Повідомляйте про недоліки, зберігаючи секрети

Використовуйте синтетичні дані

Опишіть функцію, очікувану та фактичну поведінку, версію браузера і послідовність дій. Замініть реальні секрети тестовими й приберіть зі знімків сеансові токени, QR та матеріали відновлення.

Не досліджуйте чужі облікові записи

Перевіряйте лише власні дані або ті, щодо яких маєте належний дозвіл. Утримайтеся від навантажувальних чи руйнівних перевірок без окремого узгодження. Не поширюйте технічні деталі, придатні для зловживання, до безпечного опрацювання.

Оберіть підтверджений канал зв’язку

Користуйтеся лише каналом для безпекових звернень, офіційно оприлюдненим 2FASync, якщо такий доступний. Тут не вигадується адреса пошти, гарантований строк реакції або програма винагород.

Описуйте вразливість без реальних секретів

Для відтворюваного звернення вкажіть версію браузера, сторінку, послідовність кроків, очікувану поведінку й результат. Наприклад, якщо після блокування сховища попередній екран виглядає доступним, досить синтетичного тестового облікового запису. Не додавайте до повідомлення справжні TOTP-ключі, фотографії QR, токени сесій або ключ відновлення. Такі матеріали можуть створити окремий витік.

Не перевіряйте чужі сховища, не збільшуйте навантаження на службу без дозволу й не публікуйте придатні до зловживання подробиці без безпечного узгодження. Офіційна адреса для повідомлень, підтверджена особа оператора, винагороди та строки відповіді наразі не встановлені; тому в тексті не слід вигадувати поштову скриньку чи гарантії реакції.

Де знайти підтверджену адресу для повідомлення про вразливість?

Наразі перевірену офіційну адресу чи форму не надано. Не надсилайте справжні ключі на припущений контакт; користуйтеся лише підтвердженим каналом.