Plasarea unui fișier security.txt pe site-ul dumneavoastră
Dacă cineva găsește o vulnerabilitate de securitate pe site-ul dumneavoastră, de exemplu un folder deschis sau un plugin învechit, este bine ca acea persoană să vă poată avertiza. În acest scop există security.txt: un mic fișier text, aflat într-un loc fix pe site-ul dumneavoastră, care conține adresa la care trebuie trimise astfel de raportări. Acesta este definit în standardul de internet RFC 9116. Aici aflați ce conține și cum îl puteți publica.
Locația
Fișierul se află la https://example.com/.well-known/security.txt. Vechea locație /security.txt din folderul principal poate fi folosită suplimentar, însă dacă fișierul există în ambele locuri, contează cel din /.well-known/. Fișierul trebuie să fie accesibil prin https și să fie transmis ca text simplu (text/plain).
Fișierul este valabil doar pentru numele pe care se află. Un security.txt de pe example.com nu se aplică, așadar, automat și pentru shop.example.com. Dacă un subdomeniu are propriul site web, publicați și acolo un security.txt.
Ce conține
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Câmp | Obligatoriu? | Semnificație |
|---|---|---|
Contact | Da | Unde ajung raportările: o adresă mailto:, un număr tel: sau o pagină web care începe cu https://. Puteți trece mai multe, una sub alta; prima este cea preferată. |
Expires | Da, exact o singură dată | Data și ora după care fișierul este considerat învechit, de exemplu 2027-10-31T23:00:00Z. Standardul recomandă o dată aflată la mai puțin de un an în viitor. |
Preferred-Languages | Nu | Limbile în care doriți să primiți raportările. |
Canonical | Nu | Adresa fișierului însuși. |
Policy | Nu | Un link către o pagină cu politica dumneavoastră privind raportările: ce faceți cu o raportare și ce îi cereți persoanei care raportează. |
Encryption | Nu | Un link către cheia dumneavoastră publică, dacă persoanele care raportează vă pot trimite e-mailuri criptate. |
La Contact, folosiți o adresă pe care cineva o citește cu adevărat. O căsuță de e-mail uitată este mai rea decât lipsa unui security.txt: persoana care raportează crede că ați fost avertizat. Semnarea cu o semnătură digitală (OpenPGP) este permisă, dar nu este obligatorie.
Publicarea pe pachetul de hosting
- Deschideți în DirectAdmin File Manager și accesați
domains/example.com/public_html. Consultați Deschiderea File Manager: folderele din pachetul dumneavoastră. - Dacă folderul
.well-knownnu există încă, creați-l. Folderele care încep cu un punct devin vizibile doar după ce afișați fișierele ascunse: consultați Afișarea și editarea fișierelor ascunse, precum .htaccess. - Creați în acel folder un fișier nou
security.txt, lipiți rândurile dumneavoastră în el și salvați. - Deschideți
https://example.com/.well-known/security.txtîn browser. Ar trebui să vedeți textul dumneavoastră.
Dacă folosiți WordPress sau un alt CMS, nu se schimbă nimic: un fișier care există cu adevărat este trimis pur și simplu de serverul web.
Publicarea pe un VPS
Pe un VPS, plasați fișierul în folderul web al site-ului dumneavoastră, de exemplu /var/www/example.com/.well-known/security.txt. Fiți atent la două lucruri:
- Dacă în nginx blocați toate căile care încep cu un punct, adăugați mai întâi o excepție pentru
/.well-known/. - Dacă rulează o aplicație în spatele unui reverse proxy, configurați calea în Caddy sau nginx astfel încât să indice către fișier.
Consultați Caddy: un site web cu https automat și nginx cu un certificat Let's Encrypt.
Verificare
Vizualizați anteturile cu:
curl -sI https://example.com/.well-known/security.txt
Statusul ar trebui să fie 200, iar tipul text/plain. O greșeală frecventă: un site care răspunde la orice adresă necunoscută cu pagina principală. În acest caz, fișierul pare să existe, dar se returnează HTML. Verificați, așadar, și conținutul. Testul de site web de la internet.nl verifică și el security.txt.
Actualizare anuală
Setați în calendar un memento cu mult înainte de data de la Expires. Verificați atunci dacă adresa de contact mai este corectă și amânați data. Dacă între timp se schimbă ceva, de exemplu o adresă nouă sau plecarea cuiva, actualizați fișierul imediat.
Lectură suplimentară
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (în limba engleză)
- securitytxt.org, cu un instrument pentru crearea fișierului (în limba engleză)
Doriți să aflați mai multe? Urmați cursul gratuit VPS și administrarea serverelor Linux, lecția 7.4 Caddy, HSTS și security.txt sau lecția 10.4 Verificarea finală: serverul dumneavoastră sub lupă.