security.txt

Når en sikkerhedsforsker, en kunde eller en nysgerrig studerende finder en fejl, der kan misbruges, skal hun vide, hvor hun skal skrive. Uden en fast adresse ender beskeden i den almindelige kontaktformular, hos en medarbejder, der er stoppet, eller slet ikke nogen steder. Så bliver en venlig advarsel til en sag, ingen opdager, før en anden har fundet den samme fejl.

Filen har få felter, og kun to er påkrævet. Contact angiver, hvor fundet skal sendes, typisk en mailadresse som security@ efterfulgt af virksomhedens domæne. Expires angiver, hvornår oplysningerne skal tjekkes igen, og må højst ligge et år ude i fremtiden. De øvrige felter er valgfrie: Preferred-Languages fortæller, hvilke sprog du læser, Policy peger på en side med dine regler for at melde et fund, og Encryption peger på en krypteringsnøgle, hvis du har en.

Filen skal ligge på hvert domæne, virksomheden bruger, og hentes over https. Den skrives på engelsk, fordi den, der finder fejlen, sjældent er dansk. Store danske virksomheder som TV 2 og SAS har den, og Ejerbliks egen ligger på ejerblik.com/.well-known/security.txt.

Selve filen er det nemme. Det svære er de tre spørgsmål bag den: hvem ejer postkassen, hvem læser den, og hvem fornyer filen, før den udløber. Det er de samme spørgsmål, som gælder for domænet, og derfor hører filen med i virksomhedens fortegnelse over digitale aktiver.