Connaissez-vous le dossier /.well-known ?

Cette URI est située à la racine d'un domaine, sur votre serveur web, sert d'indicateur fixe pour quelques services.

Personnellement, j'ai quasiment toujours vu ce nom de dossier dans le cas de renouvellement de certificats Let's Encrypt : le challenge pour vérifier que vous possédez bien ce domaine se déroule dedans : un fichier avec un nom non prévisible est stocké temporairement dedans (dans le sous-dossier acme-challenge, les serveurs de Let's Encrypt vont vérifier son existence. Un code HTTP 200, c'est tout bon, le certificat est validé (grosso modo hein)

Un autre usage que j'ai pu constater lorsque j'ai tenté de gérer mon propre serveur Mastodon, c'est le protocole WebFinger.L'url https://mastodon.social/.well-known/webfinger?resource=acct%3Amathieulesniak%40mastodon.social permet par exemple d'avoir quelques infos sur le pseudo Mastodon d'un utilisateur. Cela permet aussi de savoir si un utilisateur existe sur ce serveur.

Mais ce que je ne savais pas (jusqu'à récemment), c'est que ce dossier sert à BEAUCOUP d'autres usages !

Il suffit de lire la page Wikipedia à ce sujet :

• /.well-known/acme-challenge : comme expliqué juste au-dessus, pour les validations Let's Encrypt
• /.well-known/apple-developer-merchantid-domain-association pour pouvoir utiliser Apple Pay sur le domaine concerné
• /.well-known/assetlinks.json pour qu'Android puisse déterminer si une app peut ouvrir telle ou telle URL
• /.well-known/security.txt où l'on est censé trouver la politique de sécurité du domaine, comment remonter une faille, etc
• ./well-known/atproto-did pour pouvoir utiliser un domaine en tant que partie de son pseudo Bluesky (il est également possible de procéder via un challenge DNS, généralement plus simple à mettre en place)
• /.well-known/change-password pour indiquer aux gestionnaires de mots de passe ou navigateur comment changer simplement de mot passe pour ce site (Une redirection vers la page concernée via un appel sur cet URL suffit)
• /.well-known/openid-configuration pour déterminer la configuration openID appliquée ici
• /.well-known/passkeys pour indiquer comment sont gérées les passkeys sur ce domaine
• /.well-known/traffic-advice qui indique à Chrome s'il peut prefetch les ressources de ce domaine

Et bien d'autres ! La page Wikipedia en liste une bonne partie.

Le site https://well-known.dev/ répertorie quelques ressources trouvées dans ce dossier .well-known pour beaucoup de sites connus (ou moins)

Voilà, j'espère vous avoir appris quelque chose aujourd'hui avec le dossier par si connu que ça 🤡