Das Web Key Directory (kurz WKD, RFC 7929) ist ein Verzeichnisdienst, über den der passende OpenPGP-Schlüssel zu einer E-Mail-Adresse automatisch gefunden wird. OpenPGP selbst definiert keinen standardisierten Mechanismus zur Schlüsselsuche — das WKD schließt diese Lücke über eine feste HTTPS-Adresse auf der Domain des Empfängers.
So funktioniert die Suche
Ein E-Mail-Programm mit WKD-Unterstützung (GnuPG ab Version 2.1.23, viele OpenPGP-Clients) fragt den Schlüssel direkt bei der Domain ab. Der lokale Teil der Adresse wird kleingeschrieben, per SHA-1 gehasht und in z-base-32 kodiert — daraus entsteht der Dateiname im Verzeichnis hu/. Zuerst wird die erweiterte Methode versucht (https://openpgpkey.example.org/.well-known/openpgpkey/example.org/hu/<hash>), danach die direkte Methode (https://example.org/.well-known/openpgpkey/hu/<hash>).
Warum WKD?
Gegenüber klassischen Keyservern bietet das WKD eine authentische Quelle: Der Schlüssel kommt von der Domain, zu der die E-Mail-Adresse gehört, und die Übertragung läuft über HTTPS mit Zertifikaten. Nutzer müssen keine Fingerprints mehr manuell vergleichen, was den Web of Trust-Aufbau vereinfacht. Für die Veröffentlichung genügt eine statische Dateiablage; das Verzeichnis wird bei jedem Schlüsselwechsel neu erzeugt.
Grenzen
Das WKD bestätigt nicht, dass der Domaininhaber die E-Mail-Adresse wirklich kontrolliert — wer eine Domain besitzt, kann dort Schlüssel für beliebige lokale Teile veröffentlichen. Die Schlüsselauthentizität hängt daher weiterhin von Signaturen und Vertrauensbeziehungen ab. Ein Schlüsselwiderruf muss auch im WKD verbreitet werden, sonst bleibt der alte Schlüssel dort abrufbar.