security.txt

security.txt is a standardized text file published in the root directory of a website, providing contact information for reporting vulnerabilities. Based on RFC 9116, it enables companies to be easily found by security researchers, facilitating Coordinated Vulnerability Disclosure (CVD) and reducing the risk of zero-day exploits being traded on the dark web.

導入 security.txt 的實務步驟通常分為三階段：第一階段為「政策制定」，根據 ISO/IEC 29146 要求定義漏洞等級、報告格式及回應時限；第二階段為「技術部署」，將文件部署至 /.well-known/ 目錄，並確保聯絡方式（如加密郵箱）的可用性；第三階段為「流程整合」，將收到的報告串聯至現有的資安事件應變流程（IRP）。根據 2025 年德國 DAX 指數公司研究數據，導入 CVD 實務的企業在漏洞發現到修補的平均時間（MTTR）可縮短 30-50%。

台灣企業導入 security.txt 主要面臨三個挑戰：第一，法律責任模糊，許多企業擔心收到漏洞報告後觸發個資法（台灣個人資料保護法）第 27 條的通報義務，導致畏難。對策是預先建立「安全港（Safe Harbor）」條款，明確說明善意報告者免責。第二，人力資源不足，中小企業無專人處理漏洞報告。對策是採用第三方平台（如 Bugcrow_t）代為接收，降低內部人力負擔。第三，技術文件格式不熟悉，台灣企業常誤用非標準格式。對策是嚴格遵循 RFC 9116 規範，並定期審查聯絡資訊的有效性。

Winners Consulting Services Co., Ltd. 專注台灣企業security.txt相關議題，擁有豐富實戰輔導經驗，協助企業在90天內建立符合國際標準的管理機制，已服務超過100家台灣企業。申請免費機制診斷：https://winners.com.tw/contact