security.txt在线生成器
填写联系方式和过期时间，立即生成security.txt内容。
输入的文字和文件不会发送到服务器，只在本浏览器中处理。
把生成的文件放到 https://你的域名/.well-known/security.txt。如有需要，也可以用OpenPGP签名。
使用方法
- 在「联系方式」中每行填写一个接收安全报告的邮箱或报告页面地址，写在前面的为优先联系方式。
- 「过期时间」默认设为一年后。过期后文件将不被信任，记得在日历里提前安排更新。
- 根据需要填写加密公钥、漏洞披露政策、致谢页面等地址，这些都必须是https地址。
- 点击「下载」得到security.txt，上传到网站的 /.well-known/ 目录。
常见问题
一定要有security.txt吗？
这不是法律义务，但可以避免发现漏洞的人找不到联系方式而直接公开。政府网站、大型企业以及开展漏洞赏金计划的网站都在广泛使用。
公开邮箱地址会不会收到垃圾邮件？
有可能。可以单独开一个专门接收安全报告的邮箱（如security@），或者把Contact写成漏洞提交表单页面的地址。
放在网站根目录可以吗？
RFC 9116规定 /.well-known/security.txt 为正式位置。为了兼容旧工具，也可以在根目录（/security.txt）设置跳转到那里。