security.txt-Check

Geben Sie eine Domain ein: Sie sehen, ob sie eine security.txt veröffentlicht, die Datei, die Sicherheitsforschenden sagt, wie sie eine Schwachstelle melden, und ob die Datei RFC 9116 folgt. Eine abgelaufene oder fehlerhafte Datei wird von den Werkzeugen ignoriert, die sie lesen.

Unser Server ruft eine einzige Datei ab, die security.txt der eingegebenen Domain (an ihrer Standardadresse, dann an der alten), und behält die Antwort zehn Minuten.

Was der Check ansieht

Der Ort: Die Datei muss unter https://ihredomain/.well-known/security.txt liegen. Der alte Ort, /security.txt im Wurzelverzeichnis, wird ersatzweise gelesen und gemeldet.
Das Feld Contact: Pflicht, mindestens einmal: eine Adresse als mailto:, https: oder tel:. Die bloße E-Mail-Adresse ohne mailto: ist der häufigste Fehler.
Das Feld Expires: Pflicht, genau einmal, als vollständiges Datum mit Uhrzeit (2027-06-30T00:00:00Z). Nach diesem Datum gilt die Datei als veraltet; RFC 9116 empfiehlt ein Datum in weniger als einem Jahr.
Der Rest: Der Inhaltstyp (text/plain), Webadressen mit https, das Feld Canonical gegenüber der gelesenen Adresse, Preferred-Languages nur einmal und Zeilen, die keine Felder sind.

So lesen Sie das Ergebnis

Gültig: Ein Kontakt, ein Ablaufdatum in der Zukunft und nichts, was das Format bricht. Tragen Sie die Erneuerung in den Kalender ein: Das Datum ist der Teil, der schiefgeht.
Abgelaufen: Die Datei war einmal richtig, und niemand hat sie erneuert. Ändern Sie das Expires-Datum und prüfen Sie dabei, ob der Kontakt noch jemanden erreicht.
Ungültig oder nicht vorhanden: Die Befunde sagen, welches Feld fehlt oder fehlerhaft ist. Ganz ohne Datei müssen Forschende, die eine Lücke finden, eine Adresse raten und geben oft auf.

Fehler, auf die man stößt

Was eine security.txt am häufigsten nutzlos macht und wie Sie es beheben.

Die Datei ist abgelaufen

Ursache. Expires ist Pflicht und wurde einmal gesetzt, meist ein Jahr im Voraus. Nichts warnt Sie, wenn das Datum verstreicht.

Behebung. Setzen Sie ein neues Datum in weniger als einem Jahr und eine Erinnerung. Wird die Datei von Ihrer Website erzeugt, berechnen Sie das Datum beim Deployment.

Contact ist eine bloße E-Mail-Adresse

Ursache. Das Feld erwartet eine Adresse mit Schema. „security@acme.org“ allein ist keine, und strenge Werkzeuge verwerfen die Datei.

Behebung. Schreiben Sie „Contact: mailto:security@acme.org“. Nutzen Sie ein gemeinsames Postfach, das jemand liest, nicht die Adresse einer Person.

Die Adresse antwortet mit der Startseite

Ursache. Die Website schickt jede unbekannte Adresse mit Status 200 auf eine Seite: Die Datei scheint zu existieren und ist in Wahrheit eine Webseite.

Behebung. Veröffentlichen Sie eine echte Textdatei unter /.well-known/security.txt, ausgeliefert als text/plain, und lassen Sie unbekannte Adressen mit 404 antworten.

Fragen

Wozu dient security.txt?

Sie gibt Menschen, die eine Schwachstelle in Ihrer Website oder Ihren Systemen finden, einen Weg, es Ihnen zu sagen: eine Adresse, optional eine Richtlinie und einen Schlüssel. Ohne sie gehen Meldungen verloren oder werden öffentlich.

Ist sie Pflicht?

Kein Gesetz schreibt sie allgemein vor. Mehrere Staaten verlangen sie für ihre eigenen Websites, und Kunden, die Lieferanten bewerten, achten zunehmend darauf.

Muss die Datei signiert sein?

Nein. Eine OpenPGP-Signatur ist optional; der Check vermerkt sie, ohne sie zu prüfen.

Was senden Sie an Ihre Server?

Die Domain, die Sie eingeben. Unser Server ruft die Datei an ihren zwei möglichen Adressen ab, weil ein Browser sie nicht seitenübergreifend lesen darf; die Antwort bleibt zehn Minuten gespeichert. Siehe Datenschutzerklärung.