Softwareentwicklung:
Individuelle Programmierung

Symptom

In meinem Dokumentenstammverzeichnis sehe ich auch einen Ordner „/.well-known“ und davon abgehend „/acme-challenge“. Ich habe diese Ordner nicht eingerichtet. Sind sie gefährlich?

Ursache

„acme“ steht für „Automatic Certificate Management Environment” (Umgebung für die automatische Zertifikatsverwaltung). Der Ordner /.well-known/acme-challenge ist ein Standard-Ordner, der für die Ausstellung und Verlängerung von Let’s Encrypt SSL-Zertifikaten verwendet wird. Er ist ein weltweit verbindlicher Standard auf allen Webservern. Dort wird ein Token platziert, der für die Zertifizierungsstelle über das Internet abrufbar ist. Mit Hilfe des Tokens kann die Zertifizierungsstelle prüfen, ob der Server tatsächlich für die Domain, die zertifziert werden soll, zuständig ist.

Lösung

/.well-known/acme-challenge wird gerne von Hackern verwendet, um darin Schadsoftware zu verstecken, weil Website-Inhaber selten oder gar nicht in diesen Ordner hinein schauen. Bitpalast® sieht darin keine besondere Gefahr, denn gehackte Websites enthalten auch an anderen und meistens zahlreichen Stellen Schadcode, so dass diese ohnehin aus einem Backup wiederhergestellt oder neu erstellt werden müssten. Ob nun zusätzlich in /.well-known/acme-challenge Schadcode vorhanden ist oder nicht, spielt dann auch keine Rolle mehr. Ob der Pfad vorhanden ist oder nicht, beeinflusst nicht, ob eine Website gehackt werden kann oder nicht.

Trotzdem ist in den Bitpalast® Webspace-Konten /.well-known/acme-challenge seit Anfang 2021 aus diesem und anderen Gründen ein virtueller Pfad zu einem Bereich außerhalb Ihres Webspaces, den Skripte von Hackern nicht erreichen können. Viele Bitpalast® Webspace-Nutzer sehen deshalb diesen Pfad nicht in ihrem Dokumentenstammverzeichnis. Es ist aber möglich, dass der Pfad in älteren Webspace-Konten noch aus früheren SSL-Installationen vorhanden ist. Sie können /.well-known/acme-challenge in der Regel löschen. Sollte der Pfad von einer Software benötigt werden, wird sich die Software den Pfad selbst neu erstellen. Wenn der /.well-known/acme-challenge-Pfad gelöscht wird, bleibt ein eventuell eingerichtetes SSL-Zertifikat trotzdem bestehen.

Übersicht häufig gestellter Fragen