{"id":15619,"date":"2026-11-01T13:15:00","date_gmt":"2026-11-01T12:15:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15619"},"modified":"2026-10-26T12:52:24","modified_gmt":"2026-10-26T11:52:24","slug":"security-txt-ads-txt-und-llms-txt-was-eine-prufung-fester-pfade-belegt","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/de\/web-entwicklung\/tutorials-de-web-entwicklung\/security-txt-ads-txt-und-llms-txt-was-eine-prufung-fester-pfade-belegt\/","title":{"rendered":"security.txt, ads.txt und llms.txt: Was eine Pr\u00fcfung fester Pfade belegt"},"content":{"rendered":"

Bekannte Pfade erleichtern das Auffinden bestimmter Websiteangaben. Eine Antwort unter einem solchen Pfad beweist jedoch noch keine g\u00fcltige Datei. Die historische Stichprobe beschreibt die Ausgabe eines begrenzten Pr\u00fcfers, keine vollst\u00e4ndige Erhebung der Standardkonformit\u00e4t.<\/p>\n

\"Historische
Historische Einstufungen beweisen keine Formatg\u00fcltigkeit.<\/figcaption><\/figure>\n

Register, Konventionen und ein Vorschlag<\/h2>\n

RFC 8615 reserviert \/.well-known\/ f\u00fcr anwendungsspezifische Ressourcen. Daraus folgt weder bedingungslose \u00d6ffentlichkeit jeder Ressource noch eine pauschale Firewall-Ausnahme. Geltungsbereich und Abrufregeln h\u00e4ngen vom jeweiligen Format ab.<\/p>\n

Die Stichprobe pr\u00fcft au\u00dferdem Wurzelpfade. Nicht alle sind \u00e4lter als \/.well-known\/: ads.txt entstand 2017, der Vorschlag llms.txt im September 2024. Eine Sitemap muss nicht sitemap.xml hei\u00dfen. Der aktuelle llms.txt-v2-Vorschlag erlaubt auch Unterpfade wie \/docs\/llms.txt. Eine reine Wurzelpr\u00fcfung belegt deshalb kein Fehlen auf der gesamten Website.<\/p>\n

Was die historische Stichprobe z\u00e4hlt<\/h2>\n

Der gespeicherte Ergebnisstand tr\u00e4gt den Zeitpunkt 5. September 2026, 18:19:59 +02:00. Enthalten sind zwanzig Hosts mit je dreizehn angefragten Pfaden, insgesamt 260 Pfadergebnisse. Umleitungen k\u00f6nnen zus\u00e4tzliche HTTP-Anfragen erfordern. Die Tabelle z\u00e4hlt die Einstufung vorhanden; bei change-password gilt die eigene Einstufung weitergeleitet.<\/p>\n

Diese Zahlen belegen keinen urs\u00e4chlichen Zusammenhang zwischen Alter und Verbreitung. Die Auswahl ist nicht repr\u00e4sentativ; App-Verkn\u00fcpfungen und Werbedateien erf\u00fcllen besondere Zwecke. Eine fehlende Datei ist daher nicht automatisch ein Mangel.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
Pfad<\/th>\nEinstufungen von 20<\/th>\n<\/tr>\n<\/thead>\n
\/.well-known\/security.txt<\/code><\/td>\n14<\/td>\n<\/tr>\n
\/security.txt<\/code><\/td>\n5<\/td>\n<\/tr>\n
\/robots.txt<\/code><\/td>\n18<\/td>\n<\/tr>\n
\/ads.txt<\/code><\/td>\n9<\/td>\n<\/tr>\n
\/app-ads.txt<\/code><\/td>\n8<\/td>\n<\/tr>\n
\/.well-known\/gpc.json<\/code><\/td>\n2<\/td>\n<\/tr>\n
\/llms.txt<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/.well-known\/change-password<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/.well-known\/assetlinks.json<\/code><\/td>\n11<\/td>\n<\/tr>\n
\/.well-known\/apple-app-site-association<\/code><\/td>\n7<\/td>\n<\/tr>\n
\/.well-known\/traffic-advice<\/code><\/td>\n1<\/td>\n<\/tr>\n
\/humans.txt<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/sitemap.xml<\/code><\/td>\n10<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Vier \u00dcberschneidungen statt f\u00fcnf<\/h2>\n

Vierzehn Hosts wurden mit \/.well-known\/security.txt und f\u00fcnf mit \/security.txt als vorhanden eingestuft. Nur vier stehen in beiden Gruppen: nytimes.com, bbc.co.uk, gov.uk und onet.pl. Beim f\u00fcnften Wurzeltreffer heise.de lieferte der well-known-Pfad in dieser Aufzeichnung 404.<\/p>\n

RFC 9116 legt security.txt bei Webdiensten unter \/.well-known\/ ab. Eine Umleitung von der Wurzel unterst\u00fctzt \u00e4ltere Clients ohne zwei getrennt gepflegte Kopien. Zu den Anforderungen geh\u00f6ren Contact, genau ein Expires-Zeitstempel, HTTPS, text\/plain und UTF-8. Die vollst\u00e4ndige Syntax und ein vorhandenes Canonical-Feld ben\u00f6tigen weitere Kontrolle. Zwei gefundene Feldnamen sind keine vollst\u00e4ndige Validierung.<\/p>\n

Umleitung beweist kein Passwortformular<\/h2>\n

Die change-password-Konvention f\u00fchrt zum Passwort\u00e4nderungsformular des Kontos. Im Ergebnis stehen vier Umleitungseinstufungen. Zwei enden allerdings bei Status 301 nach drei erfassten Spr\u00fcngen. Ein endg\u00fcltiges Formular wurde damit nicht erreicht und best\u00e4tigt.<\/p>\n

Auch eine Umleitung mit abschlie\u00dfendem Status 200 kann bei Anmeldung, Startseite oder einem unpassenden Ziel enden. Ein geeigneter Endpunkt ben\u00f6tigt das passende Ziel und einen funktionierenden Ablauf. Irgendeine Umleitung gen\u00fcgt als Nachweis nicht.<\/p>\n

Abweisung und HTML brauchen Einordnung<\/h2>\n

Stack Overflow antwortete einmal mit 418 und siebenmal mit 429. Das beweist keine einzelne Regel gegen s\u00e4mtliche unbekannten Clients und kl\u00e4rt nicht die Existenz der Dateien. Andere Hosts lieferten ebenfalls 403 oder 406.<\/p>\n

Zwei Ergebnisse erhielten die Einstufung Soft-404, weil statt des erwarteten Formats HTML erkannt wurde. Das ist eine Faustregel anhand des Antworttexts, keine best\u00e4tigte Diagnose: Pr\u00fcfseiten gegen Bots oder erl\u00e4uterndes HTML k\u00f6nnen dasselbe Muster zeigen. Content-Type bleibt f\u00fcr Formatkonformit\u00e4t wichtig. Status und ein kurzer Inhaltsanfang allein entscheiden nicht jeden Fall.<\/p>\n

Grenzen des verlinkten Pr\u00fcfers<\/h2>\n

Der Pr\u00fcfer ruft dreizehn Pfade ab, erlaubt bis zu drei Umleitungen und liest h\u00f6chstens 204.800 Bytes je Ressource. Die HTML-Heuristik betrachtet nur die ersten 2.000 Zeichen und nimmt Sitemaps aus. Lokale Gegenproben best\u00e4tigen, dass einfacher Fehlertext und HTML unter sitemap.xml weiterhin als vorhanden gelten k\u00f6nnen.<\/p>\n

Die Parser pr\u00fcfen ausgew\u00e4hlte Merkmale, nicht die gesamte Spezifikation. Eine PGP-Markierung ist keine Signaturpr\u00fcfung; der Linkz\u00e4hler \u00fcbersieht relative Markdown-Verweise, etwa \/kontakt statt einer vollst\u00e4ndigen https:\/\/-Adresse. Eine Umleitung best\u00e4tigt keinen getesteten Passwortwechsel. Gek\u00fcrzte Antworten und diese Grenzen geh\u00f6ren zur Ergebnisbewertung.<\/p>\n

GPC-Erkl\u00e4rungen und KI-Hinweise<\/h2>\n

Zwei Aufzeichnungen enthalten eine positive GPC-Erkl\u00e4rung, bei einer fehlt laut Befund das Aktualisierungsdatum. gpc.json ist eine freiwillige Erkl\u00e4rung zur beabsichtigten Unterst\u00fctzung. Fehlen beweist keine Ablehnung; Vorhandensein belegt nicht das tats\u00e4chliche Verarbeitungsverhalten. Die kleine Stichprobe misst keine allgemeine Browserverbreitung.<\/p>\n

llms.txt bietet strukturierte Hinweise und Links f\u00fcr Agenten. Die Datei ist weder Zugriffssperre noch Garantie einer Auswertung durch Crawler. ads.txt benennt autorisierte Werbeverk\u00e4ufer; eine gez\u00e4hlte Zeile best\u00e4tigt nicht unabh\u00e4ngig die jeweilige Gesch\u00e4ftsbeziehung.<\/p>\n

Well-known- und Richtliniendatei-Pr\u00fcfer<\/a><\/p>\n

\n

Fragen und Antworten<\/h2>\n

Gen\u00fcgt HEAD zur Datei\u00fcberpr\u00fcfung?<\/h3>\n

Nein. HEAD zeigt Antwortheader, liefert aber keinen Rumpf f\u00fcr die Pr\u00fcfung von Feldern und Syntax. Aussagekr\u00e4ftiger ist ein GET mit dokumentiertem Status, Headern, Umleitungskette und Inhalt. Ein Befehl mit Umleitungsverfolgung kann mehrere Anfragen ausl\u00f6sen.<\/p>\n

Soll jeder well-known-Pfad Sicherheitskontrollen umgehen?<\/h3>\n

Nein. Der Zugriff sollte zur konkreten Ressource und den erwarteten Clients passen. Eine gezielte Ausnahme f\u00fcr \u00f6ffentliche Kontaktdaten unterscheidet sich von der Freigabe des gesamten Verzeichnisses. 403 und 429 bleiben von einem best\u00e4tigten 404 zu trennen.<\/p>\n<\/div>\n

\n

Quellen<\/h2>\n