security.txt failo įkėlimas į Jūsų svetainę
Jei kas nors Jūsų svetainėje aptinka saugumo spragą, pavyzdžiui, atvirą aplanką ar pasenusį įskiepį, norite, kad tas asmuo galėtų Jus įspėti. Tam skirtas security.txt: nedidelis tekstinis failas nustatytoje Jūsų svetainės vietoje, kuriame nurodytas adresas, kuriuo reikia siųsti tokius pranešimus. Jis aprašytas interneto standarte RFC 9116. Čia sužinosite, ką jame rašyti ir kaip jį įkelti.
Vieta
Failas yra adresu https://example.com/.well-known/security.txt. Senąją vietą /security.txt pagrindiniame aplanke galima naudoti papildomai, tačiau jei failas yra abiejose vietose, galioja tas, kuris yra /.well-known/. Jis turi būti pasiekiamas per https ir siunčiamas kaip paprastas tekstas (text/plain).
Failas galioja tik tam vardui, kuriame jis yra. Taigi security.txt, esantis example.com, savaime negalioja shop.example.com. Jei subdomenas turi savo svetainę, įkelkite security.txt ir ten.
Kas jame rašoma
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Laukas | Privalomas? | Reikšmė |
|---|---|---|
Contact | Taip | Kur siunčiami pranešimai: mailto: adresas, tel: numeris arba tinklalapis, prasidedantis https://. Galite nurodyti kelis, vieną po kito, pirmasis yra Jūsų pageidaujamas. |
Expires | Taip, lygiai vieną kartą | Data ir laikas, po kurių failas laikomas pasenusiu, pavyzdžiui, 2027-10-31T23:00:00Z. Standartas rekomenduoja datą, kuri yra mažiau nei metus į priekį. |
Preferred-Languages | Ne | Kalbos, kuriomis norite gauti pranešimus. |
Canonical | Ne | Paties failo adresas. |
Policy | Ne | Nuoroda į puslapį su Jūsų pranešimų politika: ką darote su pranešimu ir ko prašote iš pranešėjo. |
Encryption | Ne | Nuoroda į Jūsų viešąjį raktą, jei pranešėjai gali Jums siųsti šifruotus el. laiškus. |
Lauke Contact naudokite adresą, kurį kas nors tikrai skaito. Pamiršta pašto dėžutė yra blogiau nei jokio security.txt: pranešėjas mano, kad Jūs įspėti. Pasirašyti skaitmeniniu parašu (OpenPGP) galima, bet neprivaloma.
Įkėlimas į prieglobos paketą
- DirectAdmin atidarykite File Manager ir eikite į
domains/example.com/public_html. Žr. File Manager atidarymas: Jūsų paketo aplankai. - Jei aplanko
.well-knowndar nėra, sukurkite jį. Aplankus, prasidedančius tašku, matysite tik įjungę paslėptų failų rodymą: žr. Paslėptų failų, tokių kaip .htaccess, rodymas ir redagavimas. - Tame aplanke sukurkite naują failą
security.txt, įklijuokite savo eilutes ir išsaugokite. - Naršyklėje atidarykite
https://example.com/.well-known/security.txt. Turėtumėte matyti savo tekstą.
Jei naudojate WordPress ar kitą CMS, niekas nesikeičia: tikrai egzistuojantį failą žiniatinklio serveris tiesiog išsiunčia.
Įkėlimas į VPS
VPS faile įkelkite į savo svetainės žiniatinklio aplanką, pavyzdžiui, /var/www/example.com/.well-known/security.txt. Atkreipkite dėmesį į du dalykus:
- Jei nginx blokuojate visus kelius, prasidedančius tašku, pirmiausia nustatykite išimtį
/.well-known/. - Jei programa veikia už reverse proxy, Caddy arba nginx nukreipkite kelią į failą.
Žr. Caddy: svetainė su automatiniu https ir nginx su Let's Encrypt sertifikatu.
Tikrinimas
Antraštes peržiūrėkite komanda:
curl -sI https://example.com/.well-known/security.txt
Būsena turėtų būti 200, o tipas text/plain. Dažna klaida: svetainė į kiekvieną nežinomą adresą atsako pagrindiniu puslapiu. Tada atrodo, kad failas egzistuoja, bet grąžinamas HTML. Todėl patikrinkite ir turinį. internet.nl svetainės testas taip pat tikrina security.txt.
Atnaujinimas kasmet
Savo kalendoriuje nustatykite priminimą gerokai prieš datą, nurodytą lauke Expires. Tada patikrinkite, ar kontaktinis adresas dar teisingas, ir perkelkite datą. Jei kas nors pasikeičia anksčiau, pavyzdžiui, atsiranda naujas adresas ar kas nors išeina, failą pakeiskite iš karto.
Daugiau informacijos
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (anglų k.)
- securitytxt.org, su įrankiu failui sukurti (anglų k.)
Norite sužinoti daugiau? Išklausykite nemokamo kurso VPS ir Linux serverių administravimas pamoką 7.4 Caddy, HSTS ir security.txt arba pamoką 10.4 Galutinė patikra: Jūsų serveris po lupa.