Estou um pouco confuso, principalmente porque não consigo entender como o Docker funciona, mas…
- por que o security.txt deveria vir do Discourse; ele é normalmente bastante estático e ligado à organização
- sob o Docker está o Nginx e ele deveria hospedar coisas de nível de servidor web como tudo sob o diretório
well-known
Então eu diria que a solução de curto prazo é trabalho manual com Nginx 