Web & Zertifikate

Was ist security.txt? A File Format to Aid in Security Vulnerability Disclosure erklärt

security.txt ist eine kleine Textdatei auf deiner Website, die festlegt, wohin Sicherheitsforscher gefundene Schwachstellen melden sollen.

So funktioniert security.txt

Die Datei liegt unter https://<domain>/.well-known/security.txt und enthält einfache Felder im Format „Name: Wert“. Pflicht sind Contact (eine mailto:-, https://- oder tel:-Adresse) und Expires (ein Ablaufdatum).

Expires soll höchstens ein Jahr in der Zukunft liegen. So ist sichergestellt, dass die Angaben regelmäßig geprüft werden und Meldungen nicht an eine verwaiste Adresse gehen.

Optional sind Policy (Link zur Meldeleitlinie), Encryption (PGP-Schlüssel), Preferred-Languages und Canonical (die offizielle URL der Datei). Die Datei kann zusätzlich per PGP signiert werden.

Beispiel

# https://example.com/.well-known/security.txt
Contact: mailto:security@example.com
Expires: 2027-09-30T00:00:00Z
Preferred-Languages: de, en
Canonical: https://example.com/.well-known/security.txt

Expires im Kalender vormerken und die Datei vor Ablauf aktualisieren.

Typische Fehler

Abgelaufenes Expires-Datum – Meldende gehen dann davon aus, dass die Angaben veraltet sind.
Die Datei liegt nur unter /security.txt statt unter /.well-known/security.txt.
Die Kontaktadresse existiert nicht oder landet in einem unbeobachteten Postfach.

So bewertet der Domain Trust Check security.txt

Kriterium „security.txt“ (Gewicht 1 von 5): Datei /.well-known/security.txt (RFC 9116) mit gültigem Contact-Feld und einem Expires-Datum, das nicht abgelaufen ist und höchstens ein Jahr in der Zukunft liegt.

Standard: RFC 9116