Een security.txt op je website zetten
Vindt iemand een beveiligingslek in je website, bijvoorbeeld een open map of een verouderde plugin, dan wil je dat die persoon jou kan waarschuwen. Daarvoor is security.txt: een klein tekstbestand op een vaste plek in je website, met het adres waar zulke meldingen naartoe moeten. Het is vastgelegd in de internetstandaard RFC 9116. Hier lees je wat erin staat en hoe je het neerzet.
De plek
Het bestand staat op https://example.com/.well-known/security.txt. De oude plek /security.txt in de hoofdmap mag als extra, maar als het bestand op beide plekken staat, telt dat in /.well-known/. Het moet via https bereikbaar zijn en als platte tekst worden verstuurd (text/plain).
Het bestand geldt alleen voor de naam waarop het staat. Een security.txt op example.com geldt dus niet vanzelf voor shop.example.com. Heeft een subdomein een eigen website, zet daar dan ook een security.txt neer.
Wat erin staat
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Veld | Verplicht? | Betekenis |
|---|---|---|
Contact | Ja | Waar meldingen naartoe gaan: een mailto:-adres, een tel:-nummer of een webpagina die met https:// begint. Je mag er meer onder elkaar zetten, de eerste is je voorkeur. |
Expires | Ja, precies één keer | De datum en tijd waarna het bestand als verouderd geldt, zoals 2027-10-31T23:00:00Z. De standaard raadt een datum aan die minder dan een jaar vooruit ligt. |
Preferred-Languages | Nee | De talen waarin je meldingen wilt ontvangen. |
Canonical | Nee | Het adres van het bestand zelf. |
Policy | Nee | Een link naar een pagina met je beleid voor meldingen: wat je met een melding doet en wat je van de melder vraagt. |
Encryption | Nee | Een link naar je openbare sleutel, als melders je versleuteld mogen mailen. |
Gebruik bij Contact een adres dat iemand echt leest. Een vergeten mailbox is erger dan geen security.txt: de melder denkt dat je gewaarschuwd bent. Ondertekenen met een digitale handtekening (OpenPGP) mag, maar is niet verplicht.
Neerzetten op je hostingpakket
- Open in DirectAdmin Bestandsbeheer en ga naar
domains/example.com/public_html. Zie Bestandsbeheer openen: de mappen in je pakket. - Bestaat de map
.well-knownnog niet, maak hem dan aan. Mappen die met een punt beginnen, zie je pas als je verborgen bestanden toont: zie Verborgen bestanden zoals .htaccess tonen en bewerken. - Maak in die map een nieuw bestand
security.txt, plak je regels erin en sla op. - Open
https://example.com/.well-known/security.txtin je browser. Je hoort je tekst te zien.
Gebruik je WordPress of een ander CMS, dan verandert er niets: een bestand dat echt bestaat, stuurt de webserver gewoon op.
Neerzetten op een VPS
Op een VPS zet je het bestand in de webmap van je site, bijvoorbeeld /var/www/example.com/.well-known/security.txt. Let op twee dingen:
- Blokkeer je in nginx alle paden die met een punt beginnen, zet dan eerst een uitzondering voor
/.well-known/. - Draait er een applicatie achter een reverse proxy, laat het pad dan in Caddy of nginx naar het bestand wijzen.
Zie Caddy: een website met automatische https en nginx met een certificaat van Let's Encrypt.
Controleren
Bekijk de kopregels met:
curl -sI https://example.com/.well-known/security.txt
De status hoort 200 te zijn en het type text/plain. Een veelgemaakte fout: een site die elk onbekend adres beantwoordt met de voorpagina. Dan lijkt het bestand te bestaan, maar komt er HTML terug. Kijk dus ook naar de inhoud. De websitetest van internet.nl controleert security.txt ook.
Elk jaar bijwerken
Zet in je agenda een herinnering ruim voor de datum bij Expires. Kijk dan of het contactadres nog klopt en schuif de datum op. Verandert er tussendoor iets, zoals een nieuw adres of iemand die vertrekt, pas het bestand dan meteen aan.
Verder lezen
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (Engels)
- securitytxt.org, met een hulpmiddel om het bestand te maken (Engels)
Meer leren? Volg de gratis cursus VPS en Linux-serverbeheer, les 7.4 Caddy, HSTS en security.txt of les 10.4 Eindcheck: je server langs de lat.