Генератор security.txt

Free

Створюйте файл security.txt відповідно до RFC 9116, стандарту, який повідомляє дослідникам безпеки, як повідомити про вразливість на вашому сайті, із вбудованими попередженнями про відсутню або застарілу дату Expires та недійсні URI Contact.

Contact (обов'язково, хоча б один)

URI, який дослідники можуть використати для повідомлення про вразливість: mailto:, https: або tel:

Expires (обов'язково)

Коли цей файл слід вважати застарілим. Більшість сайтів використовують термін один рік; RFC 9116 рекомендує тримати його менше року.

Додаткові поля

Encryption (URL PGP-ключа)

Подяки (URL сторінки подяк)

Бажані мови

Канонічна URL-адреса цього файлу

URL політики

URL для найму

URL provider-metadata.json CSAF

Недавня Активність

Видно всім. Останні 20 використань серед усіх відвідувачів, найновіші спочатку.

Generated security.txt with 1 contact(s)

2 години тому

Generated security.txt with 1 contact(s)

2 години тому

Коментарі (0)

Знайшли цей інструмент корисним? Залиште коментар, поділіться порадою, чи скажіть нам, як ми можемо покращити його.

Ще немає коментарів. Будьте першим, хто поділиться думками!

Що робить цей інструмент

Цей інструмент створює файл security.txt відповідно до RFC 9116, стандарту, який повідомляє дослідникам безпеки, як відповідально повідомити про вразливість на вашому сайті. Додайте один або кілька способів зв'язку, дату закінчення терміну дії та будь-які потрібні вам додаткові поля, і отримайте готовий до завантаження файл із вбудованими попередженнями про найпоширеніші помилки.

Як Це Працює

Кожне заповнене вами поле стає одним рядком у форматі Field-Name: value, у порядку, визначеному RFC 9116. Дата Expires, яку ви обираєте у своєму місцевому часовому поясі, перетворюється у формат RFC 3339 зі зміщенням UTC (наприклад, 2027-01-01T00:00:00Z), саме так, як вимагає специфікація. Інструмент перевіряє, що існує принаймні один рядок Contact, який схожий на URI mailto:, https: або tel:, а також що Expires встановлено на реальну майбутню дату, попереджаючи вас, якщо будь-яка з цих перевірок не пройде, ще до того, як ви завантажите файл.

Проблеми, які це вирішує

Надання дослідникам безпеки зрозумілого, стандартного способу повідомити про вразливість замість пошуку контактної форми.
Уникнення найпоширеніших помилок security.txt: відсутньої дати Expires, застарілої дати, або рядка Contact, який не є дійсним URI.
Отримання точного порядку полів RFC 9116 і формату часової позначки без необхідності запам'ятовувати специфікацію.
Документування PGP-ключа, політики розкриття інформації або сторінки найму для програми bug bounty в одному стандартному, машиночитаному місці.

Часті запитання

›Де насправді повинен розташовуватися security.txt?

RFC 9116 визначає відоме розташування /.well-known/security.txt (наприклад, https://example.com/.well-known/security.txt). Деякі сканери також перевіряють простий шлях /security.txt для зворотної сумісності, але відомий шлях це той, який визначає специфікація, тож розмістіть файл там спочатку.

›Чому Expires є обов'язковим, і що станеться, якщо я про нього забуду?

RFC 9116 вимагає поле Expires, щоб автоматизовані інструменти та дослідники могли відрізнити застарілий, забутий файл від файлу, який справді підтримується; файл без цього поля, або з датою в минулому, повинен вважатися недостовірним будь-чим, що його перевіряє, тому цей інструмент попереджає вас в обох цих випадках.

›Чи можу я вказати більше одного рядка Contact?

Так, і RFC 9116 це рекомендує; перелік контактів у порядку пріоритету (наприклад, спочатку адреса електронної пошти, потім веб-форма як резерв) дає дослідникові безпеки більше одного способу зв'язатися з вами, якщо перший не спрацює.

›Що вказувати в полі Encryption?

URL-адреса, що вказує на ваш відкритий PGP-ключ (або URI DNS-запису OPENPGPKEY), щоб дослідник, який повідомляє про чутливу вразливість, міг зашифрувати свій звіт перед відправкою; це поле необов'язкове, але рекомендоване, якщо ви обробляєте чутливі повідомлення електронною поштою.

›Для чого призначене поле CSAF?

CSAF (Common Security Advisory Framework) це пізніше доповнення до екосистеми security.txt для організацій, які публікують машиночитані рекомендації з безпеки; поле вказує на ваш файл provider-metadata.json, щоб автоматизовані інструменти могли знаходити ваші рекомендації, більшість сайтів без формальної стрічки CSAF можуть залишити це поле порожнім.

Створюйте справжній файл Apache .htpasswd з bcrypt або SHA, перевірений побайтово порівняно з офіційним інструментом командного рядка htpasswd, з підтримкою кількох користувачів одночасно.