Generator security.txt

Free

Generuj plik security.txt zgodny z RFC 9116, standardem informującym badaczy bezpieczeństwa, jak zgłosić podatność na Twojej witrynie, z wbudowanymi ostrzeżeniami o brakującej lub przestarzałej dacie Expires oraz nieprawidłowych URI Contact.

Contact (wymagane, co najmniej jeden)

URI, który badacze mogą wykorzystać do zgłoszenia podatności: mailto:, https: lub tel:

Expires (wymagane)

Kiedy ten plik powinien być uważany za przestarzały. Większość witryn używa roku; RFC 9116 zaleca utrzymywanie go poniżej roku.

Opcjonalne pola

Encryption (adres URL klucza PGP)

Podziękowania (adres URL listy zasłużonych)

Preferowane języki

Kanoniczny adres URL tego pliku

Adres URL polityki

Adres URL rekrutacji

Adres URL provider-metadata.json CSAF

Ostatnia Aktywność

Widoczne dla wszystkich. Ostatnie 20 użyć wśród wszystkich odwiedzających, najpierw najnowsze.

Generated security.txt with 1 contact(s)

2 godziny temu

Generated security.txt with 1 contact(s)

2 godziny temu

Komentarze (0)

Uznałeś to narzędzie za przydatne? Zostaw komentarz, podziel się wskazówką, lub powiedz nam, jak możemy je ulepszyć.

Jeszcze brak komentarzy. Bądź pierwszym, który podzieli się swoimi przemyśleniami!

Co robi to narzędzie

To narzędzie generuje plik security.txt zgodny z RFC 9116, standardem informującym badaczy bezpieczeństwa, jak odpowiedzialnie zgłosić podatność na Twojej witrynie. Dodaj jedną lub więcej metod kontaktu, datę wygaśnięcia i wszelkie potrzebne opcjonalne pola, a otrzymasz plik gotowy do przesłania z wbudowanymi ostrzeżeniami dla najczęstszych błędów.

Jak To Działa

Każde wypełnione pole staje się jednym wierszem w formacie Field-Name: value, w kolejności zdefiniowanej przez RFC 9116. Data Expires wybrana w Twojej lokalnej strefie czasowej jest konwertowana do formatu RFC 3339 z przesunięciem UTC (na przykład 2027-01-01T00:00:00Z), zgodnie z wymaganiami specyfikacji. Narzędzie sprawdza, czy istnieje co najmniej jeden wiersz Contact wyglądający jak URI mailto:, https: lub tel:, oraz czy Expires jest ustawiony na rzeczywistą przyszłą datę, ostrzegając, jeśli którakolwiek z kontroli nie powiedzie się, zanim jeszcze przesłesz plik.

Problemy, które rozwiązuje

Zapewnienie badaczom bezpieczeństwa jasnego, standardowego sposobu zgłaszania podatności zamiast szukania formularza kontaktowego.
Unikanie najczęstszych błędów security.txt: brakującej daty Expires, przestarzałej daty, lub wiersza Contact, który nie jest prawidłowym URI.
Uzyskanie prawidłowej kolejności pól RFC 9116 i formatu znacznika czasu bez zapamiętywania specyfikacji.
Dokumentowanie klucza PGP, polityki ujawniania, lub strony rekrutacyjnej programu bug bounty w jednym standardowym, czytelnym dla maszyn miejscu.

Często zadawane pytania

›Gdzie właściwie musi znajdować się security.txt?

RFC 9116 określa dobrze znaną lokalizację /.well-known/security.txt (na przykład https://example.com/.well-known/security.txt). Niektóre roboty indeksujące sprawdzają też prostą ścieżkę /security.txt dla zgodności ze starszymi wersjami, ale dobrze znana ścieżka to ta, którą definiuje specyfikacja, więc umieść plik tam najpierw.

›Czemu Expires jest wymagane, i co się stanie, jeśli o nim zapomnę?

RFC 9116 wymaga pola Expires, aby zautomatyzowane narzędzia i badacze mogli odróżnić przestarzały, zapomniany plik od pliku faktycznie utrzymywanego; plik bez tego pola, lub z datą w przeszłości, powinien być traktowany jako niewiarygodny przez wszystko, co go sprawdza, dlatego to narzędzie ostrzega w obu tych przypadkach.

›Czy mogę wymienić więcej niż jeden wiersz Contact?

Tak, i RFC 9116 to zaleca; wymienianie kontaktów w kolejności preferencji (na przykład najpierw adres e-mail, potem formularz internetowy jako zapasowy) daje badaczowi bezpieczeństwa więcej niż jeden sposób skontaktowania się z Tobą, jeśli pierwszy zawiedzie.

›Co umieścić w polu Encryption?

Adres URL wskazujący na Twój publiczny klucz PGP (lub URI rekordu DNS OPENPGPKEY), aby badacz zgłaszający wrażliwą podatność mógł zaszyfrować swoje zgłoszenie przed wysłaniem; to pole jest opcjonalne, ale polecane, jeśli obsługujesz wrażliwe zgłoszenia przez e-mail.

›Do czego służy pole CSAF?

CSAF (Common Security Advisory Framework) to późniejsze rozszerzenie ekosystemu security.txt dla organizacji publikujących czytelne dla maszyn porady bezpieczeństwa; pole wskazuje na Twój plik provider-metadata.json, aby zautomatyzowane narzędzia mogły odnaleźć Twoje porady, większość witryn bez formalnego źródła CSAF może pozostawić to pole puste.

Generuj prawdziwy plik Apache .htpasswd z bcrypt lub SHA, zweryfikowany bajt po bajcie względem oficjalnego narzędzia wiersza poleceń htpasswd, z obsługą wielu użytkowników naraz.