Comment utiliser : Générateur security.txt
- Saisissez au moins un Contact : une adresse e-mail, l’URL d’un formulaire de signalement ou un numéro de téléphone.
- Définissez une date d’Expires (il est recommandé de ne pas dépasser un an) et ajoutez si besoin des champs facultatifs comme votre politique de divulgation ou votre clé PGP.
- Téléchargez le fichier et mettez-le en ligne afin qu’il soit accessible à l’adresse
https://votredomaine.fr/.well-known/security.txt. - Ajoutez un rappel dans votre agenda pour le mettre à jour avant son expiration.
Qu’est-ce que security.txt ?
security.txt est un petit fichier texte brut, normalisé sous le nom RFC 9116 en 2022, qui indique aux chercheurs en sécurité comment vous contacter lorsqu’ils découvrent une vulnérabilité sur votre site. En l’absence de ce fichier, les personnes bien intentionnées renoncent souvent ou écrivent à une adresse générique du support, où le signalement risque de se perdre. C’est l’équivalent sécurité de robots.txt : de plus en plus de référentiels de sécurité publics et d’entreprise l’exigent ou le recommandent.
Description des champs
| Champ | Obligatoire ? | Rôle |
|---|---|---|
| Contact | Oui (un ou plusieurs) | Destination des signalements : mailto:, https: ou tel:. |
| Expires | Oui (exactement un) | Date à partir de laquelle les informations sont considérées comme périmées — date-heure au format ISO 8601. |
| Policy | Non | Lien vers votre politique de divulgation des vulnérabilités. |
| Encryption | Non | Lien vers une clé PGP pour les signalements chiffrés. |
| Acknowledgments | Non | Page de remerciements aux chercheurs (tableau d’honneur). |
| Preferred-Languages | Non | Langues lues par votre équipe, par exemple fr, en. |
| Canonical | Non | URL propre du fichier, utile lorsqu’il est signé. |
| Hiring / CSAF | Non | Offres d’emploi en sécurité / avis lisibles par machine. |
Où placer le fichier
Servez-le en HTTPS à l’adresse /.well-known/security.txt avec le type de contenu text/plain. Les plateformes d’hébergement diffèrent : sur la plupart des serveurs, il suffit de téléverser le fichier ; sur les constructeurs de sites hébergés, il peut être nécessaire de configurer une redirection ou un reverse proxy, car les fichiers personnalisés dans /.well-known/ ne sont pas toujours pris en charge. Vous pouvez aussi signer le fichier avec PGP (signature en clair) afin que les lecteurs puissent vérifier qu’il n’a pas été altéré.
Aussi recherché comme : security.txt, rfc 9116, well-known, divulgation de vulnérabilités, programme de bug bounty, divulgation responsable.
Outils complémentaires : Générateur security.txt
- Générateur llms.txt — Rédigez un fichier llms.txt qui offre aux assistants IA une carte Markdown sélectionnée de votre site : nom du projet, résumé, pages clés et éléments facultatifs, conformément à la proposition llmstxt.org.
- Générateur humans.txt — Créez un humans.txt qui crédite l’équipe, les contributeurs et les technologies utilisés pour réaliser votre site.
- Vérificateur d’en-têtes de sécurité — Évaluez les en-têtes HTTP de sécurité d’un site, de A+ à F, repérez ceux qui manquent et comprenez pourquoi ils comptent.
- Générateur ads.txt — Créez un ads.txt conforme à l’IAB, qui indique les acteurs autorisés à vendre votre inventaire publicitaire, avec des préréglages pour les principales régies.
Questions fréquentes
security.txt est-il un standard officiel ?
Où doit se trouver le fichier security.txt ?
https://votredomaine.fr/.well-known/security.txt. Une copie à /security.txt est tolérée pour des raisons de compatibilité, mais le chemin .well-known est l’emplacement standard.