security.txt prüfen, mit Signatur und Schlüsseln

Abruf

Liegt die Datei unter /.well-known/security.txt, erreichbar über HTTPS mit gültigem Zertifikat? Wohin führen Weiterleitungen? Liefert der Server text/plain; charset=utf-8 oder eine Fehlerseite im HTML-Gewand? Sperrt eine Firewall automatische Abrufe aus, wie es die TR in Abschnitt 4.2.11 ausschließt?

Aufbau und Inhalt

Jede Zeile ist ein Feld oder ein Kommentar, Werte nur in ASCII. Contact und Expires sind vorhanden, Expires genau einmal, im Format nach RFC 3339 und höchstens ein Jahr voraus. Canonical nennt den tatsächlichen Fundort. Verlinkte Seiten antworten, Maildomains haben einen MX-Eintrag. Typische Fehler wie Acknowledgements statt Acknowledgments fallen auf, ebenso die neueren Felder CSAF und Bug-Bounty.

Signatur und Schlüssel

Ist die Datei signiert, prüft der Check die OpenPGP-Signatur kryptografisch: mit den Schlüsseln aus den Encryption-Feldern, von der Meldeseite oder, falls dort keiner passt, von keys.openpgp.org. Dazu Schlüssellänge, Hashverfahren, Ablauf und die Fünf-Jahres-Grenze der TR.

BSI TR-03183-3

Im strengeren Maßstab: Kontakte in der Reihenfolge PSIRT, CSIRT, Meldeseite, erkennbare Funktionspostfächer, je Postfach ein Schlüssel als .asc, Englisch in Preferred-Languages, Policy, Signaturpflicht und die empfohlenen Kommentare.

Was kein Check sieht

Ob jemand das Postfach liest, ob die Richtlinie trägt und ob Meldende rechtzeitig eine Antwort bekommen. Das zeigt nur der Ernstfall oder ein Probelauf: Schreiben Sie selbst einmal an die Adresse.