Décrire une faille ne nécessite pas de publier une clé secrète

Créer un exemple qui n'expose personne

Employez une clé TOTP synthétique et un compte de test que vous contrôlez. Précisez la page ou la fonction touchée, la séquence d'actions et le résultat observable.

Masquez intégralement les QR de transfert, cookies, jetons de session, phrases secrètes et clés de récupération dans vos captures. La preuve d'un défaut ne doit pas devenir une fuite supplémentaire.

Limiter ses vérifications

Ne cherchez pas à consulter des données qui ne vous appartiennent pas et n'effectuez pas de tests de charge ou d'interruption sans autorisation. Arrêtez immédiatement une manipulation susceptible d'aggraver un incident.

Si l'un de vos propres secrets a été divulgué, remplacez-le auprès du service émetteur sans attendre une analyse du projet.

Identifier un canal officiel avant l'envoi

Cette page n'annonce pas d'adresse privée de sécurité, de délai garanti ni de programme de récompense tant que ces informations ne sont pas vérifiées et publiées.

Conservez un résumé minimal, sans secret, en attendant de trouver le moyen de contact officiel accessible dans l'interface du produit.

Puis-je joindre une sauvegarde réelle pour prouver le problème ?

Évitez de transmettre une sauvegarde personnelle. Utilisez des données de démonstration qui ne permettent d'ouvrir aucun compte réel.