security.txt 생성기

브라우저 처리

보안 취약점 신고 창구를 알리는 /.well-known/security.txt(RFC 9116)를 만듭니다. Contact와 1년 이내의 Expires를 넣고, 입력한 항목만 쓰며 가짜 예시 주소를 채우지 않습니다.

사용 전 확인

파일·이미지·문서 처리 도구는 브라우저 안에서 처리되더라도 원본에 개인정보나 민감 정보가 포함될 수 있습니다. 공유·제출 전 원본과 결과를 한 번 더 확인하세요.

도구 실행입력 후 결과 확인

security.txt 생성기 샘플 실행

security.txt는 보안 연구자가 취약점을 발견했을 때 누구에게 알려야 하는지 적어 두는 표준 파일(RFC 9116)입니다. 사이트의 /.well-known/security.txt에 두면 신고가 엉뚱한 고객센터나 SNS로 가지 않고 담당자에게 바로 전달됩니다.

브라우저 처리

샘플 입력

https://example.com
---
mailto:security@example.com
---
expires=2027-08-28; languages=ko,en

샘플 결과

Contact: mailto:[email protected]
Expires: 2027-08-28T00:00:00.000Z
Preferred-Languages: ko, en
Canonical: https://example.com/.well-known/security.txt

자바스크립트가 활성화되면 이 영역이 실제 입력, 실행, 결과 패널로 바뀝니다.

security.txt 생성기 사용 가이드

연락처(Contact)는 mailto:, https://, tel: 형식으로 여러 개 넣을 수 있고, 필수 항목인 Expires는 비워 두면 오늘부터 1년 안의 날짜로 채웁니다. 사이트 주소를 넣으면 Canonical 주소를 자동으로 계산하고, languages·policy·encryption·acknowledgments·hiring 항목은 입력했을 때만 씁니다.

만료일이 지났거나 1년을 넘기면 RFC 권고와 다르다는 안내를 # 주석 줄로 덧붙입니다. 다운로드 파일 이름은 security.txt라 그대로 서버에 올리면 됩니다.

사용 방법

'사이트 주소' 칸에 https://example.com처럼 도메인을 넣습니다. Canonical 계산에 쓰입니다.
'연락처' 칸에 mailto:[email protected]처럼 신고 받을 주소를 넣고, '추가 항목' 칸에 'expires=2027-08-28; languages=ko,en; policy=https://…'처럼 적습니다.
'실행' 후 '다운로드'로 받은 security.txt를 웹 서버의 /.well-known/ 폴더에 올립니다.

예시: 기본 security.txt

입력

https://example.com
---
mailto:[email protected]
---
expires=2027-08-28; languages=ko,en

결과

Contact: mailto:[email protected]
Expires: 2027-08-28T00:00:00.000Z
Preferred-Languages: ko, en
Canonical: https://example.com/.well-known/security.txt

policy나 encryption을 적지 않았으므로 해당 줄은 만들지 않았습니다.

이럴 때 쓰면 좋아요

보안 점검 보고서에서 security.txt가 없다는 지적을 받았을 때
버그 바운티나 취약점 신고 정책을 운영하면서 공식 창구를 알릴 때
만료일이 지난 기존 security.txt를 새 날짜로 갱신할 때
여러 서비스 도메인에 같은 형식의 신고 안내를 배포할 때

문제가 생겼을 때

'Contact는 mailto:, https://, tel: 중 하나로 시작해야 합니다' 오류

이메일 주소만 적으면 안 되고 mailto:[email protected]처럼 앞에 mailto:를 붙여야 합니다.

'Expires가 이미 지났습니다' 안내

만료된 파일은 신고자가 신뢰하지 않을 수 있습니다. expires=에 오늘부터 1년 이내의 날짜를 넣어 다시 만드세요.

활용 팁

Expires는 1년보다 짧게 잡고 달력에 갱신 일정을 적어 두세요. 오래 방치된 security.txt는 연락처가 바뀌어도 알아채기 어렵습니다.
PGP 키를 공개하고 있다면 encryption=https://example.com/pgp-key.txt처럼 넣어 암호화된 신고를 받을 수 있게 하세요.

자주 묻는 질문

파일은 어디에 두어야 하나요?

https://도메인/.well-known/security.txt 경로에 둡니다. 예전 방식인 /security.txt 위치도 함께 두면 오래된 도구에서도 찾을 수 있습니다.

PGP 서명은 해 주나요?

서명은 하지 않습니다. RFC 9116은 서명을 권장하므로, 필요하면 받은 파일을 gpg --clearsign으로 서명해 올리세요.

연락처를 여러 개 넣으면 순서가 의미가 있나요?

네. RFC 9116은 위에 적은 연락처를 우선으로 봅니다. 가장 빨리 확인하는 창구를 먼저 적으세요.