Gratis verktøy

Gratis «security.txt»-generator for RFC 9116

Generatoren oppretter filen «security.txt» i henhold til RFC 9116, med retningslinjene for offentliggjøring av sikkerhetsproblemer som den lenker til, klar til å lastes opp til nettstedet ditt.

Lag din egen security.txt-fil Generator for retningslinjer for offentliggjøring av sikkerhetsproblemer
  • Kontakt
  • Utløpsdato
  • Retningslinjer
  • Kryptering

Opprett filen security.txt.

Gjennomfør de tre trinnene og kopier resultatene i trinn 4.

Fortell oss om organisasjonen din

Siden der du skal publisere retningslinjene. Filen «security.txt» inneholder en lenke til denne siden.

Én per linje. La feltet stå tomt for å inkludere nettstedet ditt og dets underdomener.

Velg hvordan folk skal rapportere

Fyll ut minst én måte å rapportere på. Filen «security.txt» viser dem i denne rekkefølgen.

Programsiden din på en plattform som HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre enn ett år fra i dag. Oppdater filen før denne datoen.

En lenke til din offentlige nøkkel, som forskerne bruker til å kryptere rapportene sine. Filen inneholder en lenke til nøkkelen, men lagrer ikke selve nøkkelen.

Fastsett reglene

Belønninger
Testmetoder som ikke er tillatt
security.txt

Filen på sin adresse på nettstedet ditt, og en oversikt over retningslinjene.

Kopier policy-filen og security.txt-filen

Gå gjennom teksten før du publiserer den. Den følger etter svarene dine ovenfor.

Skriv inn navnet på organisasjonen din for å se retningslinjene og security.txt-filen.

Generatoren utarbeider tekst basert på dine svar, RFC 9116 og vanlige maler for retningslinjer for informasjonsutlevering, for eksempel den fra det amerikanske Cybersecurity and Infrastructure Security Agency (CISA). Dette utgjør ikke juridisk rådgivning. Gå gjennom retningslinjene før du publiserer dem, og sjekk «safe harbor»-formuleringen med en advokat: den dekker kun hva din organisasjon gjør, ikke hva andre parter eller påtalemyndigheter gjør.

Hvor skal du plassere security.txt-filen?

Filen plasseres på en fast adresse på nettstedet ditt, slik at verktøy og forskere finner den uten å måtte søke etter den.

  1. Last ned filen. Lagre den som «security.txt» i ren tekst med UTF-8-koding.

  2. Last den opp til /.well-known/. Plasser den i https://your-domain/.well-known/security.txt. Hos enkelte webhotell må du opprette mappen .well-known selv, enten via filbehandleren eller via FTP.

  3. Sjekk adressen. Åpne filen i en nettleser. Den lastes inn via HTTPS som ren tekst (Content-Type: text/plain), uten omdirigering til et annet domene.

  4. Sørg for at den gjelder for de andre domenene dine. Filen gjelder kun for det domenet den ligger på. Legg den til på hvert domene og underdomene du ønsker rapporter for.

  5. Publiser retningslinjene. Legg ut informasjonsretningslinjene på lenken i «Retningslinjer»-feltet.

  6. Sett en påminnelse. Oppdater «Utløpsdato»-feltet før datoen går ut, og signer filen på nytt hvis du allerede har signert den.

Reglene

Hva reglene krever.

Hver rad angir en lov, en standard eller et myndighetsdirektiv, når det gjelder, og hva det stiller krav til i din informasjonspolicy.

Lover og standarder for rapportering av sikkerhetsproblemer, når de gjelder, og hva de krever
Lov eller standard Når det gjelder Hva det spør om
RFC 9116 (security.txt) Hvilken som helst nettside. Det er en frivillig internettstandard. En ren tekstfil i /.well-known/security.txt, som serveres via HTTPS, med minst én «Contact»-linje og en utløpsdato, helst mindre enn ett år frem i tid.
EU-loven om cybersikkerhet (forordning (EU) 2024/2847) Produsenter av programvare og tilkoblede produkter som selges i EU. Rapporteringsplikten trer i kraft fra 11. september 2026, mens de øvrige kravene trer i kraft fra 11. desember 2027. En samordnet retningslinje for offentliggjøring av sårbarheter og en kontaktadresse for innrapportering (vedlegg I, del II), et enkelt kontaktpunkt som er angitt i brukerinformasjonen (vedlegg II), samt innrapportering av sårbarheter som utnyttes aktivt til ENISA innen 24 timer.
NIS2-direktivet (EU) 2022/2555 Sentrale og viktige aktører i EU, som leverandører av skytjenester, webhotell og digital infrastruktur. Håndtering og offentliggjøring av sårbarheter som en del av sikkerhetstiltakene (artikkel 21). Nasjonale CSIRT-er koordinerer informasjonsutvekslingen mellom forskere og bedrifter (artikkel 12).
Det britiske regelverket for produktsikkerhet og telekommunikasjonsinfrastruktur (PSTI) Produsenter av tilkoblingsbare forbrukerprodukter som selges i Storbritannia, fra og med 29. april 2024. En offentliggjort fremgangsmåte for å rapportere sikkerhetsproblemer, samt hvor lang tid det tar før de som rapporterer får en bekreftelse og statusoppdateringer.
CISA Bindende operativt direktiv 20-01, USA Sivile føderale etater i USA. Retningslinjemalen deres er en vanlig modell for bedrifter. En offentliggjort retningslinje som angir hvilke systemer som omfattes, hvordan man skal rapportere, en forpliktelse til ikke å iverksette rettslige tiltak mot forskning utført i god tro, samt en bekreftelse på mottak av rapporter innen tre virkedager.
ISO/IEC 29147 og ISO/IEC 30111 Enhver organisasjon. Det er internasjonale standarder som ofte kreves i sikkerhetsgjennomganger. Hvordan motta rapporter og publisere varsler (29147), og hvordan bekrefte, løse og følge opp hver enkelt rapport internt i organisasjonen (30111).

Generator for retningslinjer for akseptabel bruk

Retningslinjene for akseptabel bruk fastsetter reglene for alle andre.

TermsFeeds verktøy for å lage retningslinjer for akseptabel bruk forbyr sondering eller testing av tjenesten din uten skriftlig tillatelse, og ber brukerne om å rapportere sårbarheter til deg. Retningslinjene dine for offentliggjøring gir denne tillatelsen til forskere som følger dem.

Opprett retningslinjer for akseptabel bruk

Ofte stilte spørsmål.

Svar på vanlige spørsmål om security.txt.

Hva er security.txt?

security.txt er en ren tekstfil som forteller sikkerhetsforskere hvordan de skal rapportere en sårbarhet på nettstedet ditt.

  • RFC 9116 beskriver den som en internettstandard siden april 2022.
  • Den ligger på /.well-known/security.txt.
  • Den inneholder en liste over sikkerhetskontakter, en utløpsdato og lenker til blant annet retningslinjene for informasjonsdeling og krypteringsnøkkelen.

Hvilke felt må security.txt inneholde?

En security.txt-fil må inneholde minst én Contact-linje og nøyaktig én Expires-linje.

  • Contact: en e-postadresse (mailto:), en lenke (https://) eller et telefonnummer (tel:), i den rekkefølgen du foretrekker.
  • Expires: dato og klokkeslett etter hvilket filen anses som utdatert.
  • Valgfritt: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical og Hiring.

Hva skjer når security.txt utløper?

Etter utløpsdatoen behandler forskere og verktøy filen som utdatert, og kontaktene i den som upålitelige.

  • RFC 9116 anbefaler en utløpsdato som ligger mindre enn ett år frem i tid.
  • Oppdater datoen hver gang du sjekker kontaktene.
  • Sikkerhetsskannere rapporterer ofte en utløpt fil som et problem.

Bør jeg signere security.txt-filen min?

Signering er valgfritt. En signatur viser at filen ikke er endret av noen andre.

  • Bruk en OpenPGP-signatur i klartekst, for eksempel gpg --clearsign security.txt.
  • Behold Canonical-linjen, slik at den signerte filen angir sin egen adresse.
  • Signer på nytt etter hver endring, inkludert den nye utløpsdatoen.

Erfatter security.txt en retningslinje for rapportering av sikkerhetsproblemer?

Nei. security.txt angir hvor man skal rapportere. Retningslinjene angir hva forskere har lov til å teste, og hva man skal gjøre med en rapport.

«Policy»-linjen i filen inneholder en lenke til retningslinjene. Generatoren ovenfor skriver ut begge deler.

Er security.txt-generatoren gratis?

Ja, security.txt-generatoren er gratis.

  • Generatoren krever ingen konto.
  • Generatoren skriver også retningslinjene for offentliggjøring av sårbarheter.

Lag din security.txt-fil med generatoren ovenfor.