Geçerli bir security.txt yok

ÖnemBilgi

KapsamTüm site

EmekAz

DoğrulamaGüvenlik taraması (haftalık ya da Yeniden tara)

Kural anahtarısec_securitytxt

Kısa cevap

/.well-known/security.txt adresinde en az bir Contact: satırı ve ileri tarihli bir Expires: satırı içeren düz metin bir dosya yayınlayın (RFC 9116). Birkaç dakika sürer ve araştırmacılara bir sorunu tahmin yürütmek ya da herkese açık paylaşmak yerine nereye bildireceklerini söyler.

Neden önemli

Biri sitenizde açıkta kalmış bir dosya ya da bozuk bir giriş kontrolü gibi bir açık fark ettiğinde size güvenilir bir yoldan haber vermesi gerekir. Böyle bir yol yoksa bildirimler kimsenin okumadığı genel bir kutuya, herkese açık bir paylaşıma ya da hiçbir yere gitmez. security.txt, araştırmacıların ve otomatik bildirim araçlarının ilk baktığı standart yerdir.

Dosyanın olmamasının riski dolaylıdır; bu yüzden kontrol bilgi düzeyindedir. Arama sıralamasına etkisi yoktur.

Glimana bunu nasıl tespit eder

Glimana /.well-known/security.txt adresini, 200 dönmezse eski konum olan /security.txt adresini ister; en çok iki yönlendirme izler. 200 olmayan ya da HTML olarak sunulan yanıt (örneğin bir CMS hata sayfası) dosya yok sayılır ve bilgi düzeyinde bildirilir. Dosya bulunur ama Contact: satırı, okunabilir bir Expires: tarihi yoksa ya da Expires: tarihi geçmişse sorun düşük önemlidir. Diğer alanlar ve imzalar kontrol edilmez.

Nasıl düzeltilir

Dikkat

Expires zorunludur ve tarih geçtiğinde dosya yeniden geçersiz sayılır. RFC 9116 bir yıldan kısa bir tarih önerir; yenilemek için bir hatırlatıcı kurun. Bazı güvenlik sertleştirme kuralları noktayla başlayan her yolu engeller (örneğin RedirectMatch 403 /\..*$); bu /.well-known/ klasörünü de engeller.

Glimana'da bulguyu bulun. Güvenlik sayfasını açın; bu kontrol Bilgi sızıntıları grubunda, son taramanın kanıtı başlığının altında. Aynı sorun Sorunlar › Geçerli bir security.txt yok altında da listelenir.
Düzeltmeyi platformunuzda uygulayın.
Her sunucuWordPressNginx
security.txt adlı UTF-8 bir metin dosyası oluşturun:
- Contact: mailto:security@example.com
- Expires: 2027-10-31T23:00:00.000Z
- Preferred-Languages: en, tr
- Canonical: https://example.com/.well-known/security.txt
Dosyayı web kökündeki .well-known klasörüne yükleyin (sertifika doğrulaması için bu klasör zaten var olabilir). Takip edilen bir adres kullanın; https:// ile başlayan bir iletişim formu da olur.
WordPress bu dosyayı oluşturmaz. security.txt dosyasını barındırma firmanızın dosya yöneticisi ya da SFTP ile wp-config.php dosyasının yanındaki .well-known/ klasörüne yükleyin. Adresi tarayıcıda açın: temalı bir 404 sayfası değil, düz metni görmelisiniz.

Dosyayı açıkça metin olarak sunun: location = /.well-known/security.txt { default_type text/plain; alias /etc/nginx/security.txt; }, ardından nginx -t && systemctl reload nginx. Daha önceki bir location ~ /\. kuralının onu engellemediğinden emin olun.
Glimana'da kontrol edin. Güvenlik sayfasında Yeniden tara düğmesine basın (saatte en çok iki tarama) ya da pazar günkü haftalık taramayı bekleyin; kontrol geçince sorun kapanır.

Düzeltme nasıl doğrulanır

Düzeltmeden sonra Güvenlik sayfasında Yeniden tara düğmesine basın (ya da pazar 04:00'teki haftalık taramayı bekleyin); kontrol geçtiğinde sorun kapanır.