2FASync
Gør det muligt at undersøge et problem uden at dele hemmeligheder
En præcis fejlbeskrivelse bør indeholde reproducerbare skridt, ikke de rigtige koder eller private nøgler, du vil beskytte.
Brug et afgrænset testeksempel
Oplys påvirket funktion, browser, forventet adfærd, faktisk resultat og tydelige reproduktionstrin. Lav en syntetisk TOTP-hemmelighed og testkonto, som ikke er forbundet med en virkelig tjeneste. Fjern altid adgangskoder, gendannelsesnøgler, sessionstokens og QR-billeder med virkelige oplysninger.
Test kun med tilladelse
Forsøg ikke at læse andre brugeres data, foretage belastende scanning eller ændre produktionskonti. En sikker, minimal demonstration er lettere at undersøge end gentagne forsøg på at udnytte en sårbarhed. Offentliggør ikke udnyttelsesdetaljer, før der er mulighed for ansvarlig koordinering.
Brug en verificeret kontakt, når den findes
En officiel fortrolig indberetningskanal skal ejes og være bekræftet af operatøren. Der er endnu ikke dokumenteret nogen offentlig sikkerhedsmail, kontaktformular, svarfrist eller bug bounty i kildematerialet, så siden opfinder ikke sådanne løfter. For mistet kontoadgang er det de oprindelige tjenesters gendannelsesvej, der skal bruges.