Pliki cookie w AIGROW

Używamy niezbędnych plików cookie, aby strona działała. Za Twoją zgodą korzystamy też z plików cookie do analityki, nagrań sesji i atrybucji marketingowej.

Polityka plików cookie

Walidator security.txt

Wpisz swoją domenę, a ten walidator security.txt odczyta plik spod adresu /.well-known/security.txt, sprawdzi każdą linię pod kątem RFC 9116 i prostym językiem wyjaśni każdy problem. Dostaniesz poprawiony plik do skopiowania, z adresem kontaktowym, datą wygaśnięcia odległą o mniej niż rok i kanonicznym adresem URL.

Bezpłatnie, bez konta. Dziesięć sprawdzeń na godzinę. Czytamy wyłącznie plik security.txt i nie otwieramy niczego, do czego prowadzą jego linki.

Wysyłamy nazwę hosta do naszego API, które pobiera plik z Twojej witryny przez HTTPS. Odpowiedzi przechowujemy przez pięć minut.

Plik security.txt mówi badaczom bezpieczeństwa, jak zgłosić ci podatność. RFC 9116 wymaga, by był dostępny pod adresem /.well-known/security.txt przez HTTPS, z co najmniej jedną linią Contact i jedną datą Expires w przyszłości. Ten walidator odczytuje plik, sprawdza każde pole zgodnie z RFC i podaje poprawiony plik do opublikowania.

Jak korzystać z tego narzędzia

Wpisz swoją domenę
Wpisz host, który obsługuje twoją stronę, na przykład example.com. Plik security.txt obejmuje tylko ten host, z którego jest odczytywany, dlatego www.example.com jest sprawdzany jako osobny host. Wynik ma własny link, więc możesz go przesłać osobie, która zarządza stroną.
Przeczytaj wyniki
Błędy oznaczają naruszenie reguły z RFC 9116, na przykład brak linii Contact albo datę Expires z przeszłości. Wskazówki dotyczą tego, co zaleca RFC, na przykład podpisu lub linii Canonical. Każdy wynik wskazuje linię, której dotyczy.
Opublikuj poprawiony plik
Skopiuj poprawiony plik, sprawdź adres kontaktowy i zapisz go jako /.well-known/security.txt, udostępniany jako text/plain przez HTTPS. Wpisz datę Expires do kalendarza i opublikuj nowy plik, zanim ta data minie.

Pytania o to narzędzie

To zwykły plik tekstowy, zdefiniowany w RFC 9116, który mówi osobom znajdującym problem z bezpieczeństwem na twojej stronie, jak się z tobą skontaktować. Zawiera co najmniej jeden kontakt, na przykład adres e-mail lub formularz internetowy, oraz datę, po której plik uznaje się za nieaktualny.

Contact i Expires. Contact musi być adresem URI, na przykład mailto:security@example.com albo linkiem https do formularza, i może występować więcej niż raz. Expires musi wystąpić raz, jako data i godzina, na przykład 2027-06-30T00:00:00Z, a RFC zaleca datę odległą o mniej niż rok.

RFC 9116 mówi, że strony muszą umieszczać plik pod ścieżką /.well-known/. Plik w głównym katalogu, pod adresem /security.txt, jest dozwolony tylko dla starszych narzędzi, a gdy istnieją oba, należy użyć tego z /.well-known/. Plik znaleziony wyłącznie w głównym katalogu jest tutaj zgłaszany jako błąd.

Wysyła zapytanie o https://your-host/.well-known/security.txt i tylko wtedy, gdy go brakuje, o /security.txt, podążając za przekierowaniami, które pozostają na HTTPS. Nie otwiera żadnej innej strony i nie kontaktuje się z nikim wymienionym w pliku. Sprawdza kształt podpisu OpenPGP, ale bez twojego klucza publicznego nie może go zweryfikować.

Rozporządzenie nie wymienia tego pliku. Załącznik I, część II, pkt 6 wymaga od producentów produktów z elementami cyfrowymi podania adresu kontaktowego do zgłaszania podatności, a security.txt to jedno z publicznych miejsc, w których można go umieścić. Ta strona to kontrola techniczna, a nie porada prawna.

Tak. Adres strony zawiera host, jak w ?domain=example.com, więc każdy, kto otworzy link, uruchomi to samo sprawdzenie. Odpowiedzi są przechowywane przez pięć minut, więc po opublikowaniu nowego pliku odczekaj kilka minut, zanim sprawdzisz ponownie.

Powiązane narzędzia

  • Tester nagłówków HTTP

    Sprawdź nagłówki na każdym etapie przekierowania. Oceń zabezpieczenia i atrybuty ciasteczek, a potem porównaj odpowiedzi dla przeglądarki i robota.

  • Sprawdzanie certyfikatu SSL

    Sprawdź certyfikat SSL używany przez stronę i jego łańcuch. Oceń obsługę TLS i zasady HTTPS, a potem zapisz przypomnienie o wygaśnięciu.

  • Sprawdzanie podszywania się pod e-mail

    Wpisz swoją domenę, a to narzędzie do sprawdzania podszywania się pod e-mail pokaże, czy ktokolwiek może wysłać wiadomość podającą się za Twoją. Odczytuje Twoje rekordy DMARC, SPF i DKIM, wyjaśnia każdy z nich prostym językiem i podaje dokładne rekordy do opublikowania.

Chcesz, żebyśmy napisali plik i politykę za ciebie?

Zestaw do aktu o cyberodporności zawiera plik security.txt, politykę ujawniania podatności, do której prowadzi, oraz procedurę zgłoszeń w ciągu 24 godzin, a każdy obowiązek jest opatrzony odwołaniem do właściwego artykułu.

Zobacz zestaw do aktu o cyberodpornościUruchom bezpłatny skan widoczności AI