Bezplatný nástroj

Bezplatný generátor súborov security.txt podľa RFC 9116

Generátor vytvorí súbor security.txt v súlade s RFC 9116, ktorý obsahuje odkaz na zásady zverejňovania zraniteľností, a ktorý je pripravený na nahratie na vašu webovú stránku.

Vytvorte si súbor security.txt Generátor zásad zverejňovania zraniteľností
  • Kontakt
  • Platnosť končí
  • Politika
  • Šifrovanie

Vytvorte si súbor security.txt.

Vykonajte 3 kroky a výsledky skopírujte v kroku 4.

Povedzte nám niečo o vašej organizácii

Stránka, na ktorej zverejníte zásady. Súbor security.txt na ňu odkazuje.

Jeden na riadok. Ak necháte riadok prázdny, bude sa to vzťahovať na vašu webovú stránku a jej subdomény.

Vyberte si, ako budú ľudia podávať hlásenia

Uveďte aspoň jeden spôsob nahlásenia. Súbor security.txt ich uvádza v tomto poradí.

Vaša stránka programu na platforme, ako je HackerOne, Bugcrowd, Intigriti alebo YesWeHack.

Menej ako rok od dnešného dňa. Aktualizujte súbor ešte pred týmto dátumom.

Odkaz na váš verejný kľúč, ktorý výskumníci používajú na šifrovanie svojich správ. Súbor obsahuje odkaz na kľúč, ale samotný kľúč v ňom nie je uložený.

Nastavte pravidlá

Odmeny
Nepovolené skúšobné metódy
security.txt

Súbor na príslušnej adrese na vašej webovej stránke a prehľad zásad.

Skopírujte súbor policy a security.txt

Pred zverejnením si text prečítajte. Nachádza sa pod vašimi odpoveďami uvedenými vyššie.

Zadajte názov vašej organizácie, aby ste si mohli prezrieť svoje zásady a súbor security.txt.

Generátor vytvára text na základe vašich odpovedí, normy RFC 9116 a bežných šablón zásad zverejňovania informácií, ako je napríklad šablóna od americkej Agentúry pre kyberbezpečnosť a bezpečnosť infraštruktúry (CISA). Nejedná sa o právne poradenstvo. Pred zverejnením si zásady preštudujte a formuláciu týkajúcu sa „safe harbor“ si nechajte skontrolovať právnikom: vzťahuje sa iba na činnosť vašej organizácie, nie na konanie iných strán alebo prokurátorov.

Kam umiestniť súbor security.txt.

Súbor sa umiestňuje na pevnú adresu na vašej webovej stránke, takže nástroje a výskumníci ho nájdu bez toho, aby ho museli hľadať.

  1. Stiahnite si súbor. Uložte ho pod názvom security.txt vo formáte čistého textu s kódovaním UTF-8.

  2. Nahrajte ho do adresára /.well-known/. Umiestnite ho na adresu https://your-domain/.well-known/security.txt. Na niektorých hostiteľoch si adresár .well-known musíte vytvoriť sami pomocou správcu súborov alebo cez FTP.

  3. Skontrolujte adresu. Otvorte súbor v prehliadači. Načíta sa cez HTTPS ako obyčajný text (Content-Type: text/plain), bez presmerovania na inú doménu.

  4. Zahrňte aj svoje ostatné domény. Tento súbor sa vzťahuje iba na doménu, na ktorej je umiestnený. Pridajte ho do každej domény a subdomény, o ktorých chcete dostávať správy.

  5. Zverejnite zásady. Umiestnite zásady o zverejňovaní informácií na odkaz v riadku „Zásady“.

  6. Nastavte si pripomienku. Pred uplynutím platnosti aktualizujte riadok „Expires“ a ak ste súbor podpísali, podpíšte ho znovu.

Pravidlá

Čo sa vyžaduje podľa pravidiel.

V každom riadku je uvedený názov zákona, normy alebo vládnej smernice, jej platnosť a požiadavky, ktoré kladie na vašu politiku zverejňovania informácií.

Zákony a normy týkajúce sa zverejňovania zraniteľností, kedy sa ktoré uplatňujú a čo vyžadujú
Zákon alebo norma Kedy sa to uplatňuje Čo sa v ňom požaduje
RFC 9116 (security.txt) Akákoľvek webová stránka. Ide o dobrovoľný internetový štandard. Textový súbor v adresári /.well-known/security.txt, sprístupnený cez protokol HTTPS, obsahujúci aspoň jeden riadok „Contact“ a dátum vypršania platnosti („Expires“), ideálne v horizonte kratšom ako jeden rok.
Zákon EÚ o kybernetickej odolnosti (nariadenie (EÚ) 2024/2847) Výrobcovia softvéru a prepojených výrobkov predávaných v EÚ. Povinnosť podávať správy platí od 11. septembra 2026, ostatné požiadavky od 11. decembra 2027. Koordinovaná politika zverejňovania zraniteľností a kontaktná adresa na podávanie hlásení (príloha I, časť II), jediná kontaktná osoba uvedená v informáciách pre používateľov (príloha II) a hlásenia o aktívne zneužívaných zraniteľnostiach agentúre ENISA do 24 hodín.
Smernica NIS2 (EÚ) 2022/2555 Kľúčové a dôležité subjekty v EÚ, ako sú poskytovatelia cloudových služieb, hostingových služieb a digitálnej infraštruktúry. Riešenie a zverejňovanie zraniteľností ako súčasť bezpečnostných opatrení (článok 21). Národné tímy CSIRT koordinujú zverejňovanie informácií medzi výskumníkmi a spoločnosťami (článok 12).
Systém zabezpečenia produktov a telekomunikačnej infraštruktúry (PSTI) vo Veľkej Británii Výrobcovia spotrebných výrobkov s možnosťou pripojenia, ktoré sa predávajú vo Veľkej Británii, od 29. apríla 2024. Zverejnený postup na hlásenie bezpečnostných problémov a lehota, v rámci ktorej hlásitelia dostanú potvrdenie o prijatí a informácie o stave riešenia.
Záväzná prevádzková smernica CISA č. 20-01, USA Federálne civilné agentúry USA. Šablóna ich politiky slúži ako bežný vzor pre firmy. Zverejnená smernica, v ktorej sú uvedené príslušné systémy, postup podávania hlásení, záväzok nepodniknúť právne kroky v prípade výskumu vykonávaného v dobrej viere a potvrdenie prijatia hlásenia do 3 pracovných dní.
ISO/IEC 29147 a ISO/IEC 30111 Akákoľvek organizácia. Ide o medzinárodné normy, ktoré sa často vyžadujú pri bezpečnostných kontrolách. Ako prijímať hlásenia a zverejňovať upozornenia (29147) a ako potvrdzovať, riešiť a sledovať každé hlásenie vo vašej organizácii (30111).

Generátor zásad prijateľného používania

Vaše zásady prijateľného používania stanovujú pravidlá pre všetkých ostatných.

Generátor zásad prijateľného používania TermsFeed zakazuje skúmanie alebo testovanie vašej služby bez písomného povolenia a žiada používateľov, aby vám nahlásili zistené zraniteľnosti. Vaše zásady zverejňovania udeľujú toto povolenie výskumníkom, ktorí sa nimi riadia.

Vytvoriť zásady prijateľného používania

Najčastejšie kladené otázky.

Odpovede na bežné otázky týkajúce sa súboru security.txt.

Čo je súbor security.txt?

security.txt je súbor v podobe obyčajného textu, ktorý výskumníkom v oblasti bezpečnosti vysvetľuje, ako nahlásiť zraniteľnosť na vašej webovej stránke.

  • RFC 9116 ho opisuje ako internetový štandard platný od apríla 2022.
  • Nachádza sa na adrese /.well-known/security.txt.
  • Obsahuje zoznam vašich kontaktných osôb pre otázky bezpečnosti, dátum platnosti a odkazy, napríklad na vaše zásady zverejňovania a šifrovací kľúč.

Ktoré polia musí obsahovať súbor security.txt?

Súbor security.txt musí obsahovať aspoň 1 riadok Contact a presne 1 riadok Expires.

  • Contact: e-mail (mailto:), odkaz (https://) alebo telefónne číslo (tel:), v poradí podľa vášho výberu.
  • Expires: dátum a čas, po ktorom bude súbor neplatný.
  • Voliteľné: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical a Hiring.

Čo sa stane, keď vyprší platnosť súboru security.txt?

Po uplynutí dátumu platnosti (Expires) výskumníci a nástroje považujú súbor za neaktuálny a jeho kontakty za nedôveryhodné.

  • RFC 9116 odporúča, aby dátum vypršania platnosti nepresahoval jeden rok.
  • Dátum aktualizujte pri každej kontrole kontaktov.
  • Bezpečnostné skenery často hlásia súbor s uplynutou platnosťou ako problém.

Mám podpísať svoj súbor security.txt?

Podpisovanie je voliteľné. Podpis potvrdzuje, že súbor nebol zmenený nikým iným.

  • Použite podpis v čitateľnom texte pomocou OpenPGP, napríklad gpg --clearsign security.txt.
  • Zachovajte riadok „Canonical“, aby podpísaný súbor uvádzal svoju vlastnú adresu.
  • Po každej zmene súbor znovu podpíšte, vrátane nového dátumu vypršania platnosti.

Nahrádza súbor security.txt zásady o zverejňovaní zraniteľností?

V súbore security.txt je uvedené, kam sa má nahlásiť problém. V zásadách je uvedené, čo môžu výskumníci testovať a ako sa má nahlásenie riešiť.

Riadok „Policy“ v súbore obsahuje odkaz na smernicu. Vyššie uvedený generátor vypíše oboje.

Je generátor súboru security.txt zadarmo?

Áno, generátor súboru security.txt je zadarmo.

  • Generátor nevyžaduje žiadny účet.
  • Generátor vytvorí aj zásady zverejňovania zraniteľností.

Vytvorte si súbor security.txt pomocou vyššie uvedeného generátora.