He encontrado un fallo en una web: cómo reportarlo bien (security.txt)

Has visto un fallo de seguridad en una web y no sabes a quién avisar.

Por Kike · revisada en octubre de 2026 · Nivel: Intermedio · Cómo verificamos

Por qué pasa (diagnóstico)

• Muchas organizaciones no tienen un canal de reporte claro; el RFC 9116 define security.txt para eso.

Solución paso a paso

1. Busca https://dominio/.well-known/security.txt.
2. El campo Contact (obligatorio) indica cómo reportar; Expires también es obligatorio.
3. Reporta lo mínimo necesario y no explotes el fallo ni accedas a datos.
4. Si tienes web propia, publica tu security.txt (Expires recomendado a menos de un año).

Compatibilidad

• Web

Verificación

Documentado: pasos tomados de la fuente oficial citada (leída el 15-oct-2026). No lo hemos probado aún en nuestro laboratorio, por eso no está marcado VERIFICADO.

Fuentes

• RFC 9116 — Formato de archivo para facilitar el reporte de vulnerabilidades (security.txt) (en inglés)

Guías relacionadas

• Practica hacking ético legal: OWASP Juice Shop
• Hacking ético y la ley en España: lo que debes saber
• Practica hacking ético legal: laboratorios tipo TryHackMe
• Aprende la terminal de Linux jugando: OverTheWire Bandit (legal y gratis)
• Aprende hacking legal gratis con retos CTF: picoCTF ahora es CyLab Security Academy
• Flipper Zero: qué puede hacer de verdad y cómo usarlo de forma legal

Más guías de Ciberseguridad para novatos.