Générateur security.txt

Free

Générez un fichier security.txt conforme à la RFC 9116, la norme qui indique aux chercheurs en sécurité comment signaler une vulnérabilité sur votre site, avec des avertissements intégrés pour une date Expires manquante ou obsolète et des URI Contact non valides.

Contact (requis, au moins un)

Un URI que les chercheurs peuvent utiliser pour signaler une vulnérabilité : mailto:, https:, ou tel:

Expires (requis)

Quand ce fichier doit être considéré comme obsolète. La plupart des sites utilisent un an ; la RFC 9116 recommande de rester en dessous d'un an.

Champs optionnels

Encryption (URL de clé PGP)

Remerciements (URL du tableau d'honneur)

Langues préférées

URL canonique de ce fichier

URL de politique

URL de recrutement

URL provider-metadata.json CSAF

Activité récente

Visible par tous. Les 20 dernières utilisations de tous les visiteurs, les plus récentes en premier.

Generated security.txt with 1 contact(s)

il y a 2 heures

Generated security.txt with 1 contact(s)

il y a 2 heures

Commentaires (0)

Cet outil vous a-t-il été utile ? Laissez un commentaire, partagez une astuce, ou dites-nous comment nous pourrions l'améliorer.

Pas encore de commentaires. Soyez le premier à partager votre avis !

Ce que fait cet outil

Cet outil génère un fichier security.txt conforme à la RFC 9116, la norme qui indique aux chercheurs en sécurité comment signaler de manière responsable une vulnérabilité sur votre site. Ajoutez une ou plusieurs méthodes de contact, une date d'expiration, et tout champ optionnel dont vous avez besoin, et obtenez un fichier prêt à être téléchargé avec des avertissements intégrés pour les erreurs les plus courantes.

Comment ça marche

Chaque champ que vous remplissez devient une ligne au format Field-Name: value, dans l'ordre défini par la RFC 9116. La date Expires que vous choisissez dans votre fuseau horaire local est convertie au format RFC 3339 avec un décalage UTC (par exemple 2027-01-01T00:00:00Z), exactement comme l'exige la spécification. L'outil vérifie qu'au moins une ligne Contact existe et ressemble à un URI mailto:, https:, ou tel:, et que Expires est réglé sur une vraie date future, vous avertissant si l'une de ces vérifications échoue, avant même que vous téléchargiez le fichier.

Problèmes résolus

Donner aux chercheurs en sécurité un moyen clair et standard de signaler une vulnérabilité au lieu de chercher un formulaire de contact.
Éviter les erreurs les plus courantes de security.txt : une date Expires manquante, une date obsolète, ou une ligne Contact qui n'est pas un URI valide.
Obtenir le bon ordre des champs RFC 9116 et le bon format d'horodatage sans mémoriser la spécification.
Documenter une clé PGP, une politique de divulgation, ou une page de recrutement pour un programme de bug bounty en un seul endroit standard et lisible par machine.

Questions fréquentes

›Où security.txt doit-il réellement se trouver ?

La RFC 9116 spécifie l'emplacement bien connu /.well-known/security.txt (par exemple https://example.com/.well-known/security.txt). Certains robots d'indexation vérifient aussi le chemin simple /security.txt pour la rétrocompatibilité, mais le chemin bien connu est celui que la spécification définit, alors placez-le d'abord là.

›Pourquoi Expires est-il requis, et que se passe-t-il si je l'oublie ?

La RFC 9116 exige un champ Expires afin que les outils automatisés et les chercheurs puissent distinguer un fichier obsolète et oublié d'un fichier réellement maintenu ; un fichier sans ce champ, ou avec une date passée, devrait être considéré comme non fiable par tout ce qui le vérifie, c'est pourquoi cet outil vous avertit dans ces deux cas.

›Puis-je lister plusieurs lignes Contact ?

Oui, et la RFC 9116 le recommande ; lister les contacts par ordre de préférence (par exemple une adresse e-mail d'abord, puis un formulaire web en secours) donne à un chercheur en sécurité plus d'un moyen de vous contacter si le premier échoue.

›Que mettre dans le champ Encryption ?

Une URL pointant vers votre clé PGP publique (ou un URI d'enregistrement DNS OPENPGPKEY), afin qu'un chercheur signalant une vulnérabilité sensible puisse chiffrer son rapport avant de l'envoyer ; ce champ est optionnel mais recommandé si vous traitez des divulgations sensibles par e-mail.

›À quoi sert le champ CSAF ?

CSAF (Common Security Advisory Framework) est un ajout plus récent à l'écosystème security.txt pour les organisations qui publient des avis de sécurité lisibles par machine ; le champ pointe vers votre fichier provider-metadata.json afin que les outils automatisés puissent découvrir vos avis, la plupart des sites sans flux CSAF formel peuvent laisser ce champ vide.

Générez un véritable fichier .htpasswd Apache avec bcrypt ou SHA, vérifié octet par octet par rapport à l'outil officiel en ligne de commande htpasswd, avec prise en charge de plusieurs utilisateurs à la fois.