# Qué es el directorio .well-known de una web

> Qué es /.well-known/, la ruta que la RFC 8615 reserva para los archivos que describen un sitio, qué recoge su registro en IANA y qué publica una tienda.

URL: https://clione.ai/es/glosario/well-known/
Lang: es

Si una especificación de comercio con agentes te dice que publiques un archivo en `/.well-known/`, o un proveedor te pide subir allí un archivo de verificación, no te está pidiendo una carpeta cualquiera: es **una ruta reservada por un estándar de internet para la información que describe el sitio entero**. El punto del principio importa: en algunos sistemas operativos las carpetas cuyo nombre empieza por punto quedan ocultas, y la propia norma avisa de que un administrador puede no saber que existen.[^rfc8615] Te importa porque los protocolos con los que un [agente de IA](/es/glosario/agente-de-ia/) descubre lo que sabe hacer una tienda empiezan a buscar justo ahí.

## Cómo funciona

Hay aplicaciones que necesitan saber algo de un sitio antes de pedirle nada: qué permisos da, qué servicios ofrece, a quién avisar de un fallo. La solución obvia es fijar una dirección conocida de antemano. El problema, dice la RFC 8615, es doble: **dos protocolos pueden elegir la misma dirección, o pisar una URL que el sitio ya usa**, y además fijarla le quita al dueño del sitio el control de sus propias URL. La norma lo resuelve reservando un solo prefijo, `/.well-known/`, en las URL `http`, `https`, `ws` y `wss`, y pidiendo que cada uso se registre.[^rfc8615]

La RFC 8615 es de mayo de 2019 y sustituye a la RFC 5785, la primera versión. Sus reglas caben en pocas líneas:[^rfc8615]

- **Solo cuenta la raíz.** `/.well-known/ejemplo` es una dirección reservada; `/tienda/.well-known/ejemplo` no lo es.
- **Un nombre por aplicación, sin barras y preciso.** La norma desaconseja quedarse con palabras genéricas: para los metadatos de una aplicación llamada Example, mejor `example-metadata` que `metadata`.
- **La especificación de cada nombre manda.** Es ella la que define el formato y el tipo de contenido. La RFC no define nada para la propia ruta `/.well-known/`, y avisa de que los clientes no deben esperar que exista algo en ella: **que `/.well-known/` a secas devuelva un error 404 es normal**.

Los nombres se inscriben en el registro Well-Known URIs de IANA. Para entrar hace falta una especificación publicada y la revisión de un experto, y cada entrada dice su nombre, quién la controla, qué documento la define y su estado: **permanente** para los estándares abiertos y para lo que los expertos ven en uso, **provisional** para el resto, que puede retirarse si deja de usarse.[^rfc8615] El registro **tenía 105 entradas el 6 de octubre de 2026**, y su última actualización era del 16 de septiembre de 2026.[^iana-well-known]

Lo que vive en esa ruta habla en nombre del sitio entero, y la norma saca de ahí su principal consejo de seguridad: **controla quién puede escribir en `/.well-known/`**, sobre todo si varias personas o servicios comparten el mismo dominio. Quien consiga escribir ahí puede cambiar lo que el sitio declara sobre sí mismo sin que nadie lo note.[^rfc8615]

## En una tienda

Esto es lo que una tienda puede encontrarse en esa ruta. Las tres primeras están en el registro de IANA; la cuarta, no:

| Ruta                           | Para qué sirve                                                                                                                                                           | En el registro de IANA                                                                          |
| ------------------------------ | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | ----------------------------------------------------------------------------------------------- |
| `/.well-known/security.txt`    | Dice a quién avisar de una vulnerabilidad. Lleva dos campos obligatorios, `Contact` y `Expires`, y se sirve por HTTPS como texto plano.[^rfc9116]                        | Permanente, controlado por el IETF.[^iana-well-known]                                           |
| `/.well-known/change-password` | Redirige a la página donde un cliente cambia su contraseña, para que un gestor de contraseñas la encuentre. Es un borrador del W3C.[^w3c-change-password]                | Provisional, controlado por el W3C.[^iana-well-known]                                           |
| `/.well-known/agent-card.json` | La tarjeta con la que se presenta un agente que habla [A2A (agent-to-agent)](/es/glosario/a2a/), con su identidad, capacidades y requisitos de autenticación.[^a2a-spec] | Permanente, controlado por la Linux Foundation, desde el 1 de agosto de 2025.[^iana-well-known] |
| `/.well-known/ucp`             | El perfil de la tienda en el [UCP (Universal Commerce Protocol)](/es/glosario/ucp/): versión del protocolo, servicios, capacidades y formas de pago.[^ucp-overview]      | No figura a 6 de octubre de 2026.[^iana-well-known]                                             |

**Ejemplo ficticio.** Así sería el `security.txt` mínimo de una tienda inventada, `tienda-ejemplo.es`, servido en `https://tienda-ejemplo.es/.well-known/security.txt`:

```text
Contact: mailto:seguridad@tienda-ejemplo.es
Expires: 2027-10-06T00:00:00.000Z
```

La fecha de `Expires` es la que dice cuándo deja de valer el archivo, y la norma pide servirlo como `text/plain; charset=utf-8`.[^rfc9116] Para el perfil UCP las condiciones son más estrictas, y conviene revisarlas si una plataforma o un CDN se pone en medio: **se sirve por HTTPS, sin redirecciones**, y con una cabecera `Cache-Control` pública de al menos 60 segundos, nunca `private`, `no-store` ni `no-cache`.[^ucp-overview] Una redirección de `http` a `https` o del dominio sin `www` al de `www` es habitual en una tienda, y en esta ruta basta para incumplir la especificación si el agente llega por la dirección que redirige.


Creer que todo archivo para bots va en `/.well-known/`. [robots.txt](/es/glosario/robots-txt/) va en la raíz, en `/robots.txt`, y así lo fija su propio estándar;[^rfc9309] la RFC 8615 no lo cambia, porque solo afecta a los mecanismos que decidan usarla.[^rfc8615] El archivo [llms.txt](/es/glosario/llms-txt/) también se publica en la raíz, en `/llms.txt`, o en una subruta.[^llmstxt] Y lo contrario: un `/.well-known/` dentro de una subcarpeta no es la ruta reservada.[^rfc8615]


## Cómo comprobarlo

1. **Pide las rutas a tu propia tienda.** Abre `https://tu-dominio/.well-known/security.txt` y, si vendes a través de agentes, `https://tu-dominio/.well-known/ucp`. Un 404 en la primera no es un error del sitio, pero te dice que no lo tienes.
2. **Mira las cabeceras con `curl -I`.** El código de respuesta, si hay redirección y el `Content-Type`. Para el perfil UCP, además, que no redirija y que el `Cache-Control` sea público.[^ucp-overview]
3. **Si tienes `security.txt`, revisa la fecha.** El campo `Expires` dice hasta cuándo vale lo que declara.[^rfc9116]
4. **Busca en el registro de IANA el nombre que te pidan publicar.** Si está, enlaza a la especificación que lo define; si no está, es una convención de quien te lo pide, no un estándar registrado.[^iana-well-known]
5. **Revisa quién puede escribir en esa ruta**, en el servidor, en el CDN y en las aplicaciones instaladas. La norma pide no dar ese permiso sin darse cuenta.[^rfc8615]

## Concepto cercano: robots.txt

`robots.txt` y `/.well-known/` se confunden porque los dos son direcciones fijas que una máquina pide antes que nada. Pero `robots.txt` es **un archivo con un solo trabajo**: decir a los [rastreadores](/es/glosario/rastreador/) qué pueden pedir, y siempre en la raíz.[^rfc9309] `/.well-known/` es **un espacio de nombres para muchos archivos**, cada uno con su propio protocolo y su propia especificación.[^rfc8615] La RFC 8615 cita el protocolo de exclusión de robots como ejemplo del problema que vino a ordenar, y deja claro que no lo toca.[^rfc8615]

Para seguir, la [ruta de lectura](/es/aprender/rastreo-e-indexacion/) de este tema ordena el resto de términos, y la entrada del [UCP](/es/glosario/ucp/) explica qué hace un agente con el perfil que encuentra en `/.well-known/ucp`.