🛡️security.txt 创建

什么是 security.txt

security.txt 是一个文本文件，用于告知发现网站脆弱性的人应该向何处报告，格式使得机器和人都可以读取。RFC 9116 规格规定了文件的书写方式和放置位置。

• Contact：必填字段，用于写入接收报告的窗口。电子邮件地址格式为「mailto:security@example.com」，网页表单格式为以「https://」开头的 URL。
• Expires：必填字段，用于写入内容的有效期限，格式为「2027-03-31T00:00:00.000Z」的日期和时间组合形式。

为什么要放在 /.well-known/ 目录

为了让想要报告的人无需查找放置位置，规格规定了统一的位置。正式的部署位置为「https://example.com/.well-known/security.txt」。

• .well-known 目录：用于放置与网站相关信息的共用目录，使用规定的名称。证书颁发和应用集成的配置文件也放在同一位置。

Expires 在一年内的原因

如果保留过期的联系方式，报告可能会无响应而被搁置。RFC 9116 建议将有效期限设定在一年以内，过期的 security.txt 将被视为无效。

• 期限到期时：需要审查内容后用新的期限替换文件，即使联系方式未变也需要重新部署。