Plik security.txt

Plik /.well-known/security.txt z adresem, pod który zgłasza się podatność. Nikt go nie wymaga; oszczędza znalazcy zgadywania i ma trzy linijki.

• Pomoc

security.txt (RFC 9116) to mały plik tekstowy, który mówi badaczowi bezpieczeństwa, gdzie zgłosić podatność znalezioną w witrynie. Bez niego życzliwy znalazca musi zgadywać — ogólny formularz kontaktowy, adres supportu, wiadomość w mediach społecznościowych — i wielu rezygnuje albo opisuje problem publicznie. Plik jest opcjonalny, dlatego raport pokazuje go jako opublikowany lub nie, a nie jako błąd, ale jego dodanie zajmuje kilka minut.

Jak sprawdza SiteScan

Skaner odpytuje /.well-known/security.txt i uznaje plik za opublikowany tylko wtedy, gdy odpowiedź ma kod 200, nie jest stroną HTML i zawiera co najmniej jedną linię zaczynającą się od Contact:. Aplikacja jednostronicowa, która na każdy adres zwraca swój index, nie przejdzie więc testu przypadkiem. Dawna lokalizacja /security.txt w katalogu głównym nie jest sprawdzana.

Jak go dodać

Udostępnij pod adresem /.well-known/security.txt plik tekstowy z co najmniej takimi polami:

• Contact: mailto:security@example.com (albo adres https:// formularza zgłoszeń)
• Expires: 2027-12-31T23:59:00Z — wymagane przez RFC; najwyżej rok naprzód i trzeba je odnawiać
• opcjonalnie Policy:, Preferred-Languages: pl, en i Encryption: z odnośnikiem do klucza PGP

Serwer powinien wysyłać go jako text/plain. Powiązane testy: pliki po wdrożeniu i nagłówki bezpieczeństwa.