Was security.txt macht

So funktioniert es

Wer eine Lücke auf deiner Website entdeckt, will sie meist melden, findet aber oft nur ein Kontaktformular oder eine allgemeine Adresse. Die Meldung geht dann unter oder landet am Ende öffentlich. Die security.txt, beschrieben in RFC 9116, löst das mit einem festen Ort: https://deine-domain/.well-known/security.txt. Sicherheitsforscher und ihre Werkzeuge schauen dort zuerst nach.

Die Datei besteht aus Zeilen der Form Feld: Wert. Zwei Felder sind Pflicht:

• Contact nennt, wohin Meldungen gehen: mailto:, eine https://-Adresse eines Formulars oder tel:. Es darf mehrere geben, das erste ist das bevorzugte.
• Expires sagt, bis wann die Angaben gelten, als Datum nach RFC 3339, etwa 2027-06-30T00:00:00Z.

Optional sind unter anderem Preferred-Languages, Canonical (die Adresse der Datei selbst), Policy (deine Regeln für Meldungen) und Encryption (ein Schlüssel für verschlüsselte Meldungen).

Worauf es ankommt

• Der richtige Ort. /.well-known/security.txt, über HTTPS. Eine ältere Datei unter /security.txt wird noch gefunden; leite sie besser auf den vorgesehenen Ort weiter.
• Eine echte Textdatei. Ausgeliefert als text/plain. Viele Websites antworten auf unbekannte Pfade mit einer HTML-Seite; die zählt nicht.
• Ein Kontakt, der gelesen wird. Ohne Contact hilft die Datei niemandem, und ein Postfach, das niemand liest, kaum mehr.
• Expires weniger als ein Jahr voraus. RFC 9116 empfiehlt das, damit veraltete Angaben von selbst ablaufen. Ist das Datum vorbei, prüfe die Kontakte und setze ein neues.

So richtest du es ein

Eine Datei, die für den Anfang reicht:

Contact: mailto:security@example.com
Expires: 2027-06-30T00:00:00Z
Preferred-Languages: de, en
Canonical: https://example.com/.well-known/security.txt

Ersetze Domain und Adresse und wähle ein Datum weniger als ein Jahr in der Zukunft. Lade die Datei per FTP oder Dateimanager des Hosters in das Verzeichnis .well-known deiner Website, oder lass das deine Agentur tun. Manche CMS haben dafür ein Plugin. Trag dir die Erneuerung von Expires in den Kalender ein.