Legg en security.txt på nettstedet ditt
Finner noen et sikkerhetshull på nettstedet ditt, for eksempel en åpen mappe eller en utdatert plugin, vil du at personen skal kunne varsle deg. Til dette finnes security.txt: en liten tekstfil på et fast sted på nettstedet ditt, med adressen der slike meldinger skal sendes. Den er definert i internettstandarden RFC 9116. Her ser du hva den inneholder og hvordan du legger den ut.
Plasseringen
Filen ligger på https://example.com/.well-known/security.txt. Den gamle plasseringen /security.txt i rotmappen kan brukes i tillegg, men hvis filen finnes begge steder, er det den i /.well-known/ som gjelder. Den må være tilgjengelig via https og sendes som ren tekst (text/plain).
Filen gjelder bare for navnet den ligger på. En security.txt på example.com gjelder altså ikke automatisk for shop.example.com. Har et subdomene sitt eget nettsted, legger du også ut en security.txt der.
Hva den inneholder
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Felt | Påkrevd? | Betydning |
|---|---|---|
Contact | Ja | Hvor meldinger skal sendes: en mailto:-adresse, et tel:-nummer eller en nettside som begynner med https://. Du kan føre opp flere under hverandre, den første er den du foretrekker. |
Expires | Ja, nøyaktig én gang | Datoen og klokkeslettet da filen regnes som utdatert, for eksempel 2027-10-31T23:00:00Z. Standarden anbefaler en dato som ligger mindre enn ett år frem i tid. |
Preferred-Languages | Nei | Språkene du vil motta meldinger på. |
Canonical | Nei | Adressen til selve filen. |
Policy | Nei | En lenke til en side med retningslinjene dine for meldinger: hva du gjør med en melding og hva du ber om fra den som melder. |
Encryption | Nei | En lenke til den offentlige nøkkelen din, hvis de som melder kan sende deg kryptert e-post. |
Bruk en adresse ved Contact som noen faktisk leser. En glemt innboks er verre enn ingen security.txt: den som melder tror du er varslet. Du kan signere med en digital signatur (OpenPGP), men det er ikke påkrevd.
Legg den ut på webhotellet ditt
- Åpne File Manager i DirectAdmin og gå til
domains/example.com/public_html. Se Åpne File Manager: mappene i pakken din. - Finnes ikke mappen
.well-knownennå, oppretter du den. Mapper som begynner med punktum, ser du først når du viser skjulte filer: se Vis og rediger skjulte filer som .htaccess. - Opprett en ny fil
security.txti mappen, lim inn linjene dine og lagre. - Åpne
https://example.com/.well-known/security.txti nettleseren. Du skal nå se teksten din.
Bruker du WordPress eller et annet CMS, endrer ikke det noe: en fil som faktisk finnes, sender webserveren helt vanlig.
Legg den ut på en VPS
På en VPS legger du filen i webmappen til nettstedet, for eksempel /var/www/example.com/.well-known/security.txt. Vær obs på to ting:
- Blokkerer du alle stier som begynner med punktum i nginx, må du først lage et unntak for
/.well-known/. - Kjører det en applikasjon bak en reverse proxy, lar du stien peke til filen i Caddy eller nginx.
Se Caddy: et nettsted med automatisk https og nginx med et sertifikat fra Let's Encrypt.
Kontroller
Se på headerne med:
curl -sI https://example.com/.well-known/security.txt
Statusen skal være 200 og typen text/plain. En vanlig feil: et nettsted som svarer på alle ukjente adresser med forsiden. Da ser det ut som om filen finnes, men det kommer HTML tilbake. Sjekk derfor også innholdet. Nettstedtesten på internet.nl kontrollerer også security.txt.
Oppdater hvert år
Legg inn en påminnelse i kalenderen god tid før datoen ved Expires. Sjekk da om kontaktadressen fortsatt stemmer, og flytt datoen frem. Endres noe i mellomtiden, for eksempel en ny adresse eller at noen slutter, oppdaterer du filen med en gang.
Les mer
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (engelsk)
- securitytxt.org, med et verktøy for å lage filen (engelsk)
Vil du lære mer? Ta det gratis kurset VPS og Linux-serveradministrasjon, leksjon 7.4 Caddy, HSTS og security.txt eller leksjon 10.4 Sluttsjekk: serveren din under lupen.