Skrytý pilíř bezpečnosti webu: Co jsou well-known URI

Když na webu uvidíte zelenou zámek, víte, že za tím stojí spousta standardů. Tenhle symbol chrání vaše přihlašovací údaje i zodpovědné hlášení chyb. Všechno to běží na chytrém systému pevně daných adres, o kterých většina vývojářů nemá tušení.

Představte si well-known URI.

Co to jsou well-known URI?

Jedná se o standardizované adresy na konci /.well-known/ vaší domény. Mají pevně daný účel a řídí se pravidly od IANA.

Jsou jako povinné nouzové východy v budovách. Každý ví, kde je hledat. Webové služby tak najdou klíčové soubory bez hledání po celé doméně.

Nejdůležitější z nich: Kde se děje kouzlo

ACME Challenge: Základ automatických SSL certifikátů

Cesta /.well-known/acme-challenge je klíčová. Slouží k ověření vlastnictví domény před vydáním SSL certifikátu. Let's Encrypt sem pošle výzvu, vy tam dáte token a oni to zkontrolují.

Díky tomu jdou certifikáty vydávat masově a zdarma. Na platformách jako NameOcean s automatickým SSL to běží samo.

PKI Validation: Starší způsob ověření

/.well-known/pki-validation slouží podobně. Tradiční certifikační autority ho používají k prokázání kontroly domény. I když ACME převzal většinu, v enterprise prostředí zůstává důležitý.

OpenID Connect a OAuth: Autentizace na jedničku

Soubory jako /.well-known/openid-configuration nebo /.well-known/oauth-authorization-server popisují, jak funguje přihlašování. Obsahují info o algoritmech, endpointech a postupech.

Pro SaaS nebo integrace s identity providery to znamená automatické objevování. Aplikace si config stáhnou a vědí, co dělat.

Bezpečnostní vrstva, kterou lidé přehlížejí

Security.txt: Jak hlásit zranitelnosti

/.well-known/security.txt (RFC 9116) obsahuje politiku bezpečnosti a kontakty. Výzkumník najde bug, podívá se sem a ví, jak ho nahlásit. Může to zabránit veřejné exploitační.

Asset Links: Bezpečnost pro mobily

/.well-known/assetlinks.json spojuje web s Android appkami. Ověřuje, že app patří k doméně, a brání podvrhům.

Proč to mění vaši infrastrukturu

Well-known URI ukazují princip dobrého designu: standardizace umožňuje automatizaci. Nemusíte vymýšlet vlastní cesty pro ověření nebo objevování.

Pro vývojáře a adminy to znamená:

• Automatizaci – nástroje vědí, kam se podívat
• Lepší bezpečnost – standardní kanál pro hlášení
• Jednoduchší integrace – systémy se popisují samy
• Předvídatelnost – vše je v RFC

Co to znamená pro vaši doménu

Při registraci na NameOcean a hostingu s AI Vibe Hosting tady well-known URI hrají roli. SSL jede přes ACME, autentizace přes OpenID, bezpečnost přes security.txt.

Většina běží automaticky. Stačí vědět, jak to využít pro bezpečnost, autentizaci a automatizaci.

Co přijde dál?

Rejstřík IANA roste. Nové standardy přibývají s vývojem webu. Držte se jich, abyste nemuseli řešit vlastní řešení, která automatizaci láme.

Příště uvidíte zelený zámek nebo snadné logování – poděkujte well-known URI. Pracují v pozadí a dělají web moderním.