¿Qué es el directorio .well-known de un sitio web?

Si una especificación de comercio con agentes te dice que publiques un archivo en /.well-known/, o un proveedor te pide subir allí un archivo de verificación, no te está pidiendo una carpeta cualquiera: es una ruta reservada por un estándar de internet para la información que describe el sitio entero. El punto del principio importa: en algunos sistemas operativos las carpetas cuyo nombre empieza por punto quedan ocultas, y la propia norma avisa de que un administrador puede no saber que existen.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)} Te importa porque los protocolos con los que un agente de IA descubre lo que sabe hacer una tienda empiezan a buscar justo ahí.

Cómo funciona

Hay aplicaciones que necesitan saber algo de un sitio antes de pedirle nada: qué permisos da, qué servicios ofrece, a quién avisar de un fallo. La solución obvia es fijar una dirección conocida de antemano. El problema, dice la RFC 8615, es doble: dos protocolos pueden elegir la misma dirección, o pisar una URL que el sitio ya usa, y además fijarla le quita al dueño del sitio el control de sus propias URL. La norma lo resuelve reservando un solo prefijo, /.well-known/, en las URL http, https, ws y wss, y pidiendo que cada uso se registre.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)}

La RFC 8615 es de mayo de 2019 y sustituye a la RFC 5785, la primera versión. Sus reglas caben en pocas líneas:⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)}

• Solo cuenta la raíz. /.well-known/ejemplo es una dirección reservada; /tienda/.well-known/ejemplo no lo es.
• Un nombre por aplicación, sin barras y preciso. La norma desaconseja quedarse con palabras genéricas: para los metadatos de una aplicación llamada Example, mejor example-metadata que metadata.
• La especificación de cada nombre manda. Es ella la que define el formato y el tipo de contenido. La RFC no define nada para la propia ruta /.well-known/, y avisa de que los clientes no deben esperar que exista algo en ella: que /.well-known/ a secas devuelva un error 404 es normal.

Los nombres se inscriben en el registro Well-Known URIs de IANA. Para entrar hace falta una especificación publicada y la revisión de un experto, y cada entrada dice su nombre, quién la controla, qué documento la define y su estado: permanente para los estándares abiertos y para lo que los expertos ven en uso, provisional para el resto, que puede retirarse si deja de usarse.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)} El registro tenía 105 entradas el 6 de octubre de 2026, y su última actualización era del 16 de septiembre de 2026.⁠^{[2]IANA. Well-Known URIs}

Lo que vive en esa ruta habla en nombre del sitio entero, y la norma saca de ahí su principal consejo de seguridad: controla quién puede escribir en /.well-known/, sobre todo si varias personas o servicios comparten el mismo dominio. Quien consiga escribir ahí puede cambiar lo que el sitio declara sobre sí mismo sin que nadie lo note.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)}

En una tienda

Esto es lo que una tienda puede encontrarse en esa ruta. Las tres primeras están en el registro de IANA; la cuarta, no:

Ejemplo ficticio. Así sería el security.txt mínimo de una tienda inventada, tienda-ejemplo.es, servido en https://tienda-ejemplo.es/.well-known/security.txt:

Contact: mailto:seguridad@tienda-ejemplo.es
Expires: 2027-10-06T00:00:00.000Z

La fecha de Expires es la que dice cuándo deja de valer el archivo, y la norma pide servirlo como text/plain; charset=utf-8.⁠^{[3]IETF (RFC Editor). RFC 9116: A File Format to Aid in Security Vulnerability Disclosure} Para el perfil UCP las condiciones son más estrictas, y conviene revisarlas si una plataforma o un CDN se pone en medio: se sirve por HTTPS, sin redirecciones, y con una cabecera Cache-Control pública de al menos 60 segundos, nunca private, no-store ni no-cache.⁠^{[6]Universal Commerce Protocol. UCP Specification Overview (versión 2026-08-25)} Una redirección de http a https o del dominio sin www al de www es habitual en una tienda, y en esta ruta basta para incumplir la especificación si el agente llega por la dirección que redirige.

Cómo comprobarlo

1. Pide las rutas a tu propia tienda. Abre https://tu-dominio/.well-known/security.txt y, si vendes a través de agentes, https://tu-dominio/.well-known/ucp. Un 404 en la primera no es un error del sitio, pero te dice que no lo tienes.
2. Mira las cabeceras con curl -I. El código de respuesta, si hay redirección y el Content-Type. Para el perfil UCP, además, que no redirija y que el Cache-Control sea público.⁠^{[6]Universal Commerce Protocol. UCP Specification Overview (versión 2026-08-25)}
3. Si tienes security.txt, revisa la fecha. El campo Expires dice hasta cuándo vale lo que declara.⁠^{[3]IETF (RFC Editor). RFC 9116: A File Format to Aid in Security Vulnerability Disclosure}
4. Busca en el registro de IANA el nombre que te pidan publicar. Si está, enlaza a la especificación que lo define; si no está, es una convención de quien te lo pide, no un estándar registrado.⁠^{[2]IANA. Well-Known URIs}
5. Revisa quién puede escribir en esa ruta, en el servidor, en el CDN y en las aplicaciones instaladas. La norma pide no dar ese permiso sin darse cuenta.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)}

Concepto cercano: robots.txt

robots.txt y /.well-known/ se confunden porque los dos son direcciones fijas que una máquina pide antes que nada. Pero robots.txt es un archivo con un solo trabajo: decir a los rastreadores qué pueden pedir, y siempre en la raíz.⁠^{[7]IETF (RFC Editor). RFC 9309: Robots Exclusion Protocol} /.well-known/ es un espacio de nombres para muchos archivos, cada uno con su propio protocolo y su propia especificación.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)} La RFC 8615 cita el protocolo de exclusión de robots como ejemplo del problema que vino a ordenar, y deja claro que no lo toca.⁠^{[1]IETF (RFC Editor). RFC 8615: Well-Known Uniform Resource Identifiers (URIs)}

Para seguir, la ruta de lectura de este tema ordena el resto de términos, y la entrada del UCP explica qué hace un agente con el perfil que encuentra en /.well-known/ucp.