Cómo usar: Generador de security.txt
- Introduce al menos un Contact: un correo electrónico, la URL de un formulario de reporte o un número de teléfono.
- Define una fecha de Expires (se recomienda que sea menos de un año en el futuro) y añade campos opcionales como tu política de divulgación o tu clave PGP.
- Descarga el archivo y súbelo para que esté disponible en
https://tudominio.com/.well-known/security.txt. - Pon un recordatorio en tu calendario para actualizarlo antes de que expire.
¿Qué es security.txt?
security.txt es un archivo pequeño de texto plano, estandarizado como RFC 9116 en 2022, que indica a los investigadores de seguridad cómo contactarte cuando encuentran una vulnerabilidad en tu sitio. Sin él, muchas personas bienintencionadas se rinden o terminan escribiendo a una dirección genérica de soporte, donde los reportes se pierden. Es el equivalente en seguridad de robots.txt, y cada vez más guías de seguridad gubernamentales y empresariales lo exigen o lo recomiendan.
Campos explicados
| Campo | ¿Obligatorio? | Finalidad |
|---|---|---|
| Contact | Sí (uno o más) | Dónde enviar los reportes: mailto:, https: o tel:. |
| Expires | Sí (exactamente uno) | Momento a partir del cual la información debe considerarse obsoleta: fecha y hora en formato ISO 8601. |
| Policy | No | Enlace a tu política de divulgación de vulnerabilidades. |
| Encryption | No | Enlace a una clave PGP para reportes cifrados. |
| Acknowledgments | No | Página que agradece a los investigadores (salón de la fama). |
| Preferred-Languages | No | Idiomas que tu equipo lee, por ejemplo en, de. |
| Canonical | No | La URL o URLs propias del archivo, útil cuando está firmado. |
| Hiring / CSAF | No | Ofertas de empleo de seguridad / avisos legibles por máquina. |
Dónde colocar el archivo
Sírvelo por HTTPS en /.well-known/security.txt con el tipo de contenido text/plain. Las plataformas de alojamiento varían: en la mayoría de servidores basta con subir el archivo; en constructores de sitios web alojados puede que necesites una redirección o un proxy inverso, porque no siempre se admiten archivos personalizados en /.well-known/. Opcionalmente, puedes firmar el archivo con PGP (firma en texto claro) para que los lectores puedan verificar que no ha sido alterado.
También se busca como: security.txt, rfc 9116, well-known, divulgación de vulnerabilidades, programa de recompensas por errores, divulgación responsable.
Herramientas que combinan con: Generador de security.txt
- Generador de llms.txt — Escribe un llms.txt que ofrezca a los asistentes de IA un mapa en Markdown y bien seleccionado de tu sitio: nombre del proyecto, resumen, páginas clave y extras opcionales, siguiendo la propuesta de llmstxt.org.
- Generador de humans.txt — Crea un humans.txt que reconoce al equipo, a los colaboradores y la tecnología detrás de tu sitio web.
- Comprobador de cabeceras de seguridad — Califica las cabeceras de seguridad HTTP de una web de A+ a F, mira cuáles faltan y por qué importan, y copia fragmentos de configuración listos para Nginx, Apache, Netlify, Vercel o Cloudflare.
- Generador de ads.txt — Crea un ads.txt conforme a IAB que indique quién puede vender tu inventario publicitario, con plantillas para las redes publicitarias más comunes.
Preguntas frecuentes
¿security.txt es un estándar oficial?
¿Dónde debe estar ubicado security.txt?
https://tudominio.com/.well-known/security.txt. Se permite una copia en /security.txt por compatibilidad con versiones anteriores, pero la ruta .well-known es la ubicación estándar.