איך מוסיפים קובץ security.txt
בקצרה: צרו קובץ טקסט פשוט ב־/.well-known/security.txt עם לפחות שורת Contact: (דוא״ל או טופס אינטרנט) ותאריך Expires: פחות משנה קדימה. הגישו אותו ב־HTTPS. הוא אומר לאנשים שמוצאים בעיית אבטחה באתר שלכם איך ליצור איתכם קשר.
שלבים בקצרה
- כתבו את הקובץ. הוסיפו Contact ו־Expires, ואם תרצו גם שורות Preferred-Languages, Canonical ו־Policy.
- פרסמו אותו. שימו אותו ב־/.well-known/security.txt באתר ה־HTTPS שלכם.
- בדקו אותו. הורידו אותו עם curl וודאו שזה טקסט פשוט.
- חדשו אותו. עדכנו את תאריך ה־Expires לפני שהוא עובר.
הקוד וההגדרות נשארים באנגלית.
1. כתבו את הקובץ
Contact: mailto:security@yourdomain.com
Expires: 2027-10-31T00:00:00Z
Preferred-Languages: en
Canonical: https://yourdomain.com/.well-known/security.txt
Policy: https://yourdomain.com/securityContactו־Expiresהם שדות חובה. אפשר לרשום כמה שורות Contact.Expiresמשתמש בפורמט התאריך ISO 8601. RFC 9116 ממליץ על פחות משנה קדימה.Policyמקשר לדף הגילוי האחראי שלכם, אם יש לכם כזה.
2. פרסמו אותו
העלו אותו ל־.well-known/security.txt בתוך תיקיית האתר (צרו את התיקייה .well-known אם צריך). בוורדפרס, העלו אותו עם מנהל הקבצים של ספק האחסון או ב־SFTP. ב־nginx אפשר גם להצביע על קובץ במקום אחר:
location = /.well-known/security.txt {
alias /etc/nginx/security.txt;
default_type text/plain;
}3. בדקו אותו
curl -si https://yourdomain.com/.well-known/security.txt | head -n 12אתם אמורים לראות סטטוס 200 ו־Content-Type: text/plain. הנה קובץ ה־security.txt של HackGrade כדוגמה.
4. שמרו שיישאר תקף
קובץ שפג תוקפו צריך להיחשב מיושן, אז קבעו תזכורת ביומן חודש לפני תאריך ה־Expires. השתמשו בתיבת דוא״ל משותפת ל־Contact ולא בכתובת אישית.
שאלות נפוצות
האם security.txt נדרש לפי חוק?
לא. זה תקן וולונטרי (RFC 9116), אבל הוא מגדיל מאוד את הסיכוי שבעיה תדווח לכם ולא תפורסם.
האם security.txt ימשוך תוקפים?
לא. הוא מכיל רק פרטי קשר. השתמשו בכתובת משותפת, לא אישית.
לשים עותק גם ב־/security.txt?
המיקום התקני הוא /.well-known/security.txt. הפניה מ־/security.txt היא אופציונלית.