Составляйте abuse-жалобы для регистраторов, хостинг-провайдеров и CDN в виде письма и в формате JSON.
Новый
Генератор security.txt
Работает локально
Сам инструмент доступен на английском языке; на этой странице приведено его описание на вашем языке.
Используйте Генератор security.txt
Для чего это нужно
Создайте файл security.txt, чтобы исследователи и люди, сообщающие о фишинге под ваш бренд, знали, как с вами связаться. Сохраните результат как /.well-known/security.txt.
Приложение работает полностью в браузере: никакие введенные вами данные не передаются на сервер.
Как использовать Генератор security.txt
- Укажите контакт. Введите в поле «Контакты» информацию о том, как связаться с вашей службой безопасности, по одному элементу в каждой строке: mailto:security@example.com, адрес https:// формы отчета или номер телефона (tel:). К простому адресу электронной почты автоматически добавляется префикс mailto:.
- Задайте срок действия. Выберите дату в поле Expires. По умолчанию — через год от сегодняшнего дня; RFC 9116 рекомендует срок меньше года, поэтому выберите более раннюю дату.
- Добавьте необязательные поля. Заполните Preferred-Languages (по умолчанию en), Canonical, Policy, Encryption, Acknowledgments и Hiring, если они у вас есть. Пустые поля в файл не попадают.
- Создайте и скопируйте. Нажмите Generate и прочитайте результат в поле вывода. Ещё раз проверьте каждый адрес, потому что инструмент копирует их как есть, затем нажмите Copy.
- Опубликуйте и обновляйте. Сохраните текст как /.well-known/security.txt на своём сайте с доступом по HTTPS, при желании подпишите его командой gpg --clearsign и запишите дату, когда нужно обновить файл до истечения срока.
Пример
Минимальный файл
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enГенерирует поле «Contact»: mailto:security@example.com, поле «Expires» со сроком действия через год в 23:59:59Z и поле «Preferred-Languages»: en — два обязательных поля плюс указание языка, с напоминанием о том, что согласно RFC 9116 рекомендуется устанавливать дату истечения срока действия «Expires» не более чем на год вперед.
Что проверяется
| Сигнал | Что это означает |
|---|---|
| Contact: | По одной строке на каждый контакт, в том порядке, в котором вы их ввели. Каждая строка должна содержать URI в формате mailto:, https:// или tel:, как того требует RFC 9116; при использовании http:// и некорректных значений вместо файла выдается ошибка. |
| Expires: | Выбранная дата в 23:59:59 UTC, записанная с миллисекундами, например 2027-03-31T23:59:59.000Z. Если очистить поле даты, Generate перестаёт создавать новый файл. |
| Preferred-Languages: | По умолчанию en. Используйте коды языков через запятую, например en, de, или очистите поле, чтобы строка не попала в файл. |
| Canonical: | Полный адрес https://, по которому находится этот файл, чтобы копию, размещённую в другом месте, можно было распознать. |
| Encryption: | Ссылка на ваш открытый ключ OpenPGP, чтобы отправители могли шифровать конфиденциальные подробности. |
| Policy, Acknowledgments, Hiring | Ссылки на вашу политику раскрытия уязвимостей, страницу с благодарностями отправителям и вакансии в области безопасности. Всё необязательно, и инструмент не проверяет, работают ли ссылки. |
| Ролевой адрес в Contact | Используйте адрес или форму, за которыми следит команда, например security@ на вашем домене, а не личный ящик одного человека, чтобы сообщения продолжали приходить, когда люди меняют работу. |
| Error: Contact is required (поле Contact обязательно) | Отображается, если поле «Контакт» пусто. Любая ошибка заменяет вывод сообщением о том, что данные не будут сгенерированы до тех пор, пока поля не будут исправлены. |
Еще примеры
Веб-форма с языками и политикой
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyПять строк в таком порядке: Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, Policy: https://example.org/security-policy.
Контакт по почте с ключом, без языка
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtТри строки: Contact: mailto:abuse@example.net, Expires: 2027-06-30T23:59:59.000Z и Encryption: https://example.net/pgp-key.txt.
Пустое поле Contact
All fields filled except ContactОшибка: необходимо заполнить поле «Контакт», а также отображается сообщение о том, что данные не сгенерированы. Значения в остальных полях сохраняются, поэтому заполните поле «Контакт» и нажмите «Сгенерировать» ещё раз.
Часто задаваемые вопросы
Какие поля обязательны?
Согласно RFC 9116, обязательно должно быть указано как минимум одно поле «Contact» и ровно одно поле «Expires»; остальные поля являются необязательными. Каждая строка «Contact» должна представлять собой URI формата «mailto:», «https://» или «tel:» (к простому адресу электронной почты добавляется префикс «mailto:»), поле «Expires» должно содержать дату в будущем, а функция «Generate» выдает ошибку вместо файла, если одно из этих полей отсутствует или имеет недопустимое значение.
Какую дату указать в Expires?
По умолчанию устанавливается дата через год с сегодняшнего дня, однако в RFC 9116 рекомендуется устанавливать срок менее одного года, поэтому выберите более раннюю дату, чтобы соблюсти это требование; на странице появится напоминание, если дата будет назначена более чем через год. Обновьте файл до наступления этой даты, поскольку согласно RFC просроченный файл security.txt следует рассматривать как устаревший.
Загружает или подписывает ли он что-нибудь?
Нет. Файл собирается в вашем браузере, и ничего никуда не отправляется. Он не подписан; RFC 9116 рекомендует подпись OpenPGP в открытом тексте (cleartext), которую можно добавить командой gpg --clearsign перед публикацией.
Можно ли указать несколько контактов?
Да. Стандарт RFC 9116 допускает наличие нескольких строк с контактами, которые обрабатываются в порядке приоритета. В поле «Контакт» введите по одному контакту в каждой строке; дубликаты записываются только один раз.
Куда именно кладётся файл?
По адресу https://your-domain/.well-known/security.txt (вместо your-domain — ваш домен), с отдачей по HTTPS как обычный текст. Копия или перенаправление на /security.txt необязательны.
Действует ли один файл на мои поддомены?
Нет. Согласно RFC 9116, security.txt относится только к хосту, с которого он получен, а не к его поддоменам или родительскому домену. Опубликуйте копию на каждом хосте, где его могут искать, например на www и shop.
Как security.txt помогает против фишинга под мой бренд?
Люди, которые находят сайт-двойник или поддельное письмо от вашего имени, часто хотят вас предупредить. Работающая строка Contact доводит такое сообщение до вашей команды безопасности, а не до общей очереди поддержки, и вы сможете быстрее принять меры против похожего домена.