Kayıt kuruluşları, barındırma sağlayıcıları ve CDN'ler için e-posta ve JSON olarak abuse bildirimleri hazırlayın.
Yeni
security.txt Oluşturucu
Yerelde çalışır
Araç İngilizce dilindedir; bu sayfada ise araç, sizin dilinizde açıklanmaktadır.
security.txt Oluşturucu'i kullanın
Ne işe yarar?
Araştırmacıların ve markanızı taklit eden kimlik avını bildiren kişilerin size nasıl ulaşacağını bilmesi için bir security.txt dosyası oluşturun. Sonucu /.well-known/security.txt olarak kaydedin.
Tamamen tarayıcınızda çalışır: girdiğiniz hiçbir bilgi yukarıya yüklenmez.
security.txt Oluşturucu nasıl kullanılır?
- Bir iletişim adresi girin. “İletişim” bölümüne güvenlik ekibinize nasıl ulaşılacağını her satıra bir tane olacak şekilde yazın: mailto:security@example.com, bir rapor formunun https:// adresi veya bir tel: numarası. Yalnızca e-posta adresi yazıldığında, adresin başına “mailto:” eklenir.
- Son geçerlilik tarihini ayarlayın. Expires alanında bir tarih seçin. Varsayılan bugünden bir yıl sonrasıdır; RFC 9116 bir yıldan kısa bir süre önerir; bu nedenle daha erken bir tarih seçin.
- İsteğe bağlı alanları ekleyin. Varsa Preferred-Languages (varsayılan en), Canonical, Policy, Encryption, Acknowledgments ve Hiring alanlarını doldurun. Boş alanlar dosyaya eklenmez.
- Oluşturun ve kopyalayın. Generate düğmesine basın ve sonucu çıktı kutusunda okuyun. Araç adresleri yazıldığı gibi kopyaladığı için her adresi bir kez daha kontrol edin, ardından Copy'ye basın.
- Yayımlayın ve yenileyin. Metni sitenizde HTTPS üzerinden /.well-known/security.txt olarak kaydedin, isterseniz gpg --clearsign ile imzalayın ve süresi dolmadan yenilemek için bir tarih not edin.
Örnek
En küçük dosya
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: en"Contact: mailto:security@example.com", "Expires" satırında bir yıl sonrasına ait 23:59:59Z tarihini ve "Preferred-Languages: en" değerini içerir; bu, iki zorunlu alan ile bir dil ipucunu barındırır ve RFC 9116'nın "Expires" tarihinin bir yıldan daha kısa bir süre ileride olmasını önerdiği hatırlatılır.
Neyi kontrol eder?
| Sinyal | Bunun anlamı nedir? |
|---|---|
| Contact: | Her kişi için bir satır, girdiğiniz sırayla. RFC 9116 standardında belirtildiği üzere, her biri bir mailto:, https:// veya tel: URI'si olmalıdır; http:// ve biçim hatası içeren değerler, dosya yerine hata mesajı verir. |
| Expires: | Seçilen tarih, 23:59:59 UTC saatinde ve milisaniyelerle yazılır; örneğin 2027-03-31T23:59:59.000Z. Tarih alanını temizlerseniz Generate yeni dosya üretmeyi bırakır. |
| Preferred-Languages: | Varsayılan en. en, de gibi virgülle ayrılmış dil kodları kullanın ya da satırı dışarıda bırakmak için alanı temizleyin. |
| Canonical: | Bu dosyanın bulunduğu tam https:// adresi; böylece başka bir yerden sunulan bir kopya tanınabilir. |
| Encryption: | Bildirimde bulunanların hassas ayrıntıları şifreleyebilmesi için OpenPGP açık anahtarınıza bir bağlantı. |
| Policy, Acknowledgments, Hiring | Açıklama (disclosure) politikanıza, bildirimde bulunanlara teşekkür eden bir sayfaya ve güvenlik iş ilanlarına bağlantılar. Hepsi isteğe bağlıdır ve araç bağlantıların çalışıp çalışmadığını kontrol etmez. |
| Contact alanında bir rol adresi | Kişiler iş değiştirdiğinde de bildirimler ulaşmaya devam etsin diye tek bir kişinin posta kutusunu değil, alan adınızdaki security@ gibi bir ekibin izlediği bir adres veya form kullanın. |
| Error: Contact is required | “İletişim” alanı boş olduğunda görüntülenir. Herhangi bir hata oluştuğunda çıktı bu hata mesajıyla değiştirilir ve alanlar düzeltilene kadar hiçbir şeyin oluşturulmadığına dair bir not eklenir. |
Diğer örnekler
Diller ve politika içeren web formu
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyBu sırayla beş satır: Contact: https://example.org/report-security, Expires: 2027-03-31T23:59:59.000Z, Preferred-Languages: en, de, Canonical: https://example.org/.well-known/security.txt, Policy: https://example.org/security-policy.
Anahtarlı ve dil satırı olmayan e-posta iletişimi
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtÜç satır: Contact: mailto:abuse@example.net, Expires: 2027-06-30T23:59:59.000Z ve Encryption: https://example.net/pgp-key.txt.
Boş bırakılmış Contact
All fields filled except ContactHata: “İletişim” alanı zorunludur ve hiçbir şey oluşturulmadığına dair bir uyarı görüntüleniyor. Diğer alanlardaki değerler korunuyor; bu nedenle “İletişim” alanını doldurun ve “Oluştur” düğmesine tekrar basın.
Sık Sorulan Sorular
Hangi alanlar zorunlu?
RFC 9116, en az bir Contact ve tam olarak bir Expires alanı gerektirir; geri kalanlar isteğe bağlıdır. Her Contact satırı bir mailto:, https:// veya tel: URI'si olmalıdır (sadece e-posta adresi varsa başına mailto: eklenir), Expires alanı gelecek bir tarih olmalıdır ve bunlardan biri eksik veya geçersiz olduğunda Generate, dosya yerine bir hata mesajı gösterir.
Expires'ı neye ayarlamalıyım?
Tarih varsayılan olarak bugünden itibaren bir yıl sonra olarak ayarlanmıştır; ancak RFC 9116, bir yıldan daha kısa bir süre önermektedir. Bu nedenle, bu öneriye uymak için daha erken bir tarih seçin; tarih bir yıldan daha ileriye denk geldiğinde sayfa size bunu hatırlatır. Bu tarihten önce dosyayı yenileyin, çünkü RFC’ye göre süresi dolmuş bir security.txt dosyası geçersiz olarak değerlendirilmelidir.
Bir şey yüklüyor veya imzalıyor mu?
Hayır. Dosya tarayıcınızda oluşturulur ve hiçbir yere gönderilmez. İmzalı değildir; RFC 9116 bir OpenPGP cleartext imzası önerir; bunu yayımlamadan önce gpg --clearsign ile ekleyebilirsiniz.
Birden fazla iletişim adresi listeleyebilir miyim?
Evet. RFC 9116, tercih sırasına göre okunan birden fazla İletişim satırına izin verir. İletişim alanına her satıra bir kişi girin; yinelenen kişiler yalnızca bir kez yazılır.
Dosya tam olarak nereye konur?
https://your-domain/.well-known/security.txt adresine; HTTPS üzerinden düz metin olarak sunulur. /security.txt adresinde bir kopya veya yönlendirme isteğe bağlıdır.
Tek bir dosya alt alan adlarımı kapsar mı?
Hayır. RFC 9116, bir security.txt'nin alt alan adlarına veya üst alan adına değil, yalnızca alındığı ana makineye uygulandığını söyler. İnsanların bakabileceği her ana makinede, örneğin www ve shop'ta, bir kopya yayımlayın.
security.txt markamı taklit eden kimlik avına karşı nasıl yardımcı olur?
Sizin adınıza benzer bir site veya sahte bir e-posta bulan kişiler çoğu zaman sizi uyarmak ister. Çalışan bir Contact satırı bu bildirimi genel bir destek kuyruğu yerine güvenlik ekibinize ulaştırır; böylece benzer alan adına karşı daha erken harekete geçebilirsiniz.