# security.txt 作成・検査

security.txt は、脆弱性を見つけた人が連絡先を探せるように Web サイトに置くファイルです。Contact と Expires を入れると、RFC 9116 どおりの内容を作ります。既存のファイルを貼ると、誤りを行番号つきで指摘します。

- URL: https://tools.itlibra.com/ja/security-txt-tool
- 端末内で処理・アップロードなし
- 最終更新: 2026-10-26

## 使い方

1. 「作る」で、Contact（連絡先）と Expires（有効期限）を入れます。Expires は「1 年後の日付を入れる」ボタンでも入れられます。
2. 必要なら Encryption・Policy・Acknowledgments・Preferred-Languages・Canonical・Hiring を入れます。空の項目は出力に含まれません。
3. 右の出力と検査結果を確かめ、「コピー」か「security.txt を保存」で取り出します。
4. 保存した security.txt を、サイトの https://ドメイン/.well-known/security.txt に置いて配信します。
5. 既にあるファイルは「検査する」に貼り付けるかファイルを開くと、RFC 9116 の規則で行番号つきに検査します。

## こんなときに

- 脆弱性の報告窓口として、security.txt を初めて公開したい
- Expires が切れていないか、期限を更新するときに確かめたい
- 既にあるファイルが RFC 9116 の必須項目を満たしているか調べたい
- 署名付き（PGP）の security.txt の形式を確かめたい

## できること

### RFC 9116 の形で作る

Contact・Expires（必須）と、Encryption・Acknowledgments・Preferred-Languages・Canonical・Policy・Hiring を RFC の順で書きます。空の項目は出しません。

### 行番号つきの検査

必須項目の欠け、Expires の過去・形式の誤り・複数、https でない URI、Preferred-Languages の重複、登録されていないフィールドを、行番号つきで指摘します。

### 期限と置き場所の確認

Expires が 1 年より先なら警告し、配置先の URL を入れると https・/.well-known/security.txt・Canonical の一致を確かめます。

### PGP 署名の検出

署名付きのファイルは、署名の部分を除いた内容で検査します。署名そのものは検証しないと明記します。


## 対応形式

### 入力

- security.txt（テキスト・貼り付けまたは .txt ファイル。256 KB まで）

### 出力

- security.txt（.txt・UTF-8）


## 対応状況

| 機能 | 対応 | 補足 |
| --- | --- | --- |
| security.txt の作成（RFC 9116 の全フィールド） | 対応 | — |
| 必須項目・日付・URI の形式の検査（行番号つき） | 対応 | — |
| PGP 署名付きファイルの検出 | 対応 | 署名の検証はしません |
| 配置先の URL にあるファイルを取得して検査 | 非対応 | 内容を貼り付けるかファイルを開いてください |
| 配置先（URL）の形式・https・Canonical の一致の確認 | 一部対応 | URL に実際にアクセスして確かめることはしません |
| PGP 署名の検証・TLS 証明書の確認 | 非対応 | — |

## 制限・注意事項

- このツールはサイトにアクセスしません。ファイルの配信・TLS 証明書・署名は確かめられません。
- 検査するテキストは 256 KB までです。
- Expires の 1 年の基準は 365 日です。RFC 9116 は 1 年以内にするよう推奨しています（SHOULD）。
- 未登録のフィールドは警告にしますが、それ以外の拡張は確かめません。

## プライバシーと安全性

入力した内容は、お使いのブラウザの中だけで処理されます。サーバーへ送信・保存されることはありません。

## よくある質問

### security.txt はどこに置けばいいですか？

https://ドメイン/.well-known/security.txt で、https により配信します（RFC 9116）。/security.txt も使えますが、正式な場所は /.well-known/ です。

### Expires はいつまでにすればいいですか？

RFC 9116 は、Expires を 1 年以内にするよう推奨しています。期限が切れたファイルは無効と扱われるため、更新してください。

### Contact にはどんな形式が書けますか？

mailto:（メールアドレス）・https:（問い合わせページ）・tel:（電話番号）のいずれかで書きます。1 つ以上必要です。

### PGP で署名する必要はありますか？

必須ではありません。署名付きのファイルは検出して検査しますが、このツールは署名そのものを検証しません。

### robots.txt と何が違いますか？

robots.txt はクローラーのアクセスを制御するファイルです。security.txt は、脆弱性の報告先を伝えるファイルで、役割が違います。