security.txt
Le fichier security.txt indique aux chercheurs en sécurité comment signaler une vulnérabilité. L'outil le cherche à l'adresse imposée par la RFC 9116, https://domaine/.well-known/security.txt, puis à l'ancien emplacement /security.txt. Il contrôle le transport (HTTPS, text/plain en utf-8), la présence des deux champs obligatoires Contact et Expires, le format de la date, l'échéance, les URI des autres champs et la cohérence avec Canonical. Le générateur produit un fichier conforme à partir de vos contacts et de la date d'expiration ; il fonctionne dans le navigateur, sans rien envoyer.
5 EUR
par mois
7
fonctionnalités incluses
24/7
disponibilité en ligne
- Recherche à /.well-known/security.txt puis à /security.txt
- Champs obligatoires Contact et Expires contrôlés
- Date RFC 3339, fichier expiré et échéance à plus d'un an signalés
- HTTPS, Content-Type text/plain et jeu de caractères utf-8 vérifiés
- URI en https://, langues préférées et champ Canonical contrôlés
- Signature OpenPGP détectée
- Générateur local de fichier conforme
- Un constat critique rend le fichier inutilisable au sens de la RFC : Contact ou Expires absent, date illisible, fichier expiré, adresse web en http://.
- « Fichier expiré » signifie que la date Expires est passée : la RFC demande aux chercheurs d'ignorer un tel fichier. Mettez la date à jour au moins une fois par an.
- « Page HTML renvoyée » apparaît quand le site répond 200 avec sa page d'accueil ou une page d'erreur au lieu du fichier. Le fichier n'existe pas en pratique.
- Les champs lus sont listés avec leur numéro de ligne ; un champ grisé n'est pas défini par la RFC 9116 et sera ignoré par les lecteurs.
- La signature OpenPGP est détectée mais pas vérifiée : contrôlez-la avec la clé indiquée dans Encryption.
- Les adresses de contact ne sont pas testées (aucun e-mail envoyé, aucune page ouverte).
- Seul le domaine saisi est interrogé. La RFC prévoit un fichier par nom d'hôte : un sous-domaine a besoin du sien ou d'une redirection.
- Le fichier lu est limité à 100 Ko et les adresses internes ou privées sont refusées.
Outil Premium
Accès avec un abonnement Premium à 5 euros/mois
Questions fréquentes
Deux : Contact, au moins une fois (mailto:, tel: ou https://), et Expires, exactement une fois, au format date-heure RFC 3339 comme 2027-03-31T23:59:59Z. Les autres champs (Encryption, Policy, Acknowledgments, Preferred-Languages, Canonical, Hiring) sont facultatifs.
À la racine du domaine, dans le dossier /.well-known/, servi en HTTPS avec le type text/plain; charset=utf-8. Pour Nginx : location = /.well-known/security.txt { default_type text/plain; charset utf-8; }. L'ancienne adresse /security.txt peut rediriger vers la nouvelle.
La RFC 9116 le recommande sans l'imposer. Une signature OpenPGP en clair (gpg --clearsign) permet au lecteur de vérifier que le fichier n'a pas été modifié, par exemple après la compromission du site.
Non. Le texte est assemblé dans votre navigateur et contrôlé avec les mêmes règles que la vérification. Seule la vérification d'un domaine publié passe par nos serveurs.
Outils complémentaires
Complétez votre analyse avec ces outils connexes.
HTTP Headers Analyzer
RéseauPremiumAnalysez les en-têtes HTTP d'un site : score sur 100, en-têtes de sécurité manquants, attributs de chaque cookie et directives faibles de la CSP.
SSL Checker
SécuritéPremiumContrôlez le certificat TLS d'un site : émetteur, chaîne, noms couverts, dates de validité, jours restants et versions TLS acceptées par le serveur.
Tech Detector
OSINTPremiumIdentifiez le serveur, le CMS, les frameworks, le CDN et les outils de mesure d'audience d'un site, avec l'indice qui justifie chaque détection.
WHOIS Lookup
RéseauPremiumConsultez le WHOIS d'un domaine : propriétaire, dates de création, de modification et d'expiration, serveurs DNS, registrar et contacts associés.