Felder: Contact (Pflicht, eine oder mehrere URIs mit mailto:, https: oder tel:) und Expires (Pflicht, Datum mit Uhrzeit nach RFC 3339, empfohlen weniger als ein Jahr in der Zukunft), dazu optional Encryption (Fundort eines Schlüssels), Acknowledgments, Policy, Hiring, Preferred-Languages und Canonical. Die Datei muss über HTTPS ausgeliefert werden und darf mit einer OpenPGP-Klartextsignatur (Cleartext Signature) signiert sein.
Ein vergessenes Ablaufdatum in Expires ist der häufigste Mangel: Eine abgelaufene Datei signalisiert, dass der Kontakt veraltet sein könnte. Das security.txt-Tool erzeugt und prüft die Datei.