Crea segnalazioni abuse per registrar, provider di hosting e CDN, come e-mail e come JSON.
Nuovo
Generatore di security.txt
Funziona in locale
Lo strumento è in inglese; questa pagina ne fornisce una spiegazione nella tua lingua.
Usa Generatore di security.txt
Cosa fa
Crea un file security.txt affinché i ricercatori e chi segnala phishing che imita il tuo marchio sappiano come contattarti. Salva il risultato come /.well-known/security.txt.
Funziona interamente nel browser: nulla di ciò che inserisci viene caricato online.
Come utilizzare Generatore di security.txt
- Inserisci un contatto. Inserisci in "Contatti" le modalità per contattare il tuo team di sicurezza, una per riga: mailto:security@example.com, l'indirizzo https:// di un modulo di segnalazione o un numero di telefono. Se inserisci solo un indirizzo e-mail, verrà aggiunto "mailto:".
- Imposta la data di scadenza. Scegli una data in Expires. Il valore predefinito è tra un anno; RFC 9116 raccomanda meno di un anno, quindi scegli una data precedente.
- Aggiungi i campi facoltativi. Compila Preferred-Languages (en per impostazione predefinita), Canonical, Policy, Encryption, Acknowledgments e Hiring, se li hai. I campi vuoti vengono omessi dal file.
- Genera e copia. Premi Generate e leggi il risultato nella casella di output. Controlla ancora una volta ogni indirizzo, perché lo strumento li copia così come li hai digitati, poi premi Copy.
- Pubblica e rinnova. Salva il testo come /.well-known/security.txt sul tuo sito tramite HTTPS, firmalo con gpg --clearsign se vuoi, e annota una data per rinnovarlo prima che scada.
Esempio
File minimo
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enGenera il campo “Contact”: mailto:security@example.com, una data di scadenza “Expires” fissata un anno in anticipo alle 23:59:59Z e “Preferred-Languages”: en, ovvero i due campi obbligatori più un’indicazione della lingua, con un promemoria che ricorda che la RFC 9116 raccomanda una data di scadenza “Expires” inferiore a un anno.
Cosa verifica
| Segnale | Cosa significa |
|---|---|
| Contact: | Una riga per ogni contatto, nell'ordine in cui sono stati digitati. Ciascuno deve essere un URI del tipo mailto:, https:// o tel:, come previsto dalla specifica RFC 9116; i valori del tipo http:// e quelli non conformi generano un errore anziché un file. |
| Expires: | La data scelta alle 23:59:59 UTC, scritta con i millisecondi, ad esempio 2027-03-31T23:59:59.000Z. Se svuoti il campo della data, Generate smette di produrre un nuovo file. |
| Preferred-Languages: | en per impostazione predefinita. Usa codici di lingua separati da virgole come en, de, oppure svuota il campo per omettere la riga. |
| Canonical: | L'indirizzo https:// completo in cui si trova questo file, così una copia servita da un'altra parte può essere riconosciuta. |
| Encryption: | Un link alla tua chiave pubblica OpenPGP, così chi segnala può cifrare i dettagli sensibili. |
| Policy, Acknowledgments, Hiring | Link alla tua policy di divulgazione, a una pagina di ringraziamento per chi segnala e alle offerte di lavoro nella sicurezza. Tutti facoltativi, e lo strumento non verifica che i link funzionino. |
| Un indirizzo di ruolo in Contact | Usa un indirizzo o un modulo controllato da un team, come security@ del tuo dominio, non la casella di una singola persona, così le segnalazioni continuano ad arrivare quando le persone cambiano lavoro. |
| Error: Contact is required | Viene visualizzato quando il campo “Contatto” è vuoto. Qualsiasi errore sostituisce il risultato, con una nota che indica che non è stato generato nulla finché i campi non vengono corretti. |
Altri esempi
Modulo web con lingue e policy
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyCinque righe in questo ordine: Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, Policy: https://example.org/security-policy.
Contatto e-mail con chiave, senza lingua
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtTre righe: Contact: mailto:abuse@example.net, Expires: 2027-06-30T23:59:59.000Z ed Encryption: https://example.net/pgp-key.txt.
Contact lasciato vuoto
All fields filled except ContactErrore: è necessario inserire il campo "Contatto" e viene visualizzata una nota che indica che non è stato generato nulla. Gli altri campi mantengono i propri valori, quindi compila il campo "Contatto" e premi nuovamente "Genera".
Domande frequenti
Quali campi sono obbligatori?
La RFC 9116 richiede almeno un campo "Contact" e esattamente un campo "Expires"; i restanti sono facoltativi. Ogni riga "Contact" deve essere un URI del tipo "mailto:", "https://" o "tel:" (se si inserisce solo un indirizzo e-mail, viene aggiunto "mailto:"); il campo "Expires" deve indicare una data futura; se uno di questi campi manca o non è valido, Generate visualizza un errore anziché un file.
Che data devo impostare in Expires?
La data predefinita è fissata a un anno da oggi, mentre la RFC 9116 raccomanda un periodo inferiore a un anno; scegli quindi una data precedente per rispettare tale raccomandazione; la pagina ti avviserà se la data è superiore a un anno nel futuro. Rinnova il file prima di tale data, poiché la RFC stabilisce che un file security.txt scaduto debba essere considerato obsoleto.
Carica o firma qualcosa?
No. Il file viene composto nel tuo browser e nulla viene inviato altrove. Non viene firmato; RFC 9116 raccomanda una firma OpenPGP in chiaro, che puoi aggiungere con gpg --clearsign prima della pubblicazione.
Posso indicare più di un contatto?
Sì. La RFC 9116 consente di inserire più righe di contatto, che vengono lette in ordine di preferenza. Inserisci un contatto per riga nel campo “Contatto”; i duplicati vengono riportati una sola volta.
Dove va esattamente il file?
In https://your-domain/.well-known/security.txt, servito tramite HTTPS come testo semplice. Una copia o un reindirizzamento in /security.txt è facoltativo.
Un solo file copre i miei sottodomini?
No. RFC 9116 dice che un security.txt si applica solo all'host da cui è stato recuperato, non ai suoi sottodomini né al dominio padre. Pubblica una copia su ogni host dove le persone potrebbero cercarlo, come www e shop.
In che modo security.txt aiuta contro il phishing che copia il mio marchio?
Chi trova un sito sosia o una falsa e-mail a tuo nome spesso vuole avvisarti. Una riga Contact funzionante fa arrivare quella segnalazione al tuo team di sicurezza invece che a una coda di assistenza generica, così puoi intervenire prima sul dominio sosia.