security.txt elhelyezése a weboldalán
Ha valaki biztonsági rést talál az Ön weboldalán, például egy nyitott mappát vagy egy elavult bővítményt, fontos, hogy figyelmeztetni tudja Önt. Erre szolgál a security.txt: egy kis szöveges fájl a weboldal egy rögzített helyén, amely megadja, hová kell az ilyen bejelentéseket küldeni. A fájlt az RFC 9116 internetes szabvány írja le. Ebben a cikkben bemutatjuk, mit tartalmaz, és hogyan helyezheti el.
A fájl helye
A fájl helye: https://example.com/.well-known/security.txt. A gyökérmappában lévő régi /security.txt hely kiegészítésként megengedett, de ha a fájl mindkét helyen megtalálható, a /.well-known/ mappában lévő számít. A fájlnak https-en keresztül elérhetőnek kell lennie, és egyszerű szövegként kell kiszolgálni (text/plain).
A fájl csak arra a névre vonatkozik, amelyen elérhető. Az example.com címen lévő security.txt tehát nem vonatkozik automatikusan a shop.example.com címre. Ha egy aldomainnek saját weboldala van, ott is helyezzen el egy security.txt fájlt.
A fájl tartalma
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Mező | Kötelező? | Jelentés |
|---|---|---|
Contact | Igen | Ahová a bejelentések érkeznek: egy mailto: cím, egy tel: telefonszám vagy egy https:// előtaggal kezdődő weboldal. Több is megadható egymás alatt, az első az elsődleges. |
Expires | Igen, pontosan egyszer | Az a dátum és időpont, amely után a fájl elavultnak számít, például 2027-10-31T23:00:00Z. A szabvány egy évnél közelebbi dátumot javasol. |
Preferred-Languages | Nem | Azok a nyelvek, amelyeken a bejelentéseket fogadni szeretné. |
Canonical | Nem | Magának a fájlnak a címe. |
Policy | Nem | Hivatkozás a bejelentésekre vonatkozó szabályzatát tartalmazó oldalra: mit tesz egy bejelentéssel, és mit kér a bejelentőtől. |
Encryption | Nem | Hivatkozás a nyilvános kulcsára, ha a bejelentők titkosított e-mailt küldhetnek Önnek. |
A Contact mezőben olyan címet adjon meg, amelyet valóban olvas valaki. Egy elfelejtett postafiók rosszabb, mint ha nem lenne security.txt: a bejelentő azt hiszi, hogy Ön értesült a problémáról. Digitális aláírással (OpenPGP) is elláthatja a fájlt, de ez nem kötelező.
Elhelyezés a tárhelycsomagon
- Nyissa meg a DirectAdminban a Fájlkezelő menüt, és lépjen a
domains/example.com/public_htmlmappába. Lásd: A Fájlkezelő megnyitása: a csomag mappái. - Ha a
.well-knownmappa még nem létezik, hozza létre. A ponttal kezdődő mappák csak akkor láthatók, ha a rejtett fájlok megjelenítése be van kapcsolva: lásd Rejtett fájlok, például a .htaccess megjelenítése és szerkesztése. - Hozzon létre ebben a mappában egy új
security.txtfájlt, illessze be a sorokat, majd mentse. - Nyissa meg a
https://example.com/.well-known/security.txtcímet a böngészőjében. Ekkor a beírt szövegnek kell megjelennie.
Ha WordPresst vagy más CMS-t használ, ez nem változtat semmin: a ténylegesen létező fájlt a webszerver egyszerűen kiszolgálja.
Elhelyezés VPS-en
VPS-en a fájlt a webhely webmappájába helyezze, például ide: /var/www/example.com/.well-known/security.txt. Két dologra figyeljen:
- Ha az nginxben minden ponttal kezdődő útvonalat letilt, előbb vegyen fel kivételt a
/.well-known/útvonalra. - Ha egy alkalmazás reverse proxy mögött fut, a Caddyben vagy az nginxben irányítsa az útvonalat a fájlra.
Lásd: Caddy: weboldal automatikus https-sel és nginx Let's Encrypt tanúsítvánnyal.
Ellenőrzés
A fejléceket a következő paranccsal tekintheti meg:
curl -sI https://example.com/.well-known/security.txt
Az állapotkódnak 200, a típusnak text/plain értékűnek kell lennie. Gyakori hiba, hogy a webhely minden ismeretlen címre a kezdőlappal válaszol. Ilyenkor úgy tűnik, mintha a fájl létezne, de HTML érkezik vissza. Ezért a tartalmat is ellenőrizze. Az internet.nl webhelytesztje szintén ellenőrzi a security.txt fájlt.
Évenkénti frissítés
Állítson be a naptárában emlékeztetőt jóval az Expires mezőben megadott dátum előtt. Ekkor ellenőrizze, hogy a kapcsolattartási cím még érvényes-e, és tolja ki a dátumot. Ha időközben valami megváltozik, például új címet használ, vagy valaki távozik, azonnal módosítsa a fájlt.
További olvasnivaló
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (angol nyelven)
- securitytxt.org, a fájl elkészítését segítő eszközzel (angol nyelven)
Szeretne többet megtudni? Végezze el ingyenes VPS és Linux szerverkezelési tanfolyamunkat, különösen a 7.4 Caddy, HSTS és security.txt vagy a 10.4 Záró ellenőrzés: a szerver alapos átvizsgálása című leckét.