🛡️ایجاد security.txt

security.txt چیست

security.txt یک فایل متنی است که به صورتی قابل‌درک برای ماشین و انسان نشان می‌دهد که افرادی که آسیب‌پذیری‌های وب‌سایت را کشف کرده‌اند باید کجا گزارش دهند. استاندارد RFC 9116 نحوه نوشتن و محل قرارگیری را تعیین می‌کند.

• Contact：فیلد ضروری است که کانال دریافت گزارش را مشخص می‌کند. برای آدرس ایمیل از شکل «mailto:security@example.com» و برای فرم وب از URL شروع شده با «https://» استفاده کنید.
• Expires：فیلد ضروری است که نشان می‌دهد این محتوا تا چه زمانی معتبر است. از قالبی مانند «2027-03-31T00:00:00.000Z» استفاده کنید که تاریخ و زمان را ترکیب می‌کند.

چرا در /.well-known/ قرار می‌گیرد

استاندارد محل را به یک جای واحد محدود کرده است تا افراد درخواست‌کننده نیازی به جستجو برای یافتن محل نداشته باشند. محل نصب رسمی «https://example.com/.well-known/security.txt» است.

• .well-known پوشه：پوشه‌ای مشترک برای قرارگیری اطلاعات در باره وب‌سایت با نام‌های تعریف‌شده است. فایل‌های تنظیمات برای صدور گواهینامه و ادغام برنامه نیز در همان محل قرار می‌گیرند.

دلیل محدود کردن Expires به کمتر از یک سال

اگر اطلاعات تماسی قدیمی برای مدت طولانی باقی بماند، گزارش‌ها ممکن است بی‌پاسخ رهاگذاشته شوند. RFC 9116 توصیه می‌کند که تاریخ انقضا در کمتر از یک سال باشد و security.txt منقضی‌شده به عنوان غیر معتبر در نظر گرفته می‌شود.

• هنگام انقضای تاریخ：بعد از بررسی محتوا، باید با فایل جدیدی که تاریخ انقضای نوی دارد جایگزین شود. حتی اگر نشانی تماس تغیر نکرده باشد، باید دوباره نصب شود.