security.txt: zo laat u beveiligingsonderzoekers weten waar ze een lek kunnen melden

Iemand ontdekt dat het contactformulier op uw website te misbruiken is, of dat een oude back-up openbaar te downloaden staat. Hij wil u waarschuwen. Maar waar? Het algemene mailadres leest misschien niemand, het contactformulier is precies het onderdeel dat lek is, en via sociale media een lek melden is onhandig voor beide partijen. Veel goedbedoelde meldingen sneuvelen op dit punt.

Daarvoor bestaat security.txt: een klein tekstbestand op een vaste plek in uw website, met daarin hoe en waar beveiligingsproblemen gemeld kunnen worden. In dit artikel leest u wat erin moet en hoe u het op een WordPress-site plaatst.

Wat is security.txt?

security.txt is een internationale standaard, vastgelegd in RFC 9116 uit 2022. Het bestand staat altijd op dezelfde plek:

https://uwdomein.nl/.well-known/security.txt

Omdat de plek vast is, weten onderzoekers, beveiligingsbedrijven en ook geautomatiseerde scanners precies waar ze moeten kijken. In Nederland wordt het gebruik ervan aangemoedigd door onder meer het Nationaal Cyber Security Centrum, en het staat op de lijst met moderne standaarden die het testprogramma van internet.nl controleert.

Wat staat erin?

Het bestand is kort. Twee velden zijn verplicht:

• Contact: waar een melding naartoe moet, bijvoorbeeld mailto:security@uwdomein.nl of een link naar een meldformulier. Meerdere regels mogen.
• Expires: tot wanneer de informatie geldig is, in een vast datumformaat. Zet dit niet verder dan een jaar vooruit, zodat u gedwongen wordt het bestand bij te houden.

Optioneel, maar nuttig:

• Preferred-Languages: in welke talen u meldingen kunt lezen, bijvoorbeeld nl, en.
• Policy: een link naar een pagina waarop u uitlegt hoe u met meldingen omgaat, vaak een “responsible disclosure”- of “coordinated vulnerability disclosure”-beleid.
• Canonical: het volledige adres van het bestand zelf.

Een eenvoudig voorbeeld:

Contact: mailto:security@voorbeeld.nl
Expires: 2027-10-01T00:00:00.000Z
Preferred-Languages: nl, en
Canonical: https://voorbeeld.nl/.well-known/security.txt
Policy: https://voorbeeld.nl/responsible-disclosure/

Waarom zou een klein bedrijf dit doen?

“Wie gaat er nu naar lekken zoeken op mijn website?” Meer mensen dan u denkt. Er zijn onderzoekers die op grote schaal websites scannen op bekende zwakke plekken in plugins, en vrijwilligers die meldingen doen omdat ze het internet veiliger willen maken. Zonder duidelijk aanspreekpunt bereikt hun melding u niet, en blijft een lek open dat kwaadwillenden ook kunnen vinden.

Daarnaast is het een klein signaal van volwassen beheer. Het kost een kwartier, het is gratis en er zit geen nadeel aan, zolang het adres werkt en iemand de berichten leest.

Zo plaatst u het op een WordPress-site

1. Maak een mailadres aan dat bij u of uw beheerder terechtkomt, bijvoorbeeld security@uwdomein.nl. Gebruik geen adres dat al overspoeld wordt met spam.
2. Schrijf het bestand in een teksteditor zoals in het voorbeeld hierboven en sla het op als security.txt.
3. Upload het via het bestandsbeheer van uw hosting naar de map .well-known in de hoofdmap van uw website. Bestaat die map niet, maak hem dan aan. Let op de punt aan het begin.
4. Controleer of het bestand in de browser opent op het adres hierboven. Sommige beveiligingsinstellingen blokkeren de map; laat die dan aanpassen. Een paar beveiligingsplugins kunnen het bestand ook voor u beheren.
5. Zet de vervaldatum in uw agenda. Een verlopen security.txt geeft de indruk dat niemand het bijhoudt.

En als er een melding binnenkomt?

Bedank de melder en bevestig dat u de melding heeft ontvangen. Laat het lek zo snel mogelijk dichten door degene die uw website beheert, en laat de melder weten wanneer het opgelost is. Vraagt iemand vooraf om geld voordat hij vertelt wat er mis is, dan is dat geen verantwoorde melding; ga daar niet op in en laat uw site laten controleren.

Een lek in een plugin melden aan de maker is ook verstandig; hoe u bijhoudt welke plugins bekende lekken hebben, leest u in ons artikel over kwetsbaarheden volgen. En wilt u ook de andere beveiligingsinstellingen van uw server nalopen, kijk dan naar de uitleg over beveiligingsheaders.

Wat u zelf doet en wanneer u hulp inschakelt

Het bestand schrijven en uploaden kunt u zelf. Lastiger wordt het als er daadwerkelijk een melding binnenkomt: dan moet snel worden vastgesteld of het klopt en moet het lek veilig worden gedicht. Dat is precies het werk van onze websitebeveiliging; klanten kunnen ons adres als contact in hun security.txt opnemen.