Bezpłatne narzędzie

Darmowy generator pliku security.txt zgodny z RFC 9116

Generator tworzy plik security.txt zgodny z normą RFC 9116, zawierający link do polityki ujawniania luk w zabezpieczeniach, gotowy do umieszczenia na Twojej stronie internetowej.

Stwórz plik security.txt Generator polityki ujawniania luk w zabezpieczeniach
  • Kontakt
  • Wygasanie
  • Polityka
  • Szyfrowanie

Utwórz plik security.txt.

Wykonaj 3 kroki i skopiuj wyniki w kroku 4.

Opowiedz nam o swojej organizacji

Strona, na której opublikujesz zasady. Plik security.txt zawiera odnośnik do tej strony.

Jedno na wiersz. Pozostaw puste, aby objąć swoją witrynę i jej subdomeny.

Wybierz sposób zgłaszania problemów

Wprowadź co najmniej jeden sposób zgłaszania. Plik security.txt zawiera ich listę w tej kolejności.

Twoja strona programu na platformie takiej jak HackerOne, Bugcrowd, Intigriti lub YesWeHack.

Zostało mniej niż rok od dzisiaj. Zaktualizuj plik przed tą datą.

Link do Twojego klucza publicznego, którego badacze używają do szyfrowania swoich raportów. Plik zawiera link do klucza, ale sam go nie przechowuje.

Ustal zasady

Nagrody
Metody badawcze, które są niedozwolone
security.txt

Plik pod tym adresem na Państwa stronie internetowej oraz krótkie omówienie zasad.

Skopiuj plik policy oraz security.txt

Przed opublikowaniem tekstu sprawdź go. Znajduje się on poniżej twoich odpowiedzi.

Wpisz nazwę swojej organizacji, aby wyświetlić swoją politykę i plik security.txt.

Generator tworzy tekst na podstawie Twoich odpowiedzi, normy RFC 9116 oraz popularnych szablonów polityk ujawniania informacji, takich jak ten opracowany przez amerykańską Agencję ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA). Nie stanowi to porady prawnej. Przed opublikowaniem polityki należy ją przejrzeć, a sformułowania dotyczące zasady „bezpiecznej przystani” skonsultować z prawnikiem: obejmują one wyłącznie działania Twojej organizacji, a nie działania innych stron lub organów ścigania.

Gdzie umieścić plik security.txt.

Plik ten znajduje się pod stałym adresem w Twojej witrynie, dzięki czemu narzędzia i badacze mogą go znaleźć bez konieczności wyszukiwania.

  1. Pobierz plik. Zapisz go jako security.txt w formacie zwykłego tekstu z kodowaniem UTF-8.

  2. Prześlij go do katalogu /.well-known/. Umieść go pod adresem https://your-domain/.well-known/security.txt. Na niektórych serwerach folder .well-known trzeba utworzyć samodzielnie za pomocą menedżera plików lub protokołu FTP.

  3. Sprawdź adres. Otwórz plik w przeglądarce. Plik ładuje się przez protokół HTTPS jako zwykły tekst (Content-Type: text/plain), bez przekierowania do innej domeny.

  4. Zadbaj o pozostałe domeny. Plik ten dotyczy wyłącznie domeny, na której jest umieszczony. Dodaj go do każdej domeny i subdomeny, dla których chcesz otrzymywać raporty.

  5. Opublikuj politykę. Umieść politykę dotyczącą ujawniania informacji pod linkiem w wierszu „Polityka”.

  6. Ustaw przypomnienie. Zaktualizuj wiersz „Expires” przed upływem tej daty i ponownie podpisz plik, jeśli już go podpisałeś.

Zasady

Czego wymagają przepisy.

W każdym wierszu podano nazwę ustawy, normy lub wytycznej rządowej, zakres jej zastosowania oraz wymagania dotyczące polityki ujawniania informacji.

Przepisy i standardy dotyczące ujawniania luk w zabezpieczeniach, kiedy mają zastosowanie oraz jakie wymagania zawierają
Przepis prawny lub norma Kiedy ma to zastosowanie O co w tym chodzi
RFC 9116 (security.txt) Dowolna strona internetowa. Jest to dobrowolny standard internetowy. Plik tekstowy w lokalizacji /.well-known/security.txt, udostępniany przez protokół HTTPS, zawierający co najmniej jedną linię „Contact” oraz datę wygaśnięcia, najlepiej nie późniejszą niż za rok.
Unijna ustawa o cyberodporności (rozporządzenie (UE) 2024/2847) Producenci oprogramowania i produktów połączonych z internetem sprzedawanych w UE. Obowiązek składania sprawozdań zaczyna obowiązywać od 11 września 2026 r., a pozostałe wymogi – od 11 grudnia 2027 r. Skoordynowana polityka ujawniania luk w zabezpieczeniach oraz adres kontaktowy do zgłaszania takich luk (załącznik I, część II), wyznaczony w informacjach dla użytkowników pojedynczy punkt kontaktowy (załącznik II) oraz zgłaszanie do agencji ENISA w ciągu 24 godzin informacji o lukach w zabezpieczeniach, które są aktywnie wykorzystywane.
Dyrektywa NIS2 (UE) 2022/2555 Kluczowe i istotne podmioty w UE, takie jak dostawcy usług w chmurze, usług hostingowych oraz infrastruktury cyfrowej. Postępowanie z lukami w zabezpieczeniach i ich ujawnianie w ramach środków bezpieczeństwa (art. 21). Krajowe zespoły CSIRT koordynują proces ujawniania informacji między badaczami a przedsiębiorstwami (art. 12).
Brytyjski system bezpieczeństwa produktów i infrastruktury telekomunikacyjnej (PSTI) Producenci produktów konsumenckich z funkcją łączności, sprzedawanych w Wielkiej Brytanii od 29 kwietnia 2024 r. Opisana procedura zgłaszania problemów związanych z bezpieczeństwem oraz termin, w którym zgłaszający otrzymują potwierdzenie odbioru i informacje o statusie zgłoszenia.
Wiążąca dyrektywa operacyjna CISA nr 20-01, USA Federalne agencje cywilne w Stanach Zjednoczonych. Ich wzór polityki stanowi powszechnie stosowany model dla przedsiębiorstw. Opublikowana polityka określająca zakres objętych nią systemów, sposób zgłaszania incydentów, zobowiązanie do niepodejmowania działań prawnych w przypadku badań prowadzonych w dobrej wierze oraz potwierdzenie otrzymania zgłoszenia w ciągu 3 dni roboczych.
ISO/IEC 29147 i ISO/IEC 30111 Każda organizacja. Są to normy międzynarodowe, o których spełnienie często prosi się podczas audytów bezpieczeństwa. Jak przyjmować zgłoszenia i publikować komunikaty (29147) oraz jak weryfikować, usuwać i śledzić poszczególne zgłoszenia w ramach organizacji (30111).

Generator zasad dopuszczalnego użytkowania

Twoja Polityka dopuszczalnego użytkowania określa zasady obowiązujące wszystkich pozostałych użytkowników.

Generator zasad dopuszczalnego użytkowania serwisu TermsFeed zabrania przeprowadzania testów lub analizy Twojej usługi bez pisemnej zgody oraz prosi użytkowników o zgłaszanie Ci luk w zabezpieczeniach. Twoja polityka ujawniania informacji udziela takiego zezwolenia badaczom, którzy się do niej stosują.

Wygeneruj zasady dopuszczalnego użytkowania

Najczęściej zadawane pytania.

Odpowiedzi na najczęściej zadawane pytania dotyczące pliku security.txt.

Czym jest plik security.txt?

Plik security.txt to plik w formacie zwykłego tekstu, który zawiera instrukcje dla badaczy bezpieczeństwa dotyczące zgłaszania luk w zabezpieczeniach Twojej witryny internetowej.

  • Opisano go w dokumencie RFC 9116 jako standard internetowy obowiązujący od kwietnia 2022 r.
  • Znajduje się on pod adresem /.well-known/security.txt.
  • Zawiera on listę osób kontaktowych ds. bezpieczeństwa, datę wygaśnięcia oraz linki, takie jak polityka ujawniania informacji i klucz szyfrujący.

Jakie pola muszą znaleźć się w pliku security.txt?

Plik security.txt musi zawierać co najmniej jedną linię Contact i dokładnie jedną linię Expires.

  • Contact: adres e-mail (mailto:), link (https://) lub numer telefonu (tel:), w dowolnej kolejności.
  • Expires: data i godzina, po upływie których plik traci ważność.
  • Opcjonalnie: „Policy”, „Encryption”, „Acknowledgments”, „Preferred-Languages”, „Canonical” oraz „Hiring”.

Co się dzieje, gdy plik security.txt straci ważność?

Po upływie daty wygaśnięcia badacze i narzędzia traktują ten plik jako nieaktualny, a zawarte w nim dane kontaktowe jako niewiarygodne.

  • W standardzie RFC 9116 zaleca się, aby data wygaśnięcia nie wykraczała poza okres jednego roku.
  • Datę tę należy aktualizować przy każdym sprawdzaniu kontaktów.
  • Programy skanujące bezpieczeństwo często zgłaszają plik z wygasłą datą jako problem.

Czy powinienem podpisać plik security.txt?

Podpisanie jest opcjonalne. Podpis potwierdza, że plik nie został zmieniony przez kogoś innego.

  • Należy użyć podpisu OpenPGP w postaci zwykłego tekstu, np. gpg --clearsign security.txt.
  • Zachowaj wiersz „Canonical”, aby podpisany plik wskazywał na swój własny adres.
  • Po każdej zmianie podpisuj plik ponownie, uwzględniając nową datę wygaśnięcia.

Czy plik security.txt zastępuje politykę ujawniania luk w zabezpieczeniach?

Nie. Plik security.txt określa, gdzie należy zgłaszać problemy. Polityka określa, co badacze mogą testować oraz jak należy postępować w przypadku zgłoszenia.

Wiersz „Policy” w pliku zawiera link do tej polityki. Powyższy generator tworzy oba elementy.

Czy generator pliku security.txt jest darmowy?

Tak, generator pliku security.txt jest bezpłatny.

  • Generator nie wymaga zakładania konta.
  • Generator tworzy również politykę ujawniania luk w zabezpieczeniach.

Utwórz plik security.txt za pomocą powyższego generatora.