あなたのWebサービスの脆弱性を発見者から教えてもらう方法 - RFC9116が発表されました

先日、RFC9116が発表されました🚀 あなたのWebサービスに潜在する未知の脆弱性を誰かが見つけた時、それをあなたに連絡する方法を提示するsecurity.txtを標準化するものです。 この記事では何故これが必要だったのか、そして私たちがこれを実装する方法を簡潔に説明します。 なぜこれが必要だったのか https://securitytxt.org/のSummary(概要)にはこのように書かれています。 Webサービスのセキュリティリスクが、リスクの重大性を理解している独立したセキュリティ研究者によって発見された場合、それらを適切に開示するためのチャンネルが不足していることがよくあります。 その結果、セキュリティの問題が報告されないままになる可能性があります。 security.txtは、組織がセキュリティ研究者がセキュリティの脆弱性を安全に開示するためのプロセスを定義するのに役立つ標

[fashi]

botに収集されてSPAMだらけになるやつ / 貴サイトの脆弱性見つけました知りたければﾋﾞﾄｺｲﾝ振り込めさもなくばｸﾗｯｶｰに漏洩するかもって捏造SPAM絶対来ると思う

[gabill]

関係ないけど、bot向けの「robots.txt」の他に人間向けの「humans.txt」というものもある。 https://www.google.com/humans.txt

[oldriver]

日本語の記事である以上「今まではセキュリティ研究者がWebサービスの運営者に脆弱性を報告する宛がなかった」などと書かずにIPAの届出あるよという前提で書いてほしい気がするが。単純に事実と異なるので。

[buhoho]

お問い合わせとかないサイト？そんなサービスの運営がわざわざこんな連絡通路作るとは思えないしよくわからん。

[tailtame]

2022/4。タブ整理…。hiringって雇用か。/.well-known/ディレクトリのアクセスあるけどまともな稼働なのかな🤔　スパム来ても平気な前提で公開必要よなー。国内なら鯖元にabuseを稀に😌　IPAに『連絡の取れない』があるある

[defiant]

この記事をおすすめしました

[vvakame]

へー。

[kns_1234]

“あなたのWebサービスに潜在する未知の脆弱性を誰かが見つけた時、それをあなたに連絡する方法を提示するsecurity.txt”

[sonots]

security.txt

[gfx]

security.txt のやつ。

[aox]

電話番号書いてなくないですか。いちばん大事なような

[tk_musik]

ホスティングサービスで意図せず自分のメルアドがsecurity.txtに記載されちゃって辛い気持ちになる未来が見えたから気をつけよ！

[k2wanko]

前職で設置したことを思い出した

[a-know]

“「実際にフォーマットを見ながら書くのは労力が・・・」というあなたのためにsecuritytxt.orgにsecurity.txtジェネレータが用意されています”

[kabuquery]

どのみちopenbugbuntyで脅されるんやで

[honma200]

あれでしょ。調査目的で脆弱性診断とか勝手にやるところ向けなんでしょ。IPAに通知してもいいけど、別に業務増やす必要はないでしょ

[yasu-osu]

こういうRFCもあるのだと勉強になりました。

[hkanemat]

ふむ

[clubman023]

なるほど

[ys0000]

これは良いね。

[pwatermark]

なんでどさくさに紛れて hiring なんて項目があるんだよなｗ