security.txt faila izvietošana Jūsu vietnē
Ja kāds atrod drošības ievainojamību Jūsu tīmekļa vietnē, piemēram, atvērtu mapi vai novecojušu spraudni, Jūs vēlaties, lai šī persona varētu Jūs brīdināt. Tam ir paredzēts security.txt: neliels teksta fails noteiktā vietā Jūsu vietnē ar adresi, uz kuru jāsūta šādi ziņojumi. Tas ir noteikts interneta standartā RFC 9116. Šeit varat uzzināt, kas tajā ir rakstīts un kā to izvietot.
Atrašanās vieta
Fails atrodas adresē https://example.com/.well-known/security.txt. Veco atrašanās vietu /security.txt saknes mapē drīkst izmantot papildus, taču, ja fails atrodas abās vietās, spēkā ir tas, kas atrodas /.well-known/. Tam jābūt pieejamam caur https un jātiek nosūtītam kā vienkāršam tekstam (text/plain).
Fails attiecas tikai uz to nosaukumu, kurā tas atrodas. Tātad security.txt vietnē example.com automātiski neattiecas uz shop.example.com. Ja apakšdomēnam ir sava tīmekļa vietne, izvietojiet security.txt arī tur.
Kas tajā ir rakstīts
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Lauks | Obligāts? | Nozīme |
|---|---|---|
Contact | Jā | Kur tiek sūtīti ziņojumi: mailto: adrese, tel: numurs vai tīmekļa lapa, kas sākas ar https://. Varat norādīt vairākus vienu zem otra, pirmais ir Jūsu priekšroka. |
Expires | Jā, tieši vienu reizi | Datums un laiks, pēc kura fails tiek uzskatīts par novecojušu, piemēram, 2027-10-31T23:00:00Z. Standarts iesaka datumu, kas ir mazāk nekā gadu uz priekšu. |
Preferred-Languages | Nē | Valodas, kurās vēlaties saņemt ziņojumus. |
Canonical | Nē | Paša faila adrese. |
Policy | Nē | Saite uz lapu ar Jūsu ziņošanas politiku: ko Jūs darāt ar ziņojumu un ko sagaidāt no ziņotāja. |
Encryption | Nē | Saite uz Jūsu publisko atslēgu, ja ziņotāji drīkst Jums sūtīt šifrētus e-pastus. |
Laukā Contact norādiet adresi, kuru kāds patiešām lasa. Aizmirsta pastkaste ir sliktāka par security.txt neesamību: ziņotājs domā, ka brīdinājums ir Jūs sasniedzis. Parakstīšana ar digitālo parakstu (OpenPGP) ir atļauta, taču nav obligāta.
Izvietošana Jūsu hostinga plānā
- Atveriet DirectAdmin sadaļu Failu pārvaldnieks un dodieties uz
domains/example.com/public_html. Skatiet Failu pārvaldnieka atvēršana: mapes Jūsu plānā. - Ja mape
.well-knownvēl nepastāv, izveidojiet to. Mapes, kuru nosaukums sākas ar punktu, ir redzamas tikai tad, ja rādāt slēptos failus: skatiet Slēpto failu, piemēram, .htaccess, rādīšana un rediģēšana. - Šajā mapē izveidojiet jaunu failu
security.txt, ielīmējiet tajā savas rindas un saglabājiet. - Atveriet
https://example.com/.well-known/security.txtsavā pārlūkprogrammā. Jums vajadzētu redzēt savu tekstu.
Ja izmantojat WordPress vai citu CMS, nekas nemainās: failu, kas patiešām pastāv, tīmekļa serveris vienkārši nosūta.
Izvietošana VPS serverī
VPS serverī Jūs ievietojat failu savas vietnes tīmekļa mapē, piemēram, /var/www/example.com/.well-known/security.txt. Pievērsiet uzmanību divām lietām:
- Ja nginx bloķējat visus ceļus, kas sākas ar punktu, vispirms pievienojiet izņēmumu ceļam
/.well-known/. - Ja lietotne darbojas aiz reverse proxy, norādiet Caddy vai nginx, lai šis ceļš ved uz failu.
Skatiet Caddy: tīmekļa vietne ar automātisku https un nginx ar Let's Encrypt sertifikātu.
Pārbaude
Apskatiet galvenes ar:
curl -sI https://example.com/.well-known/security.txt
Statusam jābūt 200 un tipam text/plain. Bieži pieļauta kļūda: vietne, kas uz katru nezināmu adresi atbild ar sākumlapu. Tad šķiet, ka fails pastāv, bet atpakaļ tiek atgriezts HTML. Tāpēc pārbaudiet arī saturu. Arī internet.nl vietnes tests pārbauda security.txt.
Atjaunināšana katru gadu
Ielieciet savā kalendārā atgādinājumu labu laiku pirms datuma laukā Expires. Tad pārbaudiet, vai kontaktadrese joprojām ir pareiza, un pārcelsiet datumu uz priekšu. Ja kaut kas mainās starplaikā, piemēram, jauna adrese vai kāda darbinieka aiziešana, nekavējoties atjauniniet failu.
Papildu informācija
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (angļu valodā)
- securitytxt.org, ar rīku faila izveidei (angļu valodā)
Vēlaties uzzināt vairāk? Apgūstiet bezmaksas kursu VPS un Linux serveru pārvaldība, nodarbību 7.4 Caddy, HSTS un security.txt vai nodarbību 10.4 Noslēguma pārbaude: Jūsu servera novērtējums.