---
title: "HTTP Message Signatures (RFC 9421): Definition | KYA-Glossar"
url: https://knowyouragent.ch/wissen/glossar/http-message-signatures
lang: de-CH
updated: 2026-10-12
license: © Innopulse Consulting GmbH
---

# HTTP Message Signatures (RFC 9421)

HTTP Message Signatures sind ein IETF-Standard (RFC 9421), mit dem Absender ausgewählte Teile einer HTTP-Nachricht signieren, sodass Empfänger Herkunft und Unversehrtheit prüfen können.

RFC 9421 wurde im Februar 2024 veröffentlicht. Der Absender bildet aus den gewählten Komponenten, etwa Methode, Pfad, Host und bestimmten Headern, eine Signaturbasis und signiert sie. Zwei Header transportieren das Ergebnis: Signature-Input beschreibt, was signiert wurde, Signature enthält die Signatur.

Der Standard registriert unter anderem Ed25519, ECDSA und RSA-PSS. Weil die Signatur an konkrete Teile der Anfrage gebunden ist, fällt jede Änderung an Pfad oder Inhalt sofort auf. Web Bot Auth und das Trusted Agent Protocol bauen auf diesem Standard auf.

## Beispiel

RFC 9421 enthält in Anhang B.2.6 ein Beispiel: eine POST-Anfrage an /foo, signiert mit einem Ed25519-Testschlüssel. Prüft man sie mit dem veröffentlichten Schlüssel, ist die Signatur gültig. Ändert man nur den Pfad auf /bar, schlägt die Prüfung fehl.

## Abgrenzung

TLS schützt die Verbindung, nicht die einzelne Nachricht; nach der Übertragung ist nichts mehr belegbar. Eine HTTP-Signatur bleibt an der Nachricht und lässt sich später prüfen. Anders als ein JWT signiert sie die Anfrage selbst statt eines eigenen Tokens.

## In der Praxis

- Signieren Sie mindestens Methode, Pfad, Host und einen Zeitpunkt, damit eine Signatur nicht für andere Anfragen taugt.
- Setzen Sie ein kurzes Ablaufdatum in den Signaturparametern, um die Wiederverwendung abgefangener Anfragen zu begrenzen.
- Testen Sie Ihre Implementierung mit den Beispielen aus Anhang B von RFC 9421.

## Bezug zu KYA

KYA bildet die Signaturbasis nach RFC 9421 nach und prüft Ed25519, ECDSA und RSA-PSS mit Schlüsseln, die die [Prüfstelle](https://knowyouragent.ch/wissen/glossar/pruefstelle) hinterlegt. Das offizielle Beispiel aus Anhang B.2.6 steht als Beispiel auf der Prüfseite bereit.

Zugehöriger Prüfschritt: [Kryptografische Integrität](https://knowyouragent.ch/methode/pruefschritte) (`cryptographic_integrity`). Sind Signaturen, Disclosures, Hash-Ketten und Manifest unverändert?

[Jetzt prüfen: passendes Beispiel öffnen](https://knowyouragent.ch/pruefen?beispiel=rfc9421-ietf)

## Häufige Fragen

### Was ist RFC 9421?

Der IETF-Standard für HTTP Message Signatures, veröffentlicht im Februar 2024. Er legt fest, wie Absender Teile einer HTTP-Nachricht signieren und Empfänger diese Signatur prüfen.

### Welche Algorithmen sieht RFC 9421 vor?

Der Standard registriert unter anderem Ed25519, ECDSA mit P-256 und P-384, RSA-PSS und HMAC. KYA prüft Ed25519, ECDSA und RSA-PSS.

### Wie teste ich eine HTTP-Signatur mit KYA?

Auf der Prüfseite das Beispiel «IETF RFC 9421» wählen oder eine eigene Anfrage mit Anfragezeile und Headern einfügen. Den öffentlichen Schlüssel als JWKS unter «Vertrauen der Prüfstelle» hinterlegen.

### Kann eine HTTP-Signatur wiederverwendet werden?

Nur wenn sie keinen Zeitpunkt und kein Ablaufdatum enthält. Deshalb gehören Parameter wie created und expires in jede Signatur, und Empfänger sollten alte Signaturen ablehnen.

## Quellen

- [RFC 9421: HTTP Message Signatures](https://www.rfc-editor.org/rfc/rfc9421)
- [RFC 9421, Anhang B.2.6](https://www.rfc-editor.org/rfc/rfc9421.html#appendix-B.2.6)

## Verwandte Begriffe

- [Web Bot Auth](https://knowyouragent.ch/wissen/glossar/web-bot-auth)
- [Trusted Agent Protocol](https://knowyouragent.ch/wissen/glossar/trusted-agent-protocol)
- [Vertrauensanker](https://knowyouragent.ch/wissen/glossar/vertrauensanker)
- [Key Binding](https://knowyouragent.ch/wissen/glossar/key-binding)

---
Quelle: https://knowyouragent.ch/wissen/glossar/http-message-signatures · KYA – Know Your Agent