Cookies auf AIGROW

Wir verwenden notwendige Cookies, damit die Website funktioniert. Mit Ihrer Erlaubnis nutzen wir außerdem Cookies für Analysen, Sitzungsaufzeichnungen und die Marketing-Zuordnung.

Cookie-Richtlinie

security.txt-Prüfer

Geben Sie Ihre Domain ein: Der security.txt-Prüfer liest die Datei unter /.well-known/security.txt, prüft jede Zeile anhand von RFC 9116 und erklärt jedes Problem in einfachen Worten. Sie erhalten eine korrigierte Datei zum Kopieren, mit Kontaktadresse, einem Ablaufdatum in weniger als einem Jahr und der kanonischen URL.

Kostenlos, ohne Konto. Zehn Prüfungen pro Stunde. Wir lesen nur die security.txt-Datei und öffnen nichts, was darin verlinkt ist.

Wir senden den Host an unsere API, die Ihre Website per HTTPS nach der Datei fragt. Antworten werden fünf Minuten lang gespeichert.

Eine security.txt-Datei teilt Sicherheitsforschern mit, wie sie Ihnen eine Schwachstelle melden können. RFC 9116 verlangt sie unter /.well-known/security.txt über HTTPS, mit mindestens einer Contact-Zeile und einem Expires-Datum in der Zukunft. Dieser Prüfer liest die Datei, prüft jedes Feld anhand des RFC und liefert Ihnen eine korrigierte Datei zur Veröffentlichung.

So verwenden Sie dieses Prüftool

Domain eingeben
Geben Sie den Host ein, der Ihre Website ausliefert, zum Beispiel example.com. Eine security.txt-Datei gilt nur für den Host, von dem sie gelesen wird, daher wird www.example.com als eigener Host geprüft. Das Ergebnis hat einen eigenen Link, den Sie an die Person weitergeben können, die die Website betreibt.
Ergebnisse lesen
Fehler verstoßen gegen eine Regel in RFC 9116, etwa eine fehlende Contact-Zeile oder ein Expires-Datum in der Vergangenheit. Hinweise betreffen das, was der RFC empfiehlt, etwa eine Signatur oder eine Canonical-Zeile. Jedes Ergebnis nennt die Zeile, auf die es sich bezieht.
Korrigierte Datei veröffentlichen
Kopieren Sie die korrigierte Datei, prüfen Sie die Kontaktadresse und speichern Sie sie als /.well-known/security.txt, ausgeliefert als text/plain über HTTPS. Tragen Sie das Expires-Datum in Ihren Kalender ein und veröffentlichen Sie rechtzeitig eine neue Datei, bevor es abläuft.

Fragen zu diesem Prüftool

Eine einfache Textdatei, definiert in RFC 9116, die Personen, die ein Sicherheitsproblem auf Ihrer Website finden, mitteilt, wie sie Sie erreichen. Sie nennt mindestens einen Kontakt, etwa eine E-Mail-Adresse oder ein Webformular, und ein Datum, nach dem die Datei als veraltet gilt.

Contact und Expires. Contact muss ein URI sein, etwa mailto:security@example.com oder ein https-Link zu einem Formular, und darf mehrfach vorkommen. Expires muss genau einmal vorkommen, als Datum mit Uhrzeit wie 2027-06-30T00:00:00Z, und der RFC empfiehlt ein Datum in weniger als einem Jahr.

Laut RFC 9116 müssen Websites die Datei unter dem Pfad /.well-known/ ablegen. Eine Datei unter /security.txt auf oberster Ebene ist nur für ältere Tools erlaubt, und wenn beide existieren, muss die unter /.well-known/ verwendet werden. Eine Datei, die nur auf oberster Ebene liegt, wird hier als Fehler gemeldet.

Er ruft https://your-host/.well-known/security.txt ab und nur, wenn diese fehlt, /security.txt, wobei er Weiterleitungen folgt, die bei HTTPS bleiben. Er öffnet keine weiteren Seiten und kontaktiert niemanden, der in der Datei genannt wird. Er prüft den Aufbau einer OpenPGP-Signatur, kann sie aber ohne Ihren öffentlichen Schlüssel nicht verifizieren.

Die Verordnung nennt die Datei nicht. Anhang I Teil II Nummer 6 verlangt von Herstellern von Produkten mit digitalen Elementen, eine Kontaktadresse für die Meldung von Schwachstellen bereitzustellen, und security.txt ist ein öffentlicher Ort dafür. Diese Seite ist eine technische Prüfung, keine Rechtsberatung.

Ja. Die Seitenadresse enthält den Host, etwa ?domain=example.com, sodass jeder, der den Link öffnet, dieselbe Prüfung ausführt. Antworten werden fünf Minuten lang zwischengespeichert. Warten Sie daher nach der Veröffentlichung einer neuen Datei einige Minuten, bevor Sie erneut prüfen.

Weitere Tools

  • HTTP-Header prüfen

    Prüfen Sie mit dem HTTP-Header-Checker jeden Redirect. Sehen Sie sich die Sicherheitsbewertungen und Cookie-Attribute an und vergleichen Sie anschließend die Antworten für Browser und Crawler.

  • SSL-Zertifikatsprüfung

    Prüfen Sie ein aktives SSL-Zertifikat und seine Zertifikatskette. Sehen Sie sich die TLS-Unterstützung und die HTTPS-Richtlinien an und speichern Sie eine Erinnerung an den Ablauf.

  • Prüfung auf E-Mail-Spoofing

    Geben Sie Ihre Domain ein, und diese Prüfung auf E-Mail-Spoofing zeigt Ihnen, ob jemand E-Mails versenden kann, die vorgeben, von Ihnen zu stammen. Sie liest Ihre DMARC-, SPF- und DKIM-Einträge, erklärt jeden in einfachen Worten und nennt Ihnen die genauen Einträge, die Sie veröffentlichen sollten.

Sollen wir die Datei und die Richtlinie für Sie schreiben?

Das Paket zum Cyber Resilience Act enthält eine security.txt-Datei, die Richtlinie zur Offenlegung von Schwachstellen, auf die sie verweist, und das Meldeverfahren innerhalb von 24 Stunden, jeweils mit Angabe des Artikels zu jeder Pflicht.

Das Paket zum Cyber Resilience Act ansehenKostenlosen KI-Sichtbarkeitsscan starten