Этот сайт лучше всего просматривать в современном браузере с включённым JavaScript.

Что такое Security.txt в Magento 2

Luchinsky

Security.txt — это стандарт для публикации контактной информации и инструкций по вопросам безопасности на веб-сайте. Он помогает исследователям безопасности и другим заинтересованным лицам легко находить информацию о том, как сообщать об уязвимостях.

В контексте Magento 2, Security.txt используется для тех же целей. Он представляет собой файл, размещаемый в корневом каталоге веб-сайта (например, https://example.com/.well-known/security.txt), который содержит информацию о безопасности, такую как:

Контактная информация (например, email для связи по вопросам безопасности)
Политика раскрытия уязвимостей
Указания на страницы с дополнительной информацией о безопасности

Пример содержимого файла security.txt может выглядеть так:

Contact: mailto:security@example.com
Encryption: https://example.com/pgp-key.txt
Acknowledgements: https://example.com/security-acknowledgements.html
Policy: https://example.com/security-policy.html
Hiring: https://example.com/security-jobs.html

Как добавить Security.txt в Magento 2

Создайте файл security.txt:
- В корне вашего веб-сайта создайте директорию .well-known (если её ещё нет).
- Внутри этой директории создайте файл security.txt.
- Добавьте в него нужную информацию.

Обновите конфигурацию веб-сервера:

Убедитесь, что ваш веб-сервер настроен для обслуживания содержимого из директории .well-known.

В случае Apache добавьте или обновите правило в .htaccess, чтобы разрешить доступ к этой директории:

     <Directory "/path/to/your/root/.well-known">
         AllowOverride None
         Require all granted
     </Directory>

Для Nginx добавьте соответствующий блок в конфигурацию:

     location /.well-known/ {
         allow all;
     }

Проверьте доступность файла:
- Откройте браузер и перейдите по URL https://example.com/.well-known/security.txt, чтобы убедиться, что файл доступен и отображается корректно.

Это поможет исследователям безопасности и другим заинтересованным лицам легко находить нужную информацию и контактировать с вами в случае обнаружения уязвимостей.