Maak misbruikrapporten voor registrars, hostingproviders en CDN’s, zowel als e-mail als in JSON-formaat.
Nieuw
security.txt-generator
Draait lokaal
De tool zelf is in het Engels; op deze pagina wordt uitgelegd hoe deze werkt in uw taal.
Gebruik security.txt-generator
Wat het doet
Maak een security.txt-bestand aan, zodat onderzoekers en mensen die phishing melden waarbij uw merk wordt nagebootst, weten hoe ze contact met u kunnen opnemen. Sla het resultaat op als /.well-known/security.txt.
Het draait volledig in je browser: er wordt niets van wat je invoert geüpload.
Hoe gebruik je security.txt-generator
- Een contactpersoon invoeren. Voer in het veld ‘Contact’ in hoe je je beveiligingsteam kunt bereiken, één per regel: mailto:security@example.com, een https://-adres van een meldingsformulier of een tel:nummer. Aan een e-mailadres zonder extra informatie wordt ‘mailto:’ toegevoegd.
- Stel de vervaldatum in. Kies een datum in het veld ‘Vervalt’. De standaardinstelling is één jaar vanaf vandaag; RFC 9116 adviseert een termijn van minder dan een jaar, dus kies een eerdere datum.
- Optionele velden toevoegen. Vul de velden ‘Preferred-Languages’ (standaard ‘en’), ‘Canonical’, ‘Policy’, ‘Encryption’, ‘Acknowledgments’ en ‘Hiring’ in, indien van toepassing. Lege velden worden niet in het bestand opgenomen.
- Genereren en kopiëren. Klik op ‘Genereren’ en bekijk het resultaat in het uitvoervenster. Controleer elk adres nogmaals, want de tool kopieert ze precies zoals ze zijn ingevoerd, en klik vervolgens op ‘Kopiëren’.
- Publiceren en verlengen. Sla de tekst op als /.well-known/security.txt op je site via HTTPS, onderteken deze desgewenst met `gpg --clearsign` en noteer een datum waarop je deze moet vernieuwen voordat de geldigheidsduur afloopt.
Voorbeeld
Minimaal bestand
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enGeeft het volgende weer: Contact: mailto:security@example.com, een Expires-regel die over een jaar om 23:59:59Z verloopt en Preferred-Languages: en. Dit zijn de twee verplichte velden plus een taanhint, met de opmerking dat RFC 9116 een Expires-datum aanbeveelt die minder dan een jaar in de toekomst ligt.
Wat er wordt gecontroleerd
| Signaal | Wat dit betekent |
|---|---|
| Contact: | Eén regel per contactpersoon, in de volgorde waarin je ze hebt ingevoerd. Elk moet een mailto:-, https://- of tel:-URI zijn, zoals voorgeschreven in RFC 9116; http:// en onjuist opgebouwde waarden leiden tot een foutmelding in plaats van een bestand. |
| Vervaldatum: | De gekozen datum om 23:59:59 UTC, weergegeven in milliseconden, bijvoorbeeld 2027-03-31T23:59:59.000Z. Als je het datumveld leegmaakt, stopt ‘Generate’ met het aanmaken van een nieuw bestand. |
| Voorkeurstalen: | standaard 'en'. Gebruik door komma's gescheiden taalcodes zoals 'en' of 'de', of laat het veld leeg om de regel weg te laten. |
| Canonical: | De volledige https://-adres waar dit bestand zich bevindt, zodat een kopie die vanaf een andere locatie wordt aangeboden, kan worden herkend. |
| Versleuteling: | Een link naar je openbare OpenPGP-sleutel, zodat verslaggevers gevoelige gegevens kunnen versleutelen. |
| Beleid, Dankwoord, Vacatures | Links naar je openbaarmakingsbeleid, een pagina met een bedankje aan verslaggevers en vacatures op het gebied van beveiliging. Dit is allemaal optioneel, en de tool controleert niet of de links werken. |
| Een functieadres in Contact | Gebruik een e-mailadres of formulier dat door een team wordt gecontroleerd, zoals security@jouwdomein, en niet de mailbox van één persoon, zodat meldingen nog steeds binnenkomen als mensen van baan veranderen. |
| Fout: Contactgegevens zijn verplicht | Wordt weergegeven wanneer het veld ‘Contact’ leeg is. Eventuele foutmeldingen vervangen de uitvoer, met de opmerking dat er niets wordt gegenereerd totdat de velden zijn gecorrigeerd. |
Nog meer voorbeelden
Webformulier met talen en beleid
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyVijf regels in deze volgorde: Contact: https://example.org/report-security, Vervalt: 2027-03-31T23:59:59.000Z, Voorkeurstalen: en, de, Canonical: https://example.org/.well-known/security.txt, Beleid: https://example.org/security-policy.
E-mailcontact met een sleutel, geen taal
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtDrie regels: Contact: mailto:abuse@example.net, Vervalt: 2027-06-30T23:59:59.000Z en Versleuteling: https://example.net/pgp-key.txt.
Veld ‘Contact’ is leeg gelaten
All fields filled except ContactFout: het veld ‘Contact’ moet worden ingevuld, en er wordt gemeld dat er niets is gegenereerd. De andere velden behouden hun waarden, dus vul het veld ‘Contact’ in en klik nogmaals op ‘Genereren’.
Veelgestelde vragen
Welke velden zijn verplicht?
RFC 9116 schrijft voor dat er ten minste één Contact-veld en precies één Expires-veld moet zijn; de overige velden zijn optioneel. Elke Contact-regel moet een mailto:-, https://- of tel:-URI zijn (aan een e-mailadres zonder voorvoegsel wordt mailto: toegevoegd), Expires moet een datum in de toekomst zijn, en Generate geeft een foutmelding weer in plaats van een bestand wanneer een van deze velden ontbreekt of ongeldig is.
Op welke waarde moet ik ‘Expires’ instellen?
De datum is standaard ingesteld op één jaar vanaf vandaag, terwijl RFC 9116 een termijn van minder dan een jaar aanbeveelt; kies daarom een eerdere datum om aan deze aanbeveling te voldoen. De pagina waarschuwt je wanneer de datum meer dan een jaar in de toekomst ligt. Vernieuw het bestand vóór die datum, want volgens de RFC moet een verlopen security.txt-bestand als verouderd worden beschouwd.
Wordt er iets geüpload of ondertekend?
Nee. Het bestand wordt in je browser samengesteld en er wordt niets naar buiten verzonden. Het is niet ondertekend; RFC 9116 beveelt een OpenPGP-ondertekening in leesbare tekst aan, die je vóór het publiceren kunt toevoegen met `gpg --clearsign`.
Kan ik meer dan één contactpersoon opgeven?
Ja. RFC 9116 staat meerdere contactregels toe, die in volgorde van voorkeur worden gelezen. Voer één contactpersoon per regel in het veld ‘Contact’ in; dubbele vermeldingen worden slechts één keer opgenomen.
Waar wordt het bestand precies opgeslagen?
Op https://your-domain/.well-known/security.txt, via HTTPS als platte tekst aangeboden. Een kopie of een omleiding naar /security.txt is optioneel.
Geldt één bestand voor al mijn subdomeinen?
Nee. Volgens RFC 9116 geldt een security.txt-bestand alleen voor de host waarvan het is opgehaald, en niet voor de subdomeinen of het bovenliggende domein daarvan. Plaats een kopie op elke host waar mensen het zouden kunnen vinden, zoals www en shop.
Hoe helpt security.txt bij het tegengaan van phishing waarbij mijn merk wordt nagebootst?
Mensen die een website ontdekken die op die van u lijkt of een valse e-mail in uw naam vinden, willen u daar vaak voor waarschuwen. Via een goed functionerend contactkanaal wordt die melding rechtstreeks naar uw beveiligingsteam doorgestuurd in plaats van naar de algemene supportwachtrij, zodat u sneller actie kunt ondernemen tegen het domein dat op dat van u lijkt.