Поля: Contact (обязательное, один или несколько URI вида mailto:, https: или tel:) и Expires (обязательное, дата и время в формате RFC 3339, рекомендуется менее чем на год вперёд), а также необязательные Encryption (расположение ключа), Acknowledgments, Policy, Hiring, Preferred-Languages и Canonical. Файл должен отдаваться по HTTPS; его можно подписать OpenPGP-подписью в формате cleartext signature (подпись вместе с открытым текстом).
Самая частая проблема — забытая дата Expires: просроченный файл даёт понять, что контакт, возможно, устарел. Инструмент security.txt создаёт и проверяет этот файл.