WebsiteScanner
Quét toàn bộ websiteEnglish

Tạo file security.txt

Điền thông tin liên hệ bảo mật, công cụ tạo sẵn file security.txt theo chuẩn RFC 9116. Mọi thứ chạy ngay trong trình duyệt, không gửi dữ liệu đi đâu.

Liên hệ (Contact) — email hoặc URL https, bắt buộc ít nhất một

File security.txt

Cách đặt file lên website

  1. Vị trí: Đặt file tại https://tên-miền/.well-known/security.txt, phục vụ qua HTTPS với kiểu nội dung text/plain.
  2. Nginx: Thêm vào khối server { ... } rồi chạy nginx -t && systemctl reload nginx:
    location = /.well-known/security.txt {
  root /var/www/html;
  default_type text/plain;
}
  3. Apache: Chỉ cần đặt file vào thư mục .well-known trong thư mục gốc website. Đảm bảo không có quy tắc .htaccess nào chặn thư mục .well-known (Apache tự trả .txt là text/plain).
  4. WordPress: Tải file lên thư mục .well-known ở thư mục gốc qua trình quản lý file của hosting (cPanel File Manager) hoặc FTP. Cũng có plugin làm việc này, nhưng đặt file trực tiếp là đơn giản nhất.
  5. Cloudflare Workers / Pages: Đặt file vào public/.well-known/security.txt (thư mục tĩnh của dự án) rồi deploy lại.

Chuẩn cho phép ký file bằng PGP (OpenPGP cleartext signature); công cụ này không thực hiện bước ký đó.

security.txt dùng để làm gì?

security.txt là một file văn bản nhỏ cho biết nhà nghiên cứu bảo mật nên liên hệ với ai khi phát hiện lỗ hổng trên website của bạn. Không có file này, người muốn báo lỗi thiện chí thường không tìm được kênh liên lạc, và lỗ hổng có thể bị bỏ qua hoặc công bố công khai.

Trong báo cáo của WebsiteScanner, thiếu security.txt chỉ là gợi ý (mức thông tin), không bị trừ điểm.

Câu hỏi thường gặp

security.txt có bắt buộc không?

Không. Đây là chuẩn tự nguyện (RFC 9116). Nó giúp người phát hiện lỗ hổng báo cho bạn đúng chỗ, nhưng thiếu nó WebsiteScanner chỉ ghi nhận như một gợi ý, không trừ điểm.

Trường nào là bắt buộc?

Theo RFC 9116, Contact và Expires là bắt buộc. Các trường khác như Preferred-Languages, Policy, Canonical là tùy chọn nhưng nên có.

Vì sao Expires nên dưới một năm?

Để thông tin liên hệ không bị cũ. RFC 9116 khuyên đặt Expires cách hiện tại dưới một năm và cập nhật file định kỳ trước ngày đó.

Nên dùng email hay đường dẫn web cho Contact?

Cả hai đều được. Email (mailto:) là đơn giản nhất; nếu có trang hoặc biểu mẫu báo lỗi riêng, dùng URL https. Có thể ghi nhiều dòng Contact, xếp theo thứ tự ưu tiên.

Kiểm tra toàn bộ bảo mật website miễn phí

Ngoài security.txt, WebsiteScanner còn kiểm tra SSL, header bảo mật, SPF/DMARC, file nhạy cảm bị lộ, chấm điểm A–F kèm cách sửa.

Quét miễn phí