Lägg upp en security.txt på din webbplats
Om någon hittar ett säkerhetshål på din webbplats, till exempel en öppen mapp eller ett föråldrat plugin, vill du att personen kan varna dig. Det är vad security.txt är till för: en liten textfil på en fast plats på din webbplats, med adressen dit sådana rapporter ska skickas. Filen är fastställd i internetstandarden RFC 9116. Här kan du läsa vad den innehåller och hur du lägger upp den.
Platsen
Filen ligger på https://example.com/.well-known/security.txt. Den gamla platsen /security.txt i rotmappen får användas som komplement, men om filen finns på båda ställena gäller den i /.well-known/. Den måste vara nåbar via https och skickas som vanlig text (text/plain).
Filen gäller bara för det namn den ligger på. En security.txt på example.com gäller alltså inte automatiskt för shop.example.com. Om en subdomän har en egen webbplats lägger du upp en security.txt där också.
Vad den innehåller
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Fält | Obligatoriskt? | Betydelse |
|---|---|---|
Contact | Ja | Vart rapporterna ska skickas: en mailto:-adress, ett tel:-nummer eller en webbsida som börjar med https://. Du kan ange flera under varandra, den första är den du föredrar. |
Expires | Ja, exakt en gång | Datum och tid då filen räknas som föråldrad, till exempel 2027-10-31T23:00:00Z. Standarden rekommenderar ett datum som ligger mindre än ett år fram i tiden. |
Preferred-Languages | Nej | De språk du vill ta emot rapporter på. |
Canonical | Nej | Adressen till själva filen. |
Policy | Nej | En länk till en sida med din policy för rapporter: vad du gör med en rapport och vad du begär av den som rapporterar. |
Encryption | Nej | En länk till din publika nyckel, om den som rapporterar får mejla dig krypterat. |
Använd en adress under Contact som någon verkligen läser. En bortglömd brevlåda är värre än ingen security.txt alls: den som rapporterar tror att du har blivit varnad. Du kan signera filen med en digital signatur (OpenPGP), men det är inte obligatoriskt.
Lägg upp filen på ditt webbhotell
- Öppna Filhanterare i DirectAdmin och gå till
domains/example.com/public_html. Se Öppna filhanteraren: mapparna i ditt paket. - Om mappen
.well-knowninte finns ännu skapar du den. Mappar som börjar med en punkt syns först när du visar dolda filer: se Visa och redigera dolda filer som .htaccess. - Skapa en ny fil
security.txti mappen, klistra in dina rader och spara. - Öppna
https://example.com/.well-known/security.txti webbläsaren. Du ska nu se din text.
Använder du WordPress eller ett annat CMS ändras ingenting: en fil som faktiskt finns skickar webbservern ut som vanligt.
Lägg upp filen på en VPS
På en VPS lägger du filen i webbmappen för din webbplats, till exempel /var/www/example.com/.well-known/security.txt. Tänk på två saker:
- Om du blockerar alla sökvägar som börjar med en punkt i nginx lägger du först in ett undantag för
/.well-known/. - Om en applikation körs bakom en reverse proxy låter du sökvägen peka på filen i Caddy eller nginx.
Se Caddy: en webbplats med automatisk https och nginx med ett certifikat från Let's Encrypt.
Kontrollera
Visa huvudraderna med:
curl -sI https://example.com/.well-known/security.txt
Statusen ska vara 200 och typen text/plain. Ett vanligt misstag: en webbplats som svarar på alla okända adresser med startsidan. Då ser det ut som att filen finns, men det som kommer tillbaka är HTML. Titta därför även på innehållet. Webbplatstestet på internet.nl kontrollerar också security.txt.
Uppdatera varje år
Lägg in en påminnelse i kalendern i god tid före datumet under Expires. Kontrollera då att kontaktadressen fortfarande stämmer och flytta fram datumet. Om något ändras däremellan, till exempel en ny adress eller att någon slutar, uppdaterar du filen direkt.
Läs mer
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (engelska)
- securitytxt.org, med ett verktyg för att skapa filen (engelska)
Vill du lära dig mer? Gå den kostnadsfria kursen VPS och Linux-serveradministration, lektion 7.4 Caddy, HSTS och security.txt eller lektion 10.4 Slutkontroll: din server mot checklistan.