Générateur security.txt — créer et valider un fichier RFC 9116
Créez un security.txt valide (RFC 9116) avec les champs de contact, d’expiration, de chiffrement et de politique, vérifiez un fichier existant et téléchargez-le pour /.well-known/.
Adresses e-mail, formulaires de signalement en https:// ou numéros de téléphone. mailto: est ajouté aux adresses e-mail seules. Placez la préférée en premier.
Date-heure RFC 3339, à moins d’un an. Notez un rappel dans votre agenda pour le renouveler avant qu’il n’expire.
URL de votre clé publique PGP (https://, dns: ou openpgp4fpr:), et non la clé elle-même.
Balises de langue séparées par des virgules, par ex. en, fr, pt-BR.
La ou les URL https:// où se trouve ce fichier. Indispensable en pratique si vous le signez.
Votre politique de divulgation des vulnérabilités : périmètre, safe harbour, manière dont vous répondez.
Une page qui remercie les chercheurs ayant signalé des problèmes (hall of fame).
Offres d’emploi en sécurité.
Pour les éditeurs qui publient des avis lisibles par machine : URL de provider-metadata.json.
Valide : tous les champs requis sont présents et chaque valeur respecte la RFC 9116.
…
- Servez-le à l’adresse
https://yourdomain.com/.well-known/security.txten HTTPS, entext/plain; charset=utf-8. Vous pouvez aussi rediriger/security.txtvers celui-ci. - Next.js, Astro, Vite et la plupart des hébergeurs statiques : enregistrez-le sous
public/.well-known/security.txt. WordPress, Apache ou nginx : créez un dossier.well-knownà la racine web. - Chaque sous-domaine qui sert son propre site doit avoir son propre fichier (ou renvoyer vers le fichier principal dans un commentaire).
- Facultatif : signez-le avec
gpg --clearsign security.txtet publiez le résultat signé ; incluez Canonical pour que la signature couvre l’emplacement.
Fonctionne entièrement dans votre navigateur. Rien de ce que vous saisissez n’est envoyé ni stocké. Parcourir tous les outils gratuits.
Un problème, ou quelque chose à améliorer ? Nous lisons chaque message et corrigeons vite.
Ce générateur security.txt gratuit crée le petit fichier texte, normalisé par la RFC 9116, qui indique aux chercheurs en sécurité comment signaler une vulnérabilité sur votre site. Renseignez un contact, une date d’expiration et, si vous le souhaitez, votre clé de chiffrement, votre politique de divulgation, votre page de remerciements, vos langues préférées et l’URL canonique ; le fichier est validé selon la RFC pendant la saisie et se télécharge sous le nom security.txt, prêt à être déposé dans /.well-known/security.txt.
Sans lui, quelqu’un qui trouve une faille sur votre site doit deviner où l’envoyer, et les signalements finissent dans une boîte de support, sur les réseaux sociaux ou nulle part. Le fichier prend cinq minutes et il est vérifié par de nombreux scanners de sécurité et chercheurs en bug bounty. Le second onglet valide un fichier que vous publiez déjà. L’outil ne signe pas le fichier (utilisez gpg pour cela) et ne récupère pas votre fichier en ligne, car la page n’effectue aucune requête réseau.
Mode d’emploi
- Saisissez au moins un Contact : une adresse e-mail de sécurité, l’URL d’un formulaire de signalement ou un numéro de téléphone. Placez le préféré en premier.
- Définissez Expires avec l’un des boutons (six mois est une bonne valeur par défaut) ou tapez une date-heure RFC 3339.
- Ajoutez les champs facultatifs dont vous disposez : l’URL de votre clé PGP, votre politique de divulgation, une page de remerciements, les langues que vous lisez et l’URL canonique du fichier.
- Corrigez tout ce qui est signalé en rouge ; les éléments en orange sont des recommandations.
- Téléchargez security.txt et publiez-le à l’adresse https://yourdomain.com/.well-known/security.txt, servi en text/plain. Programmez un rappel pour mettre à jour Expires.
Questions fréquentes
Qu’est-ce que security.txt ?
Un fichier texte brut situé à /.well-known/security.txt qui indique comment signaler des vulnérabilités de sécurité dans un site web ou un produit. Il a été publié sous le nom de RFC 9116 par l’IETF en avril 2022. Seuls deux champs sont obligatoires, Contact et Expires ; les autres (Encryption, Acknowledgments, Preferred-Languages, Canonical, Policy, Hiring) sont facultatifs.
Où placer le fichier security.txt ?
À l’adresse https://yourdomain.com/.well-known/security.txt, servi en HTTPS avec le type de contenu text/plain; charset=utf-8. L’ancien emplacement /security.txt à la racine est encore lu par certains outils ; vous pouvez y servir une copie ou le rediriger. Avec Next.js, Astro, Vite et la plupart des hébergeurs statiques, placez le fichier dans public/.well-known/. Chaque nom d’hôte qui constitue un site à part entière devrait avoir son propre fichier.
Pourquoi le champ Expires est-il obligatoire ?
Pour que des coordonnées périmées ne fassent pas foi indéfiniment. La RFC 9116 rend Expires obligatoire et recommande une date à moins d’un an ; une fois celle-ci passée, chercheurs et scanners doivent considérer le fichier comme obsolète. Six mois avec un rappel d’agenda pour le renouveler est un rythme pratique, et le générateur vous avertit si la date est passée ou à plus d’un an.
Faut-il signer security.txt ?
La signature est facultative mais recommandée. Lancez gpg --clearsign security.txt avec une clé dont vous publiez la partie publique (le champ Encryption peut y renvoyer) et déposez plutôt la version signée. Si vous signez, incluez un champ Canonical, pour qu’une copie signée récupérée à une URL ne puisse pas être présentée comme valide à une autre.
Puis-je utiliser le lien d’une plateforme de bug bounty comme contact ?
Oui. Contact accepte n’importe quelle URI https:// : la page d’un programme HackerOne, Bugcrowd, Intigriti ou YesWeHack, ou votre propre formulaire de signalement, est valide. Beaucoup d’organisations indiquent à la fois un lien de plateforme et une adresse e-mail, par ordre de préférence.
Les champs RFC 9116 en un coup d’œil
• Contact (obligatoire, répétable) : URI mailto:, https: ou tel:. L’ordre indique la préférence.
• Expires (obligatoire, une seule fois) : date-heure RFC 3339 comme 2027-04-30T23:59:59Z ; recommandée à moins d’un an.
• Encryption (répétable) : où obtenir votre clé publique, sous forme https://, dns: (enregistrement OPENPGPKEY) ou openpgp4fpr: (empreinte). Ne collez jamais la clé elle-même.
• Acknowledgments (répétable) : une page qui remercie les auteurs de signalements.
• Preferred-Languages (une fois) : balises de langue séparées par des virgules, par ex. en, fr.
• Canonical (répétable) : la ou les URL où ce fichier est censé se trouver.
• Policy (répétable) : votre politique de divulgation des vulnérabilités.
• Hiring (répétable) : offres d’emploi liées à la sécurité.
• CSAF (répétable, enregistré par OASIS) : le provider-metadata.json d’un flux d’avis CSAF.
Les URI web doivent utiliser https://. Les lignes commençant par # sont des commentaires.
Que mettre dans votre politique de divulgation
Le lien Policy est l’endroit où les chercheurs apprennent s’ils peuvent signaler sans risque. Précisez le périmètre (quels domaines et applications), ce qui en est exclu (déni de service, ingénierie sociale, résultats bruts de scanners automatisés), vos délais d’accusé de réception et de correction, si vous offrez des récompenses, et une clause de « safe harbour » indiquant que vous n’engagerez pas de poursuites contre des recherches de bonne foi respectant la politique. Une page courte et claire suscite des signalements plus utiles qu’une longue page juridique.
security.txt et robots.txt
Ils cohabitent mais n’ont pas le même rôle : robots.txt indique aux robots ce qu’ils ne doivent pas explorer, security.txt indique aux humains comment joindre votre contact sécurité. Ne listez pas security.txt ni /.well-known/ sous Disallow : les chercheurs et les scanners doivent pouvoir le lire, et le bloquer dans robots.txt ne le cache de toute façon pas.
Outils gratuits similaires
- Générateur de robots.txt — Créez un robots.txt avec des préréglages tout autoriser, préproduction et WordPress, une section robots d’IA (bloquer l’entraînement, garder la recherche IA) et des alertes sur les erreurs qui désindexent un site.
- Générateur de mots de passe — Générez un mot de passe aléatoire fort, une phrase de passe facile à retenir ou un code PIN. Tout se passe dans votre navigateur, rien n’est envoyé ni stocké.
- Générateur de balises meta — Renseignez le titre, la description et les informations de carte sociale d’une page ; obtenez un bloc <head> complet, correctement échappé, avec compteurs de longueur en direct.
- Décodeur JWT — Décodez l’en-tête et la charge utile d’un JWT, lisez l’expiration en clair, vérifiez les signatures HS, RS, PS et ES ou signez un nouveau jeton. Rien ne quitte votre navigateur.