Адрес /.well-known/change-password

Редирект по адресу /.well-known/change-password на собственную страницу смены пароля, чтобы менеджер паролей мог предложить сменить сохранённый пароль в один клик. Полезен только там, где есть аккаунты, поэтому строка появляется, только если сканер нашёл вход — поле пароля или ссылку на него.

• Помощь

/.well-known/change-password — соглашение W3C, позволяющее менеджерам паролей отправлять пользователя прямо на страницу смены пароля. Когда менеджер находит слабый, повторяющийся или утёкший пароль, он может показать кнопку «Сменить пароль», которая откроет нужную страницу, вместо того чтобы оставлять человека искать её в настройках аккаунта. Его поддерживают Safari, Chrome, 1Password и другие.

Сам адрес страницей не является: по определению это редирект туда, где на вашем сайте на самом деле меняют пароль.

Как проверяет SiteScan

Строка появляется, только если при обходе нашлось, куда входить: поле пароля или ссылка на страницу входа. На сайтах без аккаунтов адрес вообще не запрашивается. Сканер запрашивает /.well-known/change-password, не следуя редиректам, и считает адрес настроенным, если ответ 3xx с непустым заголовком Location. Страница с кодом 200, 404 или ответ без редиректа означают, что адрес не опубликован. Он необязателен, поэтому отсутствие никогда не показывается как ошибка.

Как настроить

Достаточно одного правила: в nginx location = /.well-known/change-password { return 302 /account/password; }, в Apache Redirect 302 /.well-known/change-password /account/password. Если для смены пароля нужно войти, всё равно ведите на эту страницу — остальное сделает собственный редирект сайта на вход. См. также security.txt.