01Qué es y cómo funciona
security.txt es una extensión de protocolo diseñada para proporcionar instrucciones claras y legibles por máquinas con respecto a los contactos de seguridad del sitio. No controla directamente el ranking en los buscadores; más bien, gestiona la relación entre su sitio web y los bots automatizados (como scrapers o indexadores). El archivo suele encontrarse en https://yourdomain.com/.well-known/security.txt. Su contenido especifica qué direcciones de correo electrónico deben utilizarse para reportes de abuso y cómo verificar la propiedad del dominio. Al adherirse a este estándar, se asegura de que la información de seguridad crítica no pase desapercibida para las principales plataformas de búsqueda o servicios de bots especializados. Ayuda a establecer un canal de comunicación claro antes de que surja cualquier posible problema de indexación.
Piense en ello como un directorio público diseñado específicamente para robots. En lugar de hacer que adivinen a dónde enviar los reportes de abuso, usted coloca todos los correos electrónicos de contacto y métodos de verificación necesarios en un único archivo predecible que ellos están programados para buscar.
02Qué hacer al respecto
Si gestiona un sitio grande o complejo con alto tráfico, implementar security.txt es una mejor práctica para el mantenimiento. Primero, determine los puntos de contacto correctos; esto suele incluir una dirección de correo electrónico para reportes de abuso y, potencialmente, enlaces a su página de política de seguridad. Segundo, asegúrese de que este archivo esté alojado en la ubicación estándar: .well-known/security.txt. Tercero, verifique que su Sistema de Gestión de Contenidos (CMS) o la configuración de su servidor web permita que los bots rastreen y lean esta ruta de directorio específica sin restricciones. Esta acción proyecta profesionalismo y ayuda a que los sistemas automatizados interactúen con su sitio de manera responsable.
03Cómo se mide o se detecta
Este archivo no se "mide" en términos de densidad de palabras clave o autoridad de enlaces; su presencia es binaria: o está ahí y es correcto, o falta. La detección implica una simple comprobación de rastreo mediante un sistema automatizado que busca la estructura de ruta específica (/.well-known/security.txt). Si el archivo devuelve un código de estado 200 OK y contiene información de contacto válida, el bot registra que su sitio cumple con los estándares web modernos. La ausencia del archivo significa que los bots deben depender de métodos menos directos (como revisar los enlaces del pie de página o contactarle a través de formularios de consulta general), lo cual es menos eficiente para fines de seguridad.
Cómo lo formula el catálogo
Es un estándar de ciber seguridad para sitios web con el objetivo de facilitar a los investigadores de seguridad que reporten de forma sencilla las vulnerabilidades de seguridad de un sitio web.
04Errores comunes (advertencia)
Malinterpretar el alcance de este archivo puede hacer que sea ineficaz o incluso que los bots lo ignoren. Asegúrese siempre de que su implementación sea precisa y siga los protocolos establecidos.
- advertencia — Colocar el archivo en un directorio no estándar (p. ej.,
contact/security.txt). Los bots están programados para buscar la ruta específica.well-known. - advertencia — Incluir información sensible o privada que nunca debería ser pública. Utilice únicamente canales de reporte aceptables para el público.
- advertencia — Hacer que el archivo sea inaccesible mediante robots.txt o implementar firewalls restrictivos que bloqueen la lectura del archivo por parte de los user agents comunes de los bots.
05Confusión sobre límites y alcance
Es importante entender qué es lo que security.txt no cubre. Este archivo trata estrictamente sobre la seguridad operativa y el contacto para bots. No tiene ninguna relación con su estrategia de contenido, el rendimiento de las palabras clave o los factores de posicionamiento SEO general, como la velocidad de la página o la estructura de enlaces internos. Además, a menudo se confunde con el archivo robots.txt. Aunque ambos gestionan el acceso de los bots, robots.txt les indica qué no pueden rastrear (bloqueo), mientras que security.txt les indica a quién llamar si encuentran un problema.
06Un ejemplo práctico
Si su sitio es propenso al scraping o a informes de abuso, un archivo correctamente implementado podría verse así. Proporciona instrucciones claras para el bot, manteniendo al mismo tiempo los puntos de contacto necesarios visibles y estandarizados.
Contáctenos en: https://yourdomain.com/.well-known/security.txt
#abuse contacts:
mailto:abuse@yourdomain.com
https://www.recludefrombot.com/verify?domain=yourdomain.com
La entrada anterior está escrita por GetLoopLoop. Lo que sigue es lo que los catálogos independientes recogen sobre el mismo término; nada de ello es la fuente de esta página.
- También llamado
- A File Format to Aid in Security Vulnerability Disclosure
- Tipo de cosa
- formato de archivo, protocolo de red
El mismo término en Wikipedia
Catalogado en 12 idiomas07Preguntas frecuentes
¿En qué se diferencia un archivo security.txt de simplemente enlazar a una página de "Contacto"?
Es una extensión de protocolo legible por máquinas, mientras que una página de contacto estándar está diseñada para el consumo humano. El propósito de security.txt es específicamente proporcionar a los rastreadores automatizados detalles operativos estandarizados e inmediatos sobre los contactos de seguridad del sitio, algo que los formularios de contacto generales no pueden cumplir.
¿Necesito este archivo obligatoriamente o solo es necesario para sitios web masivos?
Aunque es más beneficioso para sitios grandes o complejos que experimentan un alto tráfico y posibles informes de abuso, los sitios más pequeños también pueden beneficiarse de su implementación. Es una buena práctica que estandariza la comunicación con los bots de búsqueda, mejorando la higiene general del sitio independientemente de su tamaño.
¿Qué información específica debe incluirse en el archivo para que sea efectivo?
El archivo debe especificar claramente los puntos de contacto operativos —como direcciones de correo electrónico o APIs de reporte dedicadas— que los rastreadores automatizados deben utilizar al detectar actividad maliciosa. Es crucial que esta información sea precisa, esté actualizada y se dirija al equipo de seguridad correspondiente.
Si actualizo el proceso de gestión de abusos de mi sitio, ¿qué tan rápido reconocerán los motores de búsqueda los cambios en el archivo?
La velocidad de reconocimiento depende totalmente del cronograma y la frecuencia de rastreo del crawler. Si bien la implementación es inmediata para el bot, debe asumir que el monitoreo de las actualizaciones de contenido del archivo puede tardar desde unos pocos días hasta varias semanas.
¿Qué sucede si incluyo una dirección de correo electrónico incorrecta o inactiva en el archivo security.txt?
Si la información es errónea, el riesgo principal es que los informes de abuso críticos o las comunicaciones operativas necesarias no lleguen a su equipo. Esto puede provocar que los motores de búsqueda sigan clasificando incorrectamente su sitio o ignoren problemas legítimos porque no pueden contactar a la parte correspondiente.
¿Es este archivo una garantía contra el scraping o solo ayuda con la notificación de incidentes?
No es una medida directa contra el scraping; más bien, su función es mejorar la comunicación y la higiene del sitio cuando ocurre un abuso. Proporciona al sistema automatizado una vía clara para reportar problemas, lo que ayuda a que los motores de búsqueda comprendan mejor sus límites operativos.
08Preguntado en voz alta
El mismo término en las palabras que alguien usa al hablar con un asistente en lugar de escribir en un buscador: escrito desde la situación, y por eso cada pregunta lleva la situación de la que salió.
Deberías implementar un archivo security.txt de inmediato, ya que proporciona instrucciones estandarizadas que los rastreadores automatizados pueden leer directamente. Esto asegura que, si encuentran actividad maliciosa o necesitan reportar un problema, se les dirija directamente a sus contactos de seguridad designados sin demora.
Deberían haber utilizado un archivo security.txt, que es la extensión de protocolo estándar de la industria para comunicar los contactos de seguridad del sitio. Este método proporciona instrucciones claras y legibles por máquinas que van más allá de las simples páginas de contacto y están diseñadas específicamente para rastreadores automatizados.
El método más fiable es asegurarse de tener un archivo security.txt correctamente implementado en su directorio raíz. Esta extensión de protocolo estandarizada permite que los bots de búsqueda encuentren y utilicen sus contactos oficiales de seguridad al instante cuando detectan actividad anormal.