¿Tengo que registrar un /.well-known/ URI con IANA?

Sí si estás definiendo un nuevo protocolo público. El registro IANA Well-Known URI (https://www.iana.org/assignments/well-known-uris) los rastrea para prevenir colisiones. Para uso privado/interno dentro de tus propias apps, puedes usar cualquier subpath — pero arriesgas conflictos si tu URI luego se registra por el protocolo de otra persona.

¿Las rutas /.well-known/ deben servirse solo sobre HTTPS?

En general sí. `security.txt` requiere HTTPS por RFC 9116. `apple-app-site-association` requiere HTTPS (y solía requerir sin redirects, aunque eso se relajó). OIDC discovery, metadata OAuth, y la mayoría de endpoints de identidad requieren HTTPS. Las pocas excepciones son archivos de texto legacy anteriores a TLS ubicuo.

Referencia de URIs /.well-known/*

Red

RFC 8615 define `/.well-known/` como la ruta estándar para metadatos del sitio que necesitan una ubicación predecible — endpoints de descubrimiento, contactos de seguridad, asociaciones de deep-link de apps móviles, tokens de validación ACME, configuraciones de proveedor de identidad. Esta referencia lista las URIs registradas con IANA (más algunos estándares de facto), agrupadas por propósito: seguridad, identidad, móvil, web, mail, misceláneo. Cada entrada enlaza al RFC o spec que la define para que puedas leer los requisitos exactos. Útil al configurar un nuevo dominio, depurar un flujo OIDC discovery, o simplemente recordar qué ruta usan los universal links de Apple.

—

BuscarCategoría

Mostrando: 39 / 39

/.well-known/security.txt

SeguridadRFC 9116

Ubicación estandarizada para info de contacto de divulgación de seguridad y política. Requeridos: Contact, Expires.

/.well-known/openid-configuration

IdentidadOIDC Discovery

Documento de configuración de proveedor OpenID Connect — endpoints authorization/token/userinfo, scopes soportados, JWKS URI.

/.well-known/oauth-authorization-server

IdentidadRFC 8414

Metadata de Authorization Server OAuth 2.0. Como OIDC discovery pero para despliegues OAuth 2.0 puros.

/.well-known/oauth-protected-resource

IdentidadRFC 9728

Metadata de Protected Resource OAuth 2.0 — le dice a clientes qué authorization server protege esta API.

/.well-known/jwks.json

IdentidadJWK Set

JSON Web Key Set — claves públicas usadas para verificar JWTs emitidos por este servidor.

/.well-known/webfinger

IdentidadRFC 7033

Descubre info sobre personas o entidades en un dominio vía URIs de cuenta (`acct:user@example.com`).

/.well-known/host-meta

IdentidadRFC 6415

Documento de metadata site-wide, predecesor de WebFinger. Formato XRD.

/.well-known/nostr.json

IdentidadNIP-05

Verificación NIP-05 — mapea un nombre (`user@example.com`) a una clave pública Nostr.

/.well-known/change-password

WebW3C draft

URL estándar a la que los navegadores redirigen cuando usuarios quieren cambiar contraseña (W3C draft).

/.well-known/apple-app-site-association

MóvilApple

Apple Universal Links + Handoff asociaciones. JSON con claves `applinks` y `webcredentials`.

/.well-known/assetlinks.json

MóvilGoogle

Android Digital Asset Links — verifica propiedad app-a-website para App Links.

/.well-known/acme-challenge/<token>

SeguridadRFC 8555

Token de challenge ACME HTTP-01 — Let's Encrypt y otras CAs lo usan para verificar control de dominio.

/.well-known/mta-sts.txt

MailRFC 8461

Política Mail Transfer Agent Strict Transport Security para email entrante.

/.well-known/dnt-policy.txt

SeguridadEFF

Declaración de política EFF Do Not Track — predecesora del header DNT obsoleto.

/.well-known/traffic-advice

WebChrome

Le dice a private prefetch proxies (Chrome) el throughput máximo que deben enviar.

/.well-known/ai.txt

WebIndustry

Convención propuesta por la industria para declarar preferencias opt-out de entrenamiento AI.

/.well-known/llms.txt

WebIndustry

Convención propuesta para dar a LLMs una visión curada y machine-friendly del sitio.

/.well-known/privacy-policy

WebConvention

Convención para una URL canónica de política de privacidad — no estandarizada pero común.

/.well-known/dat

MiscDAT

Discovery de hyperdrive peer-to-peer Dat.

/.well-known/did.json

IdentidadDID Web

Método DID Web — resuelve `did:web:example.com` a un documento DID.

/.well-known/matrix/server

MiscMatrix

Discovery de federación servidor-servidor Matrix.

/.well-known/matrix/client

MiscMatrix

Discovery de homeserver cliente-servidor Matrix.

/.well-known/ashrae135

MiscBACnet

Discovery de dispositivos de automatización de edificios BACnet.

/.well-known/caldav

MiscRFC 6764

Discovery de servidor de calendario CalDAV (RFC 6764).

/.well-known/carddav

MiscRFC 6764

Discovery de servidor de contactos CardDAV (RFC 6764).

/.well-known/est/cacerts

SeguridadRFC 7030

Enrollment over Secure Transport — obtención de certificado CA (RFC 7030).

/.well-known/gnap-as-rs

IdentidadGNAP

Metadata de Grant Negotiation and Authorization Protocol.

/.well-known/included-in-set/<algorithm>

SeguridadRFC 9335

Pruebas de inclusión en conjunto para logs de transparencia (RFC 9335).

/.well-known/jmap

MailRFC 8620

Discovery de correo JSON Meta Application Protocol (RFC 8620).

/.well-known/openpgpkey/hu/<localpart>

MailWKD

OpenPGP Web Key Directory — descubre claves PGP desde direcciones de email.

/.well-known/payment-manifest.json

WebW3C

W3C Payment Manifest — declara métodos de pago soportados.

/.well-known/posh/<hostname>.json

SeguridadRFC 7711

PKIX over Secure HTTP — publicación de certificados TLS (RFC 7711).

/.well-known/reload-config

MiscRFC 6940

Configuración REsource LOcation And Discovery (RFC 6940).

/.well-known/sip

MiscRFC 7095

Discovery de servicio SIP (RFC 7095).

/.well-known/sips

MiscRFC 7095

Discovery de servicio SIPS (RFC 7095).

/.well-known/stun

MiscRFC 7064

Discovery de servidor STUN (RFC 7064).

/.well-known/turn

MiscRFC 7065

Discovery de servidor TURN (RFC 7065).

/.well-known/timezone

MiscRFC 7808

Discovery de servicio de zona horaria iCalendar (RFC 7808).

/.well-known/oauth-token-introspection

IdentidadRFC 7662

Endpoint de introspección de token OAuth 2.0 (RFC 7662).

De IANA Well-Known URI registry + convenciones de facto de la industria.

Cómo usar

Filtra por categoría para reducir (Seguridad para `security.txt`/ACME, Identidad para OIDC/OAuth, Móvil para deep links).
Busca por path, número RFC o texto de descripción. Copia el path con un clic.
Clica al RFC/spec para obtener requisitos exactos — la mayoría tienen schemas JSON o formatos de texto específicos.

Preguntas frecuentes

¿Tengo que registrar un /.well-known/ URI con IANA?: Sí si estás definiendo un nuevo protocolo público. El registro IANA Well-Known URI (https://www.iana.org/assignments/well-known-uris) los rastrea para prevenir colisiones. Para uso privado/interno dentro de tus propias apps, puedes usar cualquier subpath — pero arriesgas conflictos si tu URI luego se registra por el protocolo de otra persona.
¿Las rutas /.well-known/ deben servirse solo sobre HTTPS?: En general sí. `security.txt` requiere HTTPS por RFC 9116. `apple-app-site-association` requiere HTTPS (y solía requerir sin redirects, aunque eso se relajó). OIDC discovery, metadata OAuth, y la mayoría de endpoints de identidad requieren HTTPS. Las pocas excepciones son archivos de texto legacy anteriores a TLS ubicuo.

Herramientas relacionadas

Inspector de Dirección IP

Escribe una dirección IPv4 o IPv6 y ve su clase, scope (privada / pública / loopback / link-local), valor decimal, binario, notación reverse-DNS y CIDR /32.

Red00

Referencia de Puertos

Cheat sheet buscable de ~60 puertos TCP / UDP estándar — desde 22 (SSH) y 80 (HTTP) hasta 6379 (Redis) y 27017 (MongoDB).

Red00

Referencia de Registros DNS

Hoja de referencia buscable de tipos de registro DNS — A, AAAA, CNAME, MX, TXT, NS, SOA, PTR, SRV, CAA, DNSSEC, SVCB / HTTPS — con ejemplos.

Red00

Calculadora de Subred (IPv4 / CIDR)

Parsea CIDR IPv4 en dirección de red, broadcast, netmask, wildcard, rango de hosts y clase. Muestra desglose binario y estado privado/público.

Red00

Parser de User Agent

Parsea string User-Agent en navegador, engine, OS, dispositivo y CPU. Detecta 20+ bots incluyendo GPTBot, ClaudeBot, PerplexityBot.

Red00

Referencia de Códigos de Estado HTTP

Lista buscable de todos los códigos HTTP (1xx-5xx) con resumen, RFC, cuándo usar y trampas frecuentes.

Red00