Herramienta gratuita

Generador gratuito de archivos «security.txt» conforme a la norma RFC 9116

El generador crea el archivo security.txt conforme a la norma RFC 9116, con la política de divulgación de vulnerabilidades a la que enlaza, listo para subirlo a tu sitio web.

Crea tu archivo security.txt Generador de políticas de divulgación de vulnerabilidades
  • Contacto
  • Caduca
  • Política
  • Cifrado

Crea tu archivo security.txt.

Sigue los 3 pasos y copia los resultados en el paso 4.

Cuéntanos algo sobre tu organización

La página en la que publicarás la política. El archivo security.txt incluye un enlace a ella.

Uno por línea. Déjalo en blanco para incluir tu página web y sus subdominios.

Elige cómo quieren informar los usuarios

Indica al menos una forma de informar. El archivo security.txt las enumera en este orden.

La página de tu programa en una plataforma como HackerOne, Bugcrowd, Intigriti o YesWeHack.

Queda menos de un año a partir de hoy. Actualiza el archivo antes de esa fecha.

Un enlace a tu clave pública, que los investigadores utilizan para cifrar sus informes. El archivo contiene un enlace a la clave, pero no la almacena.

Establece las normas

Recompensas
Métodos de ensayo no permitidos
security.txt

El archivo en su ubicación dentro de tu página web y un resumen de la política.

Copia tu política y el archivo security.txt

Revisa el texto antes de publicarlo. Se encuentra a continuación de tus respuestas anteriores.

Introduce el nombre de tu organización para consultar tu política y el archivo security.txt.

El generador elabora un texto a partir de tus respuestas, del RFC 9116 y de plantillas habituales de políticas de divulgación, como la de la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU. (CISA). No constituye asesoramiento jurídico. Revisa la política antes de publicarla y consulta con un abogado la redacción de la cláusula de exención de responsabilidad: esta solo cubre las acciones de tu organización, no las de otras partes ni las de los fiscales.

Dónde guardar el archivo security.txt.

El archivo se encuentra en una dirección fija de tu página web, por lo que las herramientas y los investigadores lo encuentran sin necesidad de buscarlo.

  1. Descarga el archivo. Guárdalo como «security.txt», en formato de texto sin formato con codificación UTF-8.

  2. Súbelo a /.well-known/. Colócalo en https://your-domain/.well-known/security.txt. En algunos servidores, debes crear tú mismo la carpeta .well-known, ya sea con tu gestor de archivos o mediante FTP.

  3. Comprueba la dirección. Abre el archivo en un navegador. Se carga a través de HTTPS como texto sin formato (Content-Type: text/plain), sin redireccionamiento a otro dominio.

  4. Incluye tus demás dominios. El archivo solo cubre el dominio desde el que se aloja. Añádelo a cada dominio y subdominio sobre el que quieras recibir informes.

  5. Publica la política. Incluye la política de divulgación en el enlace que aparece en la línea «Política».

  6. Pon un recordatorio. Actualiza la línea «Expires» antes de que pase esa fecha y vuelve a firmar el archivo si ya lo habías firmado.

Las normas

Lo que establecen las normas.

En cada fila se indica una ley, una norma o una directiva gubernamental, cuándo es aplicable y qué exige en relación con tu política de divulgación.

Leyes y normas relativas a la divulgación de vulnerabilidades, cuándo se aplican en cada caso y qué exigen
Ley o norma Cuando sea aplicable Qué se pide
RFC 9116 (security.txt) Cualquier página web. Se trata de un estándar voluntario de Internet. Un archivo de texto sin formato ubicado en /.well-known/security.txt, al que se acceda a través de HTTPS, que contenga al menos una línea «Contact» y una fecha de caducidad, preferiblemente con una antelación inferior a un año.
Ley de ciberresiliencia de la UE (Reglamento (UE) 2024/2847) Fabricantes de software y productos conectados que se comercializan en la UE. La obligación de presentar informes entrará en vigor el 11 de septiembre de 2026, mientras que el resto de requisitos lo harán a partir del 11 de diciembre de 2027. Una política coordinada de divulgación de vulnerabilidades y una dirección de contacto para la notificación de las mismas (Anexo I, Parte II), un único punto de contacto indicado en la información para el usuario (Anexo II) y la notificación a la ENISA, en un plazo de 24 horas, de las vulnerabilidades que estén siendo explotadas activamente.
Directiva NIS2 (UE) 2022/2555 Entidades esenciales e importantes de la UE, como los proveedores de servicios en la nube, de alojamiento web y de infraestructura digital. La gestión y la divulgación de vulnerabilidades como parte de las medidas de seguridad (artículo 21). Los CSIRT nacionales coordinan la divulgación entre investigadores y empresas (artículo 12).
Régimen británico de seguridad de los productos y de las infraestructuras de telecomunicaciones (PSTI) Fabricantes de productos de consumo conectables que se comercializan en el Reino Unido desde el 29 de abril de 2024. Un procedimiento oficial para notificar problemas de seguridad, así como el plazo en el que los denunciantes reciben un acuse de recibo y actualizaciones sobre el estado de la incidencia.
Directiva operativa vinculante 20-01 de la CISA, EE. UU. Agencias civiles federales de EE. UU. Su plantilla de políticas sirve de modelo común para las empresas. Una política publicada en la que se especifiquen los sistemas incluidos, el procedimiento para presentar denuncias, el compromiso de no emprender acciones legales por investigaciones realizadas de buena fe y el compromiso de acusar recibo de las denuncias en un plazo de 3 días laborables.
ISO/IEC 29147 e ISO/IEC 30111 Cualquier organización. Se trata de normas internacionales que suelen exigirse en las evaluaciones de seguridad. Cómo recibir informes y publicar avisos (29147), y cómo confirmar, solucionar y realizar un seguimiento de cada informe dentro de su organización (30111).

Generador de políticas de uso aceptable

Tu política de uso aceptable establece las normas que deben cumplir todos los demás.

El generador de políticas de uso aceptable de TermsFeed prohíbe realizar pruebas o análisis de tu servicio sin permiso por escrito, y pide a los usuarios que te informen de cualquier vulnerabilidad. Tu política de divulgación concede ese permiso a los investigadores que la respeten.

Generar una política de uso aceptable

Preguntas frecuentes.

Respuestas a preguntas frecuentes sobre el archivo security.txt.

¿Qué es security.txt?

security.txt es un archivo de texto sin formato que indica a los investigadores de seguridad cómo informar de una vulnerabilidad en tu sitio web.

  • La RFC 9116 lo describe como un estándar de Internet desde abril de 2022.
  • Se encuentra en la ruta /.well-known/security.txt.
  • En él se incluyen tus contactos de seguridad, una fecha de caducidad y enlaces a documentos como tu política de divulgación y tu clave de cifrado.

¿Qué campos debe contener el archivo security.txt?

Un archivo security.txt debe contener al menos una línea Contact y exactamente una línea Expires.

  • Contact: una dirección de correo electrónico (mailto:), un enlace (https://) o un número de teléfono (tel:), en el orden que prefieras.
  • Expires: la fecha y la hora a partir de las cuales el archivo queda obsoleto.
  • Opcional: «Policy», «Encryption», «Acknowledgments», «Preferred-Languages», «Canonical» y «Hiring».

¿Qué ocurre cuando caduca el archivo security.txt?

Una vez pasada la fecha de caducidad, los investigadores y las herramientas consideran que el archivo está obsoleto y que sus contactos no son fiables.

  • La RFC 9116 recomienda que la fecha de caducidad sea inferior a un año.
  • Actualiza la fecha cada vez que compruebes los contactos.
  • Los escáneres de seguridad suelen señalar un archivo caducado como un problema.

¿Debería firmar mi archivo security.txt?

La firma es opcional. Una firma indica que el archivo no ha sido modificado por otra persona.

  • Utiliza una firma OpenPGP en texto claro, como por ejemplo: gpg --clearsign security.txt.
  • Mantén la línea «Canonical», para que el archivo firmado indique su propia dirección.
  • Vuelve a firmar después de cada cambio, incluyendo la nueva fecha de caducidad.

¿Sustituye el archivo «security.txt» a una política de divulgación de vulnerabilidades?

No. El archivo security.txt indica dónde presentar los informes. La política establece qué pueden probar los investigadores y cómo se debe actuar ante un informe.

La línea «Policy» del archivo contiene un enlace a la política. El generador anterior crea ambos.

¿El generador de security.txt es gratuito?

Sí, el generador de security.txt es gratuito.

  • El generador no requiere crear una cuenta.
  • El generador también redacta la política de divulgación de vulnerabilidades.

Crea tu archivo security.txt con el generador anterior.