Gratis verktyg

Gratis generator för security.txt enligt RFC 9116

Generatorn skapar filen security.txt enligt RFC 9116, med den policy för offentliggörande av sårbarheter som den länkar till, redo att laddas upp till din webbplats.

Skapa din security.txt-fil Generator för policy för offentliggörande av sårbarheter
  • Kontakt
  • Giltighetstid
  • Policy
  • Kryptering

Skapa din security.txt-fil.

Följ de tre stegen och kopiera resultaten i steg 4.

Berätta om er organisation

Sidan där du publicerar policyn. Filen security.txt länkar till den.

En per rad. Lämna fältet tomt om du vill inkludera din webbplats och dess underdomäner.

Välj hur användarna ska rapportera

Ange minst ett sätt att rapportera på. Filen security.txt listar dem i denna ordning.

Er programsida på en plattform som HackerOne, Bugcrowd, Intigriti eller YesWeHack.

Mindre än ett år från och med idag. Uppdatera filen innan detta datum.

En länk till din publika nyckel, som forskarna använder för att kryptera sina rapporter. Filen innehåller en länk till nyckeln, men lagrar inte själva nyckeln.

Fastställ reglerna

Belöningar
Testmetoder som inte är tillåtna
security.txt

Filen finns på sin adress på er webbplats, och här får ni en översikt över policyn.

Kopiera din policy och filen security.txt

Läs igenom texten innan du publicerar den. Den följer efter dina svar ovan.

Ange namnet på din organisation för att se din policy och filen security.txt.

Generatorn skapar text utifrån dina svar, RFC 9116 och vanliga mallar för informationspolicyer, till exempel den från den amerikanska myndigheten för cybersäkerhet och infrastruktursäkerhet (CISA). Detta utgör inte juridisk rådgivning. Granska policyn innan du publicerar den och kontrollera formuleringen av safe harbor-klausulen med en jurist: den täcker endast vad din organisation gör, inte vad andra parter eller åklagare gör.

Var ska du placera din security.txt-fil?

Filen placeras på en fast adress på din webbplats, så att verktyg och forskare kan hitta den utan att behöva söka efter den.

  1. Ladda ner filen. Spara den som security.txt, i ren text med UTF-8-kodning.

  2. Ladda upp den till /.well-known/. Placera den på https://your-domain/.well-known/security.txt. Hos vissa webbhotell måste du själv skapa mappen .well-known med hjälp av din filhanterare eller via FTP.

  3. Kontrollera adressen. Öppna filen i en webbläsare. Den laddas via HTTPS som ren text (Content-Type: text/plain), utan omdirigering till en annan domän.

  4. Se till att den gäller även dina övriga domäner. Filen gäller endast den domän där den är placerad. Lägg till den på varje domän och underdomän som du vill ha rapporter om.

  5. Publicera riktlinjen. Lägg upp informationsriktlinjen via länken i raden ”Riktlinjer”.

  6. Ställ in en påminnelse. Uppdatera raden ”Expires” innan datumet löper ut och signera filen på nytt om du redan har signerat den.

Reglerna

Vad reglerna kräver.

I varje rad anges en lag, en standard eller ett myndighetsdirektiv, när det är tillämpligt, samt vilka krav det ställer på er informationspolicy.

Lagar och standarder för rapportering av sårbarheter, när de är tillämpliga och vad de kräver
Lag eller standard När det gäller Vad frågan handlar om
RFC 9116 (security.txt) Vilken webbplats som helst. Det är en frivillig internetstandard. En vanlig textfil i katalogen /.well-known/security.txt, som tillhandahålls via HTTPS, med minst en rad med kontaktuppgifter och ett utgångsdatum, helst mindre än ett år framåt i tiden.
EU:s lag om cyberresiliens (förordning (EU) 2024/2847) Tillverkare av programvara och uppkopplade produkter som säljs inom EU. Rapporteringsskyldigheten gäller från och med den 11 september 2026, medan övriga krav gäller från och med den 11 december 2027. En samordnad policy för rapportering av sårbarheter och en kontaktadress för anmälningar (bilaga I, del II), en enda kontaktperson som anges i användarinformationen (bilaga II) samt anmälningar till ENISA om sårbarheter som aktivt utnyttjas inom 24 timmar.
NIS2-direktivet (EU) 2022/2555 Viktiga och betydelsefulla aktörer inom EU, såsom leverantörer av molntjänster, webbhotell och digital infrastruktur. Hantering och offentliggörande av sårbarheter som en del av säkerhetsåtgärderna (artikel 21). Nationella CSIRT-enheter samordnar informationsutbytet mellan forskare och företag (artikel 12).
Det brittiska systemet för produktsäkerhet och telekommunikationsinfrastruktur (PSTI) Tillverkare av uppkopplingsbara konsumentprodukter som säljs i Storbritannien sedan den 29 april 2024. Ett offentliggjort förfarande för att rapportera säkerhetsproblem, samt inom vilken tid den som rapporterar får en bekräftelse och statusuppdateringar.
CISA:s bindande operativa direktiv 20-01, USA Amerikanska federala civila myndigheter. Dess policymall utgör en vanlig förebild för företag. En offentliggjord policy som anger vilka system som omfattas, hur man anmäler, ett åtagande att inte vidta rättsliga åtgärder mot forskning som bedrivs i god tro samt ett bekräftelsemeddelande om mottagna anmälningar inom tre arbetsdagar.
ISO/IEC 29147 och ISO/IEC 30111 Vilken organisation som helst. Det är internationella standarder som ofta efterfrågas vid säkerhetsgranskningar. Hur man tar emot rapporter och publicerar varningar (29147), samt hur man bekräftar, åtgärdar och följer upp varje rapport inom organisationen (30111).

Verktyg för att skapa riktlinjer för godtagbar användning

Er policy för godtagbar användning fastställer reglerna för alla andra.

TermsFeeds verktyg för att skapa riktlinjer för godtagbar användning förbjuder sondering eller testning av din tjänst utan skriftligt tillstånd och uppmanar användare att rapportera sårbarheter till dig. Din policy för informationsdelning ger detta tillstånd till forskare som följer den.

Skapa riktlinjer för godtagbar användning

Vanliga frågor.

Svar på vanliga frågor om security.txt.

Vad är security.txt?

security.txt är en vanlig textfil som beskriver för säkerhetsforskare hur de ska rapportera en sårbarhet på din webbplats.

  • RFC 9116 beskriver den som en internetstandard sedan april 2022.
  • Den finns på /.well-known/security.txt.
  • Den innehåller en lista över dina säkerhetskontakter, ett utgångsdatum samt länkar till exempelvis din policy för informationsdelning och krypteringsnyckel.

Vilka fält måste finnas i security.txt?

En security.txt-fil måste innehålla minst en rad med ”Contact” och exakt en rad med ”Expires”.

  • Contact: en e-postadress (mailto:), en länk (https://) eller ett telefonnummer (tel:), i den ordning du föredrar.
  • Expires: datum och tidpunkt efter vilken filen anses vara inaktuell.
  • Valfritt: Policy, Encryption, Acknowledgments, Preferred-Languages, Canonical och Hiring.

Vad händer när security.txt löper ut?

Efter utgångsdatumet betraktar forskare och verktyg filen som inaktuell och dess kontaktuppgifter som opålitliga.

  • RFC 9116 rekommenderar ett utgångsdatum som ligger mindre än ett år framåt i tiden.
  • Uppdatera datumet varje gång du kontrollerar kontakterna.
  • Säkerhetsskannrar rapporterar ofta en fil vars giltighetstid har gått ut som ett problem.

Bör jag signera min security.txt-fil?

Det är valfritt att signera. En signatur visar att filen inte har ändrats av någon annan.

  • Använd en OpenPGP-signatur i klartext, till exempel gpg --clearsign security.txt.
  • Behåll Canonical-raden, så att den signerade filen anger sin egen adress.
  • Skriv under igen efter varje ändring, inklusive det nya utgångsdatumet.

Ersätter security.txt en policy för rapportering av säkerhetsbrister?

Nej. I filen security.txt anges vart man ska rapportera. I policyn anges vad forskare får testa och hur man ska hantera en rapport.

Raden ”Policy” i filen länkar till policyn. Generatorn ovan skriver ut båda.

Är security.txt-generatorn gratis?

Ja, security.txt-generatorn är gratis.

  • Generatorn kräver inget konto.
  • Generatorn skriver även policyn för rapportering av sårbarheter.

Skapa din security.txt-fil med generatorn ovan.