Sådan lægger du en security.txt på din hjemmeside
Hvis nogen finder et sikkerhedshul på din hjemmeside, for eksempel en åben mappe eller et forældet plugin, vil du gerne have, at personen kan advare dig. Det er formålet med security.txt: en lille tekstfil et fast sted på din hjemmeside med den adresse, som den slags henvendelser skal sendes til. Filen er beskrevet i internetstandarden RFC 9116. Her kan du læse, hvad der står i den, og hvordan du lægger den op.
Placeringen
Filen ligger på https://example.com/.well-known/security.txt. Den gamle placering /security.txt i rodmappen må bruges som supplement, men hvis filen ligger begge steder, er det den i /.well-known/, der gælder. Den skal kunne nås via https og sendes som ren tekst (text/plain).
Filen gælder kun for det navn, den ligger på. En security.txt på example.com gælder altså ikke automatisk for shop.example.com. Har et subdomæne sin egen hjemmeside, så læg også en security.txt der.
Hvad der står i den
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Felt | Påkrævet? | Betydning |
|---|---|---|
Contact | Ja | Hvor henvendelserne skal sendes hen: en mailto:-adresse, et tel:-nummer eller en webside, der begynder med https://. Du må angive flere under hinanden; den første er din foretrukne. |
Expires | Ja, præcis én gang | Den dato og det tidspunkt, hvorefter filen regnes som forældet, f.eks. 2027-10-31T23:00:00Z. Standarden anbefaler en dato, der ligger mindre end et år ude i fremtiden. |
Preferred-Languages | Nej | De sprog, du gerne vil modtage henvendelser på. |
Canonical | Nej | Adressen på selve filen. |
Policy | Nej | Et link til en side med din politik for henvendelser: hvad du gør med en henvendelse, og hvad du beder om fra den, der melder. |
Encryption | Nej | Et link til din offentlige nøgle, hvis man må sende dig krypterede mails. |
Brug en adresse ved Contact, som nogen faktisk læser. En glemt postkasse er værre end ingen security.txt: den, der melder, tror, at du er blevet advaret. Du må gerne signere filen med en digital signatur (OpenPGP), men det er ikke påkrævet.
Læg den op på dit hostingpakke
- Åbn File Manager i DirectAdmin, og gå til
domains/example.com/public_html. Se Åbn File Manager: mapperne i din pakke. - Findes mappen
.well-knownikke endnu, så opret den. Mapper, der begynder med et punktum, kan du først se, når du viser skjulte filer: se Vis og rediger skjulte filer som .htaccess. - Opret en ny fil
security.txti mappen, indsæt dine linjer, og gem. - Åbn
https://example.com/.well-known/security.txti din browser. Du skulle nu kunne se din tekst.
Bruger du WordPress eller et andet CMS, ændrer det ingenting: en fil, der faktisk findes, sender webserveren bare ud.
Læg den op på en VPS
På en VPS lægger du filen i webmappen for dit site, for eksempel /var/www/example.com/.well-known/security.txt. Vær opmærksom på to ting:
- Blokerer du alle stier, der begynder med et punktum, i nginx, så lav først en undtagelse for
/.well-known/. - Kører der en applikation bag en reverse proxy, så lad stien pege på filen i Caddy eller nginx.
Se Caddy: en hjemmeside med automatisk https og nginx med et certifikat fra Let's Encrypt.
Kontrol
Se headerne med:
curl -sI https://example.com/.well-known/security.txt
Status skal være 200 og typen text/plain. En almindelig fejl: et site, der besvarer enhver ukendt adresse med forsiden. Så ser det ud, som om filen findes, men der kommer HTML tilbage. Kig derfor også på indholdet. Hjemmesidetesten på internet.nl kontrollerer også security.txt.
Opdater den hvert år
Sæt en påmindelse i din kalender i god tid før datoen ved Expires. Tjek så, om kontaktadressen stadig passer, og ryk datoen frem. Ændrer der sig noget i mellemtiden, for eksempel en ny adresse eller en person, der stopper, så ret filen med det samme.
Læs mere
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (engelsk)
- securitytxt.org, med et værktøj til at lave filen (engelsk)
Vil du lære mere? Tag det gratis kursus VPS og Linux-serveradministration, lektion 7.4 Caddy, HSTS og security.txt eller lektion 10.4 Sluttjek: gå din server efter i sømmene.