¡Hola hola querido lector! Ya estoy un día más por aquí para hablarte del archivo security.txt, un archivo poco conocido pero que, si te preocupa la seguridad de tu web, necesitas tener en cuenta.
Con tantos ataques y vulnerabilidades, más te vale estar prevenido. Y una de las tendencias más recomendadas en seguridad web es precisamente implementar el security.txt en tu página web.
¿No sabes qué es? Pues no te preocupes, en este post te explicaré todo lo que necesitas saber: qué es, por qué es importante, dónde se coloca, cómo crear tu security.txt en WordPress y algunas buenas prácticas.
¡Vamos a ello!
¿Qué es el archivo security.txt?
El archivo security.txt es un archivo de texto estándar que se coloca en un servidor web para indicar a investigadores de seguridad, hackers éticos y cualquier persona que descubra una vulnerabilidad cómo deben contactar con el propietario del sitio para reportarla de forma responsable.
Es similar en concepto al famoso archivo robots.txt: un archivo de texto de acceso público con información estructurada para que tanto personas como herramientas automatizadas puedan leerlo e interpretarlo.
En resumen, el security.txt es como un cartel que dice: «Oye, si encuentras algo chungo en mi web, aquí tienes cómo contactarme para que lo resolvamos juntos antes de que se haga público.»
Este estándar fue inspirado en las security policies que grandes empresas como Google hacen públicas para animar a investigadores a reportar vulnerabilidades. De hecho, el Google security.txt es uno de los ejemplos más conocidos del uso de este archivo a nivel empresarial.
- Desinfectamos tu web en 48h
- Sacamos tu web de listas negras
- Protegemos tu web
- Garantía de 30 días
¿Por qué es importante el archivo security.txt?
Básicamente por ser práctico.
Imagina que un hacker ético encuentra un fallo en tu página web y necesita saber cómo contactarte. Si no lo pones fácil, te arriesgas a que no se moleste o, peor aún, que la información sobre la vulnerabilidad circule por ahí sin que te enteres hasta que sea demasiado tarde.
Además, tener un security.txt da transparencia y profesionalidad a tu página web.
Una web con este archivo se percibe como seria a nivel de seguridad, lo que puede marcar la diferencia frente a competidores o clientes que valoran la ciberseguridad.
A nivel de comunidad, el security.txt favorece la divulgación responsable de vulnerabilidades (lo que se llama Responsible Disclosure): el investigador te reporta el fallo primero para que puedas solucionarlo antes de hacerlo público, reduciendo el riesgo de que sea aprovechado por personas malintencionadas.
¿Dónde colocar el archivo security.txt?
La ubicación estándar del security.txt es en el directorio .well-known de tu servidor:
https://tu-dominio.com/.well-known/security.txt
Si no puedes o no quieres crearlo ahí, la alternativa es colocarlo directamente en la carpeta raíz:
https://tu-dominio.com/security.txt
La recomendación oficial es siempre /.well-known/security.txt, ya que es la ubicación universal estipulada para este tipo de archivos. Muchos sistemas automatizados y escáneres de seguridad buscan directamente ahí.
- Desinfectamos tu web en 48h
- Sacamos tu web de listas negras
- Protegemos tu web
- Garantía de 30 días
Qué debe contener el security.txt: campos y ejemplo
El archivo security.txt sigue un estándar propuesto (la draft-foudil-securitytxt) para que sea fácil de leer tanto por personas como por herramientas automatizadas.
Los campos más importantes son:
- Contact: forma de contacto preferida (email, URL de formulario o sistema de tickets).
- Expires: fecha de caducidad del documento. Se recomienda no más de un año.
- Encryption: clave PGP o medio de cifrado para que te envíen información sensible de forma segura.
- Disclosure: política de divulgación de vulnerabilidades de tu web.
- Acknowledgments: si quieres agradecer públicamente a quienes reporten vulnerabilidades o tener un «Hall of Fame» de hackers éticos.
- Policy: enlace a la política de seguridad de tu web.
- Hiring: si buscas profesionales de seguridad para tu equipo.
Ejemplo de security.txt básico:
Contact: mailto:seguridad@tudominio.com Expires: 2026-12-31T23:59:59Z Encryption: https://tu-dominio.com/clavepgp.txt Acknowledgments: https://tu-dominio.com/hall-of-fame Disclosure: https://tu-dominio.com/politica-divulgacion Policy: https://tu-dominio.com/politica-de-seguridad
Lo más importante es no olvidar el campo Contact. Sin él, el archivo pierde su propósito.
Cómo crear un security.txt en WordPress paso a paso
Crear el security.txt para WordPress es muy sencillo:
- Crea un archivo de texto en tu ordenador con cualquier editor (Notepad, VSCode, Sublime Text) y nómbralo security.txt.
- Rellena el contenido con los campos que te interesen, al menos el campo Contact y Expires. Omite los que no uses.
- Súbelo a la carpeta correcta vía FTP o desde el panel de control de tu hosting. La ubicación ideal es .well-known/security.txt. Si la carpeta .well-known no existe, créala tú manualmente (algunos paneles de hosting ocultan carpetas que empiezan por punto).
- Verifica que es accesible públicamente escribiendo la URL en tu navegador: https://tu-dominio.com/.well-known/security.txt
¡Y listo! Ya tendrás tu archivo security.txt en WordPress correctamente implementado.
- Desinfectamos tu web en 48h
- Sacamos tu web de listas negras
- Protegemos tu web
- Garantía de 30 días
Buenas prácticas para tu security.txt
- Sé claro y conciso: este archivo debe ser fácil de leer para personas y herramientas automatizadas. Sin rodeos.
- Enlaza a políticas detalladas: si tienes una política de divulgación, enlaza a la URL concreta desde el archivo.
- Incluye cifrado (PGP o similar) si tu web maneja datos sensibles.
- Pon una fecha de expiración coherente: máximo un año, para obligarte a revisarlo y actualizarlo periódicamente.
- No incluyas datos personales innecesarios: con un email de contacto o un formulario es más que suficiente.
¿Con qué frecuencia actualizar el security.txt?
Depende de tu política interna. Lo ideal es actualizarlo cada vez que cambie la información de contacto o la política de divulgación: si cambias el email de seguridad, contratas un responsable de seguridad nuevo, o modificas los canales de reporte.
En cualquier caso, no dejes pasar la fecha de expiración sin actualizar el archivo: un security.txt caducado puede generar desconfianza.
Preguntas frecuentes sobre el security.txt
¿Qué es el archivo security.txt?
¿Dónde se coloca el security.txt en WordPress?
¿Qué es el Google security.txt?
¿Es obligatorio tener un security.txt?
Conclusiones
Como has visto, el archivo security.txt es un recurso sencillo pero muy poderoso a la hora de proteger tu web y facilitar la comunicación de vulnerabilidades de forma responsable.
Su creación e implementación te llevará apenas unos minutos y aporta un plus de profesionalidad y transparencia a tu página web WordPress.
Eso sí, el security.txt no es una varita mágica: no dejes de actualizar WordPress, tus plugins y temas, usar contraseñas fuertes e implementar otras medidas habituales de seguridad.
Con el security.txt estarás un paso por delante en comunicación de vulnerabilidades.
¡Nos leemos la próxima semana!
