¿Qué es security.txt?

security.txt es un pequeño archivo de texto, definido en RFC 9116, que indica a los investigadores de seguridad cómo informar de una vulnerabilidad en tu sitio web. Se encuentra en /.well-known/security.txt. Si no está, quien encuentra un bug tiene que adivinar a quién escribir o se da por vencido.

El archivo necesita dos campos. Contact indica cómo ponerse en contacto contigo y Expires es la fecha a partir de la cual el archivo se considera desactualizado. La RFC recomienda que la fecha de Expires no sea posterior a un año, para que alguien revise el archivo al menos una vez al año.

Descripción de la herramienta

Escribe un contacto por línea. Una dirección de correo electrónico sin formato se convierte en un enlace mailto:, y un número de teléfono se convierte en un enlace tel: al que se le quitan los espacios, guiones, puntos y paréntesis. Cualquier otro contacto debe ser un enlace https://. La fecha de vencimiento se establece para dentro de un año a partir de hoy y se escribe como el último segundo de ese día en UTC. Preferred-Languages es una lista de idiomas separados por comas; el valor predeterminado es en.

Los campos opcionales son la clave de cifrado y las URL de Policy, Acknowledgments, Hiring y Canonical. Los campos vacíos se omiten del archivo.

Copia el archivo o descárgalo como security.txt. Una nota debajo indica cualquier problema: que no haya ningún contacto, que un contacto no sea una dirección de correo electrónico, un número de teléfono ni un enlace https://, que falte la fecha de vencimiento, que sea anterior a la fecha actual o que esté a más de un año, o que una URL no empiece por https://. La clave de cifrado también puede ser un valor openpgp4fpr: o dns:.

RFC 9116 también permite una versión firmada con OpenPGP. Esta herramienta genera el archivo sin firmar.

Ejemplo

Dos contactos, una fecha de vencimiento del 2027-10-21, inglés y alemán, y tres de las URL generan lo siguiente:

Contact: mailto:security@example.com
Contact: tel:+15550100199
Expires: 2027-10-21T23:59:59.000Z
Encryption: https://example.com/pgp-key.txt
Preferred-Languages: en, de
Canonical: https://example.com/.well-known/security.txt
Policy: https://example.com/security-policy

Los contactos se escribieron como security@example.com y +1 (555) 010-0199.

Funciones

  • Convierte direcciones de correo electrónico y números de teléfono sin formato en contactos válidos
  • Comprueba la fecha de vencimiento y los enlaces mientras escribes
  • Copia el archivo o descárgalo como security.txt