Campos: Contact (obligatorio; uno o varios URI mailto:, https: o tel:) y Expires (obligatorio; una fecha y hora RFC 3339, que se recomienda fijar a menos de un año en el futuro), más los opcionales Encryption (la ubicación de una clave), Acknowledgments, Policy, Hiring, Preferred-Languages y Canonical. El archivo debe servirse por HTTPS y puede firmarse con una firma OpenPGP en texto claro (cleartext signature).
Una fecha de Expires que nadie actualiza es el defecto más común: un archivo caducado indica que el contacto puede estar desactualizado. La herramienta de security.txt genera y comprueba el archivo.