イベントサイトでsecurity.txtを公開する方法

対象ドメインと担当を決める

例と引き継ぎ表をダウンロード（Markdown・英語）

公開ドメインと運営者を列挙します。RFC 9116のファイルは取得したドメインに適用され、親ドメインやサブドメインに自動適用されません。外部発券会社のシステムまで管理していると主張せず、報告の引き継ぎ先を決めます。[1][2][3]

監視する連絡先を選ぶ

担当者と代理が確認する専用メールか安全な報告フォームを用意します。参加者サポートと分け、受領、非公開の評価、技術担当への引き継ぎを決めます。パスワード、参加者名簿、カード情報をメールで求めないでください。[1][2][3]

必要な項目を公開する

ContactとExpiresは必須です。Contactは裸のメールアドレスではなくmailto:またはHTTPSなどのURIです。HTTPSの/.well-known/security.txtでUTF-8のtext/plainとして提供します。RFCは期限を1年未満にすることを推奨します。Canonicalを載せる場合は実際の取得URLに合わせます。[1][2][3]

連絡先と開示方針を分ける

Policyは実在する方針にリンクできますが、ファイルだけで試験許可、法的保護、報奨金、応答期限は生じません。約束は適切な担当者が確認します。NCSCは連絡方法、方針、ファイルを関連する別要素として扱います。[1][2][3]

公開ファイルと受信を確認する

ログインせず公開URLを開き、内容、連絡先、期限を確認します。無害な内部テストを送り、担当と代理に届くか確認します。DNS、ホスティング、担当の変更後と期限前に再試験します。[1][2][3]

事故対応と区別して引き継ぐ

ドメイン、時刻、経路、担当、次の作業を記録し、報告を非公開で扱います。弱点の報告は侵害の確定ではありません。悪用や参加者情報の漏えいが疑われる場合は別の事故対応計画と現地の助言に従います。[1][2][3]