
  • Dosyayı kopyalayın veya security.txt olarak indirin