Gratis tool

Gratis security.txt-generator voor RFC 9116

De generator maakt het bestand security.txt aan volgens RFC 9116, met daarin de link naar het beleid inzake het melden van kwetsbaarheden, zodat je het direct naar je website kunt uploaden.

Maak je security.txt-bestand aan Generator voor een beleid inzake het openbaar maken van kwetsbaarheden
  • Contact
  • Vervalt
  • Beleid
  • Versleuteling

Maak je security.txt-bestand aan.

Voer de 3 stappen uit en kopieer de resultaten in stap 4.

Vertel ons eens iets over uw organisatie

De pagina waarop je het beleid publiceert. Het bestand security.txt verwijst hiernaar.

Eén per regel. Laat het veld leeg om je website en de bijbehorende subdomeinen op te nemen.

Kies hoe mensen verslag uitbrengen

Vul ten minste één manier in om een melding te doen. Het bestand security.txt geeft ze in deze volgorde weer.

Je programmapagina op een platform zoals HackerOne, Bugcrowd, Intigriti of YesWeHack.

Over minder dan een jaar vanaf vandaag. Werk het bestand vóór die datum bij.

Een link naar je openbare sleutel, die onderzoekers gebruiken om hun rapporten te versleutelen. Het bestand bevat alleen een link naar de sleutel; de sleutel zelf staat er niet in opgeslagen.

Stel de regels vast

Beloningen
Testmethoden die niet zijn toegestaan
security.txt

Het bestand op zijn adres op uw website, en het beleid in één oogopslag.

Kopieer je policy- en security.txt-bestanden

Lees de tekst nog eens door voordat je hem publiceert. Deze volgt op je antwoorden hierboven.

Voer de naam van uw organisatie in om uw beleid en het security.txt-bestand te bekijken.

De generator stelt tekst op basis van uw antwoorden, RFC 9116 en gangbare sjablonen voor openbaarmakingsbeleid, zoals die van het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA). Dit is geen juridisch advies. Bekijk het beleid voordat u het publiceert en laat de ‘safe harbor’-formulering door een advocaat controleren: deze heeft alleen betrekking op wat uw organisatie doet, niet op wat andere partijen of openbare aanklagers doen.

Waar moet je je security.txt-bestand opslaan?

Het bestand wordt op een vast adres op je website geplaatst, zodat tools en onderzoekers het kunnen vinden zonder ernaar te hoeven zoeken.

  1. Download het bestand. Sla het op als security.txt, in platte tekst met UTF-8-codering.

  2. Zet het in de map /.well-known/. Plaats het op https://your-domain/.well-known/security.txt. Bij sommige hosts moet je de map .well-known zelf aanmaken, met je bestandsbeheerder of via FTP.

  3. Controleer het adres. Open het bestand in een browser. Het wordt via HTTPS geladen als platte tekst (Content-Type: text/plain), zonder omleiding naar een ander domein.

  4. Zorg ervoor dat ook uw andere domeinen worden gedekt. Het bestand geldt alleen voor het domein waarop het wordt gehost. Voeg het toe aan elk domein en subdomein waarover u rapporten wilt ontvangen.

  5. Publiceer het beleid. Plaats het openbaarmakingsbeleid via de link in de regel ‘Beleid’.

  6. Stel een herinnering in. Werk de regel ‘Expires’ bij voordat de datum verstrijkt, en onderteken het bestand opnieuw als je het al had ondertekend.

De regels

Wat de regels voorschrijven.

In elke rij wordt een wet, een norm of een overheidsrichtlijn genoemd, wanneer deze van toepassing is en wat deze voorschrijft met betrekking tot uw openbaarmakingsbeleid.

Wetgeving en normen inzake het melden van kwetsbaarheden, wanneer deze van toepassing zijn en wat er wordt vereist
Wet of norm Wanneer dit van toepassing is Wat er wordt gevraagd
RFC 9116 (security.txt) Elke willekeurige website. Het is een vrijwillige internetstandaard. Een tekstbestand in de map /.well-known/security.txt, dat via HTTPS wordt aangeboden, met ten minste één regel met contactgegevens en een vervaldatum, bij voorkeur minder dan een jaar in de toekomst.
EU-wet inzake cyberweerbaarheid (Verordening (EU) 2024/2847) Fabrikanten van software en verbonden producten die in de EU worden verkocht. De rapportageverplichting geldt vanaf 11 september 2026, de overige vereisten vanaf 11 december 2027. Een gecoördineerd beleid inzake het melden van kwetsbaarheden en een contactadres voor meldingen (bijlage I, deel II), één centraal contactpunt dat in de gebruikersinformatie wordt vermeld (bijlage II), en meldingen van actief misbruikte kwetsbaarheden aan ENISA binnen 24 uur.
NIS2-richtlijn (EU) 2022/2555 Essentiële en belangrijke entiteiten in de EU, zoals aanbieders van clouddiensten, hostingdiensten en digitale infrastructuur. Omgang met en openbaarmaking van kwetsbaarheden als onderdeel van de beveiligingsmaatregelen (artikel 21). Nationale CSIRT’s coördineren de openbaarmaking tussen onderzoekers en bedrijven (artikel 12).
Het Britse regelgevingskader voor productveiligheid en telecommunicatie-infrastructuur (PSTI) Fabrikanten van verbonden consumentenproducten die sinds 29 april 2024 in het Verenigd Koninkrijk worden verkocht. Een officiële procedure voor het melden van beveiligingsproblemen, en de termijn waarbinnen melders een bevestiging en statusupdates ontvangen.
CISA Bindende operationele richtlijn 20-01, VS Amerikaanse federale civiele instanties. Het beleidsmodel dat zij hanteren, dient vaak als voorbeeld voor bedrijven. Een gepubliceerd beleid waarin de betreffende systemen worden vermeld, waarin wordt uitgelegd hoe meldingen moeten worden gedaan, waarin wordt toegezegd geen juridische stappen te ondernemen tegen onderzoek dat te goeder trouw wordt uitgevoerd, en waarin wordt bevestigd dat meldingen binnen drie werkdagen worden bevestigd.
ISO/IEC 29147 en ISO/IEC 30111 Elke organisatie. Het zijn internationale normen, waar vaak om wordt gevraagd bij beveiligingsbeoordelingen. Hoe u meldingen ontvangt en adviezen publiceert (29147), en hoe u elke melding binnen uw organisatie bevestigt, oplost en volgt (30111).

Generator voor een beleid inzake aanvaardbaar gebruik

Uw beleid inzake aanvaardbaar gebruik legt de regels vast voor alle anderen.

De TermsFeed-generator voor beleidsregels inzake aanvaardbaar gebruik verbiedt het onderzoeken of testen van uw dienst zonder schriftelijke toestemming, en vraagt gebruikers om kwetsbaarheden aan u te melden. Uw openbaarmakingsbeleid verleent die toestemming aan onderzoekers die zich eraan houden.

Een beleid voor aanvaardbaar gebruik opstellen

Veelgestelde vragen.

Antwoorden op veelgestelde vragen over security.txt.

Wat is security.txt?

security.txt is een tekstbestand dat beveiligingsonderzoekers uitlegt hoe ze een kwetsbaarheid op je website kunnen melden.

  • RFC 9116 beschrijft het als een internetstandaard sinds april 2022.
  • Het is te vinden op /.well-known/security.txt.
  • Het bevat een lijst met uw contactpersonen voor beveiligingszaken, een vervaldatum en links naar bijvoorbeeld uw openbaarmakingsbeleid en versleutelingssleutel.

Welke velden moeten in security.txt worden opgenomen?

Een security.txt-bestand moet ten minste 1 Contact-regel en precies 1 Expires-regel bevatten.

  • Contact: een e-mailadres (mailto:), een link (https://) of een telefoonnummer (tel:), in de volgorde die je verkiest.
  • Expires: de datum en tijd waarna het bestand verouderd is.
  • Optioneel: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical en Hiring.

Wat gebeurt er als security.txt verloopt?

Na de vervaldatum beschouwen onderzoekers en tools het bestand als verouderd en de contacten daarin als onbetrouwbaar.

  • RFC 9116 beveelt aan om een vervaldatum te kiezen die minder dan een jaar in de toekomst ligt.
  • Werk de datum bij telkens wanneer u de contacten controleert.
  • Beveiligingsscanners melden een verlopen bestand vaak als een probleem.

Moet ik mijn security.txt-bestand ondertekenen?

Ondertekening is optioneel. Een handtekening geeft aan dat het bestand niet door iemand anders is gewijzigd.

  • Gebruik een OpenPGP-handtekening in leesbare tekst, bijvoorbeeld met `gpg --clearsign security.txt`.
  • Laat de regel 'Canonical' staan, zodat het ondertekende bestand naar zijn eigen adres verwijst.
  • Onderteken opnieuw na elke wijziging, inclusief de nieuwe vervaldatum.

Vervangt security.txt een beleid inzake het melden van kwetsbaarheden?

Nee. In security.txt staat waar je een melding moet doen. In het beleid staat wat onderzoekers mogen testen en wat je met een melding moet doen.

De regel ‘Policy’ in het bestand bevat een link naar het beleid. De bovenstaande generator schrijft beide.

Is de security.txt-generator gratis?

Ja, de security.txt-generator is gratis.

  • Voor de generator is geen account nodig.
  • De generator stelt ook het beleid voor het melden van kwetsbaarheden op.

Maak je security.txt-bestand aan met de bovenstaande generator.