Security.txt
# Security.txt

security.txt ist ein mit RFC 9116 definierter Request for Comments (RFC) der die Weitergabe sicherheitsrelevanter Informationen betreffend einer Website an dessen Betreiber vereinfachen soll. Dies erfolgt über die Standardisierung der Angabe von relevanten Kontaktinformationen. Es handelt sich bei diesem RFC nicht um einen Internetstandard, der den Standardisierungsprozess der Internet Engineering Task Force (IETF) durchlaufen hat. Vielmehr wird er der Kategorie INFORMATIONAL zugeordnet.

Mit dem Request for Comments, der im April 2022 von der IETF veröffentlicht wurde, wird eine Datei namens security.txt definiert, die ähnlich der robots.txt an einem standardisierten Ort hinterlegt wird und von Menschen wie Maschinen lesbar sein soll. Dadurch soll die Kontaktaufnahme mit dem Websitebetreiber, im Fall ermittelter sicherheitsrelevanter Probleme, vereinfacht werden.

security.txt-Dateien wurden bspw. bereits von Google, GitHub, LinkedIn und Facebook implementiert.

## Implementierung

security.txt-Dateien werden im Verzeichnis /.well-known/ (d. h. /.well-known/security.txt) oder im Stammverzeichnis (d. h. /security.txt) einer Website hinterlegt. Die Datei muss über HTTPS als Textdatei hinterlegt werden.

Die Direktiven „Contact“ und „Expires“ sind verpflichtende minimale Angaben in einer security.txt-Datei. Zusätzlich können noch die Direktiven „Encryption“, „Acknowledgements“, „Preferred-Languages“, „Canonical“, „Policy“ und „Hiring“ hinzugefügt werden.

