Generador de security.txt

Free

Genera un archivo security.txt según la RFC 9116, el estándar que indica a los investigadores de seguridad cómo reportar una vulnerabilidad en tu sitio, con advertencias integradas para una fecha Expires faltante o desactualizada y URIs de Contact no válidos.

Contact (obligatorio, al menos uno)

Un URI que los investigadores pueden usar para reportar una vulnerabilidad: mailto:, https:, o tel:

Expires (obligatorio)

Cuándo debería considerarse obsoleto este archivo. La mayoría de los sitios usan un año; la RFC 9116 recomienda mantenerlo por debajo de un año.

Campos opcionales

Encryption (URL de clave PGP)

Agradecimientos (URL del salón de la fama)

Idiomas preferidos

URL canónica de este archivo

URL de política

URL de contratación

URL de provider-metadata.json de CSAF

Actividad reciente

Visible para todos. Últimos 20 usos de todos los visitantes, más recientes primero.

Generated security.txt with 1 contact(s)

hace 2 horas

Generated security.txt with 1 contact(s)

hace 2 horas

Comentarios (0)

¿Te ha resultado útil esta herramienta? Deja un comentario, comparte un consejo o cuéntanos cómo podemos mejorarla.

Aún no hay comentarios. ¡Sé el primero en compartir tu opinión!

Qué hace esta herramienta

Esta herramienta genera un archivo security.txt siguiendo la RFC 9116, el estándar que indica a los investigadores de seguridad cómo reportar de forma responsable una vulnerabilidad en tu sitio. Añade uno o más métodos de contacto, una fecha de caducidad, y cualquier campo opcional que necesites, y obtén un archivo listo para subir con advertencias integradas para los errores más comunes.

Cómo funciona

Cada campo que completes se convierte en una línea con el formato Field-Name: value, en el orden definido por la RFC 9116. La fecha Expires que eliges en tu zona horaria local se convierte al formato RFC 3339 con desplazamiento UTC (por ejemplo 2027-01-01T00:00:00Z), exactamente como exige la especificación. La herramienta comprueba que exista al menos una línea Contact y que parezca un URI mailto:, https:, o tel:, y que Expires esté fijado a una fecha futura real, advirtiéndote si alguna de las comprobaciones falla, antes de que subas el archivo.

Problemas que resuelve

Dar a los investigadores de seguridad una forma clara y estándar de reportar una vulnerabilidad en lugar de buscar un formulario de contacto.
Evitar los errores más comunes de security.txt: una fecha Expires faltante, una desactualizada, o una línea Contact que no es un URI válido.
Obtener el orden exacto de campos de la RFC 9116 y el formato de marca de tiempo correcto sin memorizar la especificación.
Documentar una clave PGP, una política de divulgación, o una página de contratación de recompensas por errores en un único lugar estándar y legible por máquina.

Preguntas frecuentes

›¿Dónde debe estar realmente security.txt?

La RFC 9116 especifica la ubicación bien conocida /.well-known/security.txt (por ejemplo https://example.com/.well-known/security.txt). Algunos rastreadores también comprueban la ruta simple /security.txt por compatibilidad hacia atrás, pero la ruta bien conocida es la que define la especificación, así que colócalo ahí primero.

›¿Por qué es obligatorio Expires, y qué pasa si lo olvido?

La RFC 9116 exige un campo Expires para que las herramientas automatizadas y los investigadores puedan distinguir un archivo obsoleto y olvidado de uno que realmente se mantiene; un archivo sin él, o con una fecha en el pasado, debería considerarse no confiable por cualquier cosa que lo compruebe, por eso esta herramienta te avisa en ambos casos.

›¿Puedo listar más de una línea Contact?

Sí, y la RFC 9116 lo recomienda; listar los contactos en orden de preferencia (por ejemplo, primero una dirección de correo, luego un formulario web como respaldo) le da a un investigador de seguridad más de una forma de contactarte si la primera falla.

›¿Qué va en el campo Encryption?

Una URL que apunta a tu clave PGP pública (o un URI de registro DNS OPENPGPKEY), para que un investigador que reporte una vulnerabilidad sensible pueda cifrar su informe antes de enviarlo; este campo es opcional pero recomendado si gestionas divulgaciones sensibles por correo electrónico.

›¿Para qué sirve el campo CSAF?

CSAF (Common Security Advisory Framework) es una incorporación posterior al ecosistema de security.txt para organizaciones que publican avisos de seguridad legibles por máquina; el campo apunta a tu archivo provider-metadata.json para que las herramientas automatizadas puedan descubrir tus avisos, la mayoría de los sitios sin un feed CSAF formal pueden dejarlo en blanco.

Genera un archivo .htpasswd real de Apache con bcrypt o SHA, verificado byte a byte contra la herramienta oficial de línea de comandos htpasswd, con soporte para varios usuarios a la vez.