Verifica del file security.txt

Incollate il contenuto del file security.txt, definito dalla norma RFC 9116, per rilevarne gli errori di sintassi. Verifica la presenza e il formato dei campi obbligatori, come il contatto e la scadenza, e permette di accertare la corretta collocazione in /.well-known/security.txt.

Consigli

  • La specifica ufficiale prevede la collocazione in /.well-known/security.txt. Per compatibilità conviene collocarne una copia anche in /security.txt, cioè nella radice del sito.
  • Scrivete il contatto come identificativo di risorsa completo di schema, per esempio mailto:, https: oppure tel:. Un semplice indirizzo di posta in chiaro non è conforme alla norma e può non essere riconosciuto dagli strumenti di analisi automatica.
  • Impostate la scadenza a non più di un anno e prorogatela a ogni aggiornamento: un file scaduto rischia di essere considerato un contatto ormai abbandonato.
  • La verifica avviene interamente nel navigatore e quanto inserite non viene trasmesso all'esterno: potete incollare con serenità anche un file non ancora pubblicato.

Domande frequenti

La collocazione ufficiale stabilita dalla norma RFC 9116 è https://example.com/.well-known/security.txt. Poiché molte realizzazioni consultano ancora la vecchia posizione https://example.com/security.txt, per compatibilità si raccomanda di collocarlo in entrambe.

La specifica non prevede che il file decada all'istante, ma i ricercatori e i programmi di raccolta lo considereranno un'informazione vecchia e trascurata, con perdita di credibilità. Si raccomanda di prorogare la data almeno una volta l'anno.

No, sono cose diverse. Il file indica a chi e come rivolgersi e non stabilisce l'esistenza né l'entità di alcuna ricompensa. Dai campi dedicati alla politica di divulgazione o alle offerte di lavoro si può però rimandare alla pagina del programma.

Si può fare, ma la norma RFC 9116 definisce quel campo come un identificativo di risorsa: occorre quindi anteporvi lo schema, scrivendo per esempio mailto:[email protected]. Senza schema gli strumenti di analisi automatica possono non riconoscerlo.

Non è obbligatorio, ma la norma RFC 9116 raccomanda la firma con OpenPGP: firmandolo, chi fa ricerca può verificare che il contenuto non sia stato alterato da terzi.
Tool-kun

A proposito — perché è nato security.txt: il primo sportello che i programmi di ricompensa non bastavano a offrire

Il file security.txt fu proposto nel 2017 dai ricercatori di sicurezza Ed Overflow e Kagan Baytas. All'epoca capitava spesso che chi individuava una vulnerabilità non trovasse un recapito adatto per segnalarla all'azienda e dovesse ripiegare sullo sportello generico o su un messaggio privato in una rete sociale. Non era raro che la segnalazione impiegasse molto tempo a raggiungere chi di dovere, o che restasse del tutto inascoltata.

La proposta fu portata all'ente che cura gli standard di Internet e, dopo un lungo dibattito e numerose revisioni, è diventata nel 2022 la norma ufficiale RFC 9116. Il meccanismo è semplicissimo: basta che chi gestisce un sito pubblichi un file di testo in /.well-known/security.txt perché chi fa ricerca possa sapere meccanicamente a chi rivolgersi, in quale lingua e con quali regole.

Molte grandi aziende tecnologiche lo hanno adottato e non è raro che nei campi dedicati alla politica di divulgazione rimandino al proprio programma di ricompensa per la scoperta di vulnerabilità. Il file svolge insomma il ruolo di primo sportello, raggiungendo anche i ricercatori che non passano dalle piattaforme dedicate a quei programmi.

Come sviluppo della norma si diffonde anche l'estensione che, con un campo apposito, rimanda al quadro comune per gli avvisi di sicurezza, lo standard per lo scambio delle informazioni sulle vulnerabilità. Il file security.txt non è dunque un semplice elenco di recapiti, ma continua a evolvere come porta d'accesso all'intero assetto di sicurezza di un'organizzazione.