Comment ajouter un fichier security.txt
En bref : créez un fichier texte brut à l’adresse /.well-known/security.txt avec au moins une ligne Contact: (une adresse e-mail ou un formulaire web) et une date Expires: à moins d’un an. Servez-le en HTTPS. Il indique aux personnes qui trouvent un problème de sécurité sur votre site comment vous joindre.
Étapes rapides
- Rédigez le fichier. Ajoutez Contact et Expires, et éventuellement des lignes Preferred-Languages, Canonical et Policy.
- Publiez-le. Placez-le à /.well-known/security.txt sur votre site HTTPS.
- Vérifiez-le. Récupérez-le avec curl et confirmez qu’il s’agit de texte brut.
- Renouvelez-le. Mettez à jour la date Expires avant qu’elle soit dépassée.
Le code et la configuration restent en anglais.
1. Rédigez le fichier
Contact: mailto:security@yourdomain.com
Expires: 2027-10-31T00:00:00Z
Preferred-Languages: en
Canonical: https://yourdomain.com/.well-known/security.txt
Policy: https://yourdomain.com/securityContactetExpiressont obligatoires. Vous pouvez indiquer plusieurs lignes Contact.Expiresutilise le format de date ISO 8601. La RFC 9116 recommande une date à moins d’un an.Policyrenvoie à votre page de divulgation responsable, si vous en avez une.
2. Publiez-le
Envoyez-le dans .well-known/security.txt à la racine de votre site (créez le dossier .well-known si besoin). Sous WordPress, envoyez-le avec le gestionnaire de fichiers de votre hébergeur ou en SFTP. Avec nginx, vous pouvez aussi pointer vers un fichier situé ailleurs :
location = /.well-known/security.txt {
alias /etc/nginx/security.txt;
default_type text/plain;
}3. Vérifiez-le
curl -si https://yourdomain.com/.well-known/security.txt | head -n 12Vous devez voir le statut 200 et Content-Type: text/plain. Voici le security.txt de HackGrade à titre d’exemple.
4. Gardez-le valide
Un fichier expiré doit être considéré comme périmé : programmez un rappel un mois avant la date Expires. Utilisez une boîte partagée pour Contact plutôt qu’une adresse personnelle.
Questions fréquentes
security.txt est-il obligatoire légalement ?
Non. C’est une norme volontaire (RFC 9116), mais il rend bien plus probable qu’un problème vous soit signalé plutôt que rendu public.
security.txt va-t-il attirer les attaquants ?
Non. Il ne contient que des coordonnées. Utilisez une adresse partagée, pas une adresse personnelle.
Faut-il aussi en mettre une copie à /security.txt ?
L’emplacement standard est /.well-known/security.txt. Une redirection depuis /security.txt est facultative.