security.txt生成ツール
連絡先と有効期限を入れると、security.txtの内容がすぐに作られます。
入力した文章やファイルはサーバーに送らず、このブラウザー内だけで処理します。
完成したファイルを https://自分のドメイン/.well-known/security.txt に置いてください。必要ならOpenPGPで署名してもかまいません。
使い方
- 「連絡先」に、セキュリティ報告を受け付けるメールアドレスや報告フォームのURLを1行に1つずつ入れます。先に書いたものが優先の連絡先になります。
- 「有効期限」は初期状態で約1年後に設定されています。期限が切れると信頼されなくなるので、更新日をカレンダーに入れておきましょう。
- 必要に応じて暗号鍵・報告ポリシー・謝辞ページのURLを入れます。いずれもhttpsのURLにしてください。
- 「ダウンロード」でsecurity.txtを保存し、サイトの /.well-known/ ディレクトリにアップロードします。
よくある質問
security.txtは必ず置く必要がありますか？
法的な義務ではありませんが、脆弱性を見つけた人が連絡先を見つけられずに公開してしまう事態を減らせます。官公庁や大企業のサイト、バグバウンティを実施している組織で広く使われています。
メールアドレスを公開すると迷惑メールが来ませんか？
届く可能性はあります。報告専用のアドレス(security@)を別に用意するか、メールの代わりに報告フォームのURLをContactに書く方法があります。
サイトのルートに置いてもいいですか？
RFC 9116では /.well-known/security.txt が正式な場所です。古いツールのために、ルート(/security.txt)からそちらへリダイレクトしておくのもよい方法です。