Gratis værktøj

Gratis security.txt-generator til RFC 9116

Generatoren opretter filen »security.txt« i henhold til RFC 9116, med den politik for offentliggørelse af sårbarheder, som den linker til, klar til at blive uploadet til din hjemmeside.

Opret din security.txt-fil Generator til politik for offentliggørelse af sårbarheder
  • Kontakt
  • Udløbsdato
  • Politik
  • Kryptering

Opret din security.txt-fil.

Udfør de 3 trin, og kopier resultaterne i trin 4.

Fortæl os om jeres organisation

Den side, hvor du vil offentliggøre politikken. Filen »security.txt« henviser til den.

Én pr. linje. Lad feltet stå tomt, hvis du vil omfatte din hjemmeside og dens underdomæner.

Vælg, hvordan folk skal indberette

Udfyld mindst én måde at indberette på. Filen »security.txt« angiver dem i denne rækkefølge.

Din programside på en platform som f.eks. HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre end et år fra i dag. Sørg for at opdatere filen inden denne dato.

Et link til din offentlige nøgle, som forskerne bruger til at kryptere deres rapporter. Filen indeholder et link til nøglen, men indeholder ikke selve nøglen.

Fastlæg reglerne

Belønninger
Testmetoder, der ikke er tilladt
security.txt

Filen på sin adresse på din hjemmeside og en oversigt over politikken.

Kopier din policy-fil og security.txt-filen

Gennemgå teksten, før du offentliggør den. Den følger efter dine svar ovenfor.

Indtast navnet på din organisation for at se din politik og security.txt-filen.

Generatoren udarbejder tekst på baggrund af dine svar, RFC 9116 og almindelige skabeloner til politikker om oplysningspligt, såsom den fra det amerikanske Cybersecurity and Infrastructure Security Agency (CISA). Det udgør ikke juridisk rådgivning. Gennemgå politikken, inden du offentliggør den, og få en advokat til at gennemgå formuleringen vedrørende »safe harbor«: Den dækker kun, hvad din organisation gør, ikke hvad andre parter eller anklagemyndigheder gør.

Hvor skal du placere din security.txt-fil?

Filen placeres på en fast adresse på din hjemmeside, så værktøjer og forskere kan finde den uden at skulle søge efter den.

  1. Download filen. Gem den som security.txt i almindelig tekst med UTF-8-kodning.

  2. Upload den til /.well-known/. Placer den på https://your-domain/.well-known/security.txt. Hos nogle udbydere skal du selv oprette mappen .well-known ved hjælp af din filhåndtering eller FTP.

  3. Tjek adressen. Åbn filen i en browser. Den indlæses via HTTPS som almindelig tekst (Content-Type: text/plain) uden omdirigering til et andet domæne.

  4. Sørg for at dække dine øvrige domæner. Filen dækker kun det domæne, hvor den er placeret. Tilføj den til hvert domæne og underdomæne, som du ønsker rapporter om.

  5. Offentliggør politikken. Placer oplysningspolitikken via linket i feltet »Politik«.

  6. Indstil en påmindelse. Opdater linjen »Udløbsdato« inden datoen udløber, og underskriv filen igen, hvis du allerede har underskrevet den.

Reglerne

Hvad reglerne kræver.

Hver række angiver en lov, en standard eller et regeringsdirektiv, hvornår det finder anvendelse, og hvilke krav det stiller til din politik for offentliggørelse.

Love og standarder for offentliggørelse af sårbarheder, hvornår de finder anvendelse, og hvad de kræver
Lov eller standard Hvornår det finder anvendelse Hvad der forventes
RFC 9116 (security.txt) Enhver hjemmeside. Det er en frivillig internetstandard. En almindelig tekstfil i mappen /.well-known/security.txt, der serveres via HTTPS, med mindst én »Contact«-linje og en udløbsdato, helst mindre end et år frem i tiden.
EU-lov om cybermodstandsdygtighed (forordning (EU) 2024/2847) Producenter af software og forbundne produkter, der sælges i EU. Indberetningspligten træder i kraft den 11. september 2026, mens de øvrige krav træder i kraft den 11. december 2027. En samordnet politik for offentliggørelse af sårbarheder og en kontaktadresse til indberetninger (bilag I, del II), en enkelt kontaktperson, der er angivet i brugeroplysningerne (bilag II), samt indberetning af sårbarheder, der aktivt udnyttes, til ENISA inden for 24 timer.
NIS2-direktivet (EU) 2022/2555 Væsentlige og vigtige enheder i EU, såsom udbydere af cloud-tjenester, hosting og digital infrastruktur. Håndtering og offentliggørelse af sårbarheder som led i sikkerhedsforanstaltningerne (artikel 21). De nationale CSIRT-enheder koordinerer udvekslingen af oplysninger mellem forskere og virksomheder (artikel 12).
Den britiske ordning for produktsikkerhed og telekommunikationsinfrastruktur (PSTI) Producenter af forbrugerprodukter med internetforbindelse, der sælges i Storbritannien, fra den 29. april 2024. En offentliggjort fremgangsmåde til indberetning af sikkerhedsproblemer samt den tidsramme, inden for hvilken indberetterne modtager en bekræftelse og statusopdateringer.
CISA’s bindende operative direktiv 20-01, USA Amerikanske føderale civile myndigheder. Dens politikskabelon fungerer som en almindelig model for virksomheder. En offentliggjort politik, der angiver, hvilke systemer der er omfattet, hvordan man indberetter, en forpligtelse til ikke at indlede retslige skridt i forbindelse med forskning udført i god tro samt en bekræftelse af modtagelsen af indberetninger inden for 3 arbejdsdage.
ISO/IEC 29147 og ISO/IEC 30111 Enhver organisation. Det er internationale standarder, som ofte kræves i forbindelse med sikkerhedsvurderinger. Sådan modtager du rapporter og offentliggør advarsler (29147), og sådan bekræfter, løser og sporer du hver enkelt rapport internt i din organisation (30111).

Generator til retningslinjer for acceptabel brug

Jeres retningslinjer for acceptabel brug fastlægger reglerne for alle andre.

TermsFeeds generator til retningslinjer for acceptabel brug forbyder sondering eller test af din tjeneste uden skriftlig tilladelse og opfordrer brugerne til at indberette sårbarheder til dig. Din politik for offentliggørelse giver denne tilladelse til forskere, der overholder den.

Udarbejd retningslinjer for acceptabel brug

Ofte stillede spørgsmål.

Svar på almindelige spørgsmål om security.txt.

Hvad er security.txt?

security.txt er en fil i almindelig tekst, der fortæller sikkerhedsforskere, hvordan de skal indberette en sårbarhed på din hjemmeside.

  • RFC 9116 beskriver den som en internetstandard, der har været gældende siden april 2022.
  • Den findes på /.well-known/security.txt.
  • Den indeholder en liste over dine sikkerhedskontakter, en udløbsdato samt links til eksempelvis din politik for offentliggørelse af sårbarheder og din krypteringsnøgle.

Hvilke felter skal security.txt indeholde?

En security.txt-fil skal indeholde mindst én Contact-linje og præcis én Expires-linje.

  • Contact: en e-mail (mailto:), et link (https://) eller et telefonnummer (tel:), i den rækkefølge, du foretrækker.
  • Expires: dato og klokkeslæt, hvorefter filen betragtes som forældet.
  • Valgfrit: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical og Hiring.

Hvad sker der, når security.txt udløber?

Efter udløbsdatoen betragter forskere og værktøjer filen som forældet, og dens kontaktoplysninger som upålidelige.

  • RFC 9116 anbefaler, at udløbsdatoen ligger mindre end et år frem i tiden.
  • Opdater datoen, hver gang du tjekker kontakterne.
  • Sikkerhedsscannere rapporterer ofte en udløbet fil som et problem.

Skal jeg underskrive min security.txt-fil?

Det er valgfrit at underskrive. En underskrift viser, at filen ikke er blevet ændret af en anden.

  • Brug en OpenPGP-signatur i klartekst, f.eks. gpg --clearsign security.txt.
  • Behold Canonical-linjen, så den signerede fil angiver sin egen adresse.
  • Underskriv igen efter hver ændring, inklusive den nye udløbsdato.

Er security.txt en erstatning for en politik for offentliggørelse af sårbarheder?

Nej. I security.txt står der, hvor man skal indsende en rapport. Retningslinjerne angiver, hvad forskere må teste, og hvordan man skal håndtere en rapport.

Linjen »Policy« i filen indeholder et link til politikken. Ovenstående generator skriver begge dele.

Er security.txt-generatoren gratis?

Ja, security.txt-generatoren er gratis.

  • Generatoren kræver ingen konto.
  • Generatoren udarbejder også politikken for offentliggørelse af sårbarheder.

Opret din security.txt-fil med generatoren ovenfor.