🛡️security.txt 建立

什麼是 security.txt

security.txt 是一個文字檔案，用機器和人類都能理解的格式記載：發現網站脆弱性的人應將報告提交給何處。RFC 9116 規格規定了檔案的撰寫方式和放置位置。

• Contact：必填欄位，記載接收報告的窗口。電子郵件地址格式為「mailto:security@example.com」，網路表單則為「https://」開頭的網址。
• Expires：必填欄位，記載此內容的有效期限。格式為日期和時間的組合，例如「2027-03-31T00:00:00.000Z」。

為什麼要放在 /.well-known/ 中

規格將位置統一規定在一處，讓報告者無須費力搜尋。正式的設置位置為「https://example.com/.well-known/security.txt」。

• .well-known 資料夾：用於以約定名稱放置網站相關資訊的共用資料夾。憑證簽發和應用程式整合的設定檔案也放在同一位置。

有效期限為何要在一年內

若舊的聯絡方式一直保留，報告可能無人接收而被擱置。RFC 9116 建議將有效期限設在一年以內。期限超過的 security.txt 將被視為失效。

• 期限過期時：需要先檢視內容，再輸入新期限並替換檔案。因此即使聯絡方式未改變，也需要重新設置。