Wer eine Sicherheitslücke auf einer Webseite entdeckt, steht oft vor einem simplen Problem: An wen soll die Meldung geschickt werden? Genau hier setzt die Datei security.txt an.
Die security.txt ist eine standardisierte Textdatei, in der Betreiber einer Webseite Kontaktmöglichkeiten für Sicherheitsmeldungen hinterlegen können. Sicherheitsforscher oder Nutzer, die eine Schwachstelle entdecken, finden dadurch schnell den richtigen Ansprechpartner.
Die Datei wird üblicherweise unter folgender Adresse bereitgestellt:
https://example.com/.well-known/security.txt
Eine einfache security.txt kann beispielsweise so aussehen:
Contact: mailto:security@example.com Expires: 2027-09-27T23:59:59Z Preferred-Languages: de, en Canonical: https://example.com/.well-known/security.txt
Besonders wichtig ist der Eintrag Contact. Hier wird angegeben, wie Sicherheitsprobleme gemeldet werden können. Neben einer E-Mail-Adresse kann beispielsweise auch eine spezielle Webseite mit weiteren Informationen angegeben werden.
Der Eintrag Expires legt fest, wie lange die Angaben gültig sind. Dadurch soll verhindert werden, dass über Jahre hinweg veraltete Kontaktdaten im Internet stehen.
Die security.txt ist im RFC 9116 standardisiert und funktioniert ähnlich wie die bekannte robots.txt: Sie enthält keine Sicherheitsfunktionen und schützt die Webseite nicht direkt. Sie sorgt lediglich dafür, dass Sicherheitsforscher einen klar definierten Kontaktweg finden.
Fazit
Eine security.txt ist mit wenig Aufwand eingerichtet und kann insbesondere für Unternehmen, Blogs und größere Webseiten sinnvoll sein. Sie erleichtert die verantwortungsvolle Meldung von Sicherheitsproblemen und verhindert, dass Hinweise auf Schwachstellen irgendwo im allgemeinen Kontaktformular oder im E-Mail-Postfach verloren gehen.
- Holen Sie sich F-Secure Internet Security für erstklassigen Online-Schutz und Top-Leistung...
- Schützen Sie Ihre Geräte mit unserer preisgekrönten Technologie vor Malware; Schützen sich vor...
- Schützen Sie sich vor schädlichen Webseiten, wenn Sie im Internet Bankgeschäfte tätigen, surfen...
- Kaspersky Total Security 2018 Upgrade 3 Geräte enthält ein Antivirus- und Firewalltool zum Schutz...
- Ihr Code wird mit einer detailierten Installationsanleitung per Post zugestellt. Der Hersteller...
- Schützt Sie vor Viren, Phishing, Spyware, Ransomware etc.
- Kaspersky Total Security bietet individuellen Echtzeit-Schutz an jedem Ort und zu jeder Zeit
- Ihr Code wird mit einer detailierten Installationsanleitung in einer Umverpackung per Post...
- Bremst Ihren PC nicht aus
