security.txt-tiedoston lisääminen verkkosivustollesi
Jos joku löytää verkkosivustostasi tietoturva-aukon, esimerkiksi avoimen kansion tai vanhentuneen lisäosan, haluat, että hän voi varoittaa sinua. Tätä varten on security.txt: pieni tekstitiedosto vakiopaikassa verkkosivustollasi. Siinä on osoite, johon tällaiset ilmoitukset lähetetään. Se on määritelty internetstandardissa RFC 9116. Tässä kerrotaan, mitä tiedostoon kirjoitetaan ja miten lisäät sen.
Sijainti
Tiedosto sijaitsee osoitteessa https://example.com/.well-known/security.txt. Vanhaa sijaintia /security.txt juurikansiossa voi käyttää lisänä, mutta jos tiedosto on molemmissa paikoissa, /.well-known/-kansion tiedosto on voimassa. Tiedoston on oltava saatavilla https-yhteydellä, ja se on lähetettävä pelkkänä tekstinä (text/plain).
Tiedosto koskee vain sitä nimeä, jonka alla se on. Osoitteessa example.com oleva security.txt ei siis automaattisesti koske osoitetta shop.example.com. Jos aliverkkotunnuksella on oma verkkosivusto, lisää sinnekin security.txt.
Tiedoston sisältö
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Kenttä | Pakollinen? | Merkitys |
|---|---|---|
Contact | Kyllä | Minne ilmoitukset lähetetään: mailto:-osoite, tel:-numero tai verkkosivu, joka alkaa https://. Voit lisätä useita allekkain, ja ensimmäinen on ensisijainen. |
Expires | Kyllä, tasan kerran | Päivämäärä ja aika, jonka jälkeen tiedostoa pidetään vanhentuneena, esimerkiksi 2027-10-31T23:00:00Z. Standardi suosittelee päivämäärää, joka on alle vuoden päässä. |
Preferred-Languages | Ei | Kielet, joilla haluat vastaanottaa ilmoituksia. |
Canonical | Ei | Itse tiedoston osoite. |
Policy | Ei | Linkki sivulle, jolla kerrotaan ilmoituskäytännöistäsi: mitä teet ilmoitukselle ja mitä odotat ilmoittajalta. |
Encryption | Ei | Linkki julkiseen avaimeesi, jos ilmoittajat saavat lähettää sinulle salattua sähköpostia. |
Käytä Contact-kentässä osoitetta, jota joku oikeasti lukee. Unohdettu postilaatikko on pahempi kuin puuttuva security.txt, koska ilmoittaja luulee, että sinua on varoitettu. Tiedoston voi allekirjoittaa digitaalisella allekirjoituksella (OpenPGP), mutta se ei ole pakollista.
Lisääminen webhotellipakettiin
- Avaa DirectAdminissa File Manager ja siirry kansioon
domains/example.com/public_html. Katso File Managerin avaaminen: pakettisi kansiot. - Jos kansiota
.well-knownei vielä ole, luo se. Pisteellä alkavat kansiot näkyvät vasta, kun näytät piilotetut tiedostot: katso Piilotettujen tiedostojen, kuten .htaccessin, näyttäminen ja muokkaaminen. - Luo kansioon uusi tiedosto
security.txt, liitä rivisi siihen ja tallenna. - Avaa
https://example.com/.well-known/security.txtselaimessa. Tekstisi pitäisi näkyä.
Jos käytät WordPressiä tai muuta julkaisujärjestelmää, mikään ei muutu: palvelin lähettää oikeasti olemassa olevan tiedoston normaalisti.
Lisääminen VPS-palvelimelle
VPS-palvelimella lisäät tiedoston sivustosi verkkokansioon, esimerkiksi /var/www/example.com/.well-known/security.txt. Huomioi kaksi asiaa:
- Jos estät nginxissä kaikki pisteellä alkavat polut, lisää ensin poikkeus polulle
/.well-known/. - Jos sovellus toimii reverse proxyn takana, ohjaa polku Caddyssä tai nginxissä tiedostoon.
Katso Caddy: verkkosivusto automaattisella https-yhteydellä ja nginx ja Let's Encryptin varmenne.
Tarkistaminen
Tarkista otsakerivit komennolla:
curl -sI https://example.com/.well-known/security.txt
Tilan pitäisi olla 200 ja tyypin text/plain. Yleinen virhe on sivusto, joka vastaa jokaiseen tuntemattomaan osoitteeseen etusivulla. Silloin tiedosto näyttää olevan olemassa, mutta palautuu HTML-sivu. Tarkista siis myös sisältö. Myös internet.nl-palvelun verkkosivustotesti tarkistaa security.txt-tiedoston.
Päivitä joka vuosi
Lisää kalenteriisi muistutus hyvissä ajoin ennen Expires-kentän päivämäärää. Tarkista silloin, että yhteysosoite on yhä oikein, ja siirrä päivämäärää eteenpäin. Jos jokin muuttuu välillä, esimerkiksi osoite vaihtuu tai joku lähtee, päivitä tiedosto heti.
Lue lisää
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (englanniksi)
- securitytxt.org, jossa on työkalu tiedoston luomiseen (englanniksi)
Haluatko oppia lisää? Käy ilmainen kurssi VPS ja Linux-palvelimen ylläpito, oppitunti 7.4 Caddy, HSTS ja security.txt tai oppitunti 10.4 Lopputarkistus: palvelimesi syynissä.