security.txt-Validator/Generator
Validiert RFC-9116-Struktur, Daten, Kontakte, URIs und Entwürfe aus Text oder öffentlicher URL.
Web-Sicherheitsecurity.txt und der Prozess hinter der Meldestelle
Eine gültige security.txt beseitigt Reibung genau dann, wenn ein fremder Mensch entscheiden muss, ob er deiner Organisation einen Schwachstellenbericht anvertraut. Wert hat sie nur, wenn jemand den Kontakt überwacht, der Schlüssel funktioniert, das Ablaufdatum einen Besitzer hat und hinter der Datei ein erprobter Ablauf beginnt.
Die Datei ist eine Wegbeschreibung, kein Abzeichen
RFC 9116 löst ein sehr praktisches Problem: Forschende sollen nicht raten müssen, ob security@, ein Supportformular oder ein Social-Media-Konto jemanden mit technischer Zuständigkeit erreicht. Die autoritative Datei liegt unter https://example.com/.well-known/security.txt. Eine bytegleiche Legacy-Kopie unter /security.txt ist höflich; zwei voneinander abweichende Fassungen erzeugen dagegen exakt die Unsicherheit, die der Standard im laufenden Betrieb beseitigen soll.
Auch die Auslieferung gehört zur Korrektheit. Die Datei sollte über HTTPS erfolgreich als text/plain antworten, ohne Login oder Geofencing erreichbar sein und nicht auf Marketing oder Anmeldung umleiten. Prüfe das veröffentlichte Artefakt mit dem security.txt-Validator/Generator. Er verarbeitet eingefügten Inhalt oder eine öffentliche URL, meldet RFC-Feldbefunde und erzeugt bei Bedarf einen sauberen Entwurf. Er beweist Struktur, nicht die Reaktion eines Menschen im Postfach — genau diese Grenze ist betrieblich entscheidend. Prüfe außerdem jede produktive Domain separat. Ein Konzernverweis auf die Meldestelle der Hauptmarke hilft wenig, wenn eine Tochterdomain auf ein anderes Team, Hosting oder Rechtsgebiet zeigt und niemand die Zuständigkeit bestätigt hat.
RFC 9116 verlangt weniger als viele Vorlagen
Zwei Felder sind Pflicht. Mindestens ein Contact nennt den Meldeweg; Expires setzt einen RFC-3339-Zeitpunkt, nach dem die Datei als veraltet gilt. Mehrere Kontakte sind erlaubt und nach Präferenz geordnet. Setze zuerst den Kanal, den ihr wirklich überwacht, danach einen tatsächlich unabhängigen Rückweg. Eine tote Telefonnummer plus ein herrenloses Postfach sind keine Redundanz, sondern zwei gebrochene Versprechen.
Optionale Felder helfen, sofern reale Fähigkeiten dahinterstehen. Canonical bezeichnet die autoritative HTTPS-URL und ist bei signierten Dateien besonders wichtig. Encryption verweist auf einen Schlüssel, Policy erklärt Scope und Verfahren, Acknowledgments würdigt Meldende, Preferred-Languages setzt Spracherwartungen und Hiring kann auf passende Stellen zeigen. Übernimm nicht blind jedes Feld. Jede URI ist eine weitere zu testende Abhängigkeit, jede Aussage eine Erwartung, die du später erfüllen musst.
Das Ablaufdatum ist der Wartungsmechanismus
Expires ist Pflicht, weil Sicherheitskontakte leise verrotten. Setze den Termin höchstens ein Jahr voraus, plane die Erneuerung deutlich früher und mache daraus eine echte Prüfung: Sende eine Testmeldung durch jeden Kanal, rufe den PGP-Schlüssel von einem sauberen System ab, prüfe Policy-Links und bestätige die aktuelle Incident-Verantwortung. Nur den Zeitstempel weiterzuschieben lackiert alte Annahmen frisch an.
Behandle die Datei wie ein Zertifikat — mit Besitzer, Monitoring und definiertem Deployment. Alarme mit mehreren Vorlaufzeiten helfen; nach jedem Hosting- oder CDN-Umzug gehört zusätzlich ein öffentlicher Abruf dazu. Redirects und Response-Header untersuchst du mit dem HTTP-Header-Analyzer. Eine syntaktisch makellose Datei hinter einer WAF-Challenge ist für Maschinen nicht vorhanden und für Menschen unter Zeitdruck eine Zumutung. Halte die Quelle in Versionsverwaltung und löse bei Mailmigration, Outsourcing, Übernahme oder Domainstilllegung eine außerplanmäßige Prüfung aus.
PGP muss Risiko senken, nicht Ernsthaftigkeit spielen
Das Feld Encryption verweist meist auf einen per HTTPS erreichbaren OpenPGP-Schlüssel oder verwendet eine openpgp4fpr:-URI. Forschende brauchen den Public Key; dein Team braucht kontrollierten Zugriff auf den Private Key und einen getesteten Entschlüsselungsweg, der nicht an einem einzigen Laptop hängt. Veröffentliche den stabilen Fingerprint über einen unabhängig kontrollierten Kanal, definiere Rotation und Widerruf und übe die Wiederherstellung. Ein Schlüssel, den im Vorfall niemand benutzen kann, ist schlechter als der ehrliche Verweis auf ein sicheres Webformular.
Eine Clearsign-Signatur über die ganze Datei belegt, dass ihre Kontaktanweisungen vom Schlüsselinhaber stammen, und macht unbemerkte Änderungen in Spiegeln oder Archiven sichtbar. Nutze beim Signieren Canonical, den unter Encryption genannten Schlüssel und eine automatische Signaturprüfung im Deployment. Die Signatur macht Aussagen weder wahr noch verschlüsselt sie eingehende Meldungen oder repariert kompromittiertes Hosting. Ohne gepflegten OpenPGP-Betrieb ist eine unsignierte, aktuelle und korrekte Datei der bessere Anfang. Kryptografische Zeremonie ersetzt keine Erreichbarkeit.
Der erste echte Report prüft die Organisation
Leite Meldungen an eine kleine, geschulte Gruppe statt in eine Queue mit gewöhnlichen Support-Makros. Antworte schnell und menschlich, bewahre Originalnachricht sowie Anhänge, benenne eine Incident-Leitung und richte einen geschützten Kommunikationskanal ein. Reproduziere anschließend, ohne die meldende Person denselben Sachverhalt wiederholt beweisen zu lassen, bestimme Auswirkung und betroffene Assets, sichere Logs und trenne Eindämmungsentscheidungen von Spekulationen über die Herkunft. Eine überraschende Meldung ist noch kein Hinweis auf böse Absicht.
Kläre Befugnisse vorher: Wer darf einen Dienst abschalten, Legal einbeziehen, Kunden oder Behörden informieren, eine CVE beantragen und einen Fix freigeben? Die Disclosure-Policy sollte Scope, Safe-Harbor-Absicht, unzulässige Tests, Reaktionsrhythmus sowie den Umgang mit Duplikaten und Off-scope-Befunden beschreiben. Sie sollte weder ewiges Schweigen verlangen noch gutgläubige Forschung bedrohen. Der kürzeste Weg zur öffentlichen Eskalation beginnt mit einer automatischen Ablehnung und endet nach Wochen ohne Antwort.
Beende den Fall, nicht das Lernen
Nach erfolgreicher Reproduktion bekommt die meldende Person eine Referenz und gehaltvolle Updates — auch wenn der Gehalt lautet, dass der Fix eine weitere Woche braucht. Termine für Veröffentlichung werden abgestimmt, nicht diktiert. Prüfe die Behebung mit der ursprünglichen Technik, suche anderswo nach derselben Fehlerklasse und entscheide über die Rotation offengelegter Credentials, Tokens oder Zertifikate. Der SSL-Zertifikat-Decoder liest das öffentlich ausgelieferte Zertifikat samt Namen, Gültigkeit, Algorithmen, Fingerprints und präsentierter Kette; Widerrufs- oder Trust-Prüfung ersetzt er nicht.
Nach Abschluss protokollierst du Zeiten bis Bestätigung, Triage, Eindämmung, Fix und Offenlegung, untersuchst blockierte Evidenz oder Befugnisse und passt Runbook sowie security.txt an, falls das Routing versagt hat. Bedanke dich in der vereinbarten Form, einschließlich Nennung oder Prämie, wo das Programm dies vorsieht. Übe den Ablauf danach mit einer ungefährlichen Testmeldung: Mailzustellung, Stellvertretung, Entschlüsselung und Eskalationsnummern altern schneller als das Dokument, in dem sie stehen. Glaubwürdig wird ein Disclosure-Prozess durch wiederholte, unspektakulär saubere Ausführung. Die Datei sorgt lediglich dafür, dass das erste Paket im richtigen Raum landet.