Die Datei security.txt

Eine Datei unter /.well-known/security.txt mit der Adresse, an die man eine Schwachstelle meldet. Niemand verlangt sie; sie erspart dem Finder das Raten und ist drei Zeilen lang.

• Hilfe

security.txt (RFC 9116) ist eine kleine Textdatei, die Sicherheitsforschern sagt, wo sie eine gefundene Schwachstelle melden können. Ohne sie muss ein wohlmeinender Finder raten – allgemeines Kontaktformular, Support-Adresse, Nachricht in sozialen Netzwerken –, und viele geben auf oder machen das Problem öffentlich. Die Datei ist optional, daher zeigt der Bericht sie als veröffentlicht oder nicht vorhanden statt als Fehler – das Anlegen dauert aber nur ein paar Minuten.

So prüft SiteScan

Der Scan ruft /.well-known/security.txt ab und wertet die Datei nur dann als veröffentlicht, wenn die Antwort ein 200 ist, keine HTML-Seite und mindestens eine Zeile mit Contact: beginnt. Eine Single-Page-App, die jede Adresse mit ihrer Index-Seite beantwortet, besteht die Prüfung also nicht zufällig. Der alte Ort /security.txt im Wurzelverzeichnis wird nicht geprüft.

So legen Sie sie an

Stellen Sie unter /.well-known/security.txt eine Textdatei mit mindestens diesen Feldern bereit:

• Contact: mailto:security@example.com (oder eine https://-Adresse eines Meldeformulars)
• Expires: 2027-12-31T23:59:00Z – laut RFC Pflicht; höchstens ein Jahr im Voraus, regelmäßig erneuern
• optional Policy:, Preferred-Languages: de, en und Encryption: mit Verweis auf einen PGP-Schlüssel

Der Server sollte sie als text/plain ausliefern. Verwandte Prüfungen: vom Deploy hinterlassen und Sicherheits-Header.