Zusammenfassung

  • WebFinger machte aus einem vertrauten Kontonamen eine Anfrage. Nach RFC 7033 von 2013 fragt ein Programm das /.well-known/webfinger der Domain hinter @ ab und erhält Links als JSON. Der Name kann zwischen Anwendungen wandern; die Domain führt das Adressbuch.
  • RFC 7565 definierte später acct: als Kennung eines Kontos unabhängig vom Zugriffsprotokoll. Ein W3C-Community-Bericht von 2024 beschrieb die Suche nach einem ActivityPub-Akteur. Ein handlicher Name hängt weiterhin von der Antwort seines Hosts ab.

Der Name passte ins Gespräch, die Adresse nicht

„Carol bei example.com“ ist für Menschen verständlich. Ein Programm muss noch herausfinden, wo ihr Anmeldeanbieter oder Profil zu finden ist. Das kann /carol, /users/carol oder eine lange undurchsichtige Zeichenfolge sein. Jede Anwendung alle URL-Gewohnheiten aller Dienste erraten zu lassen wäre eine schlechte Adresssuche.

RFC 7033 vom September 2013 legte eine einheitliche Auskunftsstelle bei der Kontodomain fest. Ein Client kann /.well-known/webfinger auf example.com per GET mit der acct:-Kennung von Carol bei example.com als kodiertem resource anfragen. Die Antwort ist ein JSON Resource Descriptor mit Subjekt, möglichen Aliasnamen, Eigenschaften und Links mit Beziehungstyp. Mit rel lässt sich eine bestimmte Beziehung abfragen. Das Beispiel des RFC findet so Carols OpenID-Connect-Aussteller. Die Anwendung berechnet das Ziel nicht aus dem Namen, sondern lässt es sich von der Domain nennen.

Das ist die stille Macht der Auskunftsstelle. Der Domainbetreiber kann einen Link ändern, während der Name gleich bleibt. Antwortet der Endpunkt nicht, hat ein entfernter Client für dieses Konto keine WebFinger-Auskunft. Der Standard vereinheitlichte die Frage; er errichtete kein fremdes Zentralverzeichnis, das stellvertretend für jede Domain spricht.

acct kennzeichnet ein Konto, keine Seite

Im Mai 2015 definierte RFC 7565 das Schema acct: für ein Konto bei einem Dienstanbieter, unabhängig vom Protokoll, mit dem es verwendet wird. Die acct:-Kennung von Carol bei example.com ist keine HTTP-Adresse, die ein Browser einfach als Profil abrufen könnte. WebFinger macht daraus eine Anfrage an den bezeichneten Host; dessen Antwort enthält tatsächlich nutzbare Weblinks.

Eine Anwendung kann damit einen Identitätsanbieter suchen, eine andere Autoren- oder Profilinformationen. Beide beginnen bei der Domain hinter @. Die allgemeine Schreibweise überträgt dem Kontoinhaber nicht die Herrschaft über diesen Host. Dessen Betreiber pflegt die laufende Zuordnung.

Ein Abschlussbericht der W3C Social Web Incubator Community Group von 2024 beschrieb die Verwendung für ActivityPub. Aus user@domain wird eine acct:-Kennung. Die WebFinger-Auskunft dieser Domain liefert einen Link zum HTTPS-Dokument des Akteurs, dessen Pfad je nach Dienst anders aussehen kann. Der Bericht beschreibt auch die Rücksuche vom Dokument zum Namen. Er ist ein Community-Bericht über spätere Praxis und keine W3C-Empfehlung.

Eine leicht erreichbare Auskunftsstelle hilft nicht nur erwünschten Besuchern. RFC 7033 warnte davor, dass Anfragen die Existenz eines Kontos bestätigen und weitere Daten mit einer Adresse verknüpfen können. Das erleichtert das Sammeln von Adressen oder gezieltere Phishing-Nachrichten. Der RFC diskutiert Zugriffsbeschränkungen und Anfrageraten. Beim wirklichen Dienst zählt, welche Aliasnamen und Eigenschaften er tatsächlich ausgibt und an wen.

WebFinger ersparte Anwendungen das Raten der Profilpfade jedes Dienstes. Der erste Schritt verriet zugleich die Entscheidungsstelle: zur Domain des Namens gehen und dort nach dem nächsten Ziel fragen. Der Name reiste. Das Adressbuch blieb am Schalter des Hosts.