Umiestnenie súboru security.txt na vašu webovú stránku
Ak niekto nájde na vašej webovej stránke bezpečnostnú chybu, napríklad otvorený priečinok alebo zastaraný plugin, je dobré, aby vás mohol upozorniť. Na to slúži security.txt: malý textový súbor na pevnom mieste vašej webovej stránky s adresou, na ktorú sa takéto hlásenia majú posielať. Je definovaný v internetovom štandarde RFC 9116. Tu sa dozviete, čo v ňom má byť a ako ho umiestniť.
Umiestnenie
Súbor sa nachádza na adrese https://example.com/.well-known/security.txt. Pôvodné umiestnenie /security.txt v hlavnom priečinku môžete použiť navyše, ak je však súbor na oboch miestach, platí ten v /.well-known/. Musí byť dostupný cez https a odosielaný ako čistý text (text/plain).
Súbor platí len pre názov, na ktorom sa nachádza. Súbor security.txt na example.com teda automaticky neplatí pre shop.example.com. Ak má subdoména vlastnú webovú stránku, umiestnite security.txt aj tam.
Čo v ňom je
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Pole | Povinné? | Význam |
|---|---|---|
Contact | Áno | Kam sa hlásenia posielajú: adresa mailto:, číslo tel: alebo webová stránka začínajúca na https://. Môžete ich uviesť viac pod sebou, prvý je váš preferovaný. |
Expires | Áno, presne raz | Dátum a čas, po ktorom sa súbor považuje za zastaraný, napríklad 2027-10-31T23:00:00Z. Štandard odporúča dátum, ktorý je menej ako rok vopred. |
Preferred-Languages | Nie | Jazyky, v ktorých chcete hlásenia dostávať. |
Canonical | Nie | Adresa samotného súboru. |
Policy | Nie | Odkaz na stránku s vašimi pravidlami pre hlásenia: čo s hlásením urobíte a čo od nahlasovateľa očakávate. |
Encryption | Nie | Odkaz na váš verejný kľúč, ak vám nahlasovatelia môžu posielať šifrované e-maily. |
Pri Contact použite adresu, ktorú niekto naozaj číta. Zabudnutá schránka je horšia ako žiadny security.txt: nahlasovateľ si myslí, že o probléme už viete. Podpísanie digitálnym podpisom (OpenPGP) je možné, ale nie povinné.
Umiestnenie na hostingovom balíku
- V DirectAdmin otvorte Správca súborov a prejdite do
domains/example.com/public_html. Pozrite si Otvorenie Správcu súborov: priečinky vo vašom balíku. - Ak priečinok
.well-knownešte neexistuje, vytvorte ho. Priečinky, ktoré začínajú bodkou, uvidíte až po zobrazení skrytých súborov: pozrite si Zobrazenie a úprava skrytých súborov, ako je .htaccess. - V tomto priečinku vytvorte nový súbor
security.txt, vložte doň svoje riadky a uložte ho. - Otvorte v prehliadači
https://example.com/.well-known/security.txt. Mali by ste vidieť svoj text.
Ak používate WordPress alebo iný CMS, nič sa nemení: súbor, ktorý skutočne existuje, webový server jednoducho odošle.
Umiestnenie na VPS
Na VPS umiestnite súbor do webového priečinka vašej stránky, napríklad /var/www/example.com/.well-known/security.txt. Dajte pozor na dve veci:
- Ak v nginx blokujete všetky cesty začínajúce bodkou, najprv pridajte výnimku pre
/.well-known/. - Ak beží aplikácia za reverse proxy, nastavte v Caddy alebo nginx, aby cesta smerovala na súbor.
Pozrite si Caddy: webová stránka s automatickým https a nginx s certifikátom od Let's Encrypt.
Kontrola
Hlavičky si zobrazíte pomocou:
curl -sI https://example.com/.well-known/security.txt
Stav by mal byť 200 a typ text/plain. Častá chyba: stránka, ktorá na každú neznámu adresu odpovie úvodnou stránkou. Vtedy sa zdá, že súbor existuje, ale vráti sa HTML. Skontrolujte preto aj obsah. Test webových stránok na internet.nl kontroluje aj security.txt.
Každoročná aktualizácia
Nastavte si v kalendári pripomienku s dostatočným predstihom pred dátumom v Expires. Vtedy skontrolujte, či je kontaktná adresa stále správna, a dátum posuňte. Ak sa medzitým niečo zmení, napríklad nová adresa alebo odchod niektorého z kolegov, upravte súbor hneď.
Ďalšie čítanie
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (v angličtine)
- securitytxt.org, s nástrojom na vytvorenie súboru (v angličtine)
Chcete sa dozvedieť viac? Absolvujte bezplatný kurz Správa VPS a linuxových serverov, lekciu 7.4 Caddy, HSTS a security.txt alebo lekciu 10.4 Záverečná kontrola: váš server pod drobnohľadom.