Cookies sur AIGROW

Nous utilisons des cookies nécessaires au fonctionnement du site. Avec votre autorisation, nous utilisons aussi des cookies pour l’analyse d’audience, les enregistrements de session et l’attribution marketing.

Politique relative aux cookies

Vérificateur security.txt

Saisissez votre domaine : ce vérificateur security.txt lit le fichier à l’adresse /.well-known/security.txt, contrôle chaque ligne selon la RFC 9116 et explique chaque problème en termes simples. Vous obtenez un fichier corrigé à copier, avec une adresse de contact, une date d’expiration à moins d’un an et l’URL canonique.

Gratuit, sans compte. Dix vérifications par heure. Nous lisons uniquement le fichier security.txt et n’ouvrons aucun des liens qu’il contient.

Nous envoyons l’hôte à notre API, qui demande le fichier à votre site en HTTPS. Les réponses sont conservées pendant cinq minutes.

Un fichier security.txt indique aux chercheurs en sécurité comment vous signaler une vulnérabilité. La RFC 9116 l’exige à l’adresse /.well-known/security.txt en HTTPS, avec au moins une ligne Contact et une date Expires dans le futur. Ce vérificateur lit ce fichier, contrôle chaque champ au regard de la RFC et vous fournit un fichier corrigé à publier.

Comment utiliser cet outil de vérification

Saisissez votre domaine
Indiquez l’hôte qui sert votre site web, par exemple example.com. Un fichier security.txt ne couvre que l’hôte sur lequel il est lu : www.example.com est donc vérifié comme un hôte à part entière. Le résultat a son propre lien, que vous pouvez envoyer à la personne qui gère le site.
Lisez les résultats
Les erreurs enfreignent une règle de la RFC 9116, comme une ligne Contact manquante ou une date Expires dépassée. Les conseils portent sur ce que la RFC recommande, comme une signature ou une ligne Canonical. Chaque constat indique la ligne concernée.
Publiez le fichier corrigé
Copiez le fichier corrigé, vérifiez l’adresse de contact et enregistrez-le sous /.well-known/security.txt, servi en text/plain via HTTPS. Notez la date Expires dans votre agenda et publiez un nouveau fichier avant qu’elle ne soit dépassée.

Questions sur cet outil de vérification

Un fichier texte brut, défini par la RFC 9116, qui indique aux personnes découvrant un problème de sécurité sur votre site comment vous joindre. Il liste au moins un contact, comme une adresse e-mail ou un formulaire web, ainsi qu’une date après laquelle le fichier est considéré comme périmé.

Contact et Expires. Contact doit être une URI, par exemple mailto:security@example.com ou un lien https vers un formulaire, et il peut apparaître plusieurs fois. Expires doit apparaître une seule fois, sous la forme d’une date et d’une heure comme 2027-06-30T00:00:00Z, et la RFC recommande une date à moins d’un an.

La RFC 9116 prévoit que les sites web placent le fichier sous le chemin /.well-known/. Un fichier à la racine, en /security.txt, n’est admis que pour les anciens outils, et lorsque les deux existent, c’est celui de /.well-known/ qui doit être utilisé. Un fichier trouvé uniquement à la racine est signalé ici comme une erreur.

Il demande https://your-host/.well-known/security.txt et, seulement si ce fichier est absent, /security.txt, en suivant les redirections qui restent en HTTPS. Il n’ouvre aucune autre page et ne contacte aucune des personnes citées dans le fichier. Il contrôle la forme d’une signature OpenPGP, mais ne peut pas la vérifier sans votre clé publique.

Le règlement ne mentionne pas ce fichier. L’annexe I, partie II, point 6 demande aux fabricants de produits comportant des éléments numériques de fournir une adresse de contact pour signaler les vulnérabilités, et security.txt est un endroit public où l’indiquer. Cette page est un contrôle technique, pas un avis juridique.

Oui. L’adresse de la page contient l’hôte, comme dans ?domain=example.com : toute personne qui ouvre le lien lance la même vérification. Les réponses sont conservées cinq minutes, donc patientez quelques minutes après la publication d’un nouveau fichier avant de relancer la vérification.

Outils associés

  • Outil de vérification des en-têtes HTTP

    Inspectez chaque redirection avec l’outil de vérification des en-têtes HTTP. Examinez les notes de sécurité et les attributs des cookies, puis comparez les réponses envoyées aux navigateurs et aux robots d’exploration.

  • Vérificateur de certificat SSL

    Utilisez ce vérificateur de certificat SSL pour examiner le certificat présenté par un site et sa chaîne de confiance. Vérifiez la prise en charge de TLS et la politique HTTPS, puis enregistrez un rappel avant l’expiration.

  • Vérificateur d’usurpation d’e-mail

    Saisissez votre domaine : ce vérificateur d’usurpation d’e-mail vous indique si quelqu’un peut envoyer des messages prétendant venir de vous. Il lit vos enregistrements DMARC, SPF et DKIM, explique chacun d’eux en termes simples et vous donne les enregistrements exacts à publier.

Vous voulez que le fichier et la politique soient rédigés pour vous ?

Le kit Cyber Resilience Act comprend un fichier security.txt, la politique de divulgation des vulnérabilités vers laquelle il renvoie et la procédure de signalement sous 24 heures, chaque obligation étant rattachée à son article.

Découvrir le kit Cyber Resilience ActLancer le scan gratuit de visibilité dans l’IA