Как пользоваться: Генератор security.txt
- Укажите хотя бы один Contact — email, URL формы для сообщений или номер телефона.
- Задайте дату Expires (рекомендуется не более чем через год) и при необходимости добавьте необязательные поля, например политику раскрытия и ключ PGP.
- Скачайте файл и загрузите его так, чтобы он был доступен по адресу
https://yourdomain.com/.well-known/security.txt. - Добавьте напоминание в календарь, чтобы обновить файл до истечения срока.
Что такое security.txt?
security.txt — это небольшой текстовый файл, стандартизированный как RFC 9116 в 2022 году, который сообщает исследователям безопасности, как связаться с вами, если они найдут уязвимость на вашем сайте. Без него добросовестные люди часто отказываются от попыток сообщить о проблеме или пишут на общий адрес поддержки, где сообщение теряется. По сути, это аналог robots.txt для безопасности, и всё больше государственных и корпоративных стандартов безопасности либо требуют его, либо рекомендуют.
Описание полей
| Поле | Обязательно? | Назначение |
|---|---|---|
| Contact | Да (одно или несколько) | Куда отправлять отчёты: mailto:, https: или tel:. |
| Expires | Да (ровно одно) | Когда информацию следует считать устаревшей — дата и время в формате ISO 8601. |
| Policy | Нет | Ссылка на вашу политику раскрытия уязвимостей. |
| Encryption | Нет | Ссылка на ключ PGP для зашифрованных отчётов. |
| Acknowledgments | Нет | Страница с благодарностью исследователям (доска почёта). |
| Preferred-Languages | Нет | Языки, на которых читает ваша команда, например en, de. |
| Canonical | Нет | URL самого файла; полезно, если файл подписан. |
| Hiring / CSAF | Нет | Вакансии в области безопасности / машиночитаемые уведомления о уязвимостях. |
Где разместить файл
Отдавайте его по HTTPS по адресу /.well-known/security.txt с типом содержимого text/plain. Хостинги отличаются: на большинстве серверов достаточно загрузить файл; на конструкторах сайтов может понадобиться редирект или обратный прокси, так как пользовательские файлы в /.well-known/ поддерживаются не везде. По желанию можно подписать файл PGP (подпись в открытом тексте), чтобы читатели могли проверить, что он не был изменён.
Также ищут как: rfc 9116, well-known, раскрытие уязвимостей, bug bounty, ответственное раскрытие.
Инструменты, которые хорошо сочетаются с Генератор security.txt
- Генератор llms.txt — Составьте файл llms.txt, который даёт ИИ-ассистентам структурированную карту вашего сайта в формате Markdown: название проекта, краткое описание, ключевые страницы и необязательные дополнительные материалы.
- Генератор humans.txt — Создайте humans.txt, в котором указаны команда, участники и технологии, использованные при создании вашего сайта.
- Проверка заголовков безопасности — Оцените HTTP-заголовки безопасности сайта от A+ до F, узнайте, каких не хватает и почему они важны, и скопируйте готовые фрагменты конфигурации для Nginx, Apache, Netlify, Vercel или Cloudflare.
- Генератор ads.txt — Создайте файл ads.txt, соответствующий стандарту IAB, в котором перечислены компании, имеющие право продавать ваш рекламный инвентарь.
Часто задаваемые вопросы
security.txt — официальный стандарт?
Где должен находиться файл security.txt?
https://yourdomain.com/.well-known/security.txt. Копия по адресу /security.txt допускается для совместимости со старыми системами, но стандартным местом является путь .well-known.