security.txt 生成器

3部署指引：放到 .well-known 才有效

# 1) 把文件放到站点根目录
mkdir -p /var/www/html/.well-known
vim /var/www/html/.well-known/security.txt

# 2) 确保以 text/plain 返回（避免被当附件下载）
server {
  location = /.well-known/security.txt {
    default_type text/plain; charset=utf-8;
    add_header Cache-Control "no-cache";
  }
}

# .htaccess（放在 .well-known 目录内）
<IfModule mod_headers.c>
  <Files "security.txt">
    Header set Content-Type "text/plain; charset=utf-8"
    Header set Cache-Control "no-cache"
  </Files>
</IfModule>

# 注意：不要加 301 跳转到别处，RFC 9116 要求
# /.well-known/security.txt 直接 200 返回内容

# 浏览器直接访问
https://你的域名/.well-known/security.txt

# 命令行验证状态码与内容类型
curl -I https://你的域名/.well-known/security.txt
# 期望：HTTP/2 200，content-type: text/plain

# 常见错误
# 404 → 路径拼写或大小写不对（必须全小写 security.txt）
# text/html → 未设置 Content-Type，部分扫描器会忽略
# Expires 已过期 → 白帽工具会提示文件失效

提示：不要重定向该路径，全小写文件名，并记得定期复核 Expires 日期。