Relate o comportamento observado sem expor credenciais

O que registrar

Informe a funcionalidade afetada, os passos que executou, o comportamento esperado e o resultado real. Se possível, use uma conta de teste própria e dados falsos que não permitam entrar em qualquer serviço.

Não inclua QR code de migração, cookies, tokens, backups criptografados privados, passphrases ou chaves de recuperação nas imagens anexadas.

O que evitar durante a investigação

Não tente acessar dados de outras pessoas, não faça varreduras com carga elevada nem provoque indisponibilidade para 'provar' o impacto. Pare atividades que possam ampliar um vazamento.

Se o problema envolve uma chave externa sua já exposta, considere renová-la no serviço que a emitiu independentemente de qualquer retorno do projeto.

Limites desta orientação pública

Este texto não declara programa de recompensa, prazo de resposta ou e-mail de segurança que não esteja verificado. Os canais de atendimento devem ser identificados a partir da interface oficial disponível.

Registre o mínimo necessário para preservar o problema e evite compartilhar detalhes sensíveis publicamente enquanto busca uma forma apropriada de contato.

Posso mandar a chave verdadeira para mostrar o bug?

Não. Produza um exemplo com chave sintética e remova quaisquer informações que permitam autenticação real.