Bezplatný nástroj

Bezplatný generátor souboru security.txt podle RFC 9116

Generátor vytvoří soubor security.txt v souladu s normou RFC 9116, včetně odkazu na zásady pro zveřejňování zranitelností, a soubor je připraven k nahrání na váš web.

Vytvořte si soubor security.txt Generátor zásad pro zveřejňování zranitelností
  • Kontakt
  • Platnost vyprší
  • Zásady
  • Šifrování

Vytvořte soubor security.txt.

Proveďte 3 kroky a zkopírujte výsledky v kroku 4.

Povězte nám něco o vaší organizaci

Stránka, na které zveřejníte zásady. Soubor security.txt na ni odkazuje.

Jeden na řádek. Pokud pole ponecháte prázdné, bude se to vztahovat na váš web i jeho subdomény.

Vyberte, jakým způsobem mají lidé podávat hlášení

Zadejte alespoň jeden způsob, jak nahlásit problém. Soubor security.txt je uvádí v tomto pořadí.

Vaše stránka programu na platformě, jako je HackerOne, Bugcrowd, Intigriti nebo YesWeHack.

Zbývá méně než rok. Soubor aktualizujte ještě před tímto datem.

Odkaz na váš veřejný klíč, který výzkumníci používají k šifrování svých zpráv. Soubor pouze odkazuje na klíč, ale neobsahuje jej.

Stanovte pravidla

Odměny
Nepovolené zkušební metody
security.txt

Soubor na příslušné adrese na vašem webu a přehled zásad.

Zkopírujte soubor policy a security.txt

Než text zveřejníte, zkontrolujte si ho. Následuje po vašich odpovědích výše.

Zadejte název své organizace, abyste si mohli prohlédnout své zásady a soubor security.txt.

Generátor vytváří text na základě vašich odpovědí, normy RFC 9116 a běžných šablon zásad pro zveřejňování informací, jako je například šablona americké Agentury pro kyberbezpečnost a bezpečnost infrastruktury (CISA). Nejedná se o právní radu. Před zveřejněním zásady si ji pečlivě prostudujte a znění týkající se „safe harbor“ nechte zkontrolovat právníkem: vztahuje se pouze na činnost vaší organizace, nikoli na jednání jiných stran nebo státních zástupců.

Kam umístit soubor security.txt.

Soubor se umístí na pevnou adresu na vašem webu, takže ho nástroje a výzkumníci najdou bez nutnosti hledání.

  1. Stáhněte si soubor. Uložte jej jako security.txt ve formátu prostého textu s kódováním UTF-8.

  2. Nahrajte jej do složky /.well-known/. Umístěte jej na adresu https://your-domain/.well-known/security.txt. Na některých serverech si složku .well-known musíte vytvořit sami, a to pomocí správce souborů nebo přes FTP.

  3. Zkontrolujte adresu. Otevřete soubor v prohlížeči. Načítá se přes HTTPS jako prostý text (Content-Type: text/plain), bez přesměrování na jinou doménu.

  4. Zahrňte i své ostatní domény. Tento soubor se vztahuje pouze na doménu, na které je umístěn. Přidejte jej do každé domény a subdomény, o které chcete získávat přehledy.

  5. Zveřejněte zásady. Umístěte zásady o zveřejňování informací na odkaz v řádku „Zásady“.

  6. Nastavte si připomenutí. Před uplynutím daného data aktualizujte řádek „Expires“ a pokud jste soubor podepsali, podepište jej znovu.

Pravidla

Co pravidla vyžadují.

V každém řádku je uveden název zákona, normy nebo vládního nařízení, jeho platnost a požadavky, které klade na vaši politiku zveřejňování informací.

Zákony a normy týkající se oznamování zranitelností, kdy se jednotlivé předpisy uplatňují a co vyžadují
Zákon nebo norma Kdy se to vztahuje O co jde
RFC 9116 (security.txt) Jakýkoli web. Jedná se o dobrovolný internetový standard. Soubor ve formátu prostého textu v adresáři /.well-known/security.txt, poskytovaný přes protokol HTTPS, obsahující alespoň jeden řádek s kontaktními údaji a datum vypršení platnosti, ideálně v horizontu kratším než jeden rok.
Zákon EU o kybernetické odolnosti (nařízení (EU) 2024/2847) Výrobci softwaru a připojených výrobků prodávaných v EU. Povinnost podávat zprávy platí od 11. září 2026, ostatní požadavky od 11. prosince 2027. Koordinovaná politika zveřejňování zranitelností a kontaktní adresa pro hlášení (příloha I, část II), jediná kontaktní osoba uvedená v informacích pro uživatele (příloha II) a hlášení aktivně zneužívaných zranitelností agentuře ENISA do 24 hodin.
Směrnice NIS2 (EU) 2022/2555 Klíčové a významné subjekty v EU, jako jsou poskytovatelé cloudových služeb, hostingu a digitální infrastruktury. Řešení a zveřejňování zranitelností jako součást bezpečnostních opatření (článek 21). Národní týmy CSIRT koordinují zveřejňování informací mezi výzkumnými pracovníky a společnostmi (článek 12).
Britský systém zabezpečení produktů a telekomunikační infrastruktury (PSTI) Výrobci připojitelných spotřebitelských výrobků prodávaných ve Velké Británii od 29. dubna 2024. Zveřejněný postup pro hlášení bezpečnostních problémů a lhůta, ve které oznamovatelé obdrží potvrzení o přijetí a informace o stavu řešení.
Závazná provozní směrnice CISA č. 20-01, USA Federální civilní úřady USA. Šablona jejich zásad slouží jako běžný vzor pro firmy. Zveřejněná směrnice obsahující seznam dotčených systémů, postup pro podávání hlášení, závazek, že nebudou podniknuty právní kroky v případě výzkumu prováděného v dobré víře, a potvrzení přijetí hlášení do 3 pracovních dnů.
ISO/IEC 29147 a ISO/IEC 30111 Jakákoli organizace. Jedná se o mezinárodní standardy, které se často vyžadují při bezpečnostních prověrkách. Jak přijímat hlášení a zveřejňovat upozornění (29147) a jak jednotlivá hlášení potvrzovat, opravovat a sledovat v rámci vaší organizace (30111).

Generátor zásad přijatelného používání

Vaše zásady přijatelného používání stanovují pravidla pro všechny ostatní.

Generátor zásad přijatelného používání TermsFeed zakazuje zkoumání nebo testování vaší služby bez písemného souhlasu a žádá uživatele, aby vám nahlásili zjištěné zranitelnosti. Vaše zásady pro zveřejňování informací udělují tento souhlas výzkumníkům, kteří se jimi řídí.

Vytvořit zásady přijatelného používání

Často kladené otázky.

Odpovědi na časté dotazy týkající se souboru security.txt.

Co je to security.txt?

Soubor security.txt je soubor v prostém textu, který bezpečnostním výzkumníkům sděluje, jak nahlásit zranitelnost na vašem webu.

  • RFC 9116 jej popisuje jako internetový standard platný od dubna 2022.
  • Nachází se v adresáři /.well-known/security.txt.
  • Obsahuje seznam vašich kontaktů pro bezpečnostní záležitosti, datum vypršení platnosti a odkazy, například na vaše zásady zveřejňování informací a šifrovací klíč.

Která pole musí soubor security.txt obsahovat?

Soubor security.txt musí obsahovat alespoň 1 řádek Contact a přesně 1 řádek Expires.

  • Contact: e-mail (mailto:), odkaz (https://) nebo telefonní číslo (tel:), v pořadí, které preferujete.
  • Expires: datum a čas, po kterém bude soubor neplatný.
  • Volitelné: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical a Hiring.

Co se stane, když vyprší platnost souboru security.txt?

Po uplynutí data platnosti (Expires) považují výzkumníci a nástroje tento soubor za zastaralý a jeho kontakty za nespolehlivé.

  • RFC 9116 doporučuje nastavit datum vypršení platnosti na méně než jeden rok dopředu.
  • Datum aktualizujte pokaždé, když kontrolujete kontakty.
  • Bezpečnostní skenery často označují soubor s prošlým datem platnosti jako problém.

Mám podepsat svůj soubor security.txt?

Podpisování je volitelné. Podpis dokládá, že soubor nebyl změněn někým jiným.

  • Použijte podpis OpenPGP v otevřeném textu, například gpg --clearsign security.txt.
  • Zachovejte řádek „Canonical“, aby podepsaný soubor odkazoval na svou vlastní adresu.
  • Po každé změně soubor znovu podepište, včetně nového data vypršení platnosti (Expires).

Nahrazuje soubor security.txt zásady pro oznamování zranitelností?

Soubor security.txt uvádí, kam se mají hlášení zasílat. Zásady stanovují, co mohou výzkumníci testovat a jak se má s hlášením naložit.

Řádek „Policy“ v souboru obsahuje odkaz na směrnici. Výše uvedený generátor zapíše obojí.

Je generátor security.txt zdarma?

Ano, generátor souboru security.txt je zdarma.

  • Generátor nevyžaduje žádné účty.
  • Generátor také vytvoří zásady pro zveřejňování zranitelností.

Vytvořte si soubor security.txt pomocí výše uvedeného generátoru.