關於 security.txt：讓網站安全回報更簡單

在數位時代，網站安全是每個組織和個人都必須重視的課題。儘管我們盡力保護自己的網站，但漏洞仍可能存在。當安全研究人員或熱心使用者發現網站上的安全問題時，他們需要一個簡單、標準化的方式來聯繫網站擁有者或安全團隊。過去這往往是一個令人沮喪的過程，可能需要翻遍網站尋找聯絡資訊，或者透過不確定的管道回報。

為了解決這個問題，security.txt 標準應運而生。它提供了一個統一的機制，讓網站擁有者可以公開其安全漏洞回報的聯絡方式，從而簡化安全研究人員的回報流程，並幫助網站更快地修補潛在的安全風險。

什麼是 security.txt？

security.txt 是一個提案中的標準（且已成為 RFC 標準，歡迎公眾貢獻：https://github.com/securitytxt/security-txt），旨在建立一個網站安全政策的檔案。這個檔案通常命名為 security.txt，並放置在網站的 .well-known 目錄下（例如：https://yourwebsite.com/.well-known/security.txt）。這個檔案的內容包含了網站擁有者希望安全研究人員在發現安全漏洞時使用的聯絡方式及相關政策。
security.txt 的主要目的是幫助公司和安全研究人員更容易地確保平台的安全，透過提供一個標準化的聯絡點，讓安全研究人員可以輕鬆地就安全問題與公司取得聯繫。

security.txt 檔案應包含的內容

一個典型的 security.txt 檔案包含以下重要欄位：

• Contact:
  這是最重要的欄位，用於指定安全研究人員應該如何聯繫網站的安全團隊。
  這可以是電子郵件地址（使用 mailto: 前綴）、URL（指向一個聯絡表單或安全回報頁面），甚至是電話號碼。
  建議至少提供一個電子郵件地址或聯絡表單，如果您擔心電子郵件地址會暴露於垃圾郵件機器人，可以選擇將 URI 設定為值並連結到您的安全政策頁面。
• Expires:
  這個欄位指定了 security.txt 檔案的有效期限。這有助於過期的聯絡資訊被識別出來。日期格式應遵循 ISO 8601 標準。
• Encryption:
  如果網站希望安全研究人員使用加密方式（例如 PGP/GPG）來傳送敏感資訊，可以在此欄位提供加密金鑰的連結。
• Acknowledgments:
  這個欄位可以連結到一個頁面，列出那些曾協助發現並回報安全漏洞的研究人員，以示感謝。
• Policy:
  這個欄位可以連結到網站的安全漏洞回報政策頁面，詳細說明回報流程、獎勵計劃（如果有的話）等資訊。
• Preferred-Languages:
  指定偏好的聯絡語言。

為什麼要使用 security.txt？

使用 security.txt 帶來了多方面的好處：

1. 簡化回報流程： 為安全研究人員提供了一個明確且標準化的聯絡點，省去了尋找聯絡資訊的麻煩。
2. 提高安全性： 鼓勵安全研究人員回報漏洞，讓網站能夠及時修補，降低被惡意攻擊的風險。
3. 建立信任： 表明網站擁有者對安全的重視，有助於建立使用者和安全社群的信任。
4. 符合最佳實踐： 採用 security.txt 正在成為一種推薦的安全最佳實踐。

如何實施 security.txt？

實施 security.txt 非常簡單：

1. 建立一個名為 security.txt 的純文字檔案。
2. 在檔案中填入至少 Contact 欄位，並提供有效的聯絡方式及其他您希望提供的資訊。
3. 將檔案上傳到網站根目錄下的 .well-known 資料夾。如果 .well-known 資料夾不存在，請建立檔案。
   確保檔案可以透過 https://yourwebsite.com/.well-known/security.txt 訪問。
   它也可以放在網站的根目錄下（/security.txt），尤其是在技術上無法使用 /.well-known/ 目錄時或者作為備用方案。
   檔案可以同時放在網站的這兩個位置。

請注意，.well-known 目錄是根據 RFC 8615 標準定義的，用於存放網站範圍的元數據檔案。
security.txt 檔案的 Internet Media Type 應為 text/plain，並且必須透過 HTTPS 提供服務。

以下是一個 security.txt 檔案的設定範本：

Contact: mailto:security@yourwebsite.com
Contact: https://yourwebsite.com/security-report
Expires: 2025-12-31T23:59:59Z
Encryption: https://yourwebsite.com/pgp-key.txt
Acknowledgments: https://yourwebsite.com/thanks.html
Policy: https://yourwebsite.com/security-policy.html
Preferred-Languages: zh-TW, en

請根據您的實際情況修改上述範本中的聯絡方式、過期日期和連結。

總結

security.txt 是一個簡單但功能強大的工具，它為網站安全漏洞的回報提供了一個標準化的方法。透過採用 security.txt，網站擁有者可以讓安全研究人員更容易地聯繫他們，從而更快地發現和修補潛在的安全問題，最終提升網站的整體安全性。這不僅是對網站自身安全的投資，也是對使用者信任的維護。鼓勵所有網站擁有者考慮實施 security.txt，共同建立一個更安全的網路環境。

相關資源

您可以訪問 security.txt 的官方網站了解更多資訊：https://securitytxt.org/