هل يعرف الباحث كيف يبلّغ عن ثغرة في هذا الموقع؟
لماذا يهم
يعثر الباحثون على ثغرات ثم لا يجدون جهة يبلّغونها فيضيع البلاغ أو يُنشر علناً بينما يحدد ملف security.txt في عنوان معياري جهة التواصل ويبقى محدّثاً بفضل تاريخ الانتهاء.
متى يجتاز النطاق
يجتاز الموقع عندما يقدّم الملف عبر HTTPS في عنوانه المعياري مع حقل جهة التواصل وتاريخ انتهاء واحد لم يحن بعد.
كيف تعالجه
- أنشئ ملفاً نصياً يتضمن حقول جهة التواصل وتاريخ الانتهاء واللغات المفضلة.
- قدّمه عبر HTTPS في عنوانه المعياري وجدّد تاريخ الانتهاء قبل أن يحين.
- اجعل جهة التواصل صندوق بريد يُتابَع أو نموذجاً للإفصاح.
مثال على السجل
https://example.com/.well-known/security.txt
Contact: mailto:security@example.com
Expires: 2027-12-31T21:00:00.000Z
Preferred-Languages: ar, en