Cookies no AIGROW

Utilizamos cookies necessários para fazer o site funcionar. Com a sua autorização, utilizamos também cookies para análise, gravações de sessão e atribuição de marketing.

Política de cookies

Verificador de security.txt

Introduza o seu domínio e este verificador de security.txt lê o ficheiro em /.well-known/security.txt, verifica cada linha segundo a RFC 9116 e explica cada problema em linguagem simples. Recebe um ficheiro corrigido para copiar, com um endereço de contacto, uma data de expiração a menos de um ano e o URL canónico.

Gratuito, sem conta. Dez verificações por hora. Lemos apenas o ficheiro security.txt e não abrimos nada para que ele aponte.

Enviamos o host para a nossa API, que pede o ficheiro ao seu site por HTTPS. As respostas são guardadas durante cinco minutos.

Um ficheiro security.txt indica aos investigadores de segurança como lhe comunicar uma vulnerabilidade. A RFC 9116 exige-o em /.well-known/security.txt através de HTTPS, com pelo menos uma linha Contact e uma data Expires no futuro. Este verificador lê esse ficheiro, confere cada campo com a RFC e entrega-lhe um ficheiro corrigido para publicar.

Como usar esta ferramenta de verificação

Introduza o seu domínio
Escreva o host que serve o seu site, por exemplo example.com. Um ficheiro security.txt abrange apenas o host a partir do qual é lido, por isso www.example.com é verificado como um host à parte. O resultado tem uma ligação própria, para a poder enviar a quem gere o site.
Leia os resultados
Os erros violam uma regra da RFC 9116, como uma linha Contact em falta ou uma data Expires no passado. Os conselhos abrangem o que a RFC recomenda, como uma assinatura ou uma linha Canonical. Cada resultado indica a linha a que se refere.
Publique o ficheiro corrigido
Copie o ficheiro corrigido, confirme o endereço de contacto e guarde-o como /.well-known/security.txt, servido como text/plain através de HTTPS. Marque a data Expires no calendário e publique um novo ficheiro antes de ela passar.

Perguntas sobre esta ferramenta de verificação

Um ficheiro de texto simples, definido na RFC 9116, que indica a quem encontra um problema de segurança no seu site como o contactar. Lista pelo menos um contacto, como um endereço de email ou um formulário web, e uma data a partir da qual o ficheiro é considerado desatualizado.

Contact e Expires. O Contact tem de ser um URI, como mailto:security@example.com ou uma ligação https para um formulário, e pode aparecer mais do que uma vez. O Expires tem de aparecer uma só vez, como data e hora, por exemplo 2027-06-30T00:00:00Z, e a RFC recomenda uma data a menos de um ano.

A RFC 9116 determina que os sites devem colocar o ficheiro no caminho /.well-known/. Um ficheiro em /security.txt, na raiz, só é permitido por causa de ferramentas mais antigas, e quando existem os dois deve usar-se o de /.well-known/. Um ficheiro encontrado apenas na raiz é aqui assinalado como erro.

Pede https://your-host/.well-known/security.txt e, só se este não existir, /security.txt, seguindo redirecionamentos que se mantenham em HTTPS. Não abre nenhuma outra página nem contacta ninguém indicado no ficheiro. Verifica a estrutura de uma assinatura OpenPGP, mas não a consegue validar sem a sua chave pública.

O Regulamento não menciona o ficheiro. O anexo I, parte II, ponto 6, exige que os fabricantes de produtos com elementos digitais indiquem um endereço de contacto para a comunicação de vulnerabilidades, e o security.txt é um local público para o fazer. Esta página é uma verificação técnica, não aconselhamento jurídico.

Sim. O endereço da página inclui o host, como em ?domain=example.com, por isso quem abrir a ligação executa a mesma verificação. As respostas são guardadas durante cinco minutos, por isso aguarde alguns minutos depois de publicar um novo ficheiro antes de voltar a verificar.

Ferramentas relacionadas

  • Verificador de cabeçalhos HTTP

    Inspecione cada redirecionamento com o verificador de cabeçalhos HTTP. Reveja as classificações de segurança e os atributos dos cookies. Depois, compare as respostas enviadas aos navegadores e aos rastreadores.

  • Verificador de certificados SSL

    Use este verificador para analisar um certificado SSL ativo e a sua cadeia. Consulte o suporte a TLS e a política HTTPS e guarde um lembrete da data de validade.

  • Verificador de falsificação de email

    Introduza o seu domínio e este verificador de falsificação de email indica-lhe se alguém pode enviar email que aparenta vir de si. Lê os seus registos DMARC, SPF e DKIM, explica cada um em linguagem simples e mostra os registos exatos a publicar.

Quer o ficheiro e a política redigidos por nós?

O kit do Cyber Resilience Act inclui um ficheiro security.txt, a política de divulgação de vulnerabilidades para a qual remete e o procedimento de comunicação em 24 horas, com cada obrigação associada ao respetivo artigo.

Ver o kit do Cyber Resilience ActFaça a análise gratuita de visibilidade em IA