日本語English

security.txt 作成・検査

security.txt は、脆弱性を見つけた人が連絡先を探せるように Web サイトに置くファイルです。Contact と Expires を入れると、RFC 9116 どおりの内容を作ります。既存のファイルを貼ると、誤りを行番号つきで指摘します。

端末内で処理・アップロードなしスマホ対応オフライン対応

ファイルや入力内容はお使いの端末（ブラウザ）の中だけで処理され、サーバーへは送信されません。

入れると、https・置き場所・Canonical を確かめます。

作る

必須。mailto:・https:・tel: のどれかで始めます。

RFC 3339 の形式（タイムゾーン付き。例 2027-12-31T23:59:00Z）。必須で 1 回だけ。

言語タグをカンマで区切ります（例 ja, en）。

空のままでも構いません。書く場合は https: の URI にします。

出力

この内容を https://ドメイン/.well-known/security.txt で配信します（https・UTF-8 のテキスト）。

置き場所: /.well-known/security.txt（https で配信）

  • 入力の内容は端末の中だけで処理され、送信・保存されません。
  • RFC 9116 の SHOULD や MAY は警告に、MUST は「エラー」にしています。

使い方

  1. 「作る」で、Contact（連絡先）と Expires（有効期限）を入れます。Expires は「1 年後の日付を入れる」ボタンでも入れられます。

  2. 必要なら Encryption・Policy・Acknowledgments・Preferred-Languages・Canonical・Hiring を入れます。空の項目は出力に含まれません。

  3. 右の出力と検査結果を確かめ、「コピー」か「security.txt を保存」で取り出します。

  4. 保存した security.txt を、サイトの https://ドメイン/.well-known/security.txt に置いて配信します。

  5. 既にあるファイルは「検査する」に貼り付けるかファイルを開くと、RFC 9116 の規則で行番号つきに検査します。

できること

RFC 9116 の形で作る

Contact・Expires（必須）と、Encryption・Acknowledgments・Preferred-Languages・Canonical・Policy・Hiring を RFC の順で書きます。空の項目は出しません。

行番号つきの検査

必須項目の欠け、Expires の過去・形式の誤り・複数、https でない URI、Preferred-Languages の重複、登録されていないフィールドを、行番号つきで指摘します。

期限と置き場所の確認

Expires が 1 年より先なら警告し、配置先の URL を入れると https・/.well-known/security.txt・Canonical の一致を確かめます。

PGP 署名の検出

署名付きのファイルは、署名の部分を除いた内容で検査します。署名そのものは検証しないと明記します。

こんなときに

  • 脆弱性の報告窓口として、security.txt を初めて公開したい
  • Expires が切れていないか、期限を更新するときに確かめたい
  • 既にあるファイルが RFC 9116 の必須項目を満たしているか調べたい
  • 署名付き（PGP）の security.txt の形式を確かめたい

対応形式

入力

security.txt（テキスト・貼り付けまたは .txt ファイル。256 KB まで）

出力

security.txt（.txt・UTF-8）

対応状況

機能対応補足
security.txt の作成（RFC 9116 の全フィールド）対応—
必須項目・日付・URI の形式の検査（行番号つき）対応—
PGP 署名付きファイルの検出対応署名の検証はしません
配置先の URL にあるファイルを取得して検査非対応内容を貼り付けるかファイルを開いてください
配置先（URL）の形式・https・Canonical の一致の確認一部対応URL に実際にアクセスして確かめることはしません
PGP 署名の検証・TLS 証明書の確認非対応—

制限・注意事項

  • このツールはサイトにアクセスしません。ファイルの配信・TLS 証明書・署名は確かめられません。
  • 検査するテキストは 256 KB までです。
  • Expires の 1 年の基準は 365 日です。RFC 9116 は 1 年以内にするよう推奨しています（SHOULD）。
  • 未登録のフィールドは警告にしますが、それ以外の拡張は確かめません。

プライバシーと安全性

入力した内容は、お使いのブラウザの中だけで処理されます。サーバーへ送信・保存されることはありません。

よくある質問

security.txt はどこに置けばいいですか？
https://ドメイン/.well-known/security.txt で、https により配信します（RFC 9116）。/security.txt も使えますが、正式な場所は /.well-known/ です。
Expires はいつまでにすればいいですか？
RFC 9116 は、Expires を 1 年以内にするよう推奨しています。期限が切れたファイルは無効と扱われるため、更新してください。
Contact にはどんな形式が書けますか？
mailto:（メールアドレス）・https:（問い合わせページ）・tel:（電話番号）のいずれかで書きます。1 つ以上必要です。
PGP で署名する必要はありますか？
必須ではありません。署名付きのファイルは検出して検査しますが、このツールは署名そのものを検証しません。
robots.txt と何が違いますか？
robots.txt はクローラーのアクセスを制御するファイルです。security.txt は、脆弱性の報告先を伝えるファイルで、役割が違います。

robots.txt テスター

robots.txt を貼り付けると、指定した URL が Googlebot や AI クローラーに「許可」か「ブロック」かと、どの行のルールが効いたかがすぐ分かります。つづりの誤りや Google が無視する命令も指摘します。

アップロードなし

CSP Studio

CSP のヘッダーや meta タグを貼り付けると、unsafe-inline・unsafe-eval・ワイルドカード・object-src や base-uri の欠落などを重さ（高・中・低）つきで指摘し、改善案を示します。生成と hash 計算もできます。

アップロードなし

サイトマップ作成・診断

URL の一覧を貼り付けるだけで、正しく書かれた sitemap.xml を作成します。既存のサイトマップを貼り付ければ、Google に読み込まれない原因になるエラーを行番号付きで指摘します。

アップロードなし

SRI ハッシュ生成

JS や CSS のファイルをドロップすると、integrity 属性に入れる値（sha384-…）と、そのまま使える script・link タグを作ります。既にある integrity 値をファイルと照合して一致するかも確かめられます。

アップロードなし

HTML 構造・見出し・画像・リンク診断

ページの HTML を貼り付けるだけで、SEO とアクセシビリティの基本項目（見出し構成・メタタグ・OGP・画像の alt・リンク・構造化データ）を一覧で確認できます。検索結果と SNS でのおおよその見え方もプレビューします。

アップロードなし

Structured Data / JSON-LD Studio（構造化データ作成・検証）

主要 13 タイプの JSON-LD を、必須・推奨を区別したフォームから作成してコピーできます。JSON-LD や HTML を貼り付けると、複数の script・@graph・配列を取り出して、JSON の構文エラーの位置から Google のリッチリザルト要件の不足までを一覧にします。Google の公式ツールではありません。

アップロードなし

最終更新: