security.txt
Файл сообщает исследователям, куда безопасно отправлять сведения об уязвимости. Его основное расположение — /.well-known/security.txt по HTTPS; обязательны Contact и актуальный Expires. Файл не даёт разрешения тестировать сайт.
SECURITY / DISCLOSURE
Генератор security.txt и защитных HTTP-заголовков
Два связанных конструктора: канал ответственного сообщения об уязвимостях и настраиваемая политика заголовков без слепого копирования опасного CSP.
- 01RFC 9116
- 02CSP-конструктор
- 03Nginx / Apache / PHP
- 04Проверка конфликтов
WORKSPACE / HEADERS
Готов к работе—
Требуется тестирование
GUIDE / Безопасность
Как получить корректный результат
Как внедрять CSP
Начните с Content-Security-Policy-Report-Only, изучите нарушения и только затем включайте блокировку. Белые списки источников нужно адаптировать под реальные шрифты, аналитику, оплату и API сайта.
Что дают остальные заголовки
HSTS закрепляет HTTPS, nosniff запрещает угадывание MIME-типа, Referrer-Policy сокращает утечки адресов, Permissions-Policy ограничивает браузерные возможности. Ошибочная настройка может сломать сайт — проверяйте на тестовом окружении.
FAQ / КОРОТКО
Частые вопросы
Обязателен ли security.txt?
Для большинства сайтов это добровольный стандарт, но он создаёт понятный и машиночитаемый канал ответственного раскрытия уязвимостей.
Можно сразу поставить строгий CSP?
Только после инвентаризации ресурсов и тестирования. Без этого могут перестать работать скрипты, формы, стили, виджеты и платежи.
Заменяют ли заголовки исправление уязвимостей?
Защитные заголовки дополняют безопасную разработку. Уязвимости в коде, обновления и контроль доступа требуют отдельной работы.