Strumento gratuito

Generatore gratuito di file security.txt conforme alla RFC 9116

Il generatore crea il file security.txt in conformità con la specifica RFC 9116, includendo il link alla politica di divulgazione delle vulnerabilità, pronto per essere caricato sul tuo sito web.

Crea il tuo file security.txt Generatore di politiche sulla divulgazione delle vulnerabilità
  • Contatti
  • Scadenza
  • Politica
  • Crittografia

Crea il tuo file security.txt.

Completa i 3 passaggi e copia i risultati al passaggio 4.

Raccontaci della tua organizzazione

La pagina in cui pubblicherai la politica. Il file security.txt rimanda a essa.

Uno per riga. Lascia il campo vuoto per includere il tuo sito web e i suoi sottodomini.

Scegli come gli utenti possono segnalare

Indica almeno un metodo di segnalazione. Il file security.txt li elenca in questo ordine.

La pagina dedicata al tuo programma su una piattaforma come HackerOne, Bugcrowd, Intigriti o YesWeHack.

Manca meno di un anno da oggi. Aggiorna il file prima di questa data.

Un collegamento alla tua chiave pubblica, che i ricercatori utilizzano per crittografare i propri rapporti. Il file rimanda alla chiave, ma non la contiene.

Stabilisci le regole

Premi
Metodi di prova non consentiti
security.txt

Il file all'indirizzo indicato sul vostro sito web e una sintesi della politica.

Copia il file policy e il file security.txt

Rileggi il testo prima di pubblicarlo. Si trova subito dopo le tue risposte riportate sopra.

Inserisci il nome della tua organizzazione per visualizzare la tua politica e il file security.txt.

Il generatore redige il testo sulla base delle vostre risposte, della norma RFC 9116 e dei modelli standard di politica di divulgazione, come quello fornito dalla Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti. Non si tratta di una consulenza legale. Esamina la politica prima di pubblicarla e verifica la formulazione relativa alla clausola di salvaguardia con un avvocato: essa riguarda esclusivamente le attività della tua organizzazione, non quelle di altre parti o delle autorità giudiziarie.

Dove salvare il file security.txt.

Il file va inserito in una posizione fissa sul tuo sito web, in modo che gli strumenti e i ricercatori possano trovarlo senza doverlo cercare.

  1. Scarica il file. Salvalo con il nome security.txt, in formato testo semplice con codifica UTF-8.

  2. Caricalo nella cartella /.well-known/. Inseriscilo all'indirizzo https://your-domain/.well-known/security.txt. Su alcuni host devi creare tu stesso la cartella .well-known, utilizzando il tuo gestore di file o tramite FTP.

  3. Controlla l'indirizzo. Apri il file in un browser. Viene caricato tramite HTTPS come testo semplice (Content-Type: text/plain), senza reindirizzamento a un altro dominio.

  4. Assicurati di includere anche gli altri domini. Il file riguarda solo il dominio che lo ospita. Aggiungilo a ogni dominio e sottodominio per cui desideri ricevere i report.

  5. Pubblica la politica. Inserisci il link alla politica di trasparenza nella riga “Politica”.

  6. Imposta un promemoria. Aggiorna la riga “Expires” prima che la data scada e, se hai già firmato il file, firmalo nuovamente.

Le regole

Cosa prevedono le regole.

Ogni riga indica una legge, una norma o una direttiva governativa, quando è applicabile, e cosa richiede in merito alla vostra politica di divulgazione.

Leggi e norme in materia di segnalazione delle vulnerabilità, i casi in cui si applicano e cosa prevedono
Legge o norma Quando si applica Cosa richiede
RFC 9116 (security.txt) Qualsiasi sito web. Si tratta di uno standard Internet volontario. Un file di testo semplice in /.well-known/security.txt, accessibile tramite HTTPS, contenente almeno una riga "Contact" e una data di scadenza, idealmente inferiore a un anno.
Legge dell'UE sulla resilienza informatica (Regolamento (UE) 2024/2847) Produttori di software e prodotti connessi venduti nell'UE. L'obbligo di segnalazione entra in vigore l'11 settembre 2026, mentre gli altri requisiti l'11 dicembre 2027. Una politica coordinata di segnalazione delle vulnerabilità e un indirizzo di contatto per le segnalazioni (Allegato I, Parte II), un unico punto di contatto indicato nelle informazioni per gli utenti (Allegato II) e la segnalazione all’ENISA, entro 24 ore, delle vulnerabilità oggetto di sfruttamento attivo.
Direttiva NIS2 (UE) 2022/2555 Soggetti fondamentali e di rilievo nell’UE, quali i fornitori di servizi cloud, di hosting e di infrastrutture digitali. Gestione e divulgazione delle vulnerabilità nell’ambito delle misure di sicurezza (articolo 21). I CSIRT nazionali coordinano la divulgazione tra ricercatori e aziende (articolo 12).
Regime britannico per la sicurezza dei prodotti e delle infrastrutture di telecomunicazione (PSTI) Produttori di prodotti di consumo connessi venduti nel Regno Unito a partire dal 29 aprile 2024. Una procedura ufficiale per segnalare problemi di sicurezza e i tempi entro i quali chi effettua la segnalazione riceve una conferma di ricezione e aggiornamenti sullo stato della pratica.
Direttiva operativa vincolante CISA 20-01, Stati Uniti Agenzie civili federali statunitensi. Il suo modello di politica aziendale costituisce un riferimento comune per le imprese. Una politica pubblicata che indichi i sistemi interessati, le modalità di segnalazione, l’impegno a non intraprendere azioni legali nei confronti di chi effettua ricerche in buona fede e la conferma di ricezione delle segnalazioni entro 3 giorni lavorativi.
ISO/IEC 29147 e ISO/IEC 30111 Qualsiasi organizzazione. Si tratta di standard internazionali, spesso richiesti nelle valutazioni di sicurezza. Come ricevere segnalazioni e pubblicare avvisi (29147) e come confermare, risolvere e monitorare ogni segnalazione all’interno della propria organizzazione (30111).

Generatore di politiche di utilizzo accettabile

La vostra Politica di utilizzo accettabile stabilisce le regole per tutti gli altri.

Il generatore di politiche di utilizzo accettabile di TermsFeed vieta di effettuare sondaggi o test sul tuo servizio senza autorizzazione scritta e chiede agli utenti di segnalarti eventuali vulnerabilità. La tua politica di divulgazione concede tale autorizzazione ai ricercatori che la rispettano.

Genera una politica di utilizzo accettabile

Domande frequenti.

Risposte alle domande più frequenti su security.txt.

Che cos’è security.txt?

security.txt è un file di testo semplice che indica ai ricercatori di sicurezza come segnalare una vulnerabilità presente sul tuo sito web.

  • La RFC 9116 lo descrive come uno standard Internet in vigore dall'aprile 2022.
  • Si trova all'indirizzo /.well-known/security.txt.
  • Elenca i tuoi contatti per la sicurezza, una data di scadenza e link quali la tua politica di divulgazione e la chiave di crittografia.

Quali campi devono essere presenti nel file security.txt?

Un file security.txt deve contenere almeno una riga Contact ed esattamente una riga Expires.

  • Contact: un indirizzo e-mail (mailto:), un link (https://) o un numero di telefono (tel:), nell'ordine che preferisci.
  • Expires: la data e l’ora oltre le quali il file non è più valido.
  • Opzionale: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical e Hiring.

Cosa succede quando il file security.txt scade?

Dopo la data di scadenza, i ricercatori e gli strumenti considerano il file obsoleto e i suoi contatti inaffidabili.

  • La RFC 9116 raccomanda di impostare una data di scadenza a meno di un anno nel futuro.
  • Aggiornare la data ogni volta che si controllano i contatti.
  • Gli scanner di sicurezza spesso segnalano un file scaduto come un problema.

Devo firmare il mio file security.txt?

La firma è facoltativa. Una firma attesta che il file non è stato modificato da qualcun altro.

  • Utilizza una firma OpenPGP in chiaro, ad esempio gpg --clearsign security.txt.
  • Mantieni la riga "Canonical", in modo che il file firmato indichi il proprio indirizzo.
  • Rifai la firma dopo ogni modifica, includendo la nuova data di scadenza.

Il file security.txt sostituisce una politica di divulgazione delle vulnerabilità?

No. Il file security.txt indica dove inviare le segnalazioni. La politica specifica cosa i ricercatori sono autorizzati a testare e come gestire una segnalazione.

La riga «Policy» del file rimanda alla politica. Il generatore sopra riportato crea entrambi.

Il generatore di security.txt è gratuito?

Sì, il generatore di security.txt è gratuito.

  • Il generatore non richiede la creazione di un account.
  • Il generatore redige anche la politica di divulgazione delle vulnerabilità.

Crea il tuo file security.txt utilizzando il generatore qui sopra.