security.txt für Bunny CDN konfigurieren
Kontaktdatei für Sicherheitsforscher unter .well-known/ bereitstellen — Storage Zone Upload, Edge Rule Redirect und PGP-Signierung.
security.txt auf Bunny CDN
Die security.txt (RFC 9116) ist eine standardisierte Kontaktdatei für Sicherheitsforscher unter /.well-known/security.txt. Sie enthält eine E-Mail-Adresse für verantwortungsvolle Offenlegung von Schwachstellen. Mit 2 von 166 Punkten ist sie ein kleiner, aber einfacher Faktor im Wolf-Agents Web Security Check.
Auf Bunny CDN haben Sie zwei Optionen: Die Datei direkt in der Storage Zone unter dem Pfad .well-known/security.txt ablegen oder sie am Origin-Server bereitstellen und per Pull Zone ausliefern. Zusätzlich empfiehlt Wolf-Agents einen Edge Rule Redirect von /security.txt auf /.well-known/security.txt für maximale Auffindbarkeit.
security.txt in der Storage Zone anlegen
Laden Sie die security.txt per Bunny Storage API hoch. Die Datei muss unter dem Pfad /.well-known/security.txt erreichbar sein. Pflichtfelder nach RFC 9116 sind Contact und Expires. Setzen Sie das Expires-Datum maximal ein Jahr in die Zukunft und planen Sie eine Erinnerung zur Erneuerung.
# security.txt in der Storage Zone anlegen
# Pfad: /.well-known/security.txt
# Bunny API — Datei in Storage Zone hochladen
curl -X PUT https://storage.bunnycdn.com/{storageZoneName}/.well-known/security.txt \
-H "AccessKey: YOUR_STORAGE_API_KEY" \
-H "Content-Type: text/plain" \
-d 'Contact: mailto:security@ihre-domain.de
Expires: 2027-03-30T00:00:00.000Z
Preferred-Languages: de, en
Canonical: https://ihre-domain.de/.well-known/security.txt
Policy: https://ihre-domain.de/security-policy
Hiring: https://ihre-domain.de/karriere'Bei einer Origin Pull Zone kommt die security.txt vom Origin-Server. Stellen Sie sicher, dass Ihr Origin die Datei unter /.well-known/security.txt bereitstellt. Bei einer Storage Zone laden Sie die Datei direkt in den Bunny-Speicher hoch.
Edge Rule Redirect konfigurieren
Einige Sicherheitsforscher suchen unter /security.txt statt unter /.well-known/security.txt. Ein 301-Redirect per Edge Rule stellt sicher, dass die Datei unter beiden Pfaden gefunden wird. Diese Edge Rule nutzt einen URL-Pattern-Trigger statt Match All.
# Bunny Dashboard → Pull Zone → Edge Rules
# Redirect /security.txt → /.well-known/security.txt
Condition: URL Match: /security.txt
Action: Redirect to URL
Redirect URL: https://ihre-domain.de/.well-known/security.txt
Status Code: 301
# Alternative: Per Bunny API
curl -X POST https://api.bunny.net/pullzone/{pullZoneId}/edgerules \
-H "AccessKey: YOUR_API_KEY" \
-H "Content-Type: application/json" \
-d '{
"ActionType": 2,
"ActionParameter1": "https://ihre-domain.de/.well-known/security.txt",
"ActionParameter2": "",
"Triggers": [{
"Type": 0,
"PatternMatchingType": 0,
"PatternMatches": ["/security.txt"]
}],
"TriggerMatchingType": 0,
"Description": "Redirect security.txt to .well-known",
"Enabled": true
}'Expires-Feld ist Pflicht nach RFC 9116. Ohne gültiges Expires-Datum wird die security.txt von Scannern als ungültig gewertet. Setzen Sie das Datum maximal 1 Jahr in die Zukunft. Verifizieren und testen
Rufen Sie die security.txt per curl ab und prüfen Sie den Redirect. Testen Sie sowohl die b-cdn.net-URL als auch Ihren Custom Hostname. Stellen Sie sicher, dass die Datei als text/plain mit UTF-8-Encoding ausgeliefert wird.
# security.txt abrufen
curl -s https://ihre-domain.b-cdn.net/.well-known/security.txt
# Erwartete Ausgabe:
Contact: mailto:security@ihre-domain.de
Expires: 2027-03-30T00:00:00.000Z
Preferred-Languages: de, en
# Redirect prüfen
curl -sI https://ihre-domain.b-cdn.net/security.txt | head -3
# Erwartete Ausgabe:
HTTP/2 301
location: https://ihre-domain.de/.well-known/security.txtHäufige Fehler
Abgelaufenes Expires-Datum
Eine security.txt mit abgelaufenem Expires-Datum wird von Scannern als ungültig gewertet. Planen Sie eine Erinnerung zur jährlichen Erneuerung. Bei Bunny CDN aktualisieren Sie die Datei per Storage API oder ersetzen sie am Origin.
Falscher Content-Type
Die security.txt muss als text/plain ausgeliefert werden. Bunny CDN erkennt die .txt-Endung und setzt den Content-Type korrekt. Wenn Sie die Datei per Storage API hochladen, setzen Sie den Content-Type explizit im Request.
Perma-Cache hält alte Version
Wenn Sie die security.txt aktualisieren (z.B. neues Expires-Datum), kann der Perma-Cache die alte Version ausliefern. Purgen Sie den Cache für /.well-known/security.txt per API nach jeder Aktualisierung.
Compliance-Relevanz
Die security.txt ist ein Baustein für verantwortungsvolle Offenlegung (Responsible Disclosure). NIS2 (Art. 21) fordert Verfahren zum Umgang mit Sicherheitsvorfällen — eine security.txt stellt den Erstkontakt sicher. Das BSI empfiehlt security.txt als Best Practice für alle öffentlich erreichbaren Webauftritte. Die ENISA listet security.txt als empfohlene Maßnahme für koordinierte Schwachstellenoffenlegung. Der Wolf-Agents Web Security Check prüft Vorhandensein, Pflichtfelder und Ablaufdatum der security.txt.
Wie steht Ihre Domain bei security.txt?
Prüfen Sie es jetzt — kostenlos, ohne Registrierung, mit 166 Prüfpunkte.