Créer un fichier security.txt pour votre site web

Un fichier security.txt indique aux chercheurs en sécurité comment signaler les vulnérabilités qu'ils trouvent sur votre site web, ce qui les dissuade de les divulguer publiquement avant que vous ayez pu les corriger. Sa mise en place prend cinq minutes et améliore la posture de sécurité publique du domaine.

Ce que signifie ce constat

security.txt est une norme Internet proposée (RFC 9116) qui définit un fichier texte à un emplacement connu de votre site web. Les chercheurs en sécurité le consultent lorsqu'ils découvrent une vulnérabilité potentielle sur votre domaine : il leur indique qui contacter, comment faire un signalement et quelle est votre politique de divulgation.

Sans ce fichier, les chercheurs en sont réduits à deviner des adresses de contact, divulguent publiquement ou abandonnent purement et simplement.

Pourquoi c'est important

• Permet une divulgation responsable : les chercheurs peuvent vous prévenir en privé avant de rendre l'information publique
• Nécessaire pour réussir la vérification de divulgation des vulnérabilités au titre de l'article 32 du RGPD (article 32, paragraphe 1, point d))
• Renforce les éléments de posture de sécurité du domaine
• Se met en place en moins de cinq minutes

Que mettre dans votre fichier security.txt

Voici un modèle complet que vous pouvez adapter :

Contact: mailto:security@yourdomain.com
Expires: 2027-04-01T00:00:00.000Z
Encryption: https://yourdomain.com/pgp-key.txt
Acknowledgments: https://yourdomain.com/security/acknowledgments
Preferred-Languages: en
Policy: https://yourdomain.com/security/policy
Scope: https://yourdomain.com

Champs obligatoires

• Contact: : où envoyer les signalements de vulnérabilité. Il peut s'agir d'une adresse e-mail (mailto:) ou d'une URL
• Expires: : date à partir de laquelle ce fichier doit être considéré comme périmé (format ISO 8601). Fixez-la au moins un an plus tard

Champs recommandés

• Policy: : URL de votre politique complète de divulgation des vulnérabilités
• Preferred-Languages: : langues dans lesquelles vous pouvez répondre
• Scope: : ce qui entre dans le périmètre des signalements

Fichier minimal (si vous voulez commencer simplement)

Contact: mailto:security@yourdomain.com
Expires: 2027-04-01T00:00:00.000Z

Où le publier

Le fichier doit être publié à l'adresse :

https://yourdomain.com/.well-known/security.txt

Sur la plupart des plateformes web, cela signifie créer un fichier security.txt dans un répertoire .well-known à la racine de votre site web. Si votre plateforme ne prend pas facilement en charge le chemin .well-known, le fichier peut aussi être placé à l'adresse :

https://yourdomain.com/security.txt

Vérifier que cela fonctionne

Analysez votre domaine sur mydomainrisk.com : le constat security.txt apparaîtra comme résolu dès que le fichier sera détecté. mydomainrisk.com vérifie aussi si le fichier contient un champ Policy:, nécessaire pour la vérification de politique de divulgation au titre de l'article 32 du RGPD.