Blogging & Offenes Web

rel="me" für eine persönliche Website - Profile verbinden, ohne es Beweis zu nennen

Geschrieben von Adam Muiz 28 Oct 2026 Aktualisiert: 28 Oct 2026 9 Min. gelesen

Eine persönliche Website kann auf ein Code-Repository, ein soziales Profil und ein Publikationskonto verweisen. Ein gewöhnlicher Hyperlink sagt jedoch kaum mehr aus als: „Diese Seite verweist dorthin.“ Wie kann Software erkennen, dass ein Link zwei Darstellungen desselben Autors verbinden soll, statt lediglich eine unabhängige Seite zu empfehlen?

Das kleine HTML-Token rel="me" bietet darauf eine mögliche Antwort. Es verleiht einem Link eine identitätsbezogene Bedeutung, die Menschen und Software untersuchen können. Manche Dienste können außerdem nach einem Rücklink suchen und das Linkpaar als Hinweis darauf werten, dass derselbe Betreiber beide Endpunkte kontrolliert. Das ist nützlich, doch der Begriff „Verifizierung“ verlangt Zurückhaltung: Ein wechselseitiger Link ist weder ein Ausweis noch eine kryptografische Signatur oder eine dauerhafte Garantie für die Person hinter den beiden Konten.

Die genauere Frage lautet daher nicht: „Beweist rel="me", wer jemand ist?“ Sie lautet: „Welche Beziehung wird behauptet, was hat ein bestimmter Consumer geprüft und was könnte sich seitdem verändert haben?“

Ein Link kann mehr aussagen als „Gehe dorthin“

RFC 8288 beschreibt einen Weblink als typisierte Verbindung mit einem Kontext, einem Relationstyp, einem Ziel und optionalen Zielattributen. Bei einem HTML-Link von einer Homepage zu einem Profil ist die Homepage der Kontext, die Profil-URL das Ziel und me bezeichnet die Beziehung.

Dieser Unterschied wird leicht übersehen, weil ein Browser weiterhin einen gewöhnlichen anklickbaren Link darstellt. Die zusätzliche Semantik richtet sich vor allem an Software und an Menschen, die das Markup lesen:

<a href="https://social.example/@mira" rel="me">
  Mira on the social web
</a>

Das IANA Link Relations Registry führt me mit der Beschreibung „Links to a resource about the author of the link's context.“ Diese Formulierung ist wichtig. Die Seite, auf der sich der Link befindet, stellt eine Behauptung über die Beziehung ihres Autors zum Ziel auf. Das Token macht nicht jede Aussage auf der Zielseite wahr und sagt einem Consumer nicht, wie viel Vertrauen er dieser Behauptung entgegenbringen sollte.

Das Attribut rel enthält eine durch Leerzeichen getrennte Menge von Tokens. Ein externer Link kann deshalb mehrere voneinander unabhängige Bedeutungen tragen:

<a href="https://social.example/@mira"
   rel="me noopener"
   target="_blank">Mira on the social web</a>

Hier beschreibt me die Identitätsbeziehung. noopener betrifft den durch target="_blank" geöffneten Browsing-Kontext. Das eine ersetzt das andere nicht. Auch das Hinzufügen von nofollow, noopener oder einem anderen Token hebt me nicht unbemerkt auf; jedes erkannte Token besitzt seine eigene Semantik.

Ein einzelner Link ist eine Behauptung, keine unabhängige Bestätigung

Jeder, der eine Seite bearbeiten kann, kann einen Link hinzufügen und eine Beziehung zu einem beliebigen Ziel behaupten. Eine von einem Nachahmer kontrollierte Seite könnte auf ein bekanntes Profil zeigen und rel="me" angeben. Das Ziel hat dadurch noch nicht zugestimmt.

Ein Consumer kann nach einem zweiten Signal fragen: Verweist das Ziel auf die erwartete Weise zurück? Die dadurch entstehende Schleife wird häufig als wechselseitige oder bidirektionale Verifizierung bezeichnet. Wenn eine persönliche Website auf ein soziales Profil verweist und dieses Profil auf die Website zurückverweist, ist diese Anordnung ein Hinweis darauf, dass jemand beide Endpunkte bearbeiten konnte, als die Prüfung erfolgreich war.

Diese Schlussfolgerung ist enger als die Aussage „Diese Seiten offenbaren die wahre Identität der Person.“ Sie stellt keinen gesetzlichen Namen fest, beweist nicht, dass nur ein Mensch die Konten nutzt, und garantiert nicht, dass die Kontrolle unverändert bleibt. Es ähnelt eher zwei Türen, deren Bewohner passende Wegweiser zueinander angebracht haben. Die Schilder sind hilfreich, sagen aber etwas über koordinierte Kontrolle aus und nicht alles über die Bewohner.

Wechselseitigkeit ist zudem eine Richtlinie des Consumers und keine zusätzliche universelle Regel, die in der Relation me verborgen wäre. Die Sicherheitshinweise von RFC 8288 warnen Anwendungen davor, gesammelten Links ohne Abwägung automatisch zu folgen oder zu vertrauen. Verschiedene Consumer können unterschiedliche Seiten abrufen, andere Weiterleitungsregeln befolgen, verschiedene Grenzen setzen oder vollständig auf eine Verifizierungsprüfung verzichten.

Mastodon ist ein konkreter Consumer

Die Profildokumentation von Mastodon liefert ein hilfreiches Implementierungsbeispiel. Wenn in den Profilmetadaten ein HTTPS-Link eingetragen ist, kann Mastodon die Seite abrufen und nach einem <a>- oder <link>-Element suchen, dessen rel den Wert me enthält und dessen href mit der URL des Mastodon-Profils übereinstimmt. Ist die Prüfung erfolgreich, kann Mastodon den Profillink als verifiziert kennzeichnen.

Der Rücklink kann wie in den vorherigen Beispielen als sichtbarer Link im Seiteninhalt stehen. Mastodon dokumentiert außerdem eine Metadatenvariante im Dokumentkopf:

<head>
  <link rel="me" href="https://social.example/@mira">
</head>

Laut offizieller Dokumentation muss der qualifizierende Link in der HTML-Antwort vorhanden sein; Mastodon führt kein JavaScript aus, um ihn zu finden. Dieses Detail erklärt eine häufige Fehlerursache: Ein Link, der erst nach Ausführung einer clientseitigen Anwendung eingefügt wird, kann für Besucher sichtbar sein, aber im HTML fehlen, das der Verifier untersucht.

Dies ist ausdrücklich das dokumentierte Verhalten von Mastodon und kein Versprechen für jedes soziale Netzwerk oder jede Version jedes Servers. Selbst innerhalb eines Ökosystems kann Software Ergebnisse zwischenspeichern, Validierungsregeln ändern oder eine andere Benutzeroberfläche anbieten. Der beständige Teil ist der typisierte Link. Das Verifizierungsabzeichen ist die Interpretation eines Produkts anhand der Belege, die es zu prüfen beschlossen hat.

Ein vorsichtiger Einrichtungsablauf

1. Eine Seite wählen, die den Autor repräsentiert

Eine persönliche Homepage oder eine eigene Autorenseite ist ein sinnvoller Kontext, weil die Seite selbst die Person oder Entität repräsentiert, die die Behauptung aufstellt. Würde jeder ausgehende Link in jedem Artikel mit rel="me" versehen, würde dies die Bedeutung verwischen. Die Anleitung der IndieWeb-Community empfiehlt die Verwendung auf Seiten, die dieselbe Person oder Entität repräsentieren. Verweist dagegen ein gewöhnlicher Artikel auf seinen Verfasser, kann eine Autorenbeziehung passender sein.

2. Auf die kanonische Profil-URL verweisen

Verwende genau die HTTPS-Profil-URL, die der Consumer erwartet. Scheinbar kleine Unterschiede können für eine Implementierung entscheidend sein: Eine weitergeleitete Kurz-URL, ein anderer Hostname oder eine alternative Profilroute werden möglicherweise nicht als gleich bewertet, nachdem der Consumer seine Regeln angewendet hat. Versuch und Irrtum sind keine Spezifikation; maßgeblich ist die aktuelle Dokumentation des Zieldienstes.

3. Die Beziehung im ausgelieferten HTML angeben

Ein gewöhnlicher sichtbarer Link ist sinnvoll, wenn er Lesern dabei hilft, das Profil zu finden. Ein <link> im Dokumentkopf kann geeignet sein, wenn der Consumer ihn unterstützt, sollte aber keine Ausrede dafür sein, nützliche Navigation zu verstecken. Unabhängig von der Form sollte die Antwort des Ursprungsservers untersucht werden und nicht nur das nachträglich aufgebaute Browser-DOM:

curl -s https://example.com/ | grep -E 'rel="[^"]*me|href="https://social\.example/@mira"'

Dieser Befehl ist lediglich eine Inspektionshilfe. Eine passende Zeile beweist weder gültiges HTML noch einen Rücklink des Profils oder die Akzeptanz durch einen bestimmten Consumer. Der Befehl setzt außerdem eine einfache Schreibweise mit Anführungszeichen voraus und kann gleichwertiges Markup übersehen. Ein HTML-Parser oder der eigene Verifier des Dienstes ist für dessen Implementierung maßgeblicher.

4. Den Rücklink dort hinzufügen, wo der Dienst ihn erwartet

Für eine wechselseitige Prüfung muss das externe Profil auf die persönliche Website zurückverweisen. Ob der Dienst bei diesem Rücklink rel="me" ausgibt und in welchem Feld er eingetragen werden muss, ist plattformspezifisch. Eine bloße Erwähnung der Domain als Text erzeugt möglicherweise nicht den typisierten Link, den ein Verifier benötigt.

5. Die Prüfung auslösen und untersuchen

Speichere oder aktualisiere das Profil entsprechend den Anweisungen des Dienstes und untersuche anschließend beide Seiten. Prüfe, ob Weiterleitungen bei den vorgesehenen URLs enden, TLS gültig ist, die Seite öffentlich erreichbar ist und das relevante Markup ohne Anmeldung oder JavaScript erscheint. Ein Abzeichen kann ein praktisches Ergebnis sein, doch die untersuchbaren Links bleiben die zugrunde liegenden Belege.

Wann kann die Verifizierung von gestern irreführend werden?

Kontrolle im Web verändert sich. Eine Domain kann ablaufen oder übertragen werden. Ein soziales Konto kann umbenannt, gelöscht, kompromittiert oder neu vergeben werden. Eine CMS-Änderung kann den Rücklink entfernen, während eine Plattform weiterhin ein zwischengespeichertes Ergebnis anzeigt. Ein Reverse Proxy kann verschiedenen Clients unterschiedliches HTML liefern. Keine dieser Möglichkeiten macht wechselseitige Links nutzlos; sie macht den Zeitpunkt und die Methode der Prüfung wichtig.

Außerdem besteht ein Unterschied zwischen der Kontrolle eines Endpunkts und der Befürwortung sämtlicher darüber erreichbarer Inhalte. Eine verifizierte Verbindung zu einem Profil zertifiziert nicht jeden Beitrag, jeden Anhang oder jedes verlinkte Konto. Wenn eine folgenreiche Entscheidung von einer Identität abhängt, sollte dafür geeignete Evidenz verwendet werden, statt ein bequemes Websignal zu einem stärkeren Nachweis aufzuwerten.

Die Pflege sollte deshalb gewöhnlich und ausdrücklich erfolgen:

Links entfernen oder aktualisieren, wenn ein Konto umzieht;
Domainregistrierung und Kontowiederherstellung absichern;
wichtige Verbindungen nach einer Migration oder Theme-Änderung erneut prüfen;
unerwartete Änderungen als Anlass zur Untersuchung behandeln, nicht als Beweis für böswilliges Verhalten;
kein dauerhaftes lokales Label „verifiziert“ anzeigen, sofern die Website nicht auch festlegt, wie und wann die Behauptung erneut validiert wird.

Eine Beziehung ist nicht mit einem Protokoll gleichzusetzen

rel="me" ist eine Linkrelation. Für sich allein implementiert sie weder eine Anmeldung noch den Austausch von ActivityPub-Nachrichten, eine Kontowiederherstellung oder einen globalen Identitätseintrag. Andere Systeme können die Relation als einen Eingangswert in einem größeren Prozess verwenden, doch deren zusätzliche Regeln leisten die zusätzliche Arbeit.

Auch die verwandte Relation author ist keine andere Schreibweise von me. IANA registriert beide getrennt. Ein Link von einem Artikel zu seinem Autor beantwortet die Frage: „Wer hat diesen Kontext verfasst?“ Ein me-Link auf einer persönlichen Seite verbindet diese Darstellung des Autors mit einer anderen Ressource über denselben Autor. Eine Website kann beide Relationen an unterschiedlichen Stellen benötigen.

Eine bescheidene Behauptung ist die nützliche Behauptung

rel="me" ist gerade deshalb wertvoll, weil es klein ist. Eine Seite kann damit eine maschinenlesbare Beziehung in gewöhnlichem HTML ausdrücken. Ein Consumer kann diese Aussage mit einem Rücklink verbinden und Hinweise auf koordinierte Kontrolle über zwei Endpunkte erhalten. Der Mechanismus bleibt überprüfbar und zwingt nicht jede persönliche Website, sich einem zentralen Identitätsanbieter anzuschließen.

Seine Grenze ist ebenso wichtig: Der Link sagt weniger aus als ein universelles Identitätssystem, und eine wechselseitige Prüfung beweist weniger als ein amtliches Identitätsdokument. Wenn diese Grenze gewahrt bleibt, kann er eine persönliche Domain mit verstreuten Profilen verbinden, ohne vorzugeben, ein einziges HTML-Attribut habe die Identitätsfrage im Web gelöst.