Gumawa ng mga ulat ng pang-aabuso para sa mga registrar, mga tagapagbigay ng hosting, at mga CDN, bilang email at bilang JSON.
Bago
Generador ng security.txt
Tumatakbo nang lokal
Ang kasangkapan mismo ay nasa Ingles; ipinaliwanag ito ng pahinang ito sa iyong wika.
Gamitin angGenerador ng security.txt
Ano ang ginagawa nito
Gumawa ng security.txt file upang malaman ng mga mananaliksik at ng mga taong nag-uulat ng phishing na ginagaya ang iyong tatak kung paano ka makontak. I-save ang resulta bilang /.well-known/security.txt.
Ganap itong tumatakbo sa iyong browser: walang anumang ipinasok mo ang ina-upload.
Paano gamitin ang Generador ng security.txt
- Ipasok ang isang kontak. I-type kung paano kontakin ang iyong security team sa Contact, isa bawat linya: mailto:security@example.com, isang ehttps:// na address ng form ng ulat, o isang tel: numero. Ang simpleng e-mail address ay dinadagdagan ng mailto:.
- Itakda ang petsa ng pag-expire. Pumili ng petsa sa Expires. Ang default ay isang taon mula ngayon; inirerekomenda ng RFC 9116 na mas mababa sa isang taon, kaya pumili ng mas maagang petsa.
- Magdagdag ng mga opsyonal na patlang. Punan ang Preferred-Languages (en bilang default), Canonical, Policy, Encryption, Acknowledgments at Hiring kung mayroon ka nito. Ang mga blangkong patlang ay hindi isinasama sa file.
- Gumawa at kopyahin. Pindutin ang Generate at basahin ang resulta sa kahon ng output. Suriin muli ang bawat address, dahil kinokopya ng tool ang mga ito ayon sa pagkakasulat, pagkatapos ay pindutin ang Copy.
- Ilathala at i-renew. I-save ang teksto bilang /.well-known/security.txt sa iyong site sa pamamagitan ng HTTPS, pirmahan ito gamit ang gpg --clearsign kung gusto mo, at itala ang petsa para i-renew ito bago ito mag-expire.
Halimbawa
Minimal na file
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enProduces Contact: mailto:security@example.com, isang linya ng Expires isang taon sa hinaharap sa 23:59:59Z at Preferred-Languages: en, ang dalawang kinakailangang patlang kasama ang pahiwatig sa wika, na may paalala na inirerekomenda ng RFC 9116 ang petsa ng Expires na mas mababa sa isang taon sa hinaharap.
Ano ang sinusuri nito
| Sinyales | Ano ang ibig sabihin nito |
|---|---|
| Makipag-ugnayan: | Isang linya bawat kontak, ayon sa pagkakasulat mo. Bawat isa ay dapat mailto:, https://, o tel: URI ayon sa hinihingi ng RFC 9116; ang http:// at maling balangkas ay nagbibigay ng error sa halip na file. |
| Mag-e-expire: | Ang napiling petsa sa 23:59:59 UTC, na isinulat kasama ang millisegundo, halimbawa 2027-03-31T23:59:59.000Z. Kung lilinisin mo ang patlang ng petsa, titigil ang Generate sa paggawa ng bagong file. |
| Mga Paboritong Wika: | en bilang default. Gumamit ng mga code ng wika na pinaghiwalay ng kuwit tulad ng en, de, o i-clear ang patlang para hindi ipakita ang linya. |
| Kanónikal: | Ang buong address ng https:// kung saan matatagpuan ang file na ito, upang makilala ang kopyang ibinibigay mula sa ibang lugar. |
| Pag-encrypt: | Isang link sa iyong OpenPGP pampublikong susi, upang mai-encrypt ng mga mamamahayag ang mga sensitibong detalye. |
| Patakaran, Mga Pasasalamat, Pagkuha | Mga link sa iyong patakaran sa pagsisiwalat, isang pahina ng pasasalamat sa mga mamamahayag, at mga trabaho sa seguridad. Lahat ay opsyonal, at hindi sinisigurado ng kasangkapang ito na gumagana ang mga link. |
| Isang address ng papel sa Contact | Gumamit ng isang address o form na sinusubaybayan ng koponan, tulad ng security@ang iyong domain, hindi ang mailbox ng isang tao, upang patuloy na dumating ang mga ulat kapag nagpalit ng trabaho ang mga tao. |
| Maling: Kinakailangan ang kontak | Ipinapakita kapag walang laman ang Contact. Anumang error ang papalit sa output, na may paalala na walang nalikha hangga't hindi naaayos ang mga patlang. |
Karagdagang mga halimbawa
Web form na may mga wika at patakaran
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyLima na linya sa pagkakasunod-sunod na ito: Contact: https://example.org/report-security, Mag-e-expire: 2027-03-31T23:59:59.000Z, Mga Iniranggo na Wika: en, de, Kanonikal: https://example.org/.well-known/security.txt, Patakaran: https://example.org/security-policy.
E-mail na pakikipag-ugnayan gamit ang susi, walang wika
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtTatlong linya: Makipag-ugnayan: mailto:abuse@example.net, Mag-e-expire: 2027-06-30T23:59:59.000Z at Pag-encrypt: https://example.net/pgp-key.txt.
Hindi napunan ang contact sa kaliwa
All fields filled except ContactError: Kinakailangan ang Contact, at isang tala na walang nalikha. Nanatili ang mga halaga ng iba pang mga patlang, kaya punan ang Contact at pindutin muli ang Generate.
Madalas na tanong
Aling mga patlang ang kinakailangan?
Kinakailangan ng RFC 9116 ang hindi bababa sa isang Contact at eksaktong isang Expires field; ang iba ay opsyonal. Ang bawat linya ng Contact ay dapat mailto:, https://, o tel: URI (ang simpleng e-mail address ay dinadagdagan ng mailto:), ang Expires ay dapat isang hinaharap na petsa, at ang Generate ay nagpapakita ng error sa halip na file kapag isa rito ay nawawala o hindi wasto.
Ano ang dapat kong itakda sa Expires?
Ang petsa ay awtomatikong itinakda sa isang taon mula ngayon, habang inirerekomenda ng RFC 9116 na mas mababa sa isang taon, kaya pumili ng mas maagang petsa upang masunod ito; paalala ng pahina kapag ang petsa ay higit sa isang taon pa ang layo. I-renew ang file bago ang petsang iyon, dahil ayon sa RFC, ang security.txt na nag-expire ay dapat ituring na lipas.
Nag-u-upload ba ito o pumipirma ng anumang bagay?
Hindi. Ang file ay binubuo sa iyong browser at wala itong ipinapadala kahit saan. Hindi ito pirmado; inirerekomenda ng RFC 9116 ang OpenPGP cleartext signature, na maaari mong idagdag gamit ang gpg --clearsign bago mo ito ilathala.
Maaari ko bang ilista ang higit sa isang kontak?
Oo. Pinapayagan ng RFC 9116 ang ilang linya ng Contact, na babasahin ayon sa pagkakasunod-sunod ng kagustuhan. Maglagay ng isang contact bawat linya sa patlang na Contact; ang mga duplikado ay isinusulat nang isang beses.
Saan eksakto dapat ilagay ang file?
Sa https://your-domain/.well-known/security.txt, inihahain sa HTTPS bilang plain text. Opsyonal ang kopya o redirection sa /security.txt.
Sasaklawin ba ng isang file ang aking mga subdomain?
Hindi. Sinasabi ng RFC 9116 na ang security.txt ay nalalapat lamang sa host kung saan ito kinuha, hindi sa mga subdomain o parent domain nito. Maglathala ng kopya sa bawat host kung saan maaaring tumingin ang mga tao, tulad ng www at shop.
Paano nakakatulong ang security.txt laban sa phishing na kinokopya ang aking tatak?
Ang mga taong nakakakita ng site na kamukha ng sa iyo o ng pekeng e-mail sa iyong pangalan ay madalas gustong magbabala sa iyo. Ang isang gumaganang linya ng Contact ay nagpapadala ng ulat na iyon sa iyong security team sa halip na sa pangkalahatang support queue, kaya maaari kang kumilos kaagad laban sa look-alike domain.