Security.txt

security.txt ist eine Datei, die die Weitergabe sicherheitsrelevanter Informationen betreffend einer Website an dessen Betreiber vereinfachen soll. Das Schema dieser Datei ist im Request for Comments (RFC) 9116[1] definiert und sieht unter anderem die Angabe relevanter Kontaktinformationen vor.[2][3] Es handelt sich bei diesem RFC nicht um einen Internetstandard, der den Standardisierungsprozess der Internet Engineering Task Force durchlaufen hat. Vielmehr wird er der Kategorie „Informational“ zugeordnet.

Geschichte

Mit dem Schema, das im April 2022 von der Internet Engineering Task Force veröffentlicht wurde,[1] wird eine Datei namens „security.txt“ definiert, die (ähnlich der „robots.txt“) unter einer vorgeschriebenen Internetadresse hinterlegt wird und von Menschen wie Maschinen lesbar sein soll. Dadurch soll die Kontaktaufnahme mit dem Websitebetreiber im Fall ermittelter sicherheitsrelevanter Probleme vereinfacht werden.[4]

security.txt-Dateien wurden beispielsweise bereits von Google, GitHub, LinkedIn und Facebook implementiert.[5] Das Bundesamt für Cybersicherheit in der Schweiz empfiehlt den Unternehmen den Einsatz einer solchen Datei, da beim Entdecken von Schwachstellen häufig spezifischen Kontaktangaben kaum auffindbar oder nicht publiziert seien. Es gebe zwar oft nur eine zentrale Telefonnummer oder eine allgemeine E-Mail-Adresse. Als Konsequenz müsse sich die meldende Person bis zur richtigen Ansprechperson durchfragen und das Problem mehrfach erklären, wodurch Zeit verloren gehe.[6] Trotz der behördlichen Empfehlung wurden bei einer Auswertung von watson.ch im Jahr 2022 nur bei rund 40 der 1000 meist aufgesuchten Webadressen in der Schweiz eine solche Datei gefunden.[7]

Implementierung

security.txt-Dateien werden im Verzeichnis /.well-known/ (d. h. /.well-known/security.txt) oder im Stammverzeichnis (d. h. /security.txt) einer Website hinterlegt. Die Datei muss über HTTPS als reine Textdatei mit Internet Media Type text/plain vom Webserver zurückgegeben werden.

Die Angaben in der Datei stellen eine Schlüssel-Werte-Datenbank dar mit vorgegebenen und freiwilligen Angaben. Die Direktiven „Contact“ und „Expires“ sind verpflichtende minimale Angaben in einer security.txt-Datei (in der Tabelle mit ✓ gekennzeichnet). Zusätzlich können noch die Direktiven „Encryption“, „Acknowledgements“, „Preferred-Languages“, „Canonical“, „Policy“ und „Hiring“ hinzugefügt werden.

Bedeutung Beispielwerte
✓ Contact
Kontaktmöglichkeit (zum Beispiel E-Mail, Telefon, Formular) 		mailto:[email protected]
tel:+1-201-555-0123
https://example.com/security-contact.html
✓ Expires
Gültigkeitsende der Angaben im ISO 8601-Format 		2025-12-30T23:00:00.000Z
Encryption
Adresse oder Fingerabdruck zum Verschlüsselungsschlüssel 		https://example.com/pgp-key.txt
openpgp4fpr:5f2de5521c63a801ab59ccb603d49de44b29100f
Acknowledgments
Adresse mit Würdigungen 		https://example.com/hall-of-fame.html
Preferred-Languages
Bevorzugte Sprachen 		de, en, es, fr
Canonical
Kanonische URL zur Datei 		https://example.com/.well-known/security.txt
Policy
Link zu Sicherheitsrichtlinie 		https://example.com/disclosure-policy.html
Hiring
Link zu Stellenausschreibungen 		https://example.com/jobs.html

Siehe auch

Einzelnachweise

  1. ↑ a b Edwin Foudil, Yakov Shafranovich: RFC: 9116 – A File Format to Aid in Security Vulnerability Disclosure. April 2022 (englisch).
  2. ↑ John Leyden: Bug-finders’ scheme: Tick-tock, this tech’s tested by flaws… but who the heck do you tell? In: theregister.co.uk. 3. Januar 2018, abgerufen am 14. April 2019 (englisch).
  3. ↑ Security.txt Standard Proposed, Similar to Robots.txt. BleepingComputer, abgerufen am 14. April 2019 (amerikanisches Englisch).
  4. ↑ The Telltale Text File: Security Researcher Proposes Standard for Reporting Vulnerabilities. Security Intelligence, abgerufen am 14. April 2019 (amerikanisches Englisch).
  5. ↑ Catalin Cimpanu: iOS apps could really benefit from the newly proposed Security.plist standard. ZDNet, 29. November 2019, abgerufen am 16. Juni 2020 (englisch).
  6. ↑ Eidgenössisches Departement für Verteidigung, Bevölkerungsschutz und Sport VBS: Security.txt - Hinterlegen Sie Ihren Sicherheitskontakt auf Ihrer Webseite. Abgerufen am 20. Februar 2025.
  7. ↑ Petar Marjanović: security.txt: Eine Idee will das Internet sicherer machen. Abgerufen am 20. Februar 2025.

Content Disclaimer

Informasi ini disarikan dari Wikipedia dan disajikan kembali untuk tujuan edukasi. Konten tersedia di bawah lisensi CC BY-SA 3.0. Kami tidak bertanggung jawab atas ketidakakuratan data yang bersumber dari kontribusi publik tersebut.

  1. The information displayed on this website is sourced in part or in whole from Wikipedia and has been adapted for the purpose of restating it. We strive to provide accurate and relevant information, however:
  2. There is no guarantee of absolute accuracy. Wikipedia is an open, collaborative project that can be edited by anyone, so information is subject to change.
  3. It is not intended to constitute professional advice. The content displayed is for informational and educational purposes only. For important decisions (e.g., medical, legal, or financial), please consult a professional.
  4. Content copyright. Wikipedia is licensed under the Creative Commons Attribution-ShareAlike License (CC BY-SA). This means that content may be reused with appropriate attribution and shared under a similar license.
  5. Responsible use. Any risk arising from the use of information from this website is entirely the responsibility of the user.