发现安全问题时先保护用户数据

只使用有权操作的测试环境

请用自己控制的测试账号及合成 TOTP 密钥描述问题，不扫描别人的二维码、不读取不属于自己的保险库内容。

不要为了证明影响而扩大访问、破坏数据或压测正在运行的服务。可记录最小复现步骤、合成测试账号环境和经遮蔽的错误信息以供维护人员排查。

让报告可理解又不泄密

记录页面和操作顺序、预期行为、实际结果与浏览器环境。截图应隐藏真实账号标识、令牌、恢复密钥及验证码。

初次反馈不需要提供可用的真实密钥；如以后确需敏感信息，应先确认经过验证的安全传输途径。

核实渠道的真实性

仅相信 2FASync 官方页面实际公布的联络途径。不要给社交平台上自称技术支持的陌生账号发送敏感资料，也不要猜测或自行使用未经确认的安全邮箱。

保留足够证据，同时避免扩大影响

在自己授权的测试账号中记录问题发生的路由、操作顺序、浏览器种类、期望与实际结果。可以使用合成的无效测试密钥来说明界面问题，而不必收集他人的实际 OTP 设置。

若意外遇到他人的资料，不能为了补充截图继续遍历、下载、修改或共享不属于自己的内容。应该停在最小能够描述问题的位置，避免把研究变成未经许可的访问。

只有经过正式验证的服务联系渠道才能被标为报告入口。尚未核实安全邮箱或隐私联络方式时，应明确在上线检查中补齐，不得凭空编造地址和处理期限。