security.txt 生成器

Free

文本

按照 RFC 9116 生成 security.txt 文件，该标准告诉安全研究人员如何报告您网站上的漏洞，并内置了针对缺失或过期的 Expires 日期以及无效 Contact URI 的警告。

Contact（必填，至少一个）

研究人员可用于报告漏洞的 URI：mailto:、https: 或 tel:

Expires（必填）

此文件应在何时被视为过期。大多数网站使用一年的有效期；RFC 9116 建议保持在一年以内。

可选字段

Encryption（PGP 密钥 URL）

致谢（名人堂 URL）

首选语言

此文件的规范 URL

政策 URL

招聘 URL

CSAF provider-metadata.json URL

此工具的功能

此工具按照 RFC 9116 生成 security.txt 文件，该标准告诉安全研究人员如何负责任地报告您网站上的漏洞。添加一个或多个联系方式、一个到期日期，以及您需要的任何可选字段，即可获得一个随时可上传的文件，并内置了针对最常见错误的警告。

工作原理

您填写的每个字段都会变成一行，格式为 Field-Name: value，按 RFC 9116 定义的顺序排列。您在本地时区选择的 Expires 日期会按规范要求转换为带 UTC 偏移的 RFC 3339 格式（例如 2027-01-01T00:00:00Z）。该工具会检查是否存在至少一个看起来像 mailto:、https: 或 tel: URI 的 Contact 行，以及 Expires 是否设置为真实的未来日期，如果任一检查失败，会在您上传文件之前提醒您。

解决的问题

为安全研究人员提供清晰、标准的方式来报告漏洞，而不必四处寻找联系表单。
避免最常见的 security.txt 错误：缺少 Expires 日期、日期过期，或 Contact 行不是有效的 URI。
无需记住规范即可准确获得 RFC 9116 字段顺序和时间戳格式。
将 PGP 密钥、披露政策或漏洞悬赏招募页面记录在一个标准的、机器可读的位置。

常见问题

›security.txt 实际应该放在哪里？

RFC 9116 规定了知名位置 /.well-known/security.txt（例如 https://example.com/.well-known/security.txt）。出于向后兼容性考虑，一些爬虫也会检查简单的 /security.txt 路径，但规范定义的是知名路径，因此请先把文件放在那里。

›为什么需要 Expires？如果我忘记设置会怎样？

RFC 9116 要求提供 Expires 字段，以便自动化工具和研究人员能够区分一个过期被遗忘的文件和一个实际在维护的文件；缺少该字段或日期在过去的文件，应被任何检查它的工具视为不可信，这就是为什么此工具会在这两种情况下向您发出警告。

›我可以列出多个 Contact 行吗？

是的，RFC 9116 也推荐这样做；按优先顺序列出联系方式（例如先列电子邮件地址，再列网页表单作为备用）可以让安全研究人员在第一种方式失败时有多种方式联系到您。

›Encryption 字段应填什么？

指向您的公开 PGP 密钥的 URL（或 OPENPGPKEY DNS 记录 URI），以便报告敏感漏洞的研究人员在发送报告前对其进行加密；此字段为可选，但如果您通过电子邮件处理敏感披露信息，建议填写。

›CSAF 字段是做什么用的？

CSAF（通用安全公告框架）是 security.txt 生态系统后来新增的内容，适用于发布机器可读安全公告的组织；该字段指向您的 provider-metadata.json 文件，以便自动化工具发现您的公告，没有正式 CSAF 源的大多数网站可以将其留空。

security.txt 生成器

Contact（必填，至少一个）

Expires（必填）

最近活动

评论 (0)

此工具的功能

工作原理

解决的问题

常见问题

相关工具

llms.txt生成器

ASCII 艺术生成器

密钥/配置脱敏工具

Cron 表达式生成器

DMARC记录生成器

Excel转HTML表格转换器

哈希生成器 (MD5/SHA1/SHA256/SHA512)

htpasswd生成器