Door Anoniem: Volgens de bedenkers van het voorstel beschikken onafhankelijke beveiligingsonderzoekers vaak niet over de kanalen om kwetsbaarheden te melden. Als die kanalen in de security.txt staan zijn ze er dus gewoon, en is security.txt per definitie overbodig. 99% van de security.txt bestanden zijn gevuld met variaties op "email: security@[domain]". Als je daar de security.txt voor nodig hebt ben je de kwalificatie onderzoeker niet waard... Precies. Je hebt helemaal gelijk. En daarom ziet bijv. de Facebook security.txt er op dit moment zo uit: Contact: https://www.facebook.com/whitehat/report/ Acknowledgments: https://www.facebook.com/whitehat/thanks/ Hiring: https://www.facebook.com/careers/teams/security/ # Found a bug? Our bug bounty policy: Policy: https://www.facebook.com/whitehat/info/ # What we do when we find a bug in another product: Policy: https://www.facebook.com/security/advisories/Vulnerability-Disclosure-Policy Expires: Sat, 28 May 2022 14:39:38 -0700 Toch is het handig om het ...