title: Security.txt
text: Security.txt is een digitaal bestand dat dient als een gestandaardiseerde manier om beveiligingsinformatie te verstrekken voor websites en online diensten. Het is vergelijkbaar met een briefje aan de voordeur van een huis, waarop mensen kunnen zien hoe ze contact kunnen opnemen met de eigenaar in geval van verdachte activiteiten. De standaard schrijft een tekstbestand voor met de naam "security.txt" op de well-known-locatie, qua syntaxis vergelijkbaar met robots.txt maar bedoeld om door machines en mensen te worden gelezen, voor diegenen die contact willen opnemen met de eigenaar van een website over beveiligingsproblemen. Security.txt-bestanden zijn overgenomen door Google, GitHub, LinkedIn en Facebook.
  
  Geschiedenis 
  Security.txt werd voor het eerst voorgesteld door Ed Foudil, een beveiligingsonderzoeker, in 2017. Hij merkte op dat er geen gestandaardiseerde manier was voor websitebeheerders om informatie over hun beveiligingspraktijken te delen. Dit maakte het moeilijk voor beveiligingsonderzoekers om verantwoordelijke partijen te bereiken en beveiligingslekken te melden. Op dat moment omvatte het vier richtlijnen, "Contact", "Encryptie", "Openbaarmaking" en "Bevestiging". Foudil verwachtte op basis van feedback nog meer richtlijnen toe te voegen. Bovendien zei webbeveiligingsexpert Scott Helme dat hij positieve feedback van de beveiligingsgemeenschap had gezien, terwijl het gebruik onder de top 1 miljoen websites "zo laag was als verwacht op dit moment".
  
  Het voorstel van security.txt kreeg al snel steun vanuit de beveiligingsgemeenschap en ontwikkelde zich tot een open standaard. In 2019 werd het formeel aangenomen als  door de Internet Engineering Task Force (IETF), een organisatie die verantwoordelijk is voor het ontwikkelen en beheren van internetstandaarden.
  
  Bestandsformaat 
  Security.txt-bestanden kunnen worden aangeboden onder de map /.well-known/ (i.e. /.well-known/security.txt) of de directory op het hoogste niveau (i.e. /security.txt) van een website. Het bestand moet worden aangeboden via HTTPS en in platte tekst.
  
  Inhoud 
  Een typisch security.txt-bestand bevat verschillende secties met relevante informatie. Enkele van de meest voorkomende onderdelen zijn:
  
   Contact: Dit geeft het e-mailadres of andere contactgegevens van de persoon aan die verantwoordelijk is voor beveiligingskwesties.
   Expires: Dit veld moet worden gebruikt om de geldigheidsduur van het security.txt-bestand aan te geven. Het specificeert de datum waarop het bestand verloopt en mogelijk moet worden bijgewerkt.
   Preferred-Languages: Dit is een optioneel onderdeel waarin de voorkeurstaal of talen voor communicatie kunnen worden gespecificeerd.
  
  Overheid 
  Sinds 25 mei 2023 is het verplicht voor de Nederlandse overheid om gebruik te maken van security.txt. 
  
  security.txt moet worden toegepast op alle systemen die via HTTPS publiek benaderbaar zijn, zodat securitycontactinformatie duidelijk is. Dit is opgenomen in de 'Pas toe leg uit' standaarden.
  
  Bedrijfsleven 
  In oktober 2022 deden het Digital Trust Center (DTC) en een groot aantal ambassadeurs een oproep aan bedrijven en IT-dienstverleners om security.txt te gebruiken. Sinds die oproep is het aantal Nederlandse domeinnamen dat voorzien is van een security.txt-bestand gegroeid naar ruim 88.000.
  
  Referenties
  
  Externe links 
   securitytxt.org
   Voorbeeld van een security.txt-bestand
  
  Computerbeveiliging