"security.txt" についてまとめみた

CISSPの継続学習で知ったので忘却録としてまとめました。 security.txtとは security.txtとは、IETFが提唱している、ウェブサイトにセキュリティポリシーやサイトの脆弱性を発見したときの連絡先を記載するための標準で、robots.txt、ads.txt、humans.txtと同じようにテキスト形式で記載します。 投稿当時（2021/10/22）では、第12版のドラフトまで完成していますが、近くRFC化される見込みです。 (2023/11/1:更新) RFC 9116としてRFC化されました。 設定の効果 独自開発したWebサイトなどの脆弱性（XSSやSQLインジェクション等）の報告先を独自に設定することができます。したがって、いままでJPCERT/CCなどに報告する必要がある情報を作り手に直接連絡できるため、スピード感がある対応できると見込まれています。 ただし、表

[punychan]

「営業や標的型攻撃の対象となる可能性」これよね。スパムとか脆弱性見つけましたみたいなフィッシングとかマルウェアとかいっぱい来そう。脆弱な担当者を置けない。

[progrhyme]

"近くRFC化される見込み"

[SWIMATH2]

へーなるほどrobots.txtみたいなノリで置くんか

[aox]

ホワイトハッカーさんが書き込むファイルではないんですね ʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ•̫͡•ʔ•̫͡•ʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʕ•̫͡•ʕ•̫͡•ʔ•̫͡•ʔ•̫͡•ʕ

[momoirotan]

“.well-known/security.txt”

[gogatsu26]

“まだ策定中の仕様のため、実運用されているのはGoogle,Facebookなど巨大企業のみとなります。”

[yhara]

“security.txtとは、IETFが提唱している、ウェブサイトにセキュリティポリシーやサイトの脆弱性を発見したときの連絡先を記載するための標準で”