Tạo báo cáo lạm dụng cho nhà đăng ký, nhà cung cấp hosting và CDN, dưới dạng email và JSON.
Mới
Trình tạo tệp security.txt
Chạy cục bộ
Công cụ này được hiển thị bằng tiếng Anh; trang này giải thích về công cụ đó bằng ngôn ngữ của bạn.
Sử dụng Trình tạo tệp security.txt
Chức năng của nó là gì?
Tạo một tệp security.txt để các nhà nghiên cứu và những người báo cáo các vụ lừa đảo mạo danh thương hiệu của bạn biết cách liên hệ với bạn. Lưu tệp này vào đường dẫn /.well-known/security.txt.
Ứng dụng này hoạt động hoàn toàn trên trình duyệt của bạn: mọi thông tin bạn nhập vào đều không được tải lên.
Cách sử dụng Trình tạo tệp security.txt
- Nhập thông tin liên hệ. Hãy nhập thông tin liên hệ với đội ngũ bảo mật của bạn vào mục “Liên hệ”, mỗi dòng một mục: mailto:security@example.com, địa chỉ https:// của biểu mẫu báo cáo hoặc số điện thoại tel:. Nếu chỉ nhập địa chỉ email đơn thuần, hệ thống sẽ tự động thêm tiền tố mailto: vào đó.
- Đặt ngày hết hạn. Chọn một ngày trong trường “Hết hạn”. Giá trị mặc định là một năm kể từ hôm nay; RFC 9116 khuyến nghị thời hạn ngắn hơn một năm, vì vậy hãy chọn một ngày sớm hơn.
- Thêm các trường tùy chọn. Hãy điền vào các trường Ngôn ngữ ưa thích (mặc định là en), Canonical, Chính sách, Mã hóa, Lời cảm ơn và Tuyển dụng nếu có. Các trường để trống sẽ không được đưa vào tệp.
- Tạo và sao chép. Nhấn nút “Generate” và xem kết quả trong ô hiển thị. Kiểm tra lại từng địa chỉ một lần nữa, vì công cụ này sẽ sao chép chính xác theo những gì bạn đã nhập, sau đó nhấn nút “Copy”.
- Xuất bản và gia hạn. Lưu văn bản dưới tên /.well-known/security.txt trên trang web của bạn qua HTTPS, ký tên bằng lệnh `gpg --clearsign` nếu muốn, và ghi chú ngày cần gia hạn trước khi nó hết hạn.
Ví dụ
Tệp tối giản
mailto:security@example.comContact: mailto:security@example.com
Expires: 2027-10-20T23:59:59.000Z
Preferred-Languages: enTạo ra trường Contact: mailto:security@example.com, trường Expires có thời hạn hết hiệu lực sau một năm vào lúc 23:59:59Z và trường Preferred-Languages: en — hai trường bắt buộc cùng với một gợi ý về ngôn ngữ — kèm theo lời nhắc rằng RFC 9116 khuyến nghị ngày hết hạn (Expires) nên ngắn hơn một năm.
Nó kiểm tra những gì
| Tín hiệu | Ý nghĩa của điều đó là gì |
|---|---|
| Liên hệ: | Mỗi liên hệ một dòng, theo thứ tự bạn đã nhập. Mỗi dòng phải là một URI dạng mailto:, https:// hoặc tel: theo quy định của RFC 9116; các liên kết dạng http:// và các giá trị không hợp lệ sẽ hiển thị thông báo lỗi thay vì tệp tin. |
| Hết hạn vào: | Ngày đã chọn vào lúc 23:59:59 UTC, được ghi kèm đơn vị mili giây, ví dụ: 2027-03-31T23:59:59.000Z. Nếu bạn xóa nội dung trong trường ngày, chức năng “Generate” sẽ ngừng tạo tệp mới. |
| Ngôn ngữ ưa thích: | Mặc định là en. Sử dụng các mã ngôn ngữ được phân tách bằng dấu phẩy, chẳng hạn như en, de, hoặc bỏ trống ô này để loại bỏ dòng đó. |
| Canonical: | Địa chỉ đầy đủ https:// nơi lưu trữ tệp này, để có thể nhận diện được bản sao được cung cấp từ một nguồn khác. |
| Mã hóa: | Một liên kết đến khóa công khai OpenPGP của bạn, để các phóng viên có thể mã hóa các thông tin nhạy cảm. |
| Chính sách, Lời cảm ơn, Tuyển dụng | Các liên kết đến chính sách công bố thông tin của bạn, trang cảm ơn các phóng viên và các vị trí việc làm trong lĩnh vực an ninh. Tất cả đều là tùy chọn, và công cụ này không kiểm tra xem các liên kết đó có hoạt động hay không. |
| Địa chỉ vai trò trong phần Liên hệ | Hãy sử dụng một địa chỉ email hoặc biểu mẫu mà cả nhóm đều theo dõi, chẳng hạn như security@ tên miền của bạn, thay vì hộp thư cá nhân của một người nào đó, để các báo cáo vẫn được gửi đến ngay cả khi nhân viên thay đổi công việc. |
| Lỗi: Phải điền thông tin liên hệ | Hiển thị khi trường “Liên hệ” trống. Bất kỳ lỗi nào cũng sẽ thay thế nội dung hiển thị, kèm theo lưu ý rằng hệ thống sẽ không tạo ra bất kỳ kết quả nào cho đến khi các trường này được sửa chữa. |
Các ví dụ khác
Biểu mẫu trực tuyến về ngôn ngữ và chính sách
Contact https://example.org/report-security, Expires 2027-03-31, Preferred-Languages en, de, Canonical https://example.org/.well-known/security.txt, Policy https://example.org/security-policyNăm dòng theo thứ tự sau: Liên hệ: https://example.org/report-security, Hết hạn: 2027-03-31T23:59:59.000Z, Ngôn ngữ ưa thích: en, de, Canonical: https://example.org/.well-known/security.txt, Chính sách: https://example.org/security-policy.
Liên hệ qua email bằng khóa, không có ngôn ngữ
Contact mailto:abuse@example.net, Expires 2027-06-30, Preferred-Languages cleared, Encryption https://example.net/pgp-key.txtBa dòng: Liên hệ: mailto:abuse@example.net, Hết hạn: 2027-06-30T23:59:59.000Z và Mã hóa: https://example.net/pgp-key.txt.
Trường “Liên hệ” để trống
All fields filled except ContactLỗi: Phải điền thông tin liên hệ, và có thông báo rằng chưa tạo được gì. Các trường khác vẫn giữ nguyên giá trị, vì vậy hãy điền thông tin liên hệ và nhấn “Tạo” một lần nữa.
Câu hỏi thường gặp
Những trường nào là bắt buộc?
RFC 9116 yêu cầu phải có ít nhất một trường Contact và chính xác một trường Expires; các trường còn lại là tùy chọn. Mỗi dòng Contact phải là một URI dạng mailto:, https:// hoặc tel: (địa chỉ email đơn thuần sẽ được thêm tiền tố mailto:), trường Expires phải là một ngày trong tương lai, và Generate sẽ hiển thị thông báo lỗi thay vì tệp khi một trong các trường này bị thiếu hoặc không hợp lệ.
Tôi nên đặt giá trị cho trường “Expires” là bao nhiêu?
Ngày được đặt mặc định là một năm kể từ hôm nay, trong khi RFC 9116 khuyến nghị thời hạn ngắn hơn một năm, vì vậy hãy chọn một ngày sớm hơn để tuân thủ khuyến nghị này; trang web sẽ nhắc nhở bạn khi ngày đó cách hiện tại hơn một năm. Hãy gia hạn tệp trước ngày đó, vì theo RFC, tệp security.txt đã hết hạn nên được coi là lỗi thời.
Nó có tải lên hay ký bất kỳ thứ gì không?
Không. Tệp này được tạo ra ngay trong trình duyệt của bạn và không có dữ liệu nào được gửi đi đâu cả. Tệp này không được ký; tiêu chuẩn RFC 9116 khuyến nghị sử dụng chữ ký văn bản thuần OpenPGP, mà bạn có thể thêm vào bằng lệnh `gpg --clearsign` trước khi xuất bản.
Tôi có thể thêm nhiều hơn một liên hệ không?
Đúng vậy. RFC 9116 cho phép có nhiều dòng Thông tin liên hệ, được đọc theo thứ tự ưu tiên. Hãy nhập mỗi thông tin liên hệ vào một dòng riêng biệt trong trường Thông tin liên hệ; các thông tin trùng lặp sẽ chỉ được ghi một lần.
Tệp đó sẽ được lưu ở đâu chính xác?
Tại https://your-domain/.well-known/security.txt, được cung cấp qua HTTPS dưới dạng văn bản thuần túy. Việc tạo bản sao hoặc chuyển hướng tại /security.txt là tùy chọn.
Một tệp có thể áp dụng cho tất cả các tên miền phụ của tôi không?
Không. Theo RFC 9116, tệp security.txt chỉ áp dụng cho máy chủ mà nó được lấy từ đó, chứ không áp dụng cho các tên miền con hay tên miền cha của máy chủ đó. Hãy đăng tải một bản sao trên mỗi máy chủ mà người dùng có thể truy cập, chẳng hạn như www và shop.
Tệp security.txt giúp chống lại các vụ lừa đảo mạo danh thương hiệu của tôi như thế nào?
Những người phát hiện ra một trang web giả mạo hoặc một email giả mạo mang tên bạn thường muốn cảnh báo cho bạn. Một kênh liên hệ hoạt động hiệu quả sẽ chuyển báo cáo đó trực tiếp đến đội ngũ bảo mật của bạn thay vì vào hàng đợi hỗ trợ chung, nhờ đó bạn có thể xử lý vấn đề liên quan đến tên miền giả mạo đó sớm hơn.