Cách dùng Công cụ tạo security.txt
- Nhập ít nhất một Contact — email, đường dẫn tới biểu mẫu báo cáo hoặc số điện thoại.
- Đặt ngày Expires (nên cách hiện tại dưới một năm) và thêm các trường tùy chọn như chính sách công bố lỗ hổng hoặc khóa PGP.
- Tải file xuống và tải lên sao cho có thể truy cập tại
https://yourdomain.com/.well-known/security.txt. - Đặt nhắc nhở trong lịch để cập nhật file trước khi hết hạn.
security.txt là gì?
security.txt là một file văn bản thuần túy nhỏ, được chuẩn hóa thành RFC 9116 vào năm 2022, cho biết nhà nghiên cứu bảo mật nên liên hệ bạn bằng cách nào khi phát hiện lỗ hổng trên website. Nếu không có file này, người thiện chí thường bỏ cuộc hoặc gửi email vào địa chỉ hỗ trợ chung và báo cáo dễ bị thất lạc. Đây có thể xem là phiên bản dành cho bảo mật của robots.txt, và ngày càng nhiều hướng dẫn bảo mật của cơ quan nhà nước và doanh nghiệp yêu cầu hoặc khuyến nghị sử dụng.
Giải thích các trường
| Trường | Bắt buộc? | Mục đích |
|---|---|---|
| Contact | Có (một hoặc nhiều) | Nơi gửi báo cáo: mailto:, https: hoặc tel:. |
| Expires | Có (đúng một) | Thời điểm thông tin được coi là lỗi thời, theo định dạng ngày giờ ISO 8601. |
| Policy | Không | Liên kết tới chính sách công bố lỗ hổng của bạn. |
| Encryption | Không | Liên kết tới khóa PGP để nhận báo cáo được mã hóa. |
| Acknowledgments | Không | Trang ghi nhận và cảm ơn nhà nghiên cứu (bảng vinh danh). |
| Preferred-Languages | Không | Các ngôn ngữ đội ngũ của bạn đọc được, ví dụ en, de. |
| Canonical | Không | URL chính thức của chính file này, hữu ích khi file được ký số. |
| Hiring / CSAF | Không | Tin tuyển dụng bảo mật / cảnh báo bảo mật ở định dạng máy đọc được. |
Đặt file ở đâu
Phục vụ file qua HTTPS tại /.well-known/security.txt với kiểu nội dung text/plain. Mỗi nền tảng lưu trữ có cách làm khác nhau: trên hầu hết máy chủ, bạn chỉ cần tải file lên; trên các trình tạo website có sẵn, bạn có thể cần chuyển hướng hoặc reverse proxy vì không phải nền tảng nào cũng hỗ trợ file tùy chỉnh trong /.well-known/. Ngoài ra, bạn có thể ký file bằng PGP (chữ ký dạng cleartext) để người đọc xác minh file chưa bị chỉnh sửa.
Cũng được tìm dưới tên: tạo security.txt, file security.txt, rfc 9116, well-known security.txt, bug bounty, công bố lỗ hổng có trách nhiệm.
Các công cụ dùng kèm tốt với Công cụ tạo security.txt
- Trình tạo llms.txt — Viết file llms.txt để cung cấp cho trợ lý AI một bản đồ Markdown được chọn lọc về website của bạn, gồm tên dự án, phần tóm tắt, các trang quan trọng và phần bổ sung tùy chọn, theo đề xuất llmstxt.org.
- Trình tạo humans.txt — Tạo humans.txt để ghi nhận đội ngũ, cộng tác viên và công nghệ đứng sau website của bạn.
- Kiểm tra Security Headers — Chấm điểm security headers HTTP của website từ A+ đến F, xem header nào đang thiếu và vì sao chúng quan trọng, rồi sao chép đoạn cấu hình sẵn cho Nginx, Apache, Netlify, Vercel hoặc Cloudflare.
- Trình tạo ads.txt — Tạo tệp ads.txt tuân thủ IAB, liệt kê những đơn vị được phép bán kho quảng cáo của bạn, kèm preset cho các mạng quảng cáo phổ biến.
Câu hỏi thường gặp
security.txt có phải là tiêu chuẩn chính thức không?
File security.txt nên đặt ở đâu?
https://yourdomain.com/.well-known/security.txt. Bản sao tại /security.txt vẫn được chấp nhận để tương thích với hệ thống cũ, nhưng đường dẫn .well-known là vị trí tiêu chuẩn.