security.txt für Cloudflare einrichten

security.txt über Cloudflare Workers bereitstellen: Worker für dynamische Auslieferung erstellen und Worker-Route konfigurieren — ideal auch als Shopify-Workaround.

security.txt prüfen Plattform entdecken

Cloudflare · Schritt für Schritt

Von Wolf-Agents Security Team · Aktualisiert: 26. März 2026

security.txt über Cloudflare

Cloudflare Workers eignen sich ideal, um eine security.txt nach RFC 9116 auszuliefern — ohne Änderungen am Origin-Server. Der Worker fängt Requests an /.well-known/security.txt ab und liefert die Datei direkt von der Edge aus. Das ist besonders wertvoll für Plattformen ohne Dateisystem-Zugriff wie Shopify, Squarespace oder andere SaaS-Anbieter. Der Wolf-Agents Web Security Check prüft security.txt automatisch — als Teil der 166 Prüfpunkte.

Diese Methode ist besonders nützlich bei Plattformen wie Shopify, die keinen Zugriff auf /.well-known/ erlauben. Der Worker fängt den Request ab, bevor er den Origin erreicht.

Ausführliche Einführung in security.txt

1 Schritt 1 von 2

Cloudflare Worker erstellen

Erstellen Sie einen neuen Worker im Cloudflare Dashboard unter Workers & Pages. Der Worker prüft den Request-Pfad und liefert die security.txt mit korrektem Content-Type und Cache-Header aus.

export default {
  async fetch(request) {
    const url = new URL(request.url);

    if (url.pathname === '/.well-known/security.txt') {
      const securityTxt = `Contact: mailto:security@ihre-domain.de
Expires: 2027-01-31T23:59:59.000Z
Preferred-Languages: de, en
Canonical: https://ihre-domain.de/.well-known/security.txt`;

      return new Response(securityTxt, {
        headers: {
          'Content-Type': 'text/plain; charset=utf-8',
          'Cache-Control': 'public, max-age=86400'
        }
      });
    }

    return fetch(request);
  }
};

Cache-Control Header

Der max-age=86400 Cache-Header sorgt dafür, dass Cloudflare die Response 24 Stunden cached. Bei Änderungen an der security.txt den Cache per Dashboard purgen.

2 Schritt 2 von 2

Worker-Route konfigurieren und verifizieren

Konfigurieren Sie eine Worker-Route im Cloudflare Dashboard, damit der Worker nur für den /.well-known/security.txt-Pfad aktiviert wird. Alle anderen Requests werden unverändert an den Origin weitergeleitet.

Worker-Route

ihre-domain.de/.well-known/security.txt

# Header prüfen
curl -I https://ihre-domain.de/.well-known/security.txt

# Inhalt anzeigen
curl https://ihre-domain.de/.well-known/security.txt

Prüfen Sie, ob der cf-worker-Header in der Response auftaucht — das bestätigt, dass der Worker aktiv ist und nicht der Origin-Server antwortet.

Auch verfügbar für:

Nginx Apache WordPress Next.js Express Caddy

Wie steht Ihre Domain bei security.txt?

Prüfen Sie es jetzt — kostenlos, ohne Registrierung, mit 166 Prüfpunkte.

Web Security Check starten Monitoring ab 199 EUR/Mo

Häufig gestellte Fragen

Warum ein Worker statt statische Datei?

Cloudflare Workers sind ideal, wenn Ihr Origin-Server keinen direkten Dateizugriff bietet — z.B. bei Shopify, SaaS-Plattformen oder gehosteten Diensten. Der Worker fängt den Request auf Edge-Ebene ab, bevor er den Origin erreicht.

Kostet ein Cloudflare Worker für security.txt Geld?

Nein. Der Cloudflare Free Plan enthält 100.000 Worker-Requests pro Tag. Eine security.txt generiert minimal Traffic — selbst populäre Websites kommen auf wenige hundert Requests pro Tag.

Kann ich den Worker auch für Shopify nutzen?

Ja. Shopify erlaubt keine Dateien unter /.well-known/. Ein Cloudflare Worker vor Ihrem Shopify-Store ist der empfohlene Workaround, um eine security.txt bereitzustellen.