יצירת דיווחי abuse לרשמים, לספקי אחסון ול-CDN, כאימייל וכקובץ JSON.
חדש
מחולל security.txt
פועל מקומית
הכלי עצמו הוא באנגלית; דף זה מסביר את אופן השימוש בו בשפתך.
השתמש ב-מחולל security.txt
מה זה עושה
הכינו קובץ security.txt כדי שחוקרים ואנשים המדווחים על ניסיונות פישינג המתיימרים להיות מטעם המותג שלכם ידעו כיצד ליצור איתכם קשר. שמרו את הקובץ תחת השם /.well-known/security.txt.
היא פועלת כולה בדפדפן שלך: שום דבר שאתה מזין לא מועלה.
כיצד להשתמש ב-מחולל security.txt
- הזן איש קשר. הזן ב"צור קשר" את פרטי ההתקשרות עם צוות האבטחה שלך, פריט אחד בכל שורה: mailto:security@example.com, כתובת דוא"ל https:// של טופס דיווח, או מספר טלפון: tel:. לכתובת דוא"ל ללא תוספת ייתווסף ה-mailto:.
- הגדר את תאריך התפוגה. בחר תאריך בשדה "תוקף". ברירת המחדל היא שנה מהיום; תקן RFC 9116 ממליץ על פחות משנה, ולכן בחר תאריך מוקדם יותר.
- הוסף שדות אופציונליים. מלא את השדות "שפות מועדפות" (ברירת המחדל היא en), "קנוניקל", "מדיניות", "הצפנה", "תודות" ו"גיוס" אם יש לך מידע בנושא. שדות ריקים לא יכללו בקובץ.
- ליצור ולהעתיק. לחץ על "צור" וקרא את התוצאה בתיבת הפלט. בדוק שוב כל כתובת, מכיוון שהכלי מעתיק אותן כפי שהוקלדו, ולאחר מכן לחץ על "העתק".
- פרסום וחידוש. שמור את הטקסט כקובץ /.well-known/security.txt באתר שלך באמצעות HTTPS, חתום עליו באמצעות הפקודה gpg --clearsign אם תרצה, ורשום את התאריך שבו יש לחדש אותו לפני שתוקפו יפוג.
דוגמה
קובץ מינימלי
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enאיש הקשר של Produces: mailto:security@example.com, שורת Expires המוגדרת לשנה קדימה בשעה 23:59:59Z ו-Preferred-Languages: en — שני השדות החובה בתוספת רמז לשפה, עם תזכורת כי תקן RFC 9116 ממליץ על תאריך Expires הנמצא פחות משנה קדימה.
מה הוא בודק
| אות | מה זה אומר |
|---|---|
| ליצירת קשר: | שורה אחת לכל איש קשר, לפי הסדר שבו הקלדת אותם. כל שורה חייבת להיות URI מסוג mailto:, https:// או tel: כפי שנדרש בתקן RFC 9116; http:// וערכים שלא נכתבו כהלכה יגרמו לשגיאה במקום להציג קובץ. |
| תוקף: | התאריך שנבחר בשעה 23:59:59 UTC, כתוב במילי-שניות, לדוגמה 2027-03-31T23:59:59.000Z. אם תנקה את שדה התאריך, הפונקציה "Generate" תפסיק ליצור קובץ חדש. |
| שפות מועדפות: | en כברירת מחדל. השתמש בקודי שפה המופרדים בפסיקים, כגון en, de, או נקה את השדה כדי להשמיט את השורה. |
| קנוני: | הכתובת המלאה של https:// שבה נמצא הקובץ, כך שניתן יהיה לזהות עותק שמוגש ממקום אחר. |
| הצפנה: | קישור למפתח הציבורי שלך ב-OpenPGP, כדי שעיתונאים יוכלו להצפין פרטים רגישים. |
| מדיניות, תודות, גיוס עובדים | קישורים למדיניות הגילוי הנאות שלכם, לדף המודה לעיתונאים ולמשרות בתחום האבטחה. כל אלה הם אופציונליים, והכלי אינו בודק אם הקישורים פועלים. |
| כתובת תפקיד ב"אנשי קשר" | השתמש בכתובת או בטופס שהצוות עוקב אחריהם, כגון security@הדומיין שלך, ולא בתיבת הדואר של אדם מסוים, כך שהדוחות ימשיכו להגיע גם כאשר אנשים מחליפים מקום עבודה. |
| שגיאה: יש להזין פרטי יצירת קשר | מוצג כאשר שדה 'אנשי הקשר' ריק. כל שגיאה מחליפה את התוצאה, עם הערה כי לא נוצר דבר עד לתיקון השדות. |
דוגמאות נוספות
טופס מקוון הכולל שפות ומדיניות
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyחמש שורות בסדר הבא: Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, מדיניות: https://example.org/security-policy.
יצירת קשר באמצעות דואר אלקטרוני עם מפתח, ללא שפה
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtשלוש שורות: פרטי יצירת קשר: mailto:abuse@example.net, תאריך תפוגה: 2027-06-30T23:59:59.000Z והצפנה: https://example.net/pgp-key.txt.
שדה 'יצירת קשר' נותר ריק
All fields filled except Contactשגיאה: יש למלא את שדה 'אנשי קשר', וכן מופיעה הודעה כי לא נוצר דבר. הערכים בשאר השדות נותרו ללא שינוי, לכן יש למלא את שדה 'אנשי קשר' וללחוץ שוב על 'צור'.
שאלות נפוצות
אילו שדות הם שדות חובה?
RFC 9116 מחייב שדה Contact אחד לפחות ושדה Expires אחד בדיוק; השאר הם אופציונליים. כל שורת 'Contact' חייבת להיות URI מסוג mailto:, https:// או tel: (לכתובת דוא"ל פשוטה מתווסף mailto:), שדה 'Expires' חייב להיות תאריך עתידי, והפונקציה 'Generate' מציגה שגיאה במקום קובץ כאשר אחד מהשדות חסר או אינו תקין.
לאיזה ערך עליי להגדיר את "Expires"?
התאריך המוגדר כברירת מחדל הוא שנה מהיום, בעוד ש-RFC 9116 ממליץ על פחות משנה, ולכן יש לבחור תאריך מוקדם יותר כדי לעמוד בהנחיות; הדף יזכיר לכם כאשר התאריך נמצא במרחק של יותר משנה מהיום. יש לחדש את הקובץ לפני תאריך זה, שכן ה-RFC קובע שיש להתייחס לקובץ security.txt שפג תוקפו כאל קובץ מיושן.
האם התוכנה מעלה או חותמת על משהו?
לא. הקובץ מורכב בדפדפן שלך, ושום דבר לא נשלח לשום מקום. הוא אינו חתום; תקן RFC 9116 ממליץ על חתימת OpenPGP בטקסט גלוי, אותה ניתן להוסיף באמצעות הפקודה gpg --clearsign לפני הפרסום.
האם אני יכול לרשום יותר מאדם אחד ברשימת אנשי הקשר?
כן. תקן RFC 9116 מאפשר רישום מספר שורות של אנשי קשר, הנקראות לפי סדר העדיפות. יש להקליד איש קשר אחד בכל שורה בשדה "אנשי קשר"; כפילויות נרשמות פעם אחת בלבד.
לאן בדיוק הקובץ מועבר?
בכתובת https://your-domain/.well-known/security.txt, המוגש באמצעות HTTPS כטקסט רגיל. עותק או הפניה לכתובת /security.txt הם אופציונליים.
האם קובץ אחד מכסה את כל תתי-הדומיינים שלי?
לא. על פי RFC 9116, קובץ security.txt חל רק על השרת שממנו הוא נלקח, ולא על תתי-הדומיינים שלו או על הדומיין הראשי. יש לפרסם עותק בכל שרת שבו אנשים עשויים לחפש אותו, כגון www ו-shop.
כיצד קובץ security.txt מסייע במניעת פישינג שמזייף את המותג שלי?
אנשים שמגלים אתר דומה או דוא"ל מזויף בשמך, לרוב רוצים להזהיר אותך. ערוץ יצירת קשר פעיל מעביר את הדיווח הזה ישירות לצוות האבטחה שלך, במקום לתור התמיכה הכללי, כך שתוכל לטפל בדומיין הדומה בהקדם.