Security.txt
Es un estándar de ciber seguridad para sitios web con el objetivo de facilitar a los investigadores de seguridad que reporten de forma sencilla las vulnerabilidades de seguridad de un sitio web.[1][2] El estándar consta de un archivo de texto simple denominado "security.txt" que deberá estar generalmente en la carpeta well known, dicho archivo tendrá un correo electrónico o un sitio web referente a los asuntos de seguridad, además de poder contener un enlace a una llave PGP para poder comunicarse mediante correo electrónico de manera cifrada.
| Security.txt | ||
|---|---|---|
 | ||
| Tipo de estándar | formato de archivo | |
| Estado | Aceptado | |
| Sitio web | securitytxt.org | |
El archivo de texto "security.txt" es similar a robots.txt pero que pretende ser leído por personas que deseen contactar al dueño o administrador de un sitio web para asuntos de seguridad.[3]
Security.txt ha sido adoptado por Google, GitHub, LinkedIn, y Facebook.[4]
Historia
La propuesta nació de la necesidad de los investigadores de seguridad y de los cazadores de bugs de querer comunicarse con los propietarios o administrador de un sitio web para poder reportar brechas de seguridad, pero que no tenían un medio de contacto dedicado a ello.
El Borrador de Internet fue entregado por primera vez por Edwin Foudil en septiembre de 2017.[1] En aquel momento abarcaba cuatro directivas: "Contacto", "Cifrado", "Divulgación" y "Reconocimiento". Foudil esperaba añadir aún más directivas basándose en la retroalimentación.[2] En aquel entonces, el experto de seguridad web Scott Helme dijo que había visto una retroalimentación positiva de la comunidad de seguridad, mientras que el uso entre el primer millón de sitios web era "tan bajo como se esperaba para ahora mismo".
En abril de 2022 el archivo security.txt fue aceptado oficialmente por Internet Engineering Task Force (IETF) como el RFC 9116.[5]
Ubicación
Un archivo security.txt puede estar alojado en la carpeta /.well-known/ (ejemplo. /.well-known/security.txt) o en la carpeta raíz (ejemplo. /security.txt) de un sitio web.
Es recomendable que el archivo sea usado en sitios web que usen HTTPS y que esté en formato de texto simple.[6]
Véase también
Referencias
Enlaces externos
Datos: Q65057155
