security.txt nennt einen Kontakt. Das CVD-Policy-Format ergänzt eine JSON-Datei unter einer angegebenen HTTPS-Adresse: welche Systeme Meldungen annehmen, welche Prüfregeln der Betreiber erklärt und wie gemeldet werden soll. Ein Werkzeug kann das auswerten, bevor es die erste Anfrage stellt.
Es weist kein Eigentum nach, erteilt keine rechtliche Erlaubnis und sichert keine Straffreiheit zu. Es ist auch keine Bewertung: kein Score, keine Reifegrade, kein Vergleich. Es hält fest, was ein Betreiber erklärt hat, und sonst nichts.