Well-known-Adresse change-password

Eine Weiterleitung unter /.well-known/change-password auf die eigene Seite zum Ändern des Passworts, damit ein Passwortmanager den Wechsel mit einem Klick anbieten kann. Nur dort nützlich, wo es Konten gibt, deshalb erscheint die Zeile nur, wenn der Scan eine Anmeldung gefunden hat — ein Passwortfeld oder einen Link dorthin.

• Hilfe

/.well-known/change-password ist eine W3C-Konvention, mit der Passwortmanager Nutzer direkt zur Seite für die Passwortänderung schicken können. Findet ein Manager ein schwaches, mehrfach verwendetes oder geleaktes Passwort, kann er eine Schaltfläche „Passwort ändern“ anbieten, die genau die richtige Seite öffnet, statt den Nutzer in den Kontoeinstellungen suchen zu lassen. Safari, Chrome, 1Password und andere unterstützen das.

Die Adresse ist selbst keine Seite, sondern per Definition eine Weiterleitung dorthin, wo Ihre Seite Passwörter tatsächlich ändert.

So prüft SiteScan

Die Zeile erscheint nur, wenn der Crawl eine Anmeldung gefunden hat: ein Passwortfeld oder einen Link zu einer Login-Seite. Auf Seiten ohne Konten wird die Adresse gar nicht abgefragt. Der Scan ruft /.well-known/change-password ab, ohne Weiterleitungen zu folgen, und wertet sie als veröffentlicht, wenn die Antwort ein 3xx mit nicht leerem Location-Header ist. Eine 200-Seite, ein 404 oder eine Antwort ohne Weiterleitung gelten als nicht vorhanden. Sie ist optional, ihr Fehlen also nie ein Fehler.

So richten Sie sie ein

Eine Regel genügt, etwa in nginx location = /.well-known/change-password { return 302 /account/password; } oder in Apache Redirect 302 /.well-known/change-password /account/password. Erfordert die Änderung eine Anmeldung, verweisen Sie trotzdem dorthin – die Login-Weiterleitung der Seite erledigt den Rest. Siehe auch security.txt.