security.txt maken en signeren
Wanneer iemand een probleem in jouw systeem vindt, is de vraag "aan wie meldt hij het?" geen beleidsvraag maar een padvraag: staat er op `/.well-known/security.txt` een bestand dat hem antwoordt? RFC 8615 beschrijft dat bestand, de standaardlocatie, het legacy-pad `/security.txt`, en de velden die erbij horen: contact, expires, en optioneel policy, canonical en een PGP-sleutelverwijzing.
De security.txt-tool controleert beide paden en leest wat er staat — en aan de andere kant van de pagina bouw je er zelf een: velden invullen, bestand klaar voor plaatsing, en desgewenst signeren. Een ongetekend bestand is een tekst die bij jouw domein hoort; een clearsigned bestand is bovendien bewijs dat die tekst van jou is.
Dit artikel behandelt het maken, plaatsen en signeren — en hoe je controleert dat je eigen handtekening klopt voordat je een ander erop vertrouwt.
Beide paden, één inhoud
RFC 8615 kent de standaardlocatie onder `.well-known/` en noemt `/security.txt` als legacy-pad dat je mag dienen, maar niet als vervanging. Serveren op beide paden, met dezelfde inhoud, is de praktijk die zowel de standaardvolgende crawler als de oudere onderzoeker bedient. Verwijzingen op twee locaties met verschillende inhoud — dat is wat de tool als eerste apart zet.
Expires is geen detail
Het veld `expires` zegt hoe lang de inhoud nog als actueel mag gelden. Een security.txt met een verlopen expires is erger dan geen bestand: het signaleert dat iemand het ooit serieus nam en het daarna liet liggen. De tool meldt een verlopen expires als gemeten tekort — een datum is hier geen decoratie.
Signeren: bewijzen dat het van jou is
Een clearsigned security.txt (OpenPGP-handtekening om de tekst heen) maakt de inhoud een eigendomsbewijs: iemand die een probleem meldt, ziet dat het document echt bij het domein hoort. Haal je eigen sleutelblok door de PGP-lezer voordat je tekent: vingerafdruk, algoritme en subsleutels — controleren wat je gaat neerzetten, vóórdat het publiek is.
Vóór het incident
Een meldpunt heeft alleen waarde als het staat voordat er iets te melden is. Zet het bestand, zet de expires, en herhaal de controle op beide paden wanneer je certificaat of nameserver wijzigt (website beveiligen noemt die momenten; de mail-trust-laag is het onderwerp waar security.txt vaak bij hoort — security-incidenten en mailmisbruik komen vaak uit dezelfde hoek).