Champs : Contact (obligatoire, une ou plusieurs URI mailto:, https: ou tel:) et Expires (obligatoire, une date-heure RFC 3339, de préférence à moins d’un an), plus les champs facultatifs Encryption (emplacement d’une clé), Acknowledgments, Policy, Hiring, Preferred-Languages et Canonical. Le fichier doit être servi en HTTPS et peut être signé avec une signature OpenPGP en clair (cleartext signature).
Une date Expires oubliée est le défaut le plus courant : un fichier expiré signale que le contact n’est peut-être plus à jour. L’outil security.txt génère et vérifie le fichier.