Cada día, miles de sitios web son atacados por hackers y bots maliciosos que buscan vulnerabilidades a explotar en nuestra web. Ante este panorama, es esencial que los propietarios de sitios web tomen medidas proactivas para proteger sus activos en línea. Una herramienta fundamental en este esfuerzo es el archivo security.txt.
¿Qué es el archivo security.txt?
El archivo security.txt es un estándar propuesto por el grupo de trabajo de seguridad en la web del Internet Engineering Task Force (IETF). Su objetivo principal es permitir que los propietarios de sitios web comuniquen de manera clara y efectiva información sobre cómo informar sobre problemas de seguridad relacionados con un sitio web. Esta información puede ser empleada por hackers éticos, investigadores de seguridad o usuarios preocupados que deseen reportar de las vulnerabilidades encontradas.
Funcionamiento del archivo security.txt
El funcionamiento del archivo security.txt es bastante simple pero tremendamente efectivo. Consiste en un archivo de texto plano alojado en la raíz del sitio web que contiene directivas específicas sobre cómo abordar problemas de seguridad. Algunas de las directivas comunes que se pueden incluir en el archivo security.txt son:
- Contacto de seguridad: Se proporciona información de contacto específica para informar sobre problemas de seguridad. Esto puede incluir una dirección de correo electrónico, una URL de formulario web o incluso una cuenta de Twitter.
- Política de divulgación de errores: Se especifica cómo se espera que se informen los problemas de seguridad. Esto puede incluir detalles sobre cómo se manejarán las divulgaciones públicas y cuál es el plazo esperado para la resolución de problemas.
- Agradecimientos: Algunos propietarios de sitios web eligen incluir una sección de agradecimientos en su archivo security.txt para reconocer a los investigadores de seguridad que han contribuido a mejorar la seguridad de su sitio.
¿Cómo generar un archivo security.txt?
Generar un archivo security.txt para tu sitio web es un proceso sencillo que puede llevarse a cabo en unos pocos pasos:
- Crea un archivo de texto plano: Utiliza cualquier editor de texto para crear un nuevo archivo de texto plano llamado
security.txt - Accede al sitio web de https://securitytxt.org
- Rellena el formulario agregando la información requerida.
Contact: se indica un enlace, teléfono o una dirección de correo electrónico a través del cual las personas puedan comunicarse sobre problemas de seguridad con el responsable de ciberseguridad.
Expires: fecha y hora en que caducará la información del archivo security.txt. No debería ser mayor a un año.
Los demás campos (encryption, acknowledgments, canonical URL, preferred languages, etc.) son todos opcionales. Puedes optar por completar tantos como desees o dejarlos en blanco. - Genera el contenido del archivo security.txt haciendo clic en «Generate security.txt file». Te aparecerá un contenido («Step 2») que debes copiar y pegar («Copy to clipboard«) en el archivo
security.txt - Coloca el archivo en la raíz del sitio: súbelo a la carpeta «
.well-known«, o al raíz de tu sitio web si no encuentras dicha carpeta, utilizando un cliente FTP o el panel de control de tu proveedor de alojamiento web. - Verifica la accesibilidad: Asegúrate de que el archivo security.txt sea accesible navegando a
nombredetusitio.com/.well-known/security.txt. Esto garantizará que los investigadores de seguridad y los bots automatizados puedan encontrar y leer el archivo correctamente.
Si deseas que los investigadores de seguridad confíen en que el archivo es auténtico y no está colocado por un atacante, los creadores de security.txt recomiendan firmar digitalmente el archivo con una firma de texto sin cifrar OpenPGP.
Conclusión
En resumen, el archivo security.txt es una herramienta vital en la protección de tu sitio web contra amenazas en línea. Al proporcionar información clara sobre cómo informar problemas de seguridad, puedes fomentar una cultura de divulgación responsable y mejorar la seguridad general de tu sitio. Generar un archivo security.txt es un paso sencillo pero poderoso que todos los propietarios de sitios web deberían considerar para fortalecer su postura de seguridad en línea.
En k3bone ya hemos publicado nuestro archivo security.txt. Esperamos que más propietarios de dominios sigan nuestros pasos en el futuro. Si tienes alguna pregunta o duda sobre security.txt, puedes ponerte en contacto con nosotros.
Además, te ofrecemos además un Análisis de vulnerabilidad web GRATIS en el que estudiamos las posibles vulnerabilidades que pueda tener tu web, para que puedas tomar las medidas oportunas para evitar la intrusión de hackers e infecciones de malware.
