Outil gratuit

Générateur gratuit de fichiers « security.txt » conforme à la norme RFC 9116

Le générateur crée le fichier security.txt conforme à la norme RFC 9116, avec la politique de divulgation des vulnérabilités vers laquelle il renvoie, prêt à être mis en ligne sur votre site web.

Créez votre fichier security.txt Générateur de politique de divulgation des vulnérabilités
  • Contact
  • Date d'expiration
  • Politique
  • Chiffrement

Créez votre fichier security.txt.

Suivez les 3 étapes et copiez les résultats à l'étape 4.

Parlez-nous de votre organisation

La page sur laquelle vous publierez la politique. Le fichier security.txt renvoie vers celle-ci.

Un par ligne. Laissez ce champ vide pour inclure votre site web et ses sous-domaines.

Choisissez la manière dont les utilisateurs peuvent signaler un problème

Indiquez au moins un moyen de signalement. Le fichier security.txt les répertorie dans cet ordre.

La page dédiée à votre programme sur une plateforme telle que HackerOne, Bugcrowd, Intigriti ou YesWeHack.

Dans moins d'un an à compter d'aujourd'hui. Mettez à jour le fichier avant cette date.

Un lien vers votre clé publique, que les chercheurs utilisent pour chiffrer leurs rapports. Le fichier renvoie vers la clé, mais ne la contient pas.

Définir les règles

Récompenses
Méthodes d'essai non autorisées
security.txt

Le fichier à son emplacement sur votre site web, et un aperçu de la politique.

Copiez votre politique et le fichier security.txt

Relisez le texte avant de le publier. Il fait suite à vos réponses ci-dessus.

Saisissez le nom de votre organisation pour consulter votre politique et votre fichier security.txt.

Le générateur rédige un texte à partir de vos réponses, de la norme RFC 9116 et de modèles courants de politique de divulgation, tels que celui de l'Agence américaine pour la cybersécurité et la sécurité des infrastructures (CISA). Il ne s'agit pas d'un avis juridique. Vérifiez la politique avant de la publier et faites valider la formulation de la clause de « safe harbor » par un avocat : celle-ci ne couvre que les activités de votre organisation, et non celles d’autres parties ou des autorités judiciaires.

Où placer votre fichier security.txt ?

Le fichier est placé à une adresse fixe sur votre site web, ce qui permet aux outils et aux chercheurs de le trouver sans avoir à le rechercher.

  1. Téléchargez le fichier. Enregistrez-le sous le nom « security.txt », au format texte brut avec l'encodage UTF-8.

  2. Téléchargez-le dans le répertoire /.well-known/. Placez-le à l'adresse https://your-domain/.well-known/security.txt. Sur certains hébergeurs, vous devez créer vous-même le dossier .well-known, à l'aide de votre gestionnaire de fichiers ou via FTP.

  3. Vérifiez l'adresse. Ouvrez le fichier dans un navigateur. Il se charge via HTTPS en texte brut (Content-Type : text/plain), sans redirection vers un autre domaine.

  4. Pensez à vos autres domaines. Ce fichier ne concerne que le domaine sur lequel il est hébergé. Ajoutez-le à chaque domaine et sous-domaine pour lesquels vous souhaitez obtenir des rapports.

  5. Publiez la politique. Placez la politique de divulgation via le lien figurant dans la ligne « Politique ».

  6. Programmez un rappel. Modifiez la ligne « Expires » avant que la date n'arrive à échéance, et resignez le fichier si vous l'aviez déjà signé.

Les règles

Ce que prévoient les règles.

Chaque ligne indique le nom d'une loi, d'une norme ou d'une directive gouvernementale, son champ d'application et ce qu'elle impose à votre politique de divulgation.

Lois et normes relatives à la divulgation des vulnérabilités, leur champ d'application respectif et leurs exigences
Loi ou norme Dans les cas où cela s'applique Ce qu'il demande
RFC 9116 (security.txt) N'importe quel site web. Il s'agit d'une norme Internet facultative. Un fichier en texte brut situé dans le répertoire /.well-known/security.txt, accessible via HTTPS, contenant au moins une ligne « Contact » et une date d'expiration, idéalement inférieure à un an.
Loi européenne sur la cyber-résilience (règlement (UE) 2024/2847) Fabricants de logiciels et de produits connectés commercialisés dans l'UE. L'obligation de déclaration s'applique à compter du 11 septembre 2026, les autres exigences à compter du 11 décembre 2027. Une politique coordonnée de divulgation des vulnérabilités et une adresse de contact pour le signalement de celles-ci (annexe I, partie II), un point de contact unique désigné dans les informations destinées aux utilisateurs (annexe II), ainsi que la notification à l'ENISA, dans un délai de 24 heures, des vulnérabilités faisant l'objet d'une exploitation active.
Directive NIS2 (UE) 2022/2555 Les entités essentielles et importantes au sein de l'UE, telles que les fournisseurs de services cloud, d'hébergement et d'infrastructures numériques. La gestion et la divulgation des vulnérabilités dans le cadre des mesures de sécurité (article 21). Les CSIRT nationaux assurent la coordination de la divulgation entre les chercheurs et les entreprises (article 12).
Régime britannique de sécurité des produits et des infrastructures de télécommunications (PSTI) Fabricants de produits grand public connectés commercialisés au Royaume-Uni depuis le 29 avril 2024. Une procédure officielle permettant de signaler des problèmes de sécurité, ainsi que le délai dans lequel les auteurs des signalements reçoivent un accusé de réception et des informations sur l'état d'avancement du dossier.
Directive opérationnelle contraignante n° 20-01 de la CISA, États-Unis Les agences civiles fédérales américaines. Son modèle de politique sert de référence aux entreprises. Une politique publiée précisant les systèmes concernés, la procédure à suivre pour signaler un incident, l'engagement de ne pas engager de poursuites judiciaires en cas de recherche menée de bonne foi, ainsi que l'accusé de réception des signalements dans un délai de 3 jours ouvrés.
ISO/IEC 29147 et ISO/IEC 30111 N'importe quelle organisation. Il s'agit de normes internationales, souvent exigées lors des audits de sécurité. Comment recevoir des rapports et publier des avis (29147), et comment valider, corriger et suivre chaque rapport au sein de votre organisation (30111).

Générateur de politique d'utilisation acceptable

Votre politique d'utilisation acceptable définit les règles applicables à tous les autres utilisateurs.

Le générateur de politique d'utilisation acceptable de TermsFeed interdit toute tentative de sondage ou de test de votre service sans autorisation écrite, et demande aux utilisateurs de vous signaler les vulnérabilités. Votre politique de divulgation accorde cette autorisation aux chercheurs qui la respectent.

Générer une politique d'utilisation acceptable

Foire aux questions.

Réponses aux questions courantes concernant le fichier security.txt.

Qu'est-ce que security.txt ?

security.txt est un fichier en texte brut qui indique aux chercheurs en sécurité comment signaler une vulnérabilité sur votre site web.

  • La norme RFC 9116 le décrit comme une norme Internet en vigueur depuis avril 2022.
  • Il se trouve à l'emplacement /.well-known/security.txt.
  • Il répertorie vos contacts en matière de sécurité, une date d'expiration et des liens vers, par exemple, votre politique de divulgation et votre clé de chiffrement.

Quels champs doivent figurer dans le fichier security.txt ?

Un fichier security.txt doit comporter au moins une ligne Contact et exactement une ligne Expires.

  • Contact : une adresse e-mail (mailto:), un lien (https://) ou un numéro de téléphone (tel:), dans l'ordre de votre choix.
  • Expires : la date et l'heure à partir desquelles le fichier n'est plus à jour.
  • Facultatif : Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical et Hiring.

Que se passe-t-il lorsque le fichier security.txt arrive à expiration ?

Passée la date d'expiration, les chercheurs et les outils considèrent le fichier comme obsolète et ses contacts comme non fiables.

  • La RFC 9116 recommande de fixer une date d'expiration inférieure à un an.
  • Mettez à jour cette date chaque fois que vous vérifiez les contacts.
  • Les scanners de sécurité signalent souvent un fichier périmé comme un problème.

Dois-je signer mon fichier security.txt ?

La signature est facultative. Une signature indique que le fichier n'a pas été modifié par quelqu'un d'autre.

  • Utilisez une signature OpenPGP en texte clair, par exemple gpg --clearsign security.txt.
  • Conservez la ligne « Canonical » afin que le fichier signé mentionne sa propre adresse.
  • Resignez le fichier après chaque modification, en incluant la nouvelle date d'expiration.

Le fichier security.txt remplace-t-il une politique de divulgation des vulnérabilités ?

Non. Le fichier security.txt indique où signaler les failles. La politique précise ce que les chercheurs sont autorisés à tester et comment traiter un rapport.

La ligne « Policy » du fichier renvoie vers la politique. Le générateur ci-dessus rédige les deux.

Le générateur de fichiers security.txt est-il gratuit ?

Oui, le générateur security.txt est gratuit.

  • Le générateur ne nécessite pas de compte.
  • Le générateur rédige également la politique de divulgation des vulnérabilités.

Créez votre fichier security.txt à l'aide du générateur ci-dessus.