كيف تنشئ ملف security.txt لموقعك

يُخبر ملف security.txt الباحثين الأمنيين بكيفية الإبلاغ عن الثغرات التي يجدونها في موقعك — مما يمنعهم من الإفصاح عنها علنًا قبل أن تُتاح لك فرصة إصلاحها. ويستغرق إعداده خمس دقائق ويحسّن الوضع الأمني العام للنطاق.

ماذا تعني هذه النتيجة

security.txt معيار إنترنت مقترح (RFC ٩١١٦) يحدد ملفًا نصيًا في موقع معروف على موقعك الإلكتروني. ويبحث عنه الباحثون الأمنيون عندما يكتشفون ثغرة محتملة في نطاقك — فهو يخبرهم بمن يتواصلون معه، وكيف يبلّغون، وما سياسة الإفصاح لديك.

ومن دونه، يلجأ الباحثون إما إلى تخمين عناوين التواصل، أو الإفصاح العلني، أو التخلي عن الأمر كليًا.

لماذا يهم ذلك

• يتيح الإفصاح المسؤول — إذ يستطيع الباحثون إبلاغك سرًا قبل النشر العلني
• مطلوب لاجتياز فحص الإفصاح عن الثغرات وفق المادة ٣٢ من GDPR (بموجب المادة ٣٢(١)(d))
• يعزز أدلة الوضع الأمني للنطاق
• يستغرق تطبيقه أقل من خمس دقائق

ماذا تضع في ملف security.txt

إليك قالبًا كاملًا يمكنك تخصيصه:

Contact: mailto:security@yourdomain.com
Expires: 2027-04-01T00:00:00.000Z
Encryption: https://yourdomain.com/pgp-key.txt
Acknowledgments: https://yourdomain.com/security/acknowledgments
Preferred-Languages: en
Policy: https://yourdomain.com/security/policy
Scope: https://yourdomain.com

الحقول المطلوبة

• Contact: — الجهة التي تُرسَل إليها تقارير الثغرات. ويمكن أن تكون بريدًا إلكترونيًا (mailto:) أو عنوان URL
• Expires: — التاريخ الذي يُعدّ بعده هذا الملف قديمًا (بصيغة ISO ٨٦٠١). اجعله بعد سنة واحدة على الأقل

الحقول الموصى بها

• Policy: — عنوان URL لسياسة الإفصاح عن الثغرات الكاملة لديك
• Preferred-Languages: — اللغات التي يمكنك الرد بها
• Scope: — ما يدخل ضمن نطاق التقارير

الحد الأدنى من الملف (إذا أردت البدء ببساطة)

Contact: mailto:security@yourdomain.com
Expires: 2027-04-01T00:00:00.000Z

أين تنشره

يجب نشر الملف على العنوان:

https://yourdomain.com/.well-known/security.txt

في معظم منصات الويب، يعني ذلك إنشاء ملف security.txt داخل مجلد .well-known في جذر موقعك. وإذا كانت منصتك لا تدعم المسار .well-known بسهولة، فيمكن أيضًا وضع الملف على العنوان:

https://yourdomain.com/security.txt

تحقق من نجاح الإجراء

افحص نطاقك على mydomainrisk.com — ستظهر نتيجة security.txt على أنها عولجت فور رصد الملف. ويتحقق mydomainrisk.com أيضًا مما إذا كان الملف يتضمن الحقل Policy:، وهو مطلوب لفحص سياسة الإفصاح وفق المادة ٣٢ من GDPR.