02-TRUST
So funktionieren Signaturen hier
Wir folgen den intents.md-Vertrauensregeln: eine Signatur versteckt nie ein Dokument, sie sagt Ihnen, wer dafür bürgt.
Unsigniert
Jeder kann anbieten. Die Antworten erscheinen als Angabe des Lieferanten.
✓ Selbstsigniert
Ein Lieferant signiert mit eigenem Schlüssel: eine beständige Identität über alle Angebote, und jede Änderung fällt auf. Keine Domain bürgt dafür.
✓ Signiert · eigene Domain
Ein Lieferant mit eigener Domain signiert in eigenem Namen. Das stärkste Zeichen auf dem Board.
Eine Signatur zeigt, welche Domain für ein Angebot bürgt. Sie beweist nicht, dass ein Zertifikat echt ist: verlangen Sie es vor der Bestellung.
Unsere Prüfregeln
Algorithmus
Ed25519 über die kanonische Form (02-TRUST §4.1). Andere Algorithmen erscheinen als ungeprüft, nie versteckt.
Schlüssel
Nur von https://<registrierbare Domain>/.well-known/intents-md/key.asc geholt (PEM oder Base64), nie von der key:-Zeile. keyid = sha256 des öffentlichen Schlüssels.
Abruf
Nur https, normale DNS-Namen (keine IP-Adressen oder internen Namen), 1 Weiterleitung für Schlüssel und 3 für Dokumente, 64 KB Schlüssel, 256 KB Dokumente, 10 s, Schlüssel 24 h zwischengespeichert.
Gratis-Hoster
Höchstens selbstsigniert (L1): github.io, gitlab.io, codeberg.page, pages.dev, workers.dev, r2.dev, trycloudflare.com, netlify.app, vercel.app, web.app, firebaseapp.com, herokuapp.com, onrender.com, fly.dev, glitch.me, neocities.org, surge.sh, replit.app, repl.co, deno.dev, azurewebsites.net, blogspot.com, wordpress.com, wixsite.com, webflow.io, framer.app, framer.website, carrd.co, notion.site, super.site, ngrok.io, ngrok-free.app, ngrok.app, myshopify.com, squarespace.com, weebly.com, jimdosite.com, jimdofree.com, strikingly.com, godaddysites.com, site123.me.
Suffixliste
pickthepitch subset 2026-10-19: ein fester Auszug der Public Suffix List; jeder andere Name gilt als Name.tld.
Aktualität
Eine Signatur, die älter als 400 Tage ist, erscheint als signiert, aber veraltet.
Unser Schlüssel
Jede bestätigte Anfrage ist signiert, "Signiert · pickthepitch.com": ein echtes Postfach hat sie bestätigt, und seither wurde nichts geändert.
Reihenfolge
Zuerst von einer Domain signierte Angebote, dann selbstsignierte, dann unsignierte; innerhalb einer Stufe die ältesten zuerst.
key.asc