Файл security.txt

Файл /.well-known/security.txt с адресом, куда сообщать об уязвимости. Его никто не требует; он избавляет нашедшего от угадывания и занимает три строки.

• Помощь

security.txt (RFC 9116) — небольшой текстовый файл, который подсказывает исследователю безопасности, куда сообщить о найденной на сайте уязвимости. Без него добросовестному человеку приходится гадать — общая форма обратной связи, адрес поддержки, сообщение в соцсетях, — и многие бросают затею или публикуют проблему открыто. Файл необязателен, поэтому в отчёте он значится как опубликованный или не опубликованный, а не как ошибка, но добавить его — дело нескольких минут.

Как проверяет SiteScan

Сканер запрашивает /.well-known/security.txt и считает файл опубликованным, только если ответ 200, это не HTML-страница и в ней есть хотя бы одна строка, начинающаяся с Contact:. Одностраничное приложение, которое на любой адрес отдаёт свой index, случайно проверку не пройдёт. Устаревшее расположение /security.txt в корне не проверяется.

Как добавить

Отдавайте по адресу /.well-known/security.txt текстовый файл как минимум с такими полями:

• Contact: mailto:security@example.com (или https://-адрес формы для сообщений)
• Expires: 2027-12-31T23:59:00Z — обязательно по RFC; не дальше года вперёд, и не забывайте продлевать
• по желанию Policy:, Preferred-Languages: ru, en и Encryption: со ссылкой на PGP-ключ

Сервер должен отдавать его как text/plain. Смежные проверки: файлы после деплоя и заголовки безопасности.