Eine security.txt auf Ihrer Website einrichten
Findet jemand eine Sicherheitslücke auf Ihrer Website, etwa einen offenen Ordner oder ein veraltetes Plugin, dann möchten Sie, dass diese Person Sie warnen kann. Dafür gibt es security.txt: eine kleine Textdatei an einem festen Ort auf Ihrer Website, die die Adresse enthält, an die solche Meldungen gehen sollen. Sie ist im Internetstandard RFC 9116 festgelegt. Hier erfahren Sie, was darin steht und wie Sie die Datei einrichten.
Der Speicherort
Die Datei liegt unter https://example.com/.well-known/security.txt. Der alte Ort /security.txt im Hauptverzeichnis ist zusätzlich erlaubt, doch wenn die Datei an beiden Orten liegt, gilt die in /.well-known/. Sie muss über https erreichbar sein und als reiner Text ausgeliefert werden (text/plain).
Die Datei gilt nur für den Namen, unter dem sie liegt. Eine security.txt auf example.com gilt also nicht automatisch für shop.example.com. Hat eine Subdomain eine eigene Website, legen Sie dort ebenfalls eine security.txt an.
Was darin steht
Contact: mailto:security@example.com Expires: 2027-10-31T23:00:00Z Preferred-Languages: nl, en Canonical: https://example.com/.well-known/security.txt
| Feld | Pflicht? | Bedeutung |
|---|---|---|
Contact | Ja | Wohin Meldungen gehen: eine mailto:-Adresse, eine tel:-Nummer oder eine Webseite, die mit https:// beginnt. Sie dürfen mehrere untereinander angeben, die erste ist Ihre bevorzugte. |
Expires | Ja, genau einmal | Datum und Uhrzeit, ab denen die Datei als veraltet gilt, etwa 2027-10-31T23:00:00Z. Der Standard empfiehlt ein Datum, das weniger als ein Jahr in der Zukunft liegt. |
Preferred-Languages | Nein | Die Sprachen, in denen Sie Meldungen erhalten möchten. |
Canonical | Nein | Die Adresse der Datei selbst. |
Policy | Nein | Ein Link zu einer Seite mit Ihrer Richtlinie für Meldungen: was Sie mit einer Meldung tun und was Sie vom Meldenden erwarten. |
Encryption | Nein | Ein Link zu Ihrem öffentlichen Schlüssel, falls Meldende Ihnen verschlüsselte E-Mails senden dürfen. |
Verwenden Sie bei Contact eine Adresse, die tatsächlich jemand liest. Ein vergessenes Postfach ist schlimmer als gar keine security.txt: Der Meldende glaubt, Sie seien gewarnt. Eine digitale Signatur (OpenPGP) ist erlaubt, aber nicht vorgeschrieben.
Einrichten auf Ihrem Hostingpaket
- Öffnen Sie in DirectAdmin den File Manager und wechseln Sie zu
domains/example.com/public_html. Siehe File Manager öffnen: die Ordner in Ihrem Paket. - Gibt es den Ordner
.well-knownnoch nicht, legen Sie ihn an. Ordner, die mit einem Punkt beginnen, sehen Sie erst, wenn Sie versteckte Dateien anzeigen lassen: siehe Versteckte Dateien wie .htaccess anzeigen und bearbeiten. - Erstellen Sie in diesem Ordner eine neue Datei
security.txt, fügen Sie Ihre Zeilen ein und speichern Sie. - Öffnen Sie
https://example.com/.well-known/security.txtin Ihrem Browser. Sie sollten Ihren Text sehen.
Nutzen Sie WordPress oder ein anderes CMS, ändert sich nichts: Eine Datei, die tatsächlich existiert, liefert der Webserver ganz normal aus.
Einrichten auf einem VPS
Auf einem VPS legen Sie die Datei im Webverzeichnis Ihrer Site ab, zum Beispiel unter /var/www/example.com/.well-known/security.txt. Achten Sie auf zwei Dinge:
- Blockieren Sie in nginx alle Pfade, die mit einem Punkt beginnen, richten Sie zuerst eine Ausnahme für
/.well-known/ein. - Läuft eine Anwendung hinter einem Reverse Proxy, lassen Sie den Pfad in Caddy oder nginx auf die Datei verweisen.
Siehe Caddy: eine Website mit automatischem https und nginx mit einem Zertifikat von Let's Encrypt.
Überprüfen
Sehen Sie sich die Header an mit:
curl -sI https://example.com/.well-known/security.txt
Der Status sollte 200 sein und der Typ text/plain. Ein häufiger Fehler: eine Site, die jede unbekannte Adresse mit der Startseite beantwortet. Dann scheint die Datei zu existieren, aber es kommt HTML zurück. Prüfen Sie also auch den Inhalt. Der Websitetest von internet.nl prüft security.txt ebenfalls.
Jedes Jahr aktualisieren
Tragen Sie sich rechtzeitig vor dem Datum bei Expires eine Erinnerung in den Kalender ein. Prüfen Sie dann, ob die Kontaktadresse noch stimmt, und verschieben Sie das Datum. Ändert sich zwischendurch etwas, etwa eine neue Adresse oder jemand verlässt das Team, passen Sie die Datei sofort an.
Weiterlesen
- RFC 9116: A File Format to Aid in Security Vulnerability Disclosure (Englisch)
- securitytxt.org, mit einem Hilfsmittel zum Erstellen der Datei (Englisch)
Mehr lernen? Besuchen Sie den kostenlosen Kurs VPS und Linux-Serververwaltung, Lektion 7.4 Caddy, HSTS und security.txt oder Lektion 10.4 Abschlusscheck: Ihr Server auf dem Prüfstand.