Como adicionar um arquivo security.txt
Resposta curta: crie um arquivo de texto simples em /.well-known/security.txt com pelo menos uma linha Contact: (um e-mail ou formulário web) e uma data Expires: a menos de um ano. Sirva-o por HTTPS. Ele diz a quem encontra um problema de segurança no seu site como falar com você.
Passos rápidos
- Escreva o arquivo. Adicione Contact e Expires, e se quiser linhas Preferred-Languages, Canonical e Policy.
- Publique. Coloque-o em /.well-known/security.txt no seu site HTTPS.
- Confira. Baixe-o com curl e confirme que é texto simples.
- Renove. Atualize a data Expires antes que ela passe.
O código e a configuração ficam em inglês.
1. Escreva o arquivo
Contact: mailto:security@yourdomain.com
Expires: 2027-10-31T00:00:00Z
Preferred-Languages: en
Canonical: https://yourdomain.com/.well-known/security.txt
Policy: https://yourdomain.com/securityContacteExpiressão obrigatórios. Você pode listar várias linhas Contact.Expiresusa o formato de data ISO 8601. A RFC 9116 recomenda menos de um ano à frente.Policyaponta para a sua página de divulgação responsável, se você tiver uma.
2. Publique
Envie-o para .well-known/security.txt dentro da pasta pública do site (crie a pasta .well-known se precisar). No WordPress, envie pelo gerenciador de arquivos da hospedagem ou por SFTP. No nginx, você também pode apontar para um arquivo em outro lugar:
location = /.well-known/security.txt {
alias /etc/nginx/security.txt;
default_type text/plain;
}3. Confira
curl -si https://yourdomain.com/.well-known/security.txt | head -n 12Você deve ver o status 200 e Content-Type: text/plain. Veja o security.txt do próprio HackGrade como exemplo.
4. Mantenha válido
Um arquivo vencido deve ser tratado como desatualizado, então crie um lembrete na agenda um mês antes da data Expires. Use uma caixa de e-mail compartilhada no Contact em vez de um endereço pessoal.
Perguntas frequentes
O security.txt é obrigatório por lei?
Não. É um padrão voluntário (RFC 9116), mas aumenta muito a chance de um problema ser relatado a você em vez de publicado.
O security.txt vai atrair atacantes?
Não. Ele só contém dados de contato. Use um endereço compartilhado, não um pessoal.
Devo colocar uma cópia também em /security.txt?
O local padrão é /.well-known/security.txt. Um redirecionamento de /security.txt é opcional.