Cómo usar esta herramienta para desarrolladores
- Pega el archivo security.txt completo.
- Ejecuta la validación.
- Corrige primero los errores de sintaxis o campos obligatorios.
- Revisa los avisos de caducidad y ubicación canónica.
Security.txt Validator
Valida el contenido de security.txt sin realizar peticiones externas. Comprueba la sintaxis de campos, la presencia de Contact, la fecha Expires, formatos URI en campos que esperan enlaces y la coherencia básica de Canonical. El resultado enumera errores y avisos para corregir el archivo antes de publicarlo.
Datos de entrada
EntradaEspacio publicitario
Qué hace esta herramienta para desarrolladores
Recorre el archivo línea a línea, ignora comentarios, valida el formato Nombre: valor y aplica comprobaciones específicas a Contact, Expires, Canonical y otros campos con URI.
Contact debe aparecer al menos una vez. Expires debe ser una fecha válida y se marca como error si ya ha pasado. Las URI se comprueban mediante el parser URL del navegador cuando corresponde.
Una validación local correcta no confirma que el archivo sea accesible por HTTPS ni que las direcciones de contacto estén atendidas.
Ejemplo
Contact: mailto:security@example.com
Expires: 2027-12-31T23:59:59Z
→ válido si la fecha todavía no ha expirado.
Casos de uso
- Validar cambios en CI antes de publicar.
- Revisar security.txt recibido de otro equipo.
- Detectar caducidad de Expires.
- Comprobar que Canonical usa una URL absoluta.
Consejos para obtener resultados fiables
- Actualiza Expires de forma planificada.
- Usa Contact con un canal monitorizado.
- Evita valores vacíos y nombres de campo mal escritos.
- Comprueba el archivo ya desplegado con una solicitud HTTPS real.
Detalles del procesamiento
No se evalúan comentarios como campos. Los errores incluyen línea para facilitar correcciones. Los avisos no invalidan automáticamente la sintaxis.
No valida firmas OpenPGP, DNS, certificados, disponibilidad HTTP ni tiempos de respuesta del contacto.
Preguntas frecuentes
¿Por qué security.txt necesita un campo Contact?
Porque el objetivo del archivo es publicar un canal claro para informes de seguridad; sin Contact no cumple esa función básica.
¿Qué ocurre si Expires ya ha pasado?
El validador lo marca como error porque el archivo ha superado la fecha de vigencia indicada.
¿Canonical tiene que ser una URL absoluta?
Sí, el comprobador espera una URI absoluta válida y avisa si no apunta a una ruta que termine en security.txt.
¿Se permiten comentarios en security.txt?
Sí. Las líneas que comienzan por # se ignoran durante la validación de campos.
¿Una salida válida confirma que mi security.txt está publicado correctamente?
No. Debes comprobar por separado que el archivo sea accesible en el origen y la ubicación previstos.
Herramientas relacionadas para desarrolladores
Resumen técnico
| Regla | Comprobación |
|---|---|
| Contact | Presencia mínima de una entrada |
| Expires | Fecha válida y no vencida |
| URI | Parseo de enlaces cuando corresponde |
| Líneas | Formato Nombre: valor |
Explorar Cabeceras HTTP y seguridad
Consulta más utilidades para analizar y construir cabeceras HTTP y políticas de seguridad.
Ver categoría