Campos: Contact (obrigatório, uma ou mais URIs mailto:, https: ou tel:) e Expires (obrigatório, uma data e hora RFC 3339, de preferência a menos de um ano no futuro), além dos opcionais Encryption (a localização de uma chave), Acknowledgments, Policy, Hiring, Preferred-Languages e Canonical. O arquivo deve ser servido por HTTPS e pode ser assinado com uma assinatura em texto claro (cleartext signature) do OpenPGP.
Uma data Expires esquecida é o defeito mais comum: um arquivo expirado indica que o contato pode estar desatualizado. A ferramenta de security.txt gera e verifica o arquivo.