security.txt: أخبر الناس أين يبلغون عن الثغرات

كل بضعة أشهر يراسل أحدهم info@ أو موظفًا عشوائيًا على LinkedIn: «وجدت مشكلة أمنية في موقعكم». أحيانًا تكون احتيالًا. وكثيرًا ما تكون حقيقية، وتبقى الرسالة دون قراءة.

ملف security.txt يخبر الباحثين أين يرسلون البلاغات. مكانه /.well-known/security.txt ويمكن أن يكون بهذا القِصر:

Contact: mailto:security@example.com
Expires: 2027-03-31T00:00:00Z

أمور تجعله يعمل:

• استخدم عنوانًا يقرؤه شخص حقيقي، وردّ خلال أيام، ولو بالشكر فقط.
• أضف صفحة قصيرة توضح ما يشمله نطاق البلاغات، وأنك لن تتخذ إجراءً قانونيًا ضد البلاغات بحسن نية.
• حدّث تاريخ Expires كل سنة. الملف القديم يبدو مهجورًا.

لا تحتاج برنامج مكافآت لتبدأ. تحتاج بابًا يردّ عليه أحد.