Wydrukuj tę dokumentację Pokaż jako slajdy

Konfiguracja security.txt

Idea utworzenia pliku security.txt bazuje na dwóch zwyczajach:

1. Funckjonalność adresu <security@domena.tld>

2. Skorzystanie z analogii do robots.txt

Zawartość pliku

Pliki security.txt powienien zawierać dane kontaktowe (wymagane), ścieżka do klucza pgp/gnupg, linki do podziękowań, obsługiwane języki, etc. Wszystko jest opisane w RFC[ 1 ].

Przykładowy plik może wyglądać następująco:

----BEGIN PGP SIGNED MESSAGE-----
   Hash: SHA256

   # Canonical URL
   Canonical: https://example.com/.well-known/security.txt

   # Our security address
   Contact: mailto:security@example.com

   # Our OpenPGP key
   Encryption: https://example.com/pgp-key.txt

   # Our security policy
   Policy: https://example.com/security-policy.html

   # Our security acknowledgments page
   Acknowledgments: https://example.com/hall-of-fame.html
   -----BEGIN PGP SIGNATURE-----
   Version: GnuPG v1

   [signature]
   -----END PGP SIGNATURE-----

Jak widać, plik może być podpisny. Ale oczywiście może być również w wersji nie podpisanej.

Konfiguracja nginx

   location /security.txt {
      return $scheme://$server_name/.well-known/security.txt;
   }

   location /.well-known/security.txt {
        alias /var/www/htdocs/virtuals/administrivia/data/security.txt;
   }

Powyższa konfiguracja została zapisana w repozytorium skryptów oraz konfiguracji jako 000-security-txt.conf i można ją dołączać do konfiguracji wirtualnych hostów.

Utworzenie katalogów w systemie

Należy pamiętać, o utworzeniu katalogów w systemie, aby móc utworzyć wspólny plik dla wielu hostów wirtualnych:

mkdir -p /var/www/htdocs/virtuals/administrivia/data/
touch /var/www/htdocs/virtuals/administrivia/data/security.txt

Źródła w sieci internet

1. RFC

2. Generator pliku

3. Artykuł w witrynie nfsec.pl

Odnośniki do dokumentacji

1. Konfiguracja nginx

2. url2

3. url3

4. url4

 (c) 2004 - 2026 BSD Serwis Krzysztof Stryjek. W przypadku błędów, poprawek proszę kontaktować się z administratorem wiki.