Postavljanje datoteke security.txt na Vašu web stranicu
Ako netko pronađe sigurnosni propust na Vašoj web stranici, primjerice otvorenu mapu ili zastarjeli dodatak, želite da Vas ta osoba može upozoriti. Za to služi security.txt: mala tekstualna datoteka na stalnom mjestu na Vašoj web stranici, s adresom na koju se takve prijave trebaju slati. Definirana je internetskim standardom RFC 9116. Ovdje možete pročitati što sadrži i kako je postaviti.
Lokacija
Datoteka se nalazi na https://example.com/.well-known/security.txt. Staro mjesto /security.txt u korijenskoj mapi smije se koristiti kao dodatno, ali ako se datoteka nalazi na oba mjesta, vrijedi ona u /.well-known/. Mora biti dostupna putem https-a i slati se kao običan tekst (text/plain).
Datoteka vrijedi samo za naziv na kojem se nalazi. Datoteka security.txt na example.com stoga ne vrijedi automatski za shop.example.com. Ako poddomena ima vlastitu web stranicu, postavite i ondje datoteku security.txt.
Što sadrži
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Polje | Obavezno? | Značenje |
|---|---|---|
Contact | Da | Kamo se šalju prijave: adresa mailto:, broj tel: ili web stranica koja počinje s https://. Možete navesti više njih jedno ispod drugoga, a prvo je Vaš prvi izbor. |
Expires | Da, točno jednom | Datum i vrijeme nakon kojih se datoteka smatra zastarjelom, primjerice 2027-10-31T23:00:00Z. Standard preporučuje datum koji je manje od godinu dana unaprijed. |
Preferred-Languages | Ne | Jezici na kojima želite primati prijave. |
Canonical | Ne | Adresa same datoteke. |
Policy | Ne | Poveznica na stranicu s Vašim pravilima za prijave: što radite s prijavom i što tražite od osobe koja prijavljuje. |
Encryption | Ne | Poveznica na Vaš javni ključ, ako Vam osobe koje prijavljuju smiju slati šifrirane poruke e-pošte. |
Za Contact koristite adresu koju netko zaista čita. Zaboravljeni sandučić gori je od nepostojanja datoteke security.txt: osoba koja prijavljuje misli da ste upozoreni. Potpisivanje digitalnim potpisom (OpenPGP) je dopušteno, ali nije obavezno.
Postavljanje na Vašem hosting paketu
- U DirectAdminu otvorite File Manager i idite na
domains/example.com/public_html. Pogledajte Otvaranje File Managera: mape u Vašem paketu. - Ako mapa
.well-knownjoš ne postoji, izradite je. Mape koje počinju točkom vidjet ćete tek kada prikažete skrivene datoteke: pogledajte Prikaz i uređivanje skrivenih datoteka poput .htaccess. - U toj mapi izradite novu datoteku
security.txt, zalijepite u nju svoje retke i spremite. - Otvorite
https://example.com/.well-known/security.txtu svom pregledniku. Trebali biste vidjeti svoj tekst.
Koristite li WordPress ili neki drugi CMS, ništa se ne mijenja: datoteku koja zaista postoji web poslužitelj jednostavno šalje.
Postavljanje na VPS-u
Na VPS-u datoteku postavljate u web mapu svoje stranice, primjerice /var/www/example.com/.well-known/security.txt. Obratite pozornost na dvije stvari:
- Ako u nginxu blokirate sve putanje koje počinju točkom, najprije dodajte iznimku za
/.well-known/. - Ako se aplikacija izvodi iza reverse proxyja, neka putanja u Caddyju ili nginxu upućuje na datoteku.
Pogledajte Caddy: web stranica s automatskim https-om i nginx s certifikatom Let's Encrypt.
Provjera
Pregledajte zaglavlja naredbom:
curl -sI https://example.com/.well-known/security.txt
Status bi trebao biti 200, a vrsta text/plain. Česta pogreška: stranica koja na svaku nepoznatu adresu odgovara naslovnom stranicom. Tada se čini da datoteka postoji, ali vraća se HTML. Zato provjerite i sadržaj. Test web stranice na internet.nl također provjerava security.txt.
Ažuriranje svake godine
U kalendar postavite podsjetnik dovoljno prije datuma navedenog u polju Expires. Tada provjerite je li kontaktna adresa još ispravna i pomaknite datum. Ako se u međuvremenu nešto promijeni, primjerice nova adresa ili odlazak neke osobe, odmah prilagodite datoteku.
Dodatno čitanje
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (na engleskom)
- securitytxt.org, s alatom za izradu datoteke (na engleskom)
Želite li naučiti više? Pohađajte besplatni tečaj VPS i upravljanje Linux poslužiteljem, lekciju 7.4 Caddy, HSTS i security.txt ili lekciju 10.4 Završna provjera: Vaš poslužitelj pod povećalom.