🛡️إنشاء security.txt

ما هو security.txt

security.txt هو ملف نصي يوضح لمن وجد ثغرة أمنية في موقع ويب أين يجب عليه الإبلاغ عنها بطريقة يمكن للآلات والأشخاص قراءتها. تحدد معايير RFC 9116 طريقة الكتابة والموقع.

• Contact：حقل مطلوب يوضح نقطة استقبال الإبلاغات، حيث يتم كتابة عناوين البريد الإلكتروني بصيغة "mailto:security@example.com" وعناوين نماذج الويب بصيغة عناوين URL التي تبدأ بـ "https://".
• Expires：حقل مطلوب يوضح مدة صلاحية هذا المحتوى، مكتوب بصيغة التاريخ والوقت مثل "2027-03-31T00:00:00.000Z".

لماذا يتم وضعه في /.well-known/

لتجنب الحاجة إلى البحث عن الموقع، حددت المعايير مكاناً واحداً. موقع التثبيت الرسمي هو "https://example.com/.well-known/security.txt".

• مجلد .well-known：مجلد مشترك لوضع معلومات متعلقة بالموقع بأسماء محددة، حيث توضع ملفات إصدار الشهادة وتكوين تكامل التطبيقات في نفس الموقع.

سبب تحديد صلاحية Expires لمدة سنة واحدة أو أقل

إذا ظلت جهات الاتصال القديمة موجودة، قد لا يتم استقبال الإبلاغات. توصي معايير RFC 9116 بتحديد صلاحية مدتها سنة واحدة أو أقل، وتُعتبر ملفات security.txt منتهية الصلاحية باطلة.

• عند انتهاء الصلاحية：بعد مراجعة المحتوى، يتم استبدال الملف بملف جديد بتاريخ انتهاء صلاحية جديد، لذا يجب إعادة التثبيت حتى لو لم تتغير جهات الاتصال.