O que é security.txt
security.txt é um arquivo de texto publicado no domínio para informar como relatar uma vulnerabilidade. A RFC 9116 define o formato e recomenda o caminho /.well-known/security.txt.
O arquivo não protege o sistema. Ele reduz o tempo até o relato chegar à pessoa certa, e evita que o pesquisador envie a mensagem para o atendimento comercial.
Os campos do arquivo
Contact e Expires são obrigatórios. O primeiro indica o canal, e o segundo define a data limite de validade do arquivo.
Os demais campos são opcionais, como Encryption, Policy e Preferred-Languages, e cada um ocupa uma linha no formato Nome: valor.
Por que Expires importa
Um arquivo vencido perde validade, porque o contato pode ter mudado. A data precisa estar no futuro, e a renovação deve entrar na rotina de manutenção do domínio.
A RFC também exige que o arquivo seja servido por HTTPS e com o tipo de conteúdo de texto. Um redirecionamento ou uma página de erro no caminho impede a leitura automática.
Exemplo
Como conferir
Abra https://seudominio.com/.well-known/security.txt e confira o código de resposta, o tipo de conteúdo e a data de validade. Teste o contato publicado e revise o arquivo a cada mudança de responsável.
O domínio precisa estar com HTTPS válido para que o arquivo seja aceito. O CVE e o CNA entram na etapa seguinte, quando o relato se transforma em registro público.
Dúvidas frequentes
Perguntas frequentes sobre security.txt
- security.txt protege o site?
- Não. O arquivo informa como relatar uma falha e reduz o tempo até o contato correto. A proteção depende da configuração do servidor e da correção do código.
- O arquivo precisa ficar em /.well-known/security.txt?
- A RFC 9116 recomenda o caminho /.well-known/security.txt. O arquivo também pode ser publicado na raiz, e o primeiro caminho tem prioridade na leitura.
- O que acontece quando Expires vence?
- O arquivo perde validade quando o contato muda ou a data vence. A data precisa estar no futuro, e a renovação deve entrar na rotina de manutenção do domínio.
- Posso usar um formulário como contato?
- Sim. O campo Contact aceita endereço de email e URL. O canal precisa receber o relato e ter um responsável pela resposta.
Para continuar
Recursos relacionados
Documentação
RFC 9116: security.txt
Define o formato, os campos obrigatórios e a publicação do arquivo.
Abrir recursoFerramenta
securitytxt.org
Gera o arquivo e apresenta exemplos de configuração.
Abrir recursoAplicação na formação
Formação DevOps
Na Formação DevOps, o security.txt aparece na configuração do domínio e no contato de segurança do projeto.
Conhecer a formação
Fontes consultadas
Referências deste verbete
Este verbete ajudou você?
Obrigado pela resposta. Ela fica salva apenas neste navegador.