ตัวสร้าง security.txt
สร้างไฟล์ security.txt ที่ถูกต้องตาม RFC 9116 พร้อมช่อง Contact, Expires, Encryption, Policy และ CSAF ใช้งานฟรี ทำงาน offline คัดลอกได้ทันที
Loading tool...
ตัวสร้าง security.txt คืออะไร?
ตัวสร้าง security.txt ที่สร้างไฟล์รายงานช่องโหว่ตามมาตรฐาน RFC 9116 เพียงกรอกข้อมูลติดต่อ วันหมดอายุ และช่องเพิ่มเติม เช่น encryption key และลิงก์นโยบาย ก็ได้ไฟล์ security.txt พร้อม deploy ทันที ประมวลผลในเบราว์เซอร์ทั้งหมด
ประโยชน์หลัก
- ผลลัพธ์เป็นไปตามมาตรฐาน ที่เครื่องมือสแกนและนักวิจัยรู้จัก
- ฟอร์มช่วยเติมพร้อมตรวจสอบช่องที่จำเป็น แทนการเขียน syntax เอง
- จัดรูปแบบวันหมดอายุ ISO 8601 อัตโนมัติ พร้อมปุ่ม +1 ปี
- คัดลอกหรือดาวน์โหลดได้ทันที ไม่ต้องประมวลผลบนเซิร์ฟเวอร์
- อินเทอร์เฟซสองภาษาอังกฤษและไทย ใช้งาน offline ได้
กรณีการใช้งาน
- •เผยแพร่ช่องทางรายงานช่องโหว่สำหรับเว็บไซต์บริษัท
- •เพิ่ม security.txt ให้เว็บเอกสารของโปรเจกต์ open source
- •เตรียมโครงสร้างพื้นฐานสำหรับโปรแกรม bug bounty
- •ผ่าน checklist ด้าน compliance ที่ตรวจหา /.well-known/security.txt
วิธีสร้างไฟล์ security.txt
- ใส่ช่องทางติดต่ออย่างน้อยหนึ่งทาง: กรอกอีเมลรับรายงาน (จะออกเป็น Contact: mailto:...) หรือ URL ติดต่อ หรือทั้งสองอย่าง นี่คือช่องทางที่นักวิจัยจะใช้ติดต่อคุณ
- ตั้งวันหมดอายุ: เลือกวันที่หรือกดปุ่ม one-year ไฟล์จะเขียน Expires เป็น timestamp UTC เต็มรูปแบบตามที่ RFC 9116 กำหนด และฟอร์มจะเตือนจนกว่าจะมี contact และ expiry ครบ
- กรอกฟิลด์เสริม: เพิ่ม Encryption สำหรับ PGP key ของคุณ, Preferred-Languages (เช่น en, th), Policy, Acknowledgments, Hiring, CSAF และ Canonical ติ๊ก Signature เฉพาะเมื่อจะโฮสต์ไฟล์ .sig จริง
- คัดลอกและ deploy: คัดลอกตัวอย่างไฟล์หรือดาวน์โหลด security.txt แล้วเสิร์ฟที่ https://yourdomain/.well-known/security.txt ผ่าน HTTPS ไฟล์ถูกประกอบขึ้นในเบราว์เซอร์ทั้งหมด
คุณสมบัติหลัก
- รองรับครบทุกช่องตาม RFC 9116 รวมถึง CSAF และ Signature
- ตรวจสอบช่องที่จำเป็นพร้อมข้อความที่เข้าใจง่าย
- ปุ่ม +1 ปี พร้อมจัดรูปแบบวันที่แบบ ISO 8601 อัตโนมัติ
- พรีวิวอัปเดตสดขณะพิมพ์
- คัดลอกและดาวน์โหลดไฟล์ได้โดยไม่ต้องผ่านเซิร์ฟเวอร์
- อินเทอร์เฟซสองภาษาอังกฤษและไทย ใช้งาน offline สมบูรณ์
คำถามที่พบบ่อย
ไฟล์ security.txt ใช้ทำอะไร
ไฟล์นี้บอกนักวิจัยความปลอดภัยว่าควรรายงานช่องโหว่ของโดเมนคุณที่ไหน ตามมาตรฐาน RFC 9116 ไฟล์จะอยู่ที่ /.well-known/security.txt พร้อมระบุช่องทางติดต่อ, key สำหรับเข้ารหัส, นโยบาย disclosure และวันหมดอายุ
ฟิลด์ใดบังคับต้องมี
ต้องมี Contact อย่างน้อยหนึ่งรายการ (แบบ mailto: หรือ URL) และ Expires เครื่องมือจะแจ้งเตือนจนกว่าจะครบ โดยวันหมดอายุจะถูกเขียนเป็น timestamp UTC เต็มรูปแบบ (T23:59:59.000Z) ตามที่ RFC กำหนด และปุ่ม one-year ช่วยตั้งค่าเริ่มต้นที่เหมาะสม
ควร deploy ไฟล์ไว้ที่ไหน
เสิร์ฟที่ https://yourdomain/.well-known/security.txt ผ่าน HTTPS และควรมีที่ /security.txt ที่รากด้วย ถ้าเผยแพร่ทั้งสองที่ให้ตั้ง Canonical เป็น URL หลัก
ฟิลด์ Signature คือลายเซ็นจริงหรือเปล่า
ไม่ใช่ ช่องนี้เพียงเพิ่มบรรทัด Signature ชี้ไปยัง URL ของไฟล์ .sig คุณต้องสร้าง detached PGP signature เองและโฮสต์ไว้ที่นั่น ส่วนตัวไฟล์ประกอบขึ้นในเบราว์เซอร์ทั้งหมด ไม่มีการอัปโหลด