Zgłaszaj problemy bez ujawniania kluczy

Opisz możliwe do odtworzenia zachowanie

Podaj funkcję, przewidywany wynik, zaobserwowany rezultat i warunki w przeglądarce. Do przykładu użyj danych syntetycznych, a zrzuty ekranu oczyść z kluczy, tokenów sesji i identyfikatorów osób trzecich.

Nie testuj na cudzych danych

Nie uzyskuj dostępu do cudzych sejfów i nie wykonuj prób obciążeniowych bez osobnego upoważnienia. Szczegóły możliwe do wykorzystania do ataku powinny pozostać poufne podczas weryfikacji zgłoszenia.

Sprawdź oficjalny kanał kontaktu

Korzystaj wyłącznie z kanału bezpieczeństwa potwierdzonego na oficjalnej stronie 2FASync, jeśli zostanie udostępniony. Nie wpisujemy tutaj niezweryfikowanego adresu e-mail ani obietnicy konkretnego terminu odpowiedzi.

Jak opisać błąd w sposób, który da się sprawdzić

Zamiast dołączać prawdziwy kod QR, zbuduj sztuczny przypadek testowy na własnym koncie. Napisz, którą funkcję otwarto, jaki wynik był oczekiwany i co pokazała strona, podając wersję przeglądarki oraz powtarzalne kroki. W razie zrzutu ekranu zasłoń klucze TOTP, adresy otpauth://, tokeny sesji i szczegóły pozwalające ustalić tożsamość osób trzecich.

Nie próbuj weryfikować znalezionego problemu przez dostęp do cudzych sejfów lub testy przeciążeniowe. Szczegóły umożliwiające wykorzystanie luki przekazuj wyłącznie przez faktycznie potwierdzony kanał zgłoszeń bezpieczeństwa. Ponieważ nie zweryfikowano jeszcze publicznej skrzynki, tożsamości operatora ani SLA, ta strona nie może obiecywać odpowiedzi w określonym terminie ani podawać wymyślonego adresu.

Czy istnieje potwierdzony adres do zgłoszeń bezpieczeństwa?

Nie wskazano jeszcze zweryfikowanego publicznego kanału ani czasu odpowiedzi. Nie wysyłaj kluczy czy sesji na domyślony adres; korzystaj wyłącznie z oficjalnie potwierdzonej drogi.