Também disponível em: English · Español · Français · العربية
URIs well-known
O registro completo da IANA de caminhos /.well-known/, com situação, responsável e data, junto de uma medição do que os sites realmente servem.
O que é /.well-known/
A RFC 8615 reserva um caminho em todo site. Qualquer coisa sob /.well-known/ é um lugar onde um protocolo pode deixar um arquivo num endereço idêntico em todos os servidores, de modo que um cliente saiba onde olhar sem que ninguém precise contar. É assim que uma autoridade certificadora comprova que você controla um domínio, que um navegador acha sua página de troca de senha e que um celular liga um aplicativo a um site.
Isso faz dele um espaço de nomes global compartilhado, recortado de todo domínio da internet, e é por isso que existe um registro em vez de terra de ninguém. São 101 caminhos registrados. Quase toda lista que circula tem uma dúzia de entradas e nenhuma data; esta tem todas, com as três colunas que o registro publica e as cópias costumam jogar fora.
A mais interessante dessas colunas é a do responsável, porque só 36 dos 101 estão com a IETF. O resto pertence a empresas e consórcios específicos: 54 organizações distintas ao todo. Quando você serve um arquivo sob /.well-known/, as regras da maioria desses caminhos foram escritas por quem os pediu.
Como usar esta lista
- Busque por caminho, responsável ou especificação. A caixa procura nos três, então dá para achar acme-challenge, ou tudo que o W3C controla, ou tudo que uma RFC específica define.
- Filtre pela situação. Permanente, provisório, descontinuado e obsoleto são quatro coisas diferentes, e uma lista copiada que mostre tudo como um tipo só de linha está escondendo a diferença.
- Leia a tabela de implantação abaixo. Ela mostra a mesma medição contada de dois jeitos, e o que importa é a diferença entre as colunas.
Uma resposta 200 não quer dizer que o arquivo está lá
Conferir se um site serve determinado caminho well-known parece trivial: peça e veja se volta 200. Esse método é quase inútil, e a medição aqui mostra o tamanho do erro.
Sobre 120 domínios, dos quais 89 responderam, o código de status sozinho diz que host-meta é servido por 28,1% deles. Exigir também um tipo de conteúdo plausível diz 0,0%. Nenhum daqueles domínios serve um documento host-meta: eles servem um aplicativo de página única cuja rota curinga responde 200 com uma casca de HTML para qualquer caminho pedido, inclusive caminhos que ninguém jamais registrou.
O exagero não é uniforme, e é isso que torna a coisa perigosa. Para caminhos realmente comuns ele é brando: assetlinks.json cai de 61,8% para 44,9%, e security.txt de 64,0% para 42,7%. Para o resto é devastador: change-password despenca de 37,1% para 1,1%, e mta-sts.txt e nodeinfo fazem o mesmo. Uma ferramenta que reporte a primeira coluna está dizendo que um site suporta coisas das quais nunca ouviu falar.
O que denunciou isso não foi uma checagem que falhou, e sim um padrão suspeito: host-meta e nodeinfo pontuaram igual, exatamente 25 acertos cada. Dois protocolos sem relação não podem ter a mesma adoção, então o número media a sonda e não a web. Qualquer checagem de existência sobre HTTP precisa de um tipo de conteúdo, de um formato de corpo, ou de um caminho de controle sabidamente ausente.
Uma ressalva dita com clareza: 89 domínios são uma demonstração, não um censo, e existem varreduras bem maiores desses caminhos. O achado é a distância entre as duas colunas; os números absolutos são ilustrativos.
O que o registro não conta
O registro guarda o que foi registrado, o que não é a mesma coisa que o que a web serve. O exemplo mais claro está na tabela de implantação: apple-app-site-association é servido por cerca de um terço dos domínios da amostra, o que faz dele o terceiro caminho mais implantado medido aqui, e ele não aparece no registro de jeito nenhum. O Google registrou o equivalente dele, assetlinks.json; a Apple não registrou o seu. Os dois estão em milhões de sites.
A situação também não serve de medida de adoção. change-password continua apenas provisório apesar de ser implementado por todo navegador importante e todo gerenciador de senhas, enquanto muitas entradas permanentes quase ninguém serve. Os quatro estados descrevem com que firmeza um caminho está reservado, não o quanto é usado.
Há uma entrada que ficou oca. Cinco caminhos estão descontinuados ou obsoletos, e um deles, mud, ficou sem referência e sem responsável, deixando um nome registrado que não aponta para nada. Ele fica na lista em vez de ser filtrado, porque um registro que admite não saber mais de quem é algo informa mais do que uma tabela arrumadinha.
Sobre exatidão: a página da IANA tem duas tabelas, o registro e outra de contatos dos responsáveis, e raspar linhas sem distinguir as duas dá 146 entradas para um registro de 101. O gerador daqui identifica o registro pela linha de cabeçalho, e a suíte de testes rederiva do HTML de origem todos os números desta página, não do arquivo gerado, com 971 verificações e 14 controles negativos.
Por que é grátis?
Isto é uma tabela desenhada no seu navegador. Não há servidor trabalhando, então não há o que cobrar nem cadastro a fazer.
Também não se busca nada em seu nome. Um navegador não pode pedir os caminhos /.well-known/ de outro site, então esta página não finge checar o seu domínio: ela diz o que existe e o que os números realmente significam, e as ferramentas de desenvolvedor ou a linha de comando fazem o resto.