security.txt lisamine oma veebisaidile
Kui keegi leiab su veebisaidist turvaaugu, näiteks avatud kausta või aegunud plugina, siis tahad, et ta saaks sind hoiatada. Selleks on security.txt: väike tekstifail kindlas kohas su veebisaidil, kus on aadress, kuhu sellised teated saata. See on kirjas internetistandardis RFC 9116. Siit loed, mis failis on ja kuidas selle üles panna.
Asukoht
Fail asub aadressil https://example.com/.well-known/security.txt. Vana asukoha /security.txt juurkaustas võid lisaks kasutada, aga kui fail on mõlemas kohas, kehtib see, mis on kaustas /.well-known/. Fail peab olema kättesaadav üle https ja seda tuleb saata lihttekstina (text/plain).
Fail kehtib ainult selle nime kohta, mille all see asub. Seega ei kehti example.com security.txt automaatselt shop.example.com kohta. Kui alamdomeenil on oma veebisait, pane ka sinna security.txt.
Mis failis on
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Väli | Kohustuslik? | Tähendus |
|---|---|---|
Contact | Jah | Kuhu teated saadetakse: mailto:-aadress, tel:-number või veebileht, mis algab https://. Võid lisada mitu üksteise alla, esimene on sinu eelistus. |
Expires | Jah, täpselt üks kord | Kuupäev ja kellaaeg, mille järel faili loetakse aegunuks, näiteks 2027-10-31T23:00:00Z. Standard soovitab kuupäeva, mis on vähem kui aasta ette. |
Preferred-Languages | Ei | Keeled, milles soovid teateid saada. |
Canonical | Ei | Faili enda aadress. |
Policy | Ei | Link lehele, kus on sinu teadete kord: mida teatega teed ja mida teatajalt ootad. |
Encryption | Ei | Link sinu avalikule võtmele, kui teatajad võivad sulle krüpteeritud e-kirja saata. |
Kasuta väljal Contact aadressi, mida keegi päriselt loeb. Unustatud postkast on hullem kui security.txt puudumine: teataja arvab, et oled hoiatatud. Digiallkirjaga (OpenPGP) allkirjastamine on lubatud, aga mitte kohustuslik.
Üles panemine majutuspaketis
- Ava DirectAdminis File Manager ja mine kausta
domains/example.com/public_html. Vaata File Manageri avamine: sinu paketi kaustad. - Kui kausta
.well-knownveel pole, loo see. Punktiga algavaid kaustu näed alles siis, kui kuvad peidetud failid: vaata Peidetud failide, nagu .htaccess, kuvamine ja muutmine. - Loo selles kaustas uus fail
security.txt, kleebi sinna oma read ja salvesta. - Ava brauseris
https://example.com/.well-known/security.txt. Peaksid nägema oma teksti.
Kui kasutad WordPressi või muud CMS-i, ei muutu midagi: päriselt olemasoleva faili saadab veebiserver lihtsalt välja.
Üles panemine VPS-is
VPS-is paned faili oma saidi veebikausta, näiteks /var/www/example.com/.well-known/security.txt. Pane tähele kahte asja:
- Kui blokeerid nginxis kõik punktiga algavad teed, lisa esmalt erand teele
/.well-known/. - Kui rakendus töötab reverse proxy taga, suuna see tee Caddys või nginxis failile.
Vaata Caddy: automaatse https-iga veebisait ja nginx koos Let's Encrypti sertifikaadiga.
Kontrollimine
Vaata päiseridu käsuga:
curl -sI https://example.com/.well-known/security.txt
Olek peaks olema 200 ja tüüp text/plain. Levinud viga: sait, mis vastab igale tundmatule aadressile avalehega. Siis tundub, et fail on olemas, aga tagasi tuleb HTML. Vaata seega ka sisu. Ka internet.nl veebisaidi test kontrollib security.txt faili.
Uuenda igal aastal
Pane kalendrisse meeldetuletus aegsasti enne väljal Expires olevat kuupäeva. Kontrolli siis, kas kontaktaadress on veel õige, ja lükka kuupäev edasi. Kui vahepeal midagi muutub, näiteks tuleb uus aadress või keegi lahkub, muuda faili kohe.
Loe lisaks
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (inglise keeles)
- securitytxt.org, kus on tööriist faili loomiseks (inglise keeles)
Tahad rohkem teada? Läbi tasuta kursus VPS ja Linuxi serveri haldus, õppetund 7.4 Caddy, HSTS ja security.txt või õppetund 10.4 Lõppkontroll: kas su server vastab nõuetele.