Brezplačno orodje

Brezplačni generator datoteke security.txt za RFC 9116

Generator ustvari datoteko security.txt v skladu s standardom RFC 9116, v kateri je navedena politika razkritja ranljivosti, na katero se sklicuje, in ki je pripravljena za naložitev na vašo spletno stran.

Ustvarite datoteko security.txt Generator pravilnika o razkritju ranljivosti
  • Kontakt
  • Potek veljavnosti
  • Politika
  • Šifriranje

Ustvarite datoteko security.txt.

Opravite 3 korake in v 4. koraku prepišite rezultate.

Povejte nam kaj več o vaši organizaciji

Stran, na kateri boste objavili pravilnik. Datoteka security.txt vsebuje povezavo do te strani.

Eno na vrstico. Če polje pustite prazno, bo to veljalo za vašo spletno stran in njene poddomene.

Izberite, kako naj ljudje poročajo

Vnesite vsaj en način prijave. Datoteka security.txt jih navaja v tem vrstnem redu.

Vaša stran programa na platformi, kot je HackerOne, Bugcrowd, Intigriti ali YesWeHack.

Manj kot leto od danes. Datoteko posodobite pred tem datumom.

Povezava do vašega javnega ključa, ki ga raziskovalci uporabljajo za šifriranje svojih poročil. Datoteka vsebuje povezavo do ključa, samega ključa pa ne vsebuje.

Določite pravila

Nagrade
Preizkusne metode, ki niso dovoljene
security.txt

Datoteka na svojem naslovu na vaši spletni strani in pregled pravilnika.

Kopirajte datoteko policy in security.txt

Preberite besedilo, preden ga objavite. Sledi vašim odgovorom zgoraj.

Vnesite ime svoje organizacije, da si ogledate svojo politiko in datoteko security.txt.

Generator sestavi besedilo na podlagi vaših odgovorov, standarda RFC 9116 in običajnih predlog za politiko razkritja, kot je na primer tista, ki jo je pripravila ameriška Agencija za kibernetsko varnost in varnost infrastrukture (CISA). To ni pravno svetovanje. Pred objavo politiko preglejte in besedilo o varnem pristanu preverite pri odvetniku: zajema namreč le dejavnosti vaše organizacije, ne pa tudi dejavnosti drugih strank ali tožilcev.

Kje shraniti datoteko security.txt.

Datoteka se nahaja na fiksnem naslovu na vaši spletni strani, tako da jo orodja in raziskovalci najdejo brez iskanja.

  1. Prenesite datoteko. Shranite jo kot security.txt v obliki navadnega besedila s kodiranjem UTF-8.

  2. Naložite jo v mapo /.well-known/. Shranite jo na naslov https://your-domain/.well-known/security.txt. Na nekaterih strežnikih morate mapo .well-known ustvariti sami, in sicer z upraviteljem datotek ali prek FTP-ja.

  3. Preverite naslov. Odprite datoteko v brskalniku. Naloži se prek protokola HTTPS kot navadno besedilo (Content-Type: text/plain), brez preusmeritve na drugo domeno.

  4. Vključite tudi svoje druge domene. Datoteka zajema le domeno, na kateri je nameščena. Dodajte jo na vsako domeno in poddomeno, za katero želite prejemati poročila.

  5. Objavite pravilnik. Pravilnik o razkritju podatkov vstavite na povezavo v vrstici »Pravilnik«.

  6. Nastavite opomnik. Pred iztekom roka posodobite vrstico »Expires« in datoteko ponovno podpišite, če ste jo že podpisali.

Pravila

Kaj zahtevajo pravila.

V vsaki vrstici je naveden zakon, standard ali vladna direktiva, kdaj se uporablja ter kaj zahteva v zvezi z vašo politiko razkritja.

Zakonodaja in standardi za razkritje ranljivosti, kdaj se posamezni uporabljajo in kaj zahtevajo
Zakon ali standard Kdaj se uporablja Kaj se zahteva
RFC 9116 (security.txt) Katera koli spletna stran. Gre za prostovoljni internetni standard. Datoteka z navadnim besedilom v mapi /.well-known/security.txt, dostopna prek protokola HTTPS, ki vsebuje vsaj eno vrstico »Contact« in datum poteka veljavnosti, po možnosti manj kot eno leto v prihodnosti.
Zakon EU o kibernetski odpornosti (Uredba (EU) 2024/2847) Proizvajalci programske opreme in povezanih izdelkov, ki se prodajajo v EU. Obveznost poročanja velja od 11. septembra 2026, ostale zahteve pa od 11. decembra 2027. Usklajena politika razkritja ranljivosti in kontaktni naslov za prijave (Priloga I, del II), ena sama kontaktna točka, navedena v informacijah za uporabnike (Priloga II), ter prijave ranljivosti, ki se aktivno izkoriščajo, agenciji ENISA v roku 24 ur.
Direktiva NIS2 (EU) 2022/2555 Ključni in pomembni subjekti v EU, kot so ponudniki storitev v oblaku, gostovanja in digitalne infrastrukture. Obravnavanje in razkritje ranljivosti kot del varnostnih ukrepov (člen 21). Nacionalni CSIRT-i usklajujejo razkritje med raziskovalci in podjetji (člen 12).
Britanski sistem za varnost izdelkov in telekomunikacijsko infrastrukturo (PSTI) Proizvajalci povezanih potrošniških izdelkov, ki se prodajajo v Združenem kraljestvu od 29. aprila 2024. Javno objavljen postopek za prijavo varnostnih težav ter rok, v katerem prijavitelji prejmejo potrditev prejema in obvestila o stanju zadeve.
Zavezujoča operativna direktiva CISA 20-01, ZDA Zvezne civilne agencije ZDA. Njena predloga politike je splošni vzorec za podjetja. Objavljena politika, ki zajema zadevne sisteme, navodila za poročanje, zavezo, da se ne bodo sprožali pravni postopki zaradi raziskav, opravljenih v dobri veri, ter potrditev prejema poročil v roku 3 delovnih dni.
ISO/IEC 29147 in ISO/IEC 30111 Katera koli organizacija. Gre za mednarodne standarde, ki se pogosto zahtevajo v okviru varnostnih pregledov. Kako prejemati poročila in objavljati obvestila (29147) ter kako potrditi, odpraviti in spremljati vsako poročilo znotraj vaše organizacije (30111).

Orodje za pripravo pravilnika o sprejemljivi rabi

Vaša politika sprejemljive rabe določa pravila za vse ostale.

Generator pravilnikov o sprejemljivi rabi TermsFeed prepoveduje preizkušanje ali testiranje vaše storitve brez pisnega dovoljenja ter uporabnike poziva, naj vam prijavijo ranljivosti. Vaš pravilnik o razkritju to dovoljenje podeljuje raziskovalcem, ki ga upoštevajo.

Ustvarjanje pravilnika o sprejemljivi rabi

Pogosta vprašanja.

Odgovori na pogosta vprašanja o datoteki security.txt.

Kaj je security.txt?

security.txt je datoteka v obliki navadnega besedila, ki varnostnim raziskovalcem navaja, kako naj prijavijo ranljivost na vaši spletni strani.

  • RFC 9116 jo opisuje kot internetni standard od aprila 2022.
  • Nahaja se na naslovu /.well-known/security.txt.
  • V njej so navedeni vaši varnostni kontakti, datum poteka veljavnosti ter povezave, kot so vaša politika razkritja in šifrirni ključ.

Katera polja morajo biti v datoteki security.txt?

Datoteka security.txt mora vsebovati vsaj eno vrstico Contact in natanko eno vrstico Expires.

  • Contact: e-poštni naslov (mailto:), povezava (https://) ali telefonska številka (tel:), v želenem vrstnem redu.
  • Expires: datum in čas, po katerem datoteka preneha veljati.
  • Neobvezno: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical in Hiring.

Kaj se zgodi, ko poteče veljavnost datoteke security.txt?

Po datumu izteka veljavnosti raziskovalci in orodja datoteko obravnavajo kot zastarelo, njene stike pa kot nezanesljive.

  • RFC 9116 priporoča datum poteka, ki je krajši od enega leta.
  • Datum posodobite vsakič, ko preverite stike.
  • Varnostni skenerji pogosto poročajo o datoteki s poteklim rokom veljavnosti kot o težavi.

Ali naj podpišem datoteko security.txt?

Podpisovanje je neobvezno. Podpis kaže, da datoteke ni spremenil nihče drug.

  • Uporabite podpis v čistem besedilu OpenPGP, na primer gpg --clearsign security.txt.
  • Ohranite vrstico »Canonical«, da podpisana datoteka navaja svoj naslov.
  • Po vsaki spremembi ponovno podpišite, vključno z novim datumom poteka veljavnosti.

Ali datoteka security.txt nadomešča politiko razkritja ranljivosti?

V datoteki security.txt je navedeno, kam je treba poslati poročilo. V pravilniku je določeno, kaj lahko raziskovalci preizkušajo in kako se ravna s poročilom.

Vrstica »Policy« v datoteki vsebuje povezavo do pravilnika. Zgornji generator napiše oboje.

Ali je generator datoteke security.txt brezplačen?

Da, generator security.txt je brezplačen.

  • Za uporabo generatorja ni potreben račun.
  • Generator napiše tudi politiko razkritja ranljivosti.

S pomočjo zgornjega generatorja ustvarite svojo datoteko security.txt.