등록기관, 호스팅 업체, CDN용 악용 신고서를 이메일과 JSON 형식으로 만듭니다.
신규
security.txt 생성기
로컬에서 실행
도구 자체는 영어로 되어 있지만, 이 페이지에서는 귀하의 언어로 설명해 드립니다.
security.txt 생성기을(를) 사용하세요
기능
보안 연구자와 브랜드를 사칭한 피싱을 신고하려는 사람들이 연락할 방법을 알 수 있도록 security.txt 파일을 만드세요. 결과는 /.well-known/security.txt로 저장합니다.
이 서비스는 전적으로 브라우저에서 실행되며, 사용자가 입력한 내용은 전혀 업로드되지 않습니다.
security.txt 생성기 사용 방법
- 연락처 입력. ‘연락처’에 보안 팀에 연락하는 방법을 한 줄에 하나씩 입력하세요: mailto:security@example.com, 신고 양식의 https:// 주소, 또는 전화번호(tel:). 이메일 주소만 입력하면 ‘mailto:’가 자동으로 추가됩니다.
- 만료일 설정. Expires에서 날짜를 고릅니다. 기본값은 오늘부터 1년 뒤이며, RFC 9116은 1년 미만을 권장하므로 더 이른 날짜를 고르세요.
- 선택 필드 추가. 해당하는 것이 있으면 Preferred-Languages(기본값 en), Canonical, Policy, Encryption, Acknowledgments, Hiring을 채웁니다. 빈 필드는 파일에서 빠집니다.
- 생성과 복사. Generate를 누르고 출력 상자에서 결과를 읽습니다. 도구는 입력한 그대로 복사하므로 모든 주소를 한 번 더 확인한 뒤 Copy를 누르세요.
- 게시와 갱신. 텍스트를 사이트의 /.well-known/security.txt로 HTTPS를 통해 제공되도록 저장하고, 원하면 gpg --clearsign으로 서명한 뒤, 만료 전에 갱신할 날짜를 메모해 두세요.
예시
최소 구성 파일
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: en‘Contact: mailto:security@example.com’, ‘Expires’ 필드에 1년 후 23:59:59Z로 설정된 값, ‘Preferred-Languages: en’을 생성합니다. 이는 두 개의 필수 필드와 언어 힌트를 포함하며, RFC 9116에서는 ‘Expires’ 날짜를 1년 이내로 설정할 것을 권장한다는 점을 상기시킵니다.
검증 대상
| 신호 | 그 의미는 무엇인가 |
|---|---|
| Contact: | 연락처는 입력한 순서대로 한 줄씩 나열됩니다. RFC 9116에 따라 각 항목은 mailto:, https:// 또는 tel: URI 형식이어야 합니다. http:// 또는 형식이 잘못된 값은 파일 대신 오류가 발생합니다. |
| Expires: | 선택한 날짜의 23:59:59 UTC를 밀리초까지 씁니다. 예: 2027-03-31T23:59:59.000Z. 날짜 필드를 비우면 Generate가 새 파일을 만들지 않습니다. |
| Preferred-Languages: | 기본값은 en입니다. en, de처럼 쉼표로 구분한 언어 코드를 쓰거나, 필드를 비워 이 줄을 빼세요. |
| Canonical: | 이 파일이 있는 전체 https:// 주소로, 다른 곳에서 제공되는 사본을 알아볼 수 있게 합니다. |
| Encryption: | OpenPGP 공개 키 링크로, 신고자가 민감한 내용을 암호화할 수 있게 합니다. |
| Policy, Acknowledgments, Hiring | 공개 정책, 신고자에게 감사를 표하는 페이지, 보안 채용 공고 링크입니다. 모두 선택 사항이며, 도구는 링크가 작동하는지 확인하지 않습니다. |
| Contact의 역할 주소 | 개인 메일함이 아니라 도메인의 security@ 같은 팀이 확인하는 주소나 양식을 쓰세요. 그래야 담당자가 바뀌어도 신고가 계속 도착합니다. |
| Error: Contact is required | ‘연락처’ 필드가 비어 있을 때 표시됩니다. 오류가 발생하면 출력 내용이 해당 오류 메시지로 대체되며, 필드가 수정될 때까지 아무것도 생성되지 않았다는 안내문이 함께 표시됩니다. |
더 많은 예시
언어와 정책이 포함된 웹 양식
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policy다섯 줄이 이 순서로 나옵니다. Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, Policy: https://example.org/security-policy.
키가 포함된 이메일 연락처, 언어 없음
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txt세 줄: Contact: mailto:abuse@example.net, Expires: 2027-06-30T23:59:59.000Z, Encryption: https://example.net/pgp-key.txt.
Contact를 비워 둔 경우
All fields filled except Contact오류: ‘연락처’ 필드를 입력해야 하며, 아무것도 생성되지 않았다는 메시지가 표시됩니다. 다른 필드의 값은 그대로 유지되므로, ‘연락처’ 필드를 입력한 후 ‘생성’을 다시 누르십시오.
자주 묻는 질문
어떤 필드가 필수인가요?
RFC 9116에서는 Contact 필드가 최소 하나, Expires 필드가 정확히 하나 포함되어야 하며, 나머지 필드는 선택 사항입니다. 각 Contact 행은 mailto:, https:// 또는 tel: URI여야 하며(단순한 이메일 주소인 경우 mailto:가 추가됨), Expires는 미래의 날짜여야 합니다. 또한, 이 중 하나라도 누락되거나 유효하지 않은 경우 Generate는 파일 대신 오류 메시지를 표시합니다.
Expires는 언제로 설정해야 하나요?
날짜는 기본적으로 오늘로부터 1년 후로 설정되지만, RFC 9116에서는 1년 미만으로 설정할 것을 권장하므로, 이를 따르려면 더 이른 날짜를 선택하세요. 날짜가 1년 이상 앞선 경우 페이지에서 알림을 표시합니다. RFC에 따르면 만료된 security.txt 파일은 유효하지 않은 것으로 간주되어야 하므로, 해당 날짜 이전에 파일을 갱신해야 합니다.
무언가를 업로드하거나 서명하나요?
아니요. 파일은 브라우저에서 만들어지며 아무것도 전송되지 않습니다. 서명도 하지 않습니다. RFC 9116은 OpenPGP 평문 서명(cleartext signature)을 권장하며, 게시하기 전에 gpg --clearsign으로 추가할 수 있습니다.
연락처를 둘 이상 넣을 수 있나요?
네. RFC 9116에서는 우선순위 순서대로 여러 개의 연락처 행을 허용합니다. ‘연락처’ 필드에 한 줄에 하나의 연락처만 입력하십시오. 중복된 항목은 한 번만 기록됩니다.
파일은 정확히 어디에 두나요?
https://your-domain/.well-known/security.txt에 두고, HTTPS로 일반 텍스트로 제공합니다. /security.txt의 사본이나 리디렉션은 선택 사항입니다.
파일 하나로 하위 도메인까지 적용되나요?
아니요. RFC 9116에 따르면 security.txt는 그 파일을 가져온 호스트에만 적용되며, 하위 도메인이나 상위 도메인에는 적용되지 않습니다. www나 shop처럼 사람들이 찾아볼 만한 호스트마다 사본을 게시하세요.
security.txt가 제 브랜드를 사칭한 피싱에 어떻게 도움이 되나요?
귀사의 이름을 내건 유사 사이트나 가짜 이메일을 발견한 사람들은 이를 알리고 싶어 하는 경우가 많습니다. 작동하는 Contact 줄이 있으면 그 신고가 일반 고객 지원 대기열이 아니라 보안 팀으로 가므로, 유사 도메인에 더 빨리 대응할 수 있습니다.