Generatore di security.txt

Free

Genera un file security.txt secondo la RFC 9116, lo standard che indica ai ricercatori di sicurezza come segnalare una vulnerabilità sul tuo sito, con avvisi integrati per una data Expires mancante o obsoleta e URI Contact non validi.

Contact (richiesto, almeno uno)

Un URI che i ricercatori possono usare per segnalare una vulnerabilità: mailto:, https:, o tel:

Expires (richiesto)

Quando questo file dovrebbe essere considerato obsoleto. La maggior parte dei siti usa un anno; la RFC 9116 raccomanda di mantenerlo entro un anno.

Campi opzionali

Encryption (URL chiave PGP)

Ringraziamenti (URL della hall of fame)

Lingue preferite

URL canonico di questo file

URL della policy

URL di assunzione

URL provider-metadata.json CSAF

Attività recente

Visibile a tutti. Ultimi 20 utilizzi su tutti i visitatori, i più recenti per primi.

Generated security.txt with 1 contact(s)

2 ore fa

Generated security.txt with 1 contact(s)

2 ore fa

Commenti (0)

Hai trovato utile questo strumento? Lascia un commento, condividi un consiglio, o dicci come possiamo migliorarlo.

Ancora nessun commento. Sii il primo a condividere il tuo pensiero!

Cosa fa questo strumento

Questo strumento genera un file security.txt seguendo la RFC 9116, lo standard che indica ai ricercatori di sicurezza come segnalare responsabilmente una vulnerabilità sul tuo sito. Aggiungi uno o più metodi di contatto, una data di scadenza, e qualsiasi campo opzionale di cui hai bisogno, e ottieni un file pronto per il caricamento con avvisi integrati per gli errori più comuni.

Come funziona

Ogni campo che compili diventa una riga nel formato Field-Name: value, nell'ordine definito dalla RFC 9116. La data Expires che scegli nel tuo fuso orario locale viene convertita nel formato RFC 3339 con offset UTC (ad esempio 2027-01-01T00:00:00Z), esattamente come richiesto dalla specifica. Lo strumento verifica che esista almeno una riga Contact e che assomigli a un URI mailto:, https:, o tel:, e che Expires sia impostato su una data futura reale, avvisandoti se uno di questi controlli fallisce, prima ancora che carichi il file.

Problemi che risolve

Dare ai ricercatori di sicurezza un modo chiaro e standard per segnalare una vulnerabilità invece di cercare un modulo di contatto.
Evitare gli errori più comuni di security.txt: una data Expires mancante, obsoleta, o una riga Contact che non è un URI valido.
Ottenere l'ordine esatto dei campi RFC 9116 e il formato corretto del timestamp senza memorizzare la specifica.
Documentare una chiave PGP, una politica di divulgazione, o una pagina di reclutamento per bug bounty in un unico posto standard e leggibile dalle macchine.

Domande frequenti

›Dove deve effettivamente risiedere security.txt?

La RFC 9116 specifica la posizione nota /.well-known/security.txt (ad esempio https://example.com/.well-known/security.txt). Alcuni crawler controllano anche il semplice percorso /security.txt per retrocompatibilità, ma il percorso noto è quello definito dalla specifica, quindi mettilo prima lì.

›Perché Expires è richiesto, e cosa succede se lo dimentico?

La RFC 9116 richiede un campo Expires affinché strumenti automatizzati e ricercatori possano distinguere un file obsoleto e dimenticato da uno effettivamente mantenuto; un file senza di esso, o con una data nel passato, dovrebbe essere considerato non attendibile da qualsiasi cosa lo controlli, ecco perché questo strumento ti avvisa in entrambi i casi.

›Posso elencare più di una riga Contact?

Sì, e la RFC 9116 lo raccomanda; elencare i contatti in ordine di preferenza (ad esempio prima un indirizzo email, poi un modulo web come backup) offre a un ricercatore di sicurezza più di un modo per contattarti se il primo fallisce.

›Cosa va nel campo Encryption?

Un URL che punta alla tua chiave PGP pubblica (o un URI di record DNS OPENPGPKEY), così un ricercatore che segnala una vulnerabilità sensibile può cifrare il suo report prima di inviarlo; questo campo è opzionale ma consigliato se gestisci divulgazioni sensibili via email.

›A cosa serve il campo CSAF?

CSAF (Common Security Advisory Framework) è un'aggiunta successiva all'ecosistema security.txt per le organizzazioni che pubblicano avvisi di sicurezza leggibili dalle macchine; il campo punta al tuo file provider-metadata.json affinché gli strumenti automatizzati possano scoprire i tuoi avvisi, la maggior parte dei siti senza un feed CSAF formale può lasciarlo vuoto.

Genera un vero file .htpasswd di Apache con bcrypt o SHA, verificato byte per byte rispetto allo strumento ufficiale a riga di comando htpasswd, con supporto per più utenti contemporaneamente.