🛡️יצירת security.txt

מהו security.txt

security.txt הוא קובץ טקסט שמפרט לאן לדווח על חולשות באתר, בפורמט הקריא למכונה ולאדם. RFC 9116 קובע את הפורמט וחלון ההצבה.

• Contact：שדה חובה המפרט את חלון הקבלת הדוחות. כתובת דוא״ל משתמשת בפורמט "mailto:security@example.com", וטופס אינטרנט משתמש בכתובת אתר המתחילה ב-"https://".
• Expires：שדה חובה המציין עד מתי התוכן חל, בפורמט "2027-03-31T00:00:00.000Z" (תאריך ושעה בשילוב).

מדוע להצביע ב-/.well-known/

ההוצאה קובעת מיקום יחיד כך שמישהו המעוניין לדווח לא צריך לחפש. מיקום התקנה רשמי: "https://example.com/.well-known/security.txt".

• תיקייה .well-known：תיקייה משותפת להצבה של מידע על האתר בשמות מוסכמים. קבצי הגדרה לאישור תעודה וחיבור יישומים משתמשים באותה תיקייה.

מדוע Expires חייב להיות בתוך שנה

אם פרטי קשר ישנים נשארים, הדוחות עלולים להישאר ללא טיפול. RFC 9116 ממליץ על תוקף של שנה אחת או פחות, ו-security.txt שפקע נחשב לבלתי חל.

• כאשר התוקף פקע：בדקו את התוכן מחדש, הזינו תאריך תפוגה חדש והחליפו את הקובץ. יש להתקין מחדש גם אם פרטי הקשר לא השתנו.