{"id":15621,"date":"2026-11-01T18:55:00","date_gmt":"2026-11-01T17:55:00","guid":{"rendered":"https:\/\/www.lukaswojcik.com\/blog\/?p=15621"},"modified":"2026-10-26T12:52:24","modified_gmt":"2026-10-26T11:52:24","slug":"security-txt-ads-txt-i-llms-txt-co-potwierdza-kontrola-stalych-sciezek","status":"publish","type":"post","link":"https:\/\/www.lukaswojcik.com\/blog\/pl\/tworzenie-stron-internetowych\/tutorials-pl-tworzenie-stron-internetowych\/security-txt-ads-txt-i-llms-txt-co-potwierdza-kontrola-stalych-sciezek\/","title":{"rendered":"security.txt, ads.txt i llms.txt: co potwierdza kontrola sta\u0142ych \u015bcie\u017cek"},"content":{"rendered":"

Znane \u015bcie\u017cki u\u0142atwiaj\u0105 znalezienie wybranych informacji o witrynie. Sama odpowied\u017a pod takim adresem nie potwierdza poprawnego pliku. Historyczna pr\u00f3ba opisuje wyniki ograniczonego kontrolera, a nie pe\u0142ne badanie zgodno\u015bci ze standardami.<\/p>\n

\"Historyczna
Historyczna klasyfikacja nie potwierdza poprawno\u015bci formatu.<\/figcaption><\/figure>\n

Rejestr, konwencje i propozycja<\/h2>\n

RFC 8615 rezerwuje \/.well-known\/ dla zasob\u00f3w okre\u015blanych przez aplikacje. Nie oznacza to bezwarunkowej publicznej dost\u0119pno\u015bci ka\u017cdego zasobu ani og\u00f3lnego wyj\u0105tku zapory. Zakres i zasady pobierania zale\u017c\u0105 od konkretnego formatu.<\/p>\n

Pr\u00f3ba obejmuje r\u00f3wnie\u017c \u015bcie\u017cki g\u0142\u00f3wne. Nie wszystkie s\u0105 starsze od \/.well-known\/: ads.txt powsta\u0142 w 2017, a llms.txt zaproponowano we wrze\u015bniu 2024. Mapa witryny nie musi nazywa\u0107 si\u0119 sitemap.xml. Obecna propozycja llms.txt v2 dopuszcza te\u017c pod\u015bcie\u017cki, np. \/docs\/llms.txt. Kontrola samego katalogu g\u0142\u00f3wnego nie dowodzi braku pliku w ca\u0142ej witrynie.<\/p>\n

Co policzy\u0142a historyczna pr\u00f3ba<\/h2>\n

Zapis wynik\u00f3w ma dat\u0119 5 wrze\u015bnia 2026, 18:19:59 +02:00. Obejmuje dwadzie\u015bcia host\u00f3w i po trzyna\u015bcie \u015bcie\u017cek, \u0142\u0105cznie 260 wynik\u00f3w. Przekierowania mog\u0105 wymaga\u0107 dodatkowych \u017c\u0105da\u0144 HTTP. Tabela zlicza klasyfikacj\u0119 obecny, a dla change-password osobn\u0105 klasyfikacj\u0119 przekierowany.<\/p>\n

Liczby nie potwierdzaj\u0105 zwi\u0105zku przyczynowego mi\u0119dzy wiekiem a popularno\u015bci\u0105 formatu. Pr\u00f3ba nie jest reprezentatywna, a powi\u0105zania aplikacji i pliki reklamowe s\u0142u\u017c\u0105 konkretnym celom. Brak pliku nie jest wi\u0119c automatycznie usterk\u0105.<\/p>\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n\n
\u015acie\u017cka<\/th>\nKlasyfikacje na 20<\/th>\n<\/tr>\n<\/thead>\n
\/.well-known\/security.txt<\/code><\/td>\n14<\/td>\n<\/tr>\n
\/security.txt<\/code><\/td>\n5<\/td>\n<\/tr>\n
\/robots.txt<\/code><\/td>\n18<\/td>\n<\/tr>\n
\/ads.txt<\/code><\/td>\n9<\/td>\n<\/tr>\n
\/app-ads.txt<\/code><\/td>\n8<\/td>\n<\/tr>\n
\/.well-known\/gpc.json<\/code><\/td>\n2<\/td>\n<\/tr>\n
\/llms.txt<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/.well-known\/change-password<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/.well-known\/assetlinks.json<\/code><\/td>\n11<\/td>\n<\/tr>\n
\/.well-known\/apple-app-site-association<\/code><\/td>\n7<\/td>\n<\/tr>\n
\/.well-known\/traffic-advice<\/code><\/td>\n1<\/td>\n<\/tr>\n
\/humans.txt<\/code><\/td>\n4<\/td>\n<\/tr>\n
\/sitemap.xml<\/code><\/td>\n10<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Cztery cz\u0119\u015bci wsp\u00f3lne zamiast pi\u0119ciu<\/h2>\n

Czterna\u015bcie host\u00f3w sklasyfikowano jako posiadaj\u0105ce \/.well-known\/security.txt, a pi\u0119\u0107 jako posiadaj\u0105ce \/security.txt. Tylko cztery nale\u017c\u0105 do obu grup: nytimes.com, bbc.co.uk, gov.uk i onet.pl. Pi\u0105ty przypadek g\u0142\u00f3wny, heise.de, zwr\u00f3ci\u0142 w tym zapisie 404 pod \u015bcie\u017ck\u0105 well-known.<\/p>\n

RFC 9116 umieszcza security.txt us\u0142ug WWW pod \/.well-known\/. Przekierowanie z katalogu g\u0142\u00f3wnego wspiera starszych klient\u00f3w bez utrzymywania dw\u00f3ch kopii. Wymagania obejmuj\u0105 Contact, dok\u0142adnie jeden znacznik czasu Expires, HTTPS, text\/plain i UTF-8. Pe\u0142na sk\u0142adnia oraz ewentualne pole Canonical wymagaj\u0105 dalszej kontroli. Znalezienie dw\u00f3ch nazw p\u00f3l nie jest pe\u0142n\u0105 walidacj\u0105.<\/p>\n

Przekierowanie nie dowodzi formularza zmiany has\u0142a<\/h2>\n

Konwencja change-password prowadzi do strony zmiany has\u0142a konta. Zapis zawiera cztery klasyfikacje przekierowania, ale dwie ko\u0144cz\u0105 si\u0119 statusem 301 po trzech zapisanych krokach. Nie osi\u0105gni\u0119to wi\u0119c i nie potwierdzono docelowego formularza.<\/p>\n

Nawet przekierowanie ko\u0144cz\u0105ce si\u0119 statusem 200 mo\u017ce prowadzi\u0107 do logowania, strony g\u0142\u00f3wnej lub niew\u0142a\u015bciwego celu. Poprawny endpoint wymaga w\u0142a\u015bciwego celu i dzia\u0142aj\u0105cego procesu. Dowolne przekierowanie nie jest wystarczaj\u0105cym dowodem.<\/p>\n

Odmowa i HTML wymagaj\u0105 interpretacji<\/h2>\n

Stack Overflow zwr\u00f3ci\u0142 jedno 418 i siedem odpowiedzi 429. Nie dowodzi to jednej regu\u0142y blokuj\u0105cej wszystkich nieznanych klient\u00f3w ani nie rozstrzyga istnienia plik\u00f3w. Inne hosty r\u00f3wnie\u017c zwraca\u0142y 403 lub 406.<\/p>\n

Dwa wyniki oznaczono jako soft 404, poniewa\u017c wykryto HTML zamiast oczekiwanego formatu. To uproszczona regu\u0142a oparta na tre\u015bci odpowiedzi, a nie potwierdzona diagnoza: strona kontroli bot\u00f3w lub obja\u015bniaj\u0105cy HTML mog\u0105 wygl\u0105da\u0107 podobnie. Content-Type pozostaje istotny dla zgodno\u015bci formatu. Sam status lub pocz\u0105tek tre\u015bci nie rozstrzyga ka\u017cdego przypadku.<\/p>\n

Ograniczenia inspektora<\/h2>\n

Narz\u0119dzie pobiera trzyna\u015bcie \u015bcie\u017cek, dopuszcza do trzech przekierowa\u0144 i odczytuje najwy\u017cej 204 800 bajt\u00f3w na zas\u00f3b. Heurystyka HTML obejmuje tylko pierwsze 2000 znak\u00f3w i pomija mapy witryny. Lokalne pr\u00f3by potwierdzi\u0142y, \u017ce zwyk\u0142y komunikat b\u0142\u0119du oraz HTML pod sitemap.xml mog\u0105 nadal otrzyma\u0107 klasyfikacj\u0119 obecny.<\/p>\n

Parsery sprawdzaj\u0105 wybrane cechy, a nie ca\u0142\u0105 specyfikacj\u0119. Znacznik PGP nie oznacza weryfikacji podpisu, a licznik link\u00f3w pomija wzgl\u0119dne odsy\u0142acze Markdown, na przyk\u0142ad \/kontakt zamiast pe\u0142nego adresu https:\/\/. Przekierowanie nie potwierdza przetestowanej zmiany has\u0142a. Skr\u00f3cone odpowiedzi i te ograniczenia s\u0105 cz\u0119\u015bci\u0105 interpretacji.<\/p>\n

Deklaracje GPC i wskaz\u00f3wki dla AI<\/h2>\n

Dwa zapisy zawieraj\u0105 pozytywn\u0105 deklaracj\u0119 GPC, lecz w jednym odnotowano brak daty aktualizacji. gpc.json jest opcjonalnym o\u015bwiadczeniem zamiaru obs\u0142ugi. Brak nie dowodzi odrzucenia, a obecno\u015b\u0107 nie potwierdza faktycznego przetwarzania. Ma\u0142a pr\u00f3ba nie mierzy og\u00f3lnej popularno\u015bci w przegl\u0105darkach.<\/p>\n

llms.txt zawiera uporz\u0105dkowane wskaz\u00f3wki i linki dla agent\u00f3w. Nie jest kontrol\u0105 dost\u0119pu ani gwarancj\u0105 odczytu przez crawler. ads.txt wskazuje upowa\u017cnionych sprzedawc\u00f3w reklam; policzony rekord nie potwierdza niezale\u017cnie relacji handlowej.<\/p>\n

Inspektor plik\u00f3w well-known i polityk<\/a><\/p>\n

\n

Pytania i odpowiedzi<\/h2>\n

Czy HEAD wystarcza do walidacji?<\/h3>\n

Nie. HEAD pozwala obejrze\u0107 nag\u0142\u00f3wki, ale nie dostarcza tre\u015bci potrzebnej do kontroli p\u00f3l i sk\u0142adni. Wi\u0119cej informacji daje GET z zapisem statusu, nag\u0142\u00f3wk\u00f3w, przekierowa\u0144 i tre\u015bci. Polecenie pod\u0105\u017caj\u0105ce za przekierowaniami mo\u017ce wykona\u0107 kilka \u017c\u0105da\u0144.<\/p>\n

Czy wszystkie \u015bcie\u017cki well-known powinny omija\u0107 ochron\u0119?<\/h3>\n

Nie. Dost\u0119p powinien odpowiada\u0107 zasobowi i oczekiwanym klientom. Celowy wyj\u0105tek dla publicznych danych kontaktowych r\u00f3\u017cni si\u0119 od wy\u0142\u0105czenia ochrony ca\u0142ego katalogu. Odpowiedzi 403 i 429 trzeba odr\u00f3\u017cnia\u0107 od potwierdzonego 404.<\/p>\n<\/div>\n

\n

\u0179r\u00f3d\u0142a<\/h2>\n