De SIDN gaat het gebruik van security.txt op websites actief stimuleren. Vanaf de eerste helft 2025 wordt het gebruiken ervan toegevoegd aan de Registrar Scorecard. Daarmee krijgen eigenaren van zulke domeinnamen een korting op de kosten.
Security.txt is een bestand met platte tekst waarin informatie staat over hoe de eigenaar van het domein of de website kan worden bereikt in het geval dat er beveiligingsproblemen zijn ontdekt. Ook staan daarin gegevens over de ‘coordinated vulnerability disclosure’. Deze beschrijft onder meer een periode waarin ethische hackers die een probleem hebben gevonden niet daarover publiceren. Dit biedt de eigenaar de kans de website te patchen.
Bijna twee jaar geleden is security.txt gestandaardiseerd door de Internet Engineering Task Force (IETF), onder RFC 9116. SIDN vindt het nu tijd om Nederlandse domeinnamen zoveel mogelijk te voorzien van security.txt. Met name het DTC vraagt hier om, De organisatie heeft vaak moeite met achterhalen wie er moet worden benaderd wanneer een probleem is gevonden met een website. Op dit moment is naar schatting maar 2,2 procent van alle .nl-domeinen voorzien van een geldig security.txt bestand.
Voor websites van de overheid is het gebruik van security.txt al verplicht sinds mei vorig jaar.
Drie onderdelen
SIDN werkt bij het stimuleren nauw samen met Vereniging van Registrars, dat werkt aan drie deelprojecten. Zo zijn er gesprekken met makers van veelgebruikte control panels als DirectAdmin, cPanel en Plesk om security.txt een standaardonderdeel van de platforms te maken. Verder wordt er gestreefd naar een plug-in voor WordPress. Deze moet niet alleen de verplichte informatie in een bestand plaatsen, maar deze ook digitaal ondertekenen en waarschuwen als de geldigheidstermijn gaat verlopen.
Het derde onderdeel is het ontwikkelen van best practices voor security.txt. Hiermee werken de partijen samen met het DTC. Die heeft op de website een pagina speciaal voor IT-dienstverleners en msp’s over hoe je het bestand aanmaakt en implementeert op je website en op die van je klanten.
Je kunt op internet.nl controleren of een security.txt bestand aanwezig is en goed geformatteerd (‘Test je website’).
