Как правильно настроить файл security.txt, чтобы исследователи безопасности могли быстро и легально сообщить вам об уязвимости? Создайте текстовый файл security.txt, разместите его по адресу /.well-known/security.txt на вашем домене и пропишите обязательные поля Contact с рабочим email, Expires с датой окончания актуальности в формате ISO 8601, Preferred-Languages и Canonical с прямой ссылкой на сам файл. По спецификации RFC 9116 срок действия не должен превышать один год, иначе автоматические сканеры и валидаторы сочтут файл устаревшим и проигнорируют его при обработке.
Важный технический нюанс: обязательно продублируйте этот же файл в корне сайта по адресу /security.txt и добавьте отдельной строкой ссылку на вашу политику раскрытия уязвимостей — это повышает доверие исследователей и снижает риск ложных обращений. Также проверьте, что Expires указана строго в формате ГГГГ-ММ-ДД, а сам файл отдаётся с типом контента text/plain и без редиректов. Если нужно внедрить всё корректно с первого раза и без риска ошибок, закажите услугу настройки security.txt — специалист подготовит и проверит файл, настроит редиректы и свяжет его с вашей политикой безопасности в течение 15 минут.