Ferramenta gratuita

Gerador gratuito de ficheiros security.txt para a norma RFC 9116

O gerador cria o ficheiro security.txt em conformidade com a norma RFC 9116, incluindo a política de divulgação de vulnerabilidades para a qual remete, pronto a ser carregado no seu site.

Crie o seu ficheiro security.txt Gerador de políticas de divulgação de vulnerabilidades
  • Contacto
  • Vence
  • Política
  • Encriptação

Crie o seu ficheiro security.txt.

Siga os 3 passos e copie os resultados no passo 4.

Fale-nos sobre a sua organização

A página onde irá publicar a política. O ficheiro security.txt contém um link para essa página.

Um por linha. Deixe em branco para incluir o seu site e os seus subdomínios.

Escolha a forma como as pessoas apresentam os relatórios

Indique pelo menos uma forma de comunicar. O ficheiro security.txt apresenta-as por esta ordem.

A página do seu programa numa plataforma como a HackerOne, a Bugcrowd, a Intigriti ou a YesWeHack.

Faltam menos de um ano a partir de hoje. Atualize o ficheiro antes desta data.

Um link para a sua chave pública, que os investigadores utilizam para encriptar os seus relatórios. O ficheiro contém um link para a chave, mas não a armazena.

Estabelecer as regras

Recompensas
Métodos de ensaio não permitidos
security.txt

O ficheiro na sua localização no seu site e um resumo da política.

Copie o seu ficheiro policy e o ficheiro security.txt

Revê o texto antes de o publicares. Encontra-se a seguir às tuas respostas acima.

Introduza o nome da sua organização para ver a sua política e o ficheiro security.txt.

O gerador elabora texto com base nas suas respostas, na norma RFC 9116 e em modelos comuns de políticas de divulgação, como o da Agência de Cibersegurança e Segurança das Infraestruturas dos EUA (CISA). Não se trata de aconselhamento jurídico. Analise a política antes de a publicar e verifique a formulação da cláusula de isenção de responsabilidade com um advogado: esta abrange apenas as ações da sua organização, não as de outras partes ou de autoridades judiciais.

Onde colocar o ficheiro security.txt.

O ficheiro fica num endereço fixo no seu site, pelo que as ferramentas e os investigadores o encontram sem precisarem de o procurar.

  1. Descarregue o ficheiro. Guarde-o com o nome security.txt, em texto simples com codificação UTF-8.

  2. Carregue-o para /.well-known/. Coloque-o em https://your-domain/.well-known/security.txt. Em alguns servidores, terá de criar a pasta .well-known manualmente, através do seu gestor de ficheiros ou por FTP.

  3. Verifique o endereço. Abra o ficheiro num navegador. É carregado através de HTTPS como texto simples (Content-Type: text/plain), sem redirecionamento para outro domínio.

  4. Inclua os seus outros domínios. O ficheiro abrange apenas o domínio que o hospeda. Adicione-o a cada domínio e subdomínio sobre o qual pretenda obter relatórios.

  5. Publique a política. Coloque a política de divulgação na ligação indicada na linha «Política».

  6. Defina um lembrete. Atualize a linha «Expira em» antes que a data termine e volte a assinar o ficheiro, caso já o tenha assinado.

As regras

O que as regras exigem.

Cada linha indica uma lei, uma norma ou uma diretiva governamental, quando aplicável, e o que esta exige da vossa política de divulgação.

Leis e normas relativas à divulgação de vulnerabilidades, em que casos se aplicam e o que exigem
Lei ou norma Quando se aplica O que pede
RFC 9116 (security.txt) Qualquer site. Trata-se de uma norma voluntária da Internet. Um ficheiro de texto simples em /.well-known/security.txt, disponibilizado através de HTTPS, com, pelo menos, uma linha «Contact» e uma data de validade («Expires»), de preferência com menos de um ano de antecedência.
Lei da UE sobre a Resiliência Cibernética (Regulamento (UE) n.º 2024/2847) Fabricantes de software e de produtos conectados vendidos na UE. A obrigação de comunicação entra em vigor a partir de 11 de setembro de 2026; os restantes requisitos, a partir de 11 de dezembro de 2027. Uma política coordenada de divulgação de vulnerabilidades e um endereço de contacto para a apresentação de relatórios (Anexo I, Parte II), um ponto de contacto único indicado nas informações do utilizador (Anexo II) e a comunicação à ENISA, no prazo de 24 horas, de vulnerabilidades que estejam a ser exploradas ativamente.
Diretiva NIS2 (UE) 2022/2555 Entidades essenciais e importantes na UE, tais como prestadores de serviços na nuvem, de alojamento e de infraestruturas digitais. Gestão e divulgação de vulnerabilidades no âmbito das medidas de segurança (artigo 21.º). Os CSIRT nacionais coordenam a divulgação entre investigadores e empresas (artigo 12.º).
Regime de Segurança dos Produtos e Infraestruturas de Telecomunicações (PSTI) do Reino Unido Fabricantes de produtos de consumo conectáveis vendidos no Reino Unido, desde 29 de abril de 2024. Um procedimento oficial para comunicar problemas de segurança e o prazo dentro do qual os autores das comunicações recebem uma confirmação de receção e atualizações sobre o estado do processo.
Diretiva Operacional Vinculativa 20-01 da CISA, EUA Agências civis federais dos EUA. O seu modelo de política serve de referência para as empresas. Uma política publicada que inclua os sistemas abrangidos, as modalidades de comunicação de problemas, o compromisso de não intentar ações judiciais contra investigações realizadas de boa-fé e o compromisso de acusar a receção das comunicações no prazo de 3 dias úteis.
ISO/IEC 29147 e ISO/IEC 30111 Qualquer organização. Trata-se de normas internacionais, frequentemente exigidas nas avaliações de segurança. Como receber relatórios e publicar avisos (29147), e como confirmar, resolver e acompanhar cada relatório dentro da sua organização (30111).

Gerador de Políticas de Utilização Aceitável

A vossa Política de Utilização Aceitável estabelece as regras para todos os outros.

O Gerador de Políticas de Utilização Aceitável da TermsFeed proíbe a realização de testes ou análises ao seu serviço sem autorização por escrito e solicita aos utilizadores que lhe comuniquem quaisquer vulnerabilidades. A sua política de divulgação concede essa autorização aos investigadores que a respeitem.

Gerar Política de Utilização Aceitável

Perguntas frequentes.

Respostas a perguntas frequentes sobre o ficheiro security.txt.

O que é o security.txt?

O security.txt é um ficheiro de texto simples que indica aos investigadores de segurança como comunicar uma vulnerabilidade no seu site.

  • A RFC 9116 descreve-o como um padrão da Internet desde abril de 2022.
  • Encontra-se em /.well-known/security.txt.
  • Este ficheiro lista os seus contactos de segurança, uma data de validade e links para, por exemplo, a sua política de divulgação e a chave de encriptação.

Que campos são necessários no ficheiro security.txt?

Um ficheiro security.txt precisa de, pelo menos, uma linha Contact e exatamente uma linha Expires.

  • Contact: um endereço de e-mail (mailto:), um link (https://) ou um número de telefone (tel:), na ordem que preferir.
  • Expires: a data e a hora a partir das quais o ficheiro fica desatualizado.
  • Opcional: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical e Hiring.

O que acontece quando o ficheiro security.txt expira?

Após a data de validade, os investigadores e as ferramentas consideram o ficheiro desatualizado e os seus contactos como não fiáveis.

  • A RFC 9116 recomenda que a data de validade seja inferior a um ano.
  • Atualize a data sempre que verificar os contactos.
  • Os scanners de segurança costumam sinalizar um ficheiro expirado como um problema.

Devo assinar o meu ficheiro security.txt?

A assinatura é opcional. Uma assinatura indica que o ficheiro não foi alterado por outra pessoa.

  • Utilize uma assinatura OpenPGP em texto simples, como por exemplo: gpg --clearsign security.txt.
  • Mantenha a linha «Canonical», para que o ficheiro assinado indique o seu próprio endereço.
  • Assine novamente após cada alteração, incluindo a nova data de validade.

O ficheiro security.txt substitui uma política de divulgação de vulnerabilidades?

Não. O ficheiro security.txt indica onde se deve apresentar uma notificação. A política define o que os investigadores estão autorizados a testar e o que se deve fazer com uma notificação.

A linha «Policy» do ficheiro contém um link para a política. O gerador acima cria ambos.

O gerador de ficheiros security.txt é gratuito?

Sim, o gerador de security.txt é gratuito.

  • O gerador não requer a criação de uma conta.
  • O gerador também cria a política de divulgação de vulnerabilidades.

Crie o seu ficheiro security.txt com o gerador acima.