🛡️สร้าง security.txt

security.txt คืออะไร

security.txt เป็นไฟล์ข้อความที่บอกให้ผู้ที่พบช่องโหว่ในเว็บไซต์ทราบว่าควรรายงานไปที่ไหน ให้ทั้งคนและเครื่องอ่านได้ RFC 9116 เป็นมาตรฐานที่กำหนดวิธีการเขียนและตำแหน่งวาง

• Contact：ฟิลด์ที่ต้องระบุช่องทางรับรายงาน สำหรับอีเมลเขียนเป็น "mailto:security@example.com" และสำหรับแบบฟอร์มเขียนเป็น URL ที่ขึ้นต้นด้วย https://
• Expires：ฟิลด์ที่ต้องระบุว่าเนื้อหานี้ใช้ได้นานแค่ไหน เขียนเป็นรูปแบบรวมวันที่และเวลา เช่น "2027-03-31T00:00:00.000Z"

เหตุใดจึงวางใน /.well-known/

เพื่อให้ผู้ที่ต้องการรายงานไม่ต้องค้นหาตำแหน่ง มาตรฐานจึงกำหนดตำแหน่งเดียว ตำแหน่งติดตั้งอย่างเป็นทางการคือ https://example.com/.well-known/security.txt

• โฟลเดอร์ .well-known：โฟลเดอร์ใช้งานร่วมกันสำหรับเก็บข้อมูลเกี่ยวกับไซต์ด้วยชื่อคงที่ ไฟล์การออกใบรับรองและการตั้งค่าการเชื่อมต่อแอปก็วางไว้ที่เดียวกัน

เหตุใดให้ Expires อยู่ภายใน 1 ปี

เพื่อป้องกันข้อมูลติดต่อเก่าที่ยังคงเก็บไว้ และการรายงานอาจไม่ส่งถึงกันและจึงถูกปล่อยทิ้ง RFC 9116 แนะนำให้กำหนดวันหมดอายุภายใน 1 ปี security.txt ที่หมดอายุจะถือว่าไม่ถูกต้อง

• เมื่อหมดอายุแล้ว：ต้องตรวจสอบเนื้อหาอีกครั้ง จากนั้นแทนที่ด้วยไฟล์ใหม่ที่มีวันหมดอายุล่าสุด ดังนั้นแม้ว่าข้อมูลติดต่อจะไม่เปลี่ยน ต้องติดตั้งใหม่