สร้างรายงานการละเมิดสำหรับผู้ให้บริการจดทะเบียนโดเมน ผู้ให้บริการโฮสติ้ง และ CDN ในรูปแบบอีเมลและ JSON.
ใหม่
เครื่องมือสร้างไฟล์ security.txt
ทำงานในเครื่อง
เครื่องมือนี้ใช้ภาษาอังกฤษ; หน้านี้อธิบายด้วยภาษาของคุณ
ใช้เครื่องมือสร้างไฟล์ security.txt
หน้าที่ของมันคืออะไร
สร้างไฟล์ security.txt เพื่อให้นักวิจัยและผู้ที่รายงานการฟิชชิ่งที่เลียนแบบแบรนด์ของคุณทราบวิธีติดต่อคุณ บันทึกผลลัพธ์ไว้ใน /.well-known/security.txt.
ระบบนี้ทำงานทั้งหมดในเบราว์เซอร์ของคุณ: ข้อมูลที่คุณป้อนจะไม่ถูกส่งขึ้นเซิร์ฟเวอร์เลย
วิธีใช้เครื่องมือสร้างไฟล์ security.txt
- เพิ่มข้อมูลติดต่อ. พิมพ์วิธีติดต่อทีมความปลอดภัยของคุณในส่วน "Contact" โดยแต่ละวิธีให้อยู่ในบรรทัดเดียว: mailto:security@example.com, ที่อยู่ https:// ของแบบฟอร์มรายงาน หรือหมายเลข tel: หากใส่เพียงที่อยู่อีเมลเท่านั้น ระบบจะเพิ่ม mailto: ให้อัตโนมัติ
- ตั้งวันที่หมดอายุ. เลือกวันที่ในช่อง "Expires" ค่าเริ่มต้นคือหนึ่งปีนับจากวันนี้ RFC 9116 แนะนำให้ตั้งเป็นเวลาน้อยกว่าหนึ่งปี ดังนั้นจึงควรเลือกวันที่ที่เร็วกว่า
- เพิ่มช่องข้อมูลที่เลือกได้. กรอกข้อมูลในส่วน Preferred-Languages (ค่าเริ่มต้นคือ en), Canonical, Policy, Encryption, Acknowledgments และ Hiring หากมีข้อมูลดังกล่าว ช่องที่ว่างจะไม่ถูกนำเข้าไปในไฟล์
- สร้างและคัดลอก. กดปุ่ม "Generate" และอ่านผลลัพธ์ในช่องแสดงผล ตรวจสอบทุกที่อยู่อีกครั้ง เนื่องจากเครื่องมือนี้จะคัดลอกที่อยู่ตามที่คุณพิมพ์ จากนั้นกดปุ่ม "Copy"
- เผยแพร่และต่ออายุ. บันทึกข้อความนี้ไว้ในไฟล์ /.well-known/security.txt บนเว็บไซต์ของคุณผ่าน HTTPS, ลงนามด้วยคำสั่ง gpg --clearsign หากต้องการ และจดบันทึกวันที่เพื่อต่ออายุก่อนที่ไฟล์จะหมดอายุ
ตัวอย่าง
ไฟล์ขนาดเล็กที่สุด
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enสร้าง Contact: mailto:security@example.com, บรรทัด Expires ที่กำหนดวันหมดอายุล่วงหน้าหนึ่งปี ณ เวลา 23:59:59Z และ Preferred-Languages: en ซึ่งประกอบด้วยสองฟิลด์ที่จำเป็นและคำแนะนำเกี่ยวกับภาษา พร้อมคำเตือนว่า RFC 9116 แนะนำให้กำหนดวันที่หมดอายุ (Expires) ไม่เกินหนึ่งปีล่วงหน้า
สิ่งที่ระบบตรวจสอบ
| สัญญาณ | ความหมายของคำนี้คืออะไร |
|---|---|
| ติดต่อ: | หนึ่งบรรทัดต่อผู้ติดต่อ ตามลำดับที่คุณพิมพ์ไว้ แต่ละบรรทัดต้องเป็น URI แบบ mailto:, https:// หรือ tel: ตามที่กำหนดใน RFC 9116; http:// และค่าที่มีรูปแบบไม่ถูกต้องจะแสดงข้อผิดพลาดแทนที่จะแสดงไฟล์ |
| วันหมดอายุ: | วันที่ที่เลือกไว้เวลา 23:59:59 UTC พร้อมทั้งมิลลิวินาที เช่น 2027-03-31T23:59:59.000Z หากลบข้อมูลในช่องวันที่ Generate จะหยุดสร้างไฟล์ใหม่ |
| ภาษาที่ชอบ: | en เป็นค่าเริ่มต้น ให้ใช้รหัสภาษาที่คั่นด้วยเครื่องหมายจุลภาค เช่น en, de หรือล้างข้อมูลในช่องนี้เพื่อไม่แสดงบรรทัดดังกล่าว |
| Canonical: | https:// ที่ระบุที่อยู่เต็มของไฟล์นี้ เพื่อให้สามารถระบุได้หากมีสำเนาที่ถูกให้บริการจากที่อื่น |
| การเข้ารหัส: | ลิงก์ไปยังกุญแจสาธารณะ OpenPGP ของคุณ เพื่อให้ผู้สื่อข่าวสามารถเข้ารหัสข้อมูลที่ละเอียดอ่อนได้ |
| นโยบาย, คำขอบคุณ, การรับสมัครงาน | ลิงก์ไปยังนโยบายการเปิดเผยข้อมูลของคุณ หน้าขอบคุณผู้สื่อข่าว และตำแหน่งงานด้านความปลอดภัย ทั้งหมดนี้เป็นตัวเลือก และเครื่องมือนี้ไม่ตรวจสอบว่าลิงก์ดังกล่าวทำงานได้หรือไม่ |
| ที่อยู่บทบาทใน Contact | ใช้ที่อยู่อีเมลหรือแบบฟอร์มที่ทีมสามารถติดตามได้ เช่น security@โดเมนของคุณ แทนที่จะใช้กล่องจดหมายของบุคคลใดบุคคลหนึ่ง เพื่อให้รายงานยังคงส่งถึงแม้เมื่อพนักงานเปลี่ยนงาน |
| ข้อผิดพลาด: ต้องระบุข้อมูลติดต่อ | แสดงขึ้นเมื่อช่อง "Contact" ยังว่างอยู่ หากเกิดข้อผิดพลาดใดๆ ข้อความแสดงผลจะถูกแทนที่ด้วยข้อความแจ้งว่ายังไม่มีการสร้างข้อมูลใดๆ จนกว่าช่องข้อมูลดังกล่าวจะถูกแก้ไข |
ตัวอย่างเพิ่มเติม
แบบฟอร์มออนไลน์ที่มีตัวเลือกภาษาและนโยบาย
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policy5 บรรทัดตามลำดับนี้: Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, Policy: https://example.org/security-policy.
ติดต่อผ่านอีเมลด้วยรหัสผ่าน โดยไม่ใช้ภาษา
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtสามบรรทัด: ติดต่อ: mailto:abuse@example.net, วันหมดอายุ: 2027-06-30T23:59:59.000Z และการเข้ารหัส: https://example.net/pgp-key.txt.
ช่องติดต่อถูกทิ้งไว้ว่าง
All fields filled except Contactข้อผิดพลาด: ต้องกรอกข้อมูลในช่อง "Contact" และมีข้อความแจ้งว่ายังไม่มีการสร้างข้อมูลใดๆ ช่องข้อมูลอื่นๆ ยังคงค่าเดิมอยู่ ดังนั้น โปรดกรอกข้อมูลในช่อง "Contact" แล้วกด "Generate" อีกครั้ง
คำถามที่พบบ่อย
ช่องข้อมูลใดเป็นช่องที่จำเป็นต้องกรอก?
RFC 9116 กำหนดว่าต้องมีช่อง Contact อย่างน้อยหนึ่งช่อง และช่อง Expires อย่างน้อยหนึ่งช่องเท่านั้น ส่วนที่เหลือเป็นตัวเลือก แต่ละบรรทัด Contact ต้องเป็น URI แบบ mailto:, https:// หรือ tel: (ที่อยู่อีเมลเปล่าจะถูกเพิ่ม mailto: เข้าไป), Expires ต้องเป็นวันที่ในอนาคต และ Generate จะแสดงข้อผิดพลาดแทนที่จะแสดงไฟล์ หากมีช่องใดขาดหายไปหรือไม่ถูกต้อง
ควรตั้งค่า Expires เป็นเท่าไร?
วันที่ถูกตั้งค่าเริ่มต้นเป็นหนึ่งปีนับจากวันนี้ ในขณะที่ RFC 9116 แนะนำให้กำหนดวันที่น้อยกว่าหนึ่งปี ดังนั้นควรเลือกวันที่ที่เร็วกว่าเพื่อให้สอดคล้องกับข้อกำหนดดังกล่าว; หน้าเว็บจะแจ้งเตือนคุณเมื่อวันที่ที่กำหนดอยู่ห่างออกไปมากกว่าหนึ่งปี ให้ต่ออายุไฟล์ก่อนถึงวันที่ดังกล่าว เพราะ RFC ระบุว่าไฟล์ security.txt ที่หมดอายุควรถูกพิจารณาว่าเป็นข้อมูลที่ล้าสมัย
มันอัปโหลดหรือลงนามอะไรไหม?
ไม่ครับ ไฟล์นี้ถูกสร้างขึ้นในเบราว์เซอร์ของคุณ และไม่มีข้อมูลใดถูกส่งไปที่ใดทั้งสิ้น ไฟล์นี้ยังไม่ได้รับการลงนาม; RFC 9116 แนะนำให้ใช้การลงนามแบบข้อความธรรมดาของ OpenPGP ซึ่งคุณสามารถเพิ่มได้โดยใช้คำสั่ง gpg --clearsign ก่อนที่จะเผยแพร่
สามารถเพิ่มรายชื่อผู้ติดต่อได้มากกว่าหนึ่งคนหรือไม่?
ใช่ RFC 9116 อนุญาตให้ใช้หลายบรรทัดข้อมูลติดต่อ ซึ่งจะอ่านตามลำดับความสำคัญ กรุณาป้อนข้อมูลติดต่อหนึ่งรายการต่อบรรทัดในช่องข้อมูลติดต่อ; ข้อมูลที่ซ้ำกันจะถูกบันทึกเพียงครั้งเดียว
ไฟล์นั้นถูกเก็บไว้ที่ไหนกันแน่?
ที่ https://your-domain/.well-known/security.txt, ซึ่งถูกส่งผ่าน HTTPS ในรูปแบบข้อความธรรมดา การสร้างสำเนาหรือการเปลี่ยนเส้นทางไปยัง /security.txt เป็นตัวเลือกที่ไม่จำเป็น
ไฟล์เดียวนี้สามารถครอบคลุมโดเมนย่อยทั้งหมดของฉันได้หรือไม่?
ไม่ RFC 9116 ระบุว่าไฟล์ security.txt ใช้ได้เฉพาะกับโฮสต์ที่ไฟล์ดังกล่าวถูกดึงมาเท่านั้น ไม่รวมถึงโดเมนย่อยหรือโดเมนหลักของมัน ให้เผยแพร่สำเนาของไฟล์นี้บนทุกโฮสต์ที่ผู้ใช้อาจเข้าชม เช่น www และ shop.
ไฟล์ security.txt ช่วยป้องกันการฟิชชิ่งที่ลอกเลียนแบรนด์ของฉันได้อย่างไร?
ผู้ที่พบเว็บไซต์ที่คล้ายกันหรืออีเมลปลอมที่ใช้ชื่อของคุณ มักต้องการแจ้งเตือนคุณ ช่องทางการติดต่อที่ทำงานได้จะส่งรายงานดังกล่าวไปยังทีมความปลอดภัยของคุณ แทนที่จะส่งไปยังคิวสนับสนุนทั่วไป ทำให้คุณสามารถดำเนินการกับโดเมนที่คล้ายกันได้เร็วขึ้น