Kostenloses Tool

Kostenloser „security.txt“-Generator für RFC 9116

Der Generator erstellt die Datei „security.txt“ gemäß RFC 9116, einschließlich der darin verlinkten Richtlinie zur Offenlegung von Sicherheitslücken, sodass sie direkt auf Ihre Website hochgeladen werden kann.

Erstellen Sie Ihre security.txt-Datei Generator für Richtlinien zur Offenlegung von Sicherheitslücken
  • Kontakt
  • Läuft ab
  • Richtlinie
  • Verschlüsselung

Erstellen Sie Ihre „security.txt“-Datei.

Führen Sie die 3 Schritte aus und kopieren Sie die Ergebnisse in Schritt 4.

Erzählen Sie uns etwas über Ihre Organisation

Die Seite, auf der Sie die Richtlinie veröffentlichen. Die Datei „security.txt“ verweist darauf.

Je eine pro Zeile. Lassen Sie das Feld leer, um Ihre Website und deren Subdomains abzudecken.

Wählen Sie aus, wie die Teilnehmer ihre Ergebnisse melden sollen

Geben Sie mindestens eine Meldeoption an. Die Datei „security.txt“ listet diese in dieser Reihenfolge auf.

Ihre Programmseite auf einer Plattform wie HackerOne, Bugcrowd, Intigriti oder YesWeHack.

In weniger als einem Jahr ab heute. Aktualisieren Sie die Datei vor diesem Datum.

Ein Link zu Ihrem öffentlichen Schlüssel, den Forscher zur Verschlüsselung ihrer Berichte verwenden. Die Datei verweist auf den Schlüssel, enthält ihn jedoch nicht.

Lege die Regeln fest

Belohnungen
Nicht zulässige Prüfverfahren
security.txt

Die Datei unter ihrer Adresse auf Ihrer Website und die Richtlinien auf einen Blick.

Kopieren Sie Ihre Richtlinie und die Datei „security.txt“

Überprüfen Sie den Text, bevor Sie ihn veröffentlichen. Er folgt auf Ihre obigen Antworten.

Geben Sie den Namen Ihrer Organisation ein, um Ihre Richtlinien und die Datei „security.txt“ anzuzeigen.

Der Generator erstellt Texte auf der Grundlage Ihrer Antworten, von RFC 9116 und gängiger Vorlagen für Offenlegungsrichtlinien, wie beispielsweise der Vorlage der US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA). Es handelt sich dabei nicht um eine Rechtsberatung. Prüfen Sie die Richtlinie, bevor Sie sie veröffentlichen, und lassen Sie den „Safe-Harbor“-Formulierungsteil von einem Rechtsanwalt überprüfen: Er bezieht sich nur auf das Handeln Ihrer Organisation, nicht auf das Handeln anderer Parteien oder Strafverfolgungsbehörden.

Wo Sie Ihre „security.txt“-Datei ablegen sollten.

Die Datei wird an einer festen Adresse auf Ihrer Website abgelegt, sodass Tools und Forscher sie ohne Suche finden können.

  1. Laden Sie die Datei herunter. Speichern Sie sie unter dem Namen „security.txt“ im Klartext mit UTF-8-Kodierung.

  2. Lade sie in den Ordner /.well-known/ hoch. Speichere sie unter https://your-domain/.well-known/security.txt. Bei einigen Hosts musst du den Ordner „.well-known“ selbst anlegen, entweder mit deinem Dateimanager oder per FTP.

  3. Überprüfen Sie die Adresse. Öffnen Sie die Datei in einem Browser. Sie wird über HTTPS als Klartext (Content-Type: text/plain) geladen, ohne dass eine Weiterleitung auf eine andere Domain erfolgt.

  4. Beziehen Sie Ihre anderen Domains mit ein. Die Datei gilt nur für die Domain, auf der sie bereitgestellt wird. Fügen Sie sie zu jeder Domain und Subdomain hinzu, für die Sie Berichte wünschen.

  5. Veröffentlichen Sie die Richtlinie. Fügen Sie den Link zur Offenlegungsrichtlinie in die Zeile „Richtlinie“ ein.

  6. Richten Sie eine Erinnerung ein. Aktualisieren Sie die Zeile „Expires“, bevor das Datum abläuft, und signieren Sie die Datei erneut, falls Sie sie bereits signiert haben.

Die Regeln

Was die Regeln vorschreiben.

In jeder Zeile wird ein Gesetz, eine Norm oder eine behördliche Vorschrift genannt, wann diese gilt und welche Anforderungen sie an Ihre Offenlegungspolitik stellt.

Gesetze und Standards zur Offenlegung von Sicherheitslücken, wann diese jeweils gelten und was sie vorschreiben
Gesetz oder Norm Wann dies gilt Was darin gefragt wird
RFC 9116 (security.txt) Jede beliebige Website. Es handelt sich um einen freiwilligen Internetstandard. Eine Klartextdatei unter /.well-known/security.txt, die über HTTPS bereitgestellt wird und mindestens eine Zeile mit Kontaktdaten sowie ein Ablaufdatum enthält, das idealerweise weniger als ein Jahr in der Zukunft liegt.
EU-Gesetz zur Cyber-Resilienz (Verordnung (EU) 2024/2847) Hersteller von Software und vernetzten Produkten, die in der EU verkauft werden. Die Meldepflicht gilt ab dem 11. September 2026, die übrigen Anforderungen ab dem 11. Dezember 2027. Eine einheitliche Richtlinie zur Offenlegung von Sicherheitslücken und eine Kontaktadresse für Meldungen (Anhang I, Teil II), eine in den Nutzerinformationen angegebene zentrale Anlaufstelle (Anhang II) sowie die Meldung aktiv ausgenutzter Sicherheitslücken an die ENISA innerhalb von 24 Stunden.
NIS2-Richtlinie (EU) 2022/2555 Wesentliche und wichtige Akteure in der EU, wie beispielsweise Anbieter von Cloud-Diensten, Hosting-Diensten und digitaler Infrastruktur. Umgang mit Sicherheitslücken und deren Offenlegung als Teil der Sicherheitsmaßnahmen (Artikel 21). Nationale CSIRTs koordinieren die Offenlegung zwischen Forschern und Unternehmen (Artikel 12).
Das britische System für Produktsicherheit und Telekommunikationsinfrastruktur (PSTI) Hersteller von vernetzten Konsumgütern, die seit dem 29. April 2024 im Vereinigten Königreich verkauft werden. Ein öffentlich bekanntgegebener Weg zur Meldung von Sicherheitsproblemen sowie die Frist, innerhalb derer die Meldenden eine Bestätigung und Statusaktualisierungen erhalten.
CISA-verbindliche operative Richtlinie 20-01, USA Zivile Bundesbehörden der USA. Die dortige Richtlinienvorlage dient Unternehmen häufig als Vorbild. Eine veröffentlichte Richtlinie, in der die betroffenen Systeme, das Meldeverfahren, die Zusage, keine rechtlichen Schritte gegen in gutem Glauben durchgeführte Forschungsarbeiten einzuleiten, sowie die Bestätigung des Eingangs von Meldungen innerhalb von drei Werktagen festgelegt sind.
ISO/IEC 29147 und ISO/IEC 30111 Jede Organisation. Es handelt sich um internationale Standards, die bei Sicherheitsüberprüfungen häufig verlangt werden. So empfangen Sie Meldungen und veröffentlichen Sie Hinweise (29147) sowie so bestätigen, beheben und verfolgen Sie jede Meldung innerhalb Ihres Unternehmens (30111).

Generator für Nutzungsrichtlinien

Ihre Nutzungsrichtlinien legen die Regeln für alle anderen fest.

Der TermsFeed-Generator für Nutzungsrichtlinien verbietet das Ausprobieren oder Testen Ihres Dienstes ohne schriftliche Genehmigung und fordert Nutzer auf, Sicherheitslücken an Sie zu melden. Ihre Offenlegungsrichtlinie erteilt Forschern, die sich daran halten, diese Erlaubnis.

Richtlinie zur zulässigen Nutzung erstellen

Häufig gestellte Fragen.

Antworten auf häufig gestellte Fragen zu security.txt.

Was ist „security.txt“?

security.txt ist eine Klartextdatei, die Sicherheitsforschern erklärt, wie sie eine Sicherheitslücke auf Ihrer Website melden können.

  • RFC 9116 beschreibt sie als Internetstandard, der seit April 2022 gilt.
  • Sie befindet sich unter /.well-known/security.txt.
  • Darin sind Ihre Sicherheitsansprechpartner, ein Ablaufdatum sowie Links, beispielsweise zu Ihrer Offenlegungsrichtlinie und Ihrem Verschlüsselungsschlüssel, aufgeführt.

Welche Felder muss die Datei „security.txt“ enthalten?

Eine security.txt-Datei muss mindestens eine Contact-Zeile und genau eine Expires-Zeile enthalten.

  • Contact: eine E-Mail-Adresse (mailto:), ein Link (https://) oder eine Telefonnummer (tel:) in der von Ihnen bevorzugten Reihenfolge.
  • Expires: das Datum und die Uhrzeit, nach deren Ablauf die Datei ungültig wird.
  • Optional: „Policy“, „Encryption“, „Acknowledgments“, „Preferred-Languages“, „Canonical“ und „Hiring“.

Was passiert, wenn die Gültigkeit von „security.txt“ abläuft?

Nach Ablauf des Gültigkeitsdatums behandeln Forscher und Tools die Datei als veraltet und die darin enthaltenen Kontakte als unzuverlässig.

  • RFC 9116 empfiehlt ein Ablaufdatum, das weniger als ein Jahr in der Zukunft liegt.
  • Aktualisieren Sie das Datum jedes Mal, wenn Sie die Kontakte überprüfen.
  • Sicherheitsscanner melden eine abgelaufene Datei häufig als Problem.

Sollte ich meine „security.txt“-Datei signieren?

Das Signieren ist optional. Eine Signatur zeigt an, dass die Datei nicht von jemand anderem verändert wurde.

  • Verwenden Sie eine OpenPGP-Klartext-Signatur, z. B. `gpg --clearsign security.txt`.
  • Behalten Sie die Canonical-Zeile bei, damit die signierte Datei auf ihre eigene Adresse verweist.
  • Signieren Sie nach jeder Änderung erneut, einschließlich des neuen Ablaufdatums.

Ersetzt die Datei „security.txt“ eine Richtlinie zur Offenlegung von Sicherheitslücken?

Nein. In der Datei security.txt ist angegeben, wo Meldungen einzureichen sind. In der Richtlinie ist festgelegt, was Forscher testen dürfen und wie mit einer Meldung umzugehen ist.

Die Zeile „Policy“ in der Datei enthält einen Link zur Richtlinie. Der oben genannte Generator erstellt beides.

Ist der „security.txt“-Generator kostenlos?

Ja, der security.txt-Generator ist kostenlos.

  • Für den Generator ist kein Konto erforderlich.
  • Der Generator erstellt auch die Richtlinie zur Offenlegung von Sicherheitslücken.

Erstellen Sie Ihre „security.txt“-Datei mit dem obigen Generator.