Gerador de security.txt

Free

Gere um arquivo security.txt conforme a RFC 9116, o padrão que informa aos pesquisadores de segurança como relatar uma vulnerabilidade no seu site, com avisos integrados para uma data Expires ausente ou desatualizada e URIs de Contact inválidos.

Contact (obrigatório, pelo menos um)

Um URI que pesquisadores podem usar para relatar uma vulnerabilidade: mailto:, https:, ou tel:

Expires (obrigatório)

Quando este arquivo deve ser considerado obsoleto. A maioria dos sites usa um ano; a RFC 9116 recomenda manter abaixo de um ano.

Campos opcionais

Encryption (URL da chave PGP)

Agradecimentos (URL do hall da fama)

Idiomas preferidos

URL canônica deste arquivo

URL de política

URL de contratação

URL provider-metadata.json do CSAF

Atividade recente

Visível para todos. Últimos 20 usos de todos os visitantes, mais recentes primeiro.

Generated security.txt with 1 contact(s)

há 2 horas

Generated security.txt with 1 contact(s)

há 2 horas

Comentários (0)

Achou esta ferramenta útil? Deixe um comentário, compartilhe uma dica ou nos diga como podemos melhorá-la.

Ainda sem comentários. Seja o primeiro a compartilhar sua opinião!

O que esta ferramenta faz

Esta ferramenta gera um arquivo security.txt seguindo a RFC 9116, o padrão que informa aos pesquisadores de segurança como relatar de forma responsável uma vulnerabilidade no seu site. Adicione um ou mais métodos de contato, uma data de validade, e quaisquer campos opcionais que você precisar, e obtenha um arquivo pronto para enviar com avisos integrados para os erros mais comuns.

Como funciona

Cada campo que você preenche se torna uma linha no formato Field-Name: value, na ordem definida pela RFC 9116. A data Expires que você escolhe no seu fuso horário local é convertida para o formato RFC 3339 com deslocamento UTC (por exemplo 2027-01-01T00:00:00Z), exatamente como a especificação exige. A ferramenta verifica se existe pelo menos uma linha Contact e se ela parece um URI mailto:, https:, ou tel:, e se Expires está definido para uma data futura real, avisando você se qualquer uma dessas verificações falhar, antes mesmo de você enviar o arquivo.

Problemas que resolve

Dar aos pesquisadores de segurança uma forma clara e padronizada de relatar uma vulnerabilidade em vez de procurar um formulário de contato.
Evitar os erros mais comuns do security.txt: uma data Expires ausente, uma desatualizada, ou uma linha Contact que não é um URI válido.
Obter a ordem exata dos campos da RFC 9116 e o formato correto de timestamp sem memorizar a especificação.
Documentar uma chave PGP, política de divulgação, ou página de contratação de bug bounty em um único local padrão e legível por máquina.

Perguntas frequentes

›Onde o security.txt realmente precisa estar?

A RFC 9116 especifica o local conhecido /.well-known/security.txt (por exemplo https://example.com/.well-known/security.txt). Alguns rastreadores também verificam o caminho simples /security.txt por compatibilidade retroativa, mas o caminho conhecido é o que a especificação define, então coloque-o lá primeiro.

›Por que Expires é obrigatório, e o que acontece se eu esquecer?

A RFC 9116 exige um campo Expires para que ferramentas automatizadas e pesquisadores possam distinguir um arquivo obsoleto e esquecido de um que é realmente mantido; um arquivo sem ele, ou com uma data no passado, deve ser tratado como não confiável por qualquer coisa que o verifique, por isso esta ferramenta avisa você em ambos os casos.

›Posso listar mais de uma linha Contact?

Sim, e a RFC 9116 recomenda isso; listar contatos em ordem de preferência (por exemplo, um endereço de e-mail primeiro, depois um formulário web como backup) dá a um pesquisador de segurança mais de uma forma de entrar em contato com você se a primeira falhar.

›O que vai no campo Encryption?

Uma URL apontando para sua chave PGP pública (ou um URI de registro DNS OPENPGPKEY), para que um pesquisador relatando uma vulnerabilidade sensível possa criptografar seu relatório antes de enviá-lo; este campo é opcional, mas recomendado se você trata divulgações sensíveis por e-mail.

›Para que serve o campo CSAF?

CSAF (Common Security Advisory Framework) é uma adição posterior ao ecossistema security.txt para organizações que publicam avisos de segurança legíveis por máquina; o campo aponta para seu arquivo provider-metadata.json para que ferramentas automatizadas possam descobrir seus avisos, a maioria dos sites sem um feed CSAF formal pode deixar isso em branco.

Gere um arquivo .htpasswd real do Apache com bcrypt ou SHA, verificado byte a byte contra a ferramenta oficial de linha de comando htpasswd, com suporte para vários usuários de uma vez.