Como usar: Gerador de security.txt
- Informe pelo menos um Contato — um e-mail, a URL de um formulário de reporte ou um número de telefone.
- Defina uma data em Expires (recomendamos menos de um ano à frente) e adicione campos opcionais, como sua política de divulgação e sua chave PGP.
- Baixe o arquivo e envie-o para que seja servido em
https://seudominio.com.br/.well-known/security.txt. - Crie um lembrete na sua agenda para atualizar o arquivo antes que ele expire.
O que é o security.txt?
security.txt é um pequeno arquivo de texto simples, padronizado como RFC 9116 em 2022, que indica aos pesquisadores de segurança como entrar em contato com você ao encontrarem uma vulnerabilidade no seu site. Sem ele, quem encontra o problema muitas vezes desiste ou acaba enviando o relato para um endereço genérico de suporte, onde a mensagem se perde. É o equivalente de segurança do robots.txt — e já é exigido ou recomendado por um número crescente de diretrizes de segurança de governos e empresas.
Campos explicados
| Campo | Obrigatório? | Finalidade |
|---|---|---|
| Contact | Sim (um ou mais) | Para onde enviar os relatos: mailto:, https: ou tel:. |
| Expires | Sim (exatamente um) | Quando as informações devem ser consideradas desatualizadas — data e hora no formato ISO 8601. |
| Policy | Não | Link para sua política de divulgação de vulnerabilidades. |
| Encryption | Não | Link para uma chave PGP, para relatos criptografados. |
| Acknowledgments | Não | Página de agradecimento aos pesquisadores (hall da fama). |
| Preferred-Languages | Não | Idiomas que sua equipe lê, por exemplo pt, en. |
| Canonical | Não | A(s) própria(s) URL(s) do arquivo, útil quando ele é assinado. |
| Hiring / CSAF | Não | Vagas de segurança / avisos de segurança em formato legível por máquina. |
Onde colocar o arquivo
Sirva-o via HTTPS em /.well-known/security.txt com o tipo de conteúdo text/plain. As plataformas de hospedagem variam: na maioria dos servidores basta enviar o arquivo; em construtores de sites hospedados, pode ser necessário um redirecionamento ou um proxy reverso, porque arquivos personalizados em /.well-known/ nem sempre são suportados. Opcionalmente, assine o arquivo com PGP (assinatura em texto claro) para que os leitores possam verificar que ele não foi adulterado.
Também pesquisado como: security.txt, rfc 9116, well-known, divulgação de vulnerabilidades, bug bounty, divulgação responsável.
Ferramentas que combinam com: Gerador de security.txt
- Gerador de llms.txt — Escreva um arquivo llms.txt que oferece aos assistentes de IA um mapa curado do seu site em Markdown — nome do projeto, resumo, páginas principais e extras opcionais — seguindo a proposta do llmstxt.org.
- Gerador de humans.txt — Crie um humans.txt que dá crédito à equipe, aos colaboradores e às tecnologias por trás do seu site.
- Verificador de Headers de Segurança — Dê uma nota de A+ a F aos headers de segurança HTTP de um site, veja quais estão faltando e por que eles importam, e copie trechos de configuração prontos para Nginx, Apache, Netlify, Vercel ou Cloudflare.
- Gerador de ads.txt — Monte um ads.txt em conformidade com o IAB, que lista quem pode vender o seu inventário de anúncios, com presets para as principais redes de anúncios.
Perguntas frequentes
O security.txt é um padrão oficial?
Onde o security.txt deve ficar?
https://seudominio.com.br/.well-known/security.txt. Uma cópia em /security.txt é aceita por compatibilidade com versões anteriores, mas o caminho .well-known é o local padrão.