Простыми словами
Проще всего думать об этом так: security. Например, компания размещает /. txt с адресом security@ и ссылкой на правила disclosure. Поэтому главное - заранее ограничить возможный ущерб и проверить, что лишний доступ или опасный ввод не проходят незаметно.
Пример при разработке
Компания размещает /.well-known/security.txt с адресом security@ и ссылкой на правила disclosure.
Это редакционный пример применения, а не часть определения или доказательство концепции.Формальное определение
security.txt публикует стандартизированный способ связаться с организацией по поводу найденной уязвимости.
Механизм действия
Файл размещается в well-known пути, содержит Contact и Expires, при необходимости подпись и дополнительные поля.
Пример в работе
Внедрить «Файл контактов безопасности security.txt» как формальную настройку, не проверив сценарий отказа и ограничение: Файл не создаёт программу bug bounty и не гарантирует скорость реакции.
Применять «Файл контактов безопасности security.txt» только для заявленной цели, проверять поведение на реальном контуре и сохранять наблюдаемый критерий результата.
Ограничения
Файл не создаёт программу bug bounty и не гарантирует скорость реакции.
Источник
IETF, “A File Format to Aid in Security Vulnerability Disclosure”, 2022.