研究者が実際に使えるsecurity.txtを公開する

誰かがあなたのサイトの脆弱性を見つけた時、どこに報告するか？RFC 9116が答えを定義しており、これがファイルを生成します。

このガイドで使う道具

やりたいこと

/.well-known/security.txtのsecurity.txtは「脆弱性はここに報告」を伝える標準手段です — 連絡先・有効期限・任意の暗号化と謝辞リンク。研究者はこれを探し、スキャナはこれを確認します。ファイルがないと報告は行き当たりの受信箱か行方不明になります。

フィールドを埋める

Contactは必須でURI形式 — mailto:、https:、tel:。Expiresも必須で、RFCは約1年以内を求めます（古いファイルが見える形で期限切れになるように）。必要に応じてEncryption・Acknowledgments・Preferred-Languages・Canonical・Policyを追加します。

各URIフィールドは検証されます — mailto:のタイポやURIでない裸のドメインは公開前に検出されます。
ExpiresはISO 8601の日時形式です。来年の日付を選び、更新リマインダーをカレンダーに入れてください。

デプロイの注意点

/.well-known/security.txt（任意で/security.txt）にtext/plainで配信します。RFCはキーを公開している場合PGP署名を推奨します — 生成されたファイルは未署名なので、公開前に自分のツールで署名を追加してください。