Verifica del file security.txt
Incollate il contenuto del file security.txt, definito dalla norma RFC 9116, per rilevarne gli errori di sintassi. Verifica la presenza e il formato dei campi obbligatori, come il contatto e la scadenza, e permette di accertare la corretta collocazione in /.well-known/security.txt.
Consigli
- La specifica ufficiale prevede la collocazione in
/.well-known/security.txt. Per compatibilità conviene collocarne una copia anche in/security.txt, cioè nella radice del sito. - Scrivete il contatto come identificativo di risorsa completo di schema, per esempio mailto:, https: oppure tel:. Un semplice indirizzo di posta in chiaro non è conforme alla norma e può non essere riconosciuto dagli strumenti di analisi automatica.
- Impostate la scadenza a non più di un anno e prorogatela a ogni aggiornamento: un file scaduto rischia di essere considerato un contatto ormai abbandonato.
- La verifica avviene interamente nel navigatore e quanto inserite non viene trasmesso all'esterno: potete incollare con serenità anche un file non ancora pubblicato.
Domande frequenti
https://example.com/.well-known/security.txt. Poiché molte realizzazioni consultano ancora la vecchia posizione https://example.com/security.txt, per compatibilità si raccomanda di collocarlo in entrambe.mailto:[email protected]. Senza schema gli strumenti di analisi automatica possono non riconoscerlo.
A proposito — perché è nato security.txt: il primo sportello che i programmi di ricompensa non bastavano a offrire
Il file security.txt fu proposto nel 2017 dai ricercatori di sicurezza Ed Overflow e Kagan Baytas. All'epoca capitava spesso che chi individuava una vulnerabilità non trovasse un recapito adatto per segnalarla all'azienda e dovesse ripiegare sullo sportello generico o su un messaggio privato in una rete sociale. Non era raro che la segnalazione impiegasse molto tempo a raggiungere chi di dovere, o che restasse del tutto inascoltata.
La proposta fu portata all'ente che cura gli standard di Internet e, dopo un lungo dibattito e numerose revisioni, è diventata nel 2022 la norma ufficiale RFC 9116. Il meccanismo è semplicissimo: basta che chi gestisce un sito pubblichi un file di testo in /.well-known/security.txt perché chi fa ricerca possa sapere meccanicamente a chi rivolgersi, in quale lingua e con quali regole.
Molte grandi aziende tecnologiche lo hanno adottato e non è raro che nei campi dedicati alla politica di divulgazione rimandino al proprio programma di ricompensa per la scoperta di vulnerabilità. Il file svolge insomma il ruolo di primo sportello, raggiungendo anche i ricercatori che non passano dalle piattaforme dedicate a quei programmi.
Come sviluppo della norma si diffonde anche l'estensione che, con un campo apposito, rimanda al quadro comune per gli avvisi di sicurezza, lo standard per lo scambio delle informazioni sulle vulnerabilità. Il file security.txt non è dunque un semplice elenco di recapiti, ma continua a evolvere come porta d'accesso all'intero assetto di sicurezza di un'organizzazione.