Security.txt is een gestandaardiseerd tekstbestand dat dient om beveiligingsinformatie, zoals gevonden kwetsbaarheden, direct naar de juiste persoon of team achter een website te sturen. Het is vergelijkbaar met een briefje aan de voordeur van een huis, waarop mensen kunnen zien hoe ze contact kunnen opnemen met de eigenaar in geval van verdachte activiteiten. Met security.txt kunnen websitebeheerders open en transparant zijn over hun beveiligingsbeleid en de contactgegevens delen waar beveiligingsonderzoekers, ethische hackers en notificatiedienstverleners, et cetera, direct een melding kunnen maken.
De standaard schrijft een tekstbestand voor met de naam "security.txt" op de well-known-locatie, qua syntaxis vergelijkbaar met robots.txt, maar bedoeld is om door machines en mensen te worden gelezen. Dit geeft als voordeel dat meldingen die veel organisaties treffen, zoals een kwetsbaarheid in een veelgebruikt softwarepakket, geautomatiseerd kunnen worden verstuurd. De security.txt-standaard wordt breed gebruikt, bijvoorbeeld door de Nederlandse overheid en is ook overgenomen door bedrijven als Google, GitHub, LinkedIn en Facebook.
Security.txt werd voor het eerst voorgesteld door Ed Foudil, een beveiligingsonderzoeker, in 2017. Hij merkte op dat er geen gestandaardiseerde manier was voor websitebeheerders om informatie over hun beveiligingsbeleid te delen. Dit maakte het moeilijk voor beveiligingsonderzoekers om verantwoordelijke partijen te bereiken en beveiligingslekken te melden.
Om dit probleem aan te pakken, stelde Foudil het idee voor van een gestandaardiseerd tekstbestand genaamd security.txt. Dit bestand zou specifieke velden bevatten waarin websitebeheerders contactgegevens en andere relevante informatie voor beveiligingskwesties konden vermelden. Op deze manier zouden beveiligingsonderzoekers gemakkelijk de juiste personen kunnen bereiken en problemen kunnen rapporteren.
Op dat moment omvatte het vier richtlijnen, "Contact", "Encryptie", "Openbaarmaking" en "Bevestiging". Foudil verwachtte op basis van feedback nog meer richtlijnen toe te voegen. Bovendien zei beveiligingsexpert Scott Helme dat hij positieve feedback van de beveiligingsgemeenschap had gezien, terwijl het gebruik onder de top 1 miljoen websites "zo laag was als verwacht op dit moment".
Het voorstel van security.txt kreeg al snel steun vanuit de beveiligingsgemeenschap en ontwikkelde zich tot een open standaard. In 2019 werd het formeel aangenomen als RFC 9116 door de Internet Engineering Task Force (IETF), een organisatie die verantwoordelijk is voor het ontwikkelen en beheren van internetstandaarden.
Het aannemen van security.txt als RFC benadrukt de bredere acceptatie en erkenning van de standaard binnen de technische gemeenschap. Het biedt een duidelijk kader en richtlijnen voor de implementatie en het gebruik ervan.
Security.txt heeft geleidelijk aan brede acceptatie gekregen bij websitebeheerders, beveiligingsonderzoekers en organisaties. Het wordt nu beschouwd als een nuttige en effectieve manier om de communicatie tussen website-eigenaren en beveiligingsonderzoekers te vergemakkelijken.
Organisaties zoals Google, GitHub en verschillende overheidsinstanties hebben security.txt geïmplementeerd op hun websites. Dit heeft bijgedragen aan de bekendheid en de acceptatie van de standaard in de bredere internetgemeenschap. Het Nationaal Cyber Security Centrum moedigt het gebruik hiervan aan. In oktober 2022 deden het Digital Trust Center (voormalig onderdeel van het ministerie van Economische Zaken en Klimaat) en een groot aantal ambassadeurs een oproep aan bedrijven en IT-dienstverleners om security.txt te gebruiken. Sinds die oproep is het aantal Nederlandse domeinnamen dat voorzien is van een security.txt-bestand gegroeid naar ruim 100.000.
Stichting Internet Domeinregistratie Nederland (SIDN) houdt bij hoeveel Nederlandse domeinnamen zijn voorzien van een security.txt-bestand en publiceert informatie voor website-eigenaren die de standaard willen toepassen. Ook hebben zijn sinds half 2025 de toepassing van security.txt toegevoegd aan de Registrar Scorecard (RSC). Dat betekent dat er een financiële korting wordt gegeven op domeinnamen waarvan de website een geldig en bruikbaar security.txt-bestand aanbiedt. Met deze incentive-regeling ondersteunt de SIDN de adoptie van security.txt.
Via testtool internet.nl kan gecontroleerd worden of je website de security.txt volgens de specificatie heeft geconfigureerd.
Security.txt-bestanden dienen te worden aangeboden onder de map /.well-known/ (i.e. /.well-known/security.txt). In eerdere conceptversies werd publicatie ook de direct op het hoofddomein geaccepteerd (i.e. /security.txt), maar dit is in de uiteindelijke versie afgeraden. Het bestand moet worden aangeboden via HTTPS en in platte tekst.
Een typisch security.txt-bestand bevat verschillende secties met relevante informatie. Enkele van de meest voorkomende onderdelen zijn:
Per 25 mei 2023 is security.txt toegevoegd aan de 'Pas toe of leg uit'-lijst van Forum Standaardisatie. Dit betekent dat Nederlandse gemeenten, provincies, rijk, waterschappen en alle uitvoeringsorganisaties verplicht zijn om deze open standaard toe te passen, of expliciet toe te lichten waarom toepassing niet mogelijk is. Voor alle andere organisaties in de publieke sector geldt een dringend advies om security.txt toe te passen.
De security.txt-standaard moet worden toegepast op alle systemen die via HTTPS publiek benaderbaar zijn, zodat securitycontactinformatie duidelijk is.
Het gebruik van security.txt biedt verschillende voordelen:
Daartegenover staan enkele risico's: