Adres /.well-known/change-password

Przekierowanie pod adresem /.well-known/change-password na własną stronę zmiany hasła, żeby menedżer haseł mógł zaproponować wymianę zapisanego hasła jednym kliknięciem. Przydatne tylko tam, gdzie są konta, więc wiersz pojawia się tylko wtedy, gdy skan znalazł logowanie — pole hasła lub link do niego.

• Pomoc

/.well-known/change-password to konwencja W3C, dzięki której menedżery haseł mogą przenieść użytkownika prosto na stronę zmiany hasła. Gdy menedżer wykryje hasło słabe, powtórzone lub wykradzione, może zaproponować przycisk „Zmień hasło”, który otworzy właściwą stronę, zamiast zostawiać człowieka z szukaniem jej w ustawieniach konta. Obsługują ją m.in. Safari, Chrome i 1Password.

Sam adres nie jest stroną — z definicji to przekierowanie tam, gdzie witryna naprawdę zmienia hasło.

Jak sprawdza SiteScan

Wiersz pojawia się tylko wtedy, gdy skan znalazł miejsce logowania: pole hasła albo link do strony logowania. Na witrynach bez kont adres w ogóle nie jest odpytywany. Skaner pyta o /.well-known/change-password bez podążania za przekierowaniami i uznaje go za opublikowany, gdy odpowiedź ma kod 3xx i niepusty nagłówek Location. Strona z kodem 200, 404 czy odpowiedź bez przekierowania oznaczają brak. Adres jest opcjonalny, więc jego brak nigdy nie jest pokazywany jako błąd.

Jak to skonfigurować

Wystarczy jedna reguła, np. w nginx location = /.well-known/change-password { return 302 /account/password; }, a w Apache Redirect 302 /.well-known/change-password /account/password. Jeśli zmiana hasła wymaga zalogowania, i tak kieruj na tę stronę — resztą zajmie się przekierowanie do logowania. Zobacz też security.txt.