Cómo añadir un archivo security.txt
Respuesta corta: crea un archivo de texto plano en /.well-known/security.txt con al menos una línea Contact: (un correo o un formulario web) y una fecha Expires: a menos de un año vista. Sírvelo por HTTPS. Indica a quien encuentre un problema de seguridad en tu sitio cómo contactar contigo.
Pasos rápidos
- Escribe el archivo. Añade Contact y Expires, y opcionalmente líneas Preferred-Languages, Canonical y Policy.
- Publícalo. Colócalo en /.well-known/security.txt en tu sitio HTTPS.
- Compruébalo. Descárgalo con curl y confirma que es texto plano.
- Renuévalo. Actualiza la fecha Expires antes de que pase.
El código y la configuración se mantienen en inglés.
1. Escribe el archivo
Contact: mailto:security@yourdomain.com
Expires: 2027-10-31T00:00:00Z
Preferred-Languages: en
Canonical: https://yourdomain.com/.well-known/security.txt
Policy: https://yourdomain.com/securityContactyExpiresson obligatorios. Puedes poner varias líneas Contact.Expiresusa el formato de fecha ISO 8601. El RFC 9116 recomienda menos de un año vista.Policyenlaza a tu página de divulgación responsable, si tienes una.
2. Publícalo
Súbelo a .well-known/security.txt dentro de la carpeta raíz de tu web (crea la carpeta .well-known si hace falta). En WordPress, súbelo con el gestor de archivos de tu hosting o por SFTP. Con nginx también puedes apuntar a un archivo en otro lugar:
location = /.well-known/security.txt {
alias /etc/nginx/security.txt;
default_type text/plain;
}3. Compruébalo
curl -si https://yourdomain.com/.well-known/security.txt | head -n 12Deberías ver el estado 200 y Content-Type: text/plain. Aquí tienes el security.txt de HackGrade como ejemplo.
4. Mantenlo válido
Un archivo caducado debe considerarse obsoleto, así que pon un recordatorio en el calendario un mes antes de la fecha Expires. Usa un buzón compartido para Contact en lugar de una dirección personal.
Preguntas frecuentes
¿La ley obliga a tener security.txt?
No. Es un estándar voluntario (RFC 9116), pero hace mucho más probable que te avisen de un problema en lugar de publicarlo.
¿security.txt atraerá a atacantes?
No. Solo contiene datos de contacto. Usa una dirección compartida, no una personal.
¿Debería poner también una copia en /security.txt?
La ubicación estándar es /.well-known/security.txt. Una redirección desde /security.txt es opcional.