Gdzie umieścić plik?
Standardowym adresem jest /.well-known/security.txt. Warto zadbać o HTTPS, poprawny typ treści oraz brak niepotrzebnych przekierowań.
Najważniejsze pola
Contact wskazuje kanał zgłoszeń, Expires określa termin aktualności, Canonical potwierdza właściwy adres dokumentu, a Policy może prowadzić do zasad programu odpowiedzialnego ujawniania.
Dlaczego Expires ma znaczenie?
Nieaktualny kontakt jest gorszy niż jego brak, ponieważ daje fałszywe poczucie, że zgłoszenie zostało przekazane właściwemu zespołowi. Data wygaśnięcia wymusza okresowy przegląd informacji.
Co nie powinno się znaleźć w pliku?
Nie publikuj danych osób prywatnych bez potrzeby ani informacji technicznych, które ułatwiają atak. Plik ma wskazywać proces kontaktu, a nie opisywać wewnętrzną architekturę.