提出安全疑慮時，也要保護驗證資訊

用自己有權控制的測試帳號

請使用虛構帳號與合成 TOTP 金鑰重現問題，不擷取其他人的保管庫、不掃描無權取得的 QR，也不要進行影響服務運作的測試。

如果畫面上出現真實復原金鑰、即時驗證碼或工作階段憑證，必須先遮蔽再製作說明。

提供可檢查的實際步驟

說明發生的頁面、按下的操作、預期結果與實際行為，附上瀏覽器系統資訊及不含秘密的錯誤訊息即可開始初步溝通。

不要將敏感資料傳到不明表單或公開 issue 平台，亦不要自行擴大未經授權的探索。

只採用官方已驗證的聯絡途徑

若有需要聯繫，請確認管道確實由 2FASync 官方介面公布。勿猜測安全電子郵件地址，也不要將密鑰交給社群上自稱客服的人士。

回報問題時可以保存哪些證據

對自己有權操作的測試帳號，記錄錯誤的頁面、重現步驟、預期結果與實際情形，並保留沒有秘密的錯誤訊息。若可以用合成資料重現，就不需要取得真實登入中的 QR 或復原金鑰。

若意外看到他人的密文或個資，應停止未經授權的查閱，不要為了證明問題而下載、修改或公開額外資料。說明事件的影響範圍即可，不必擴大實驗。

正式回報地址和受理時間應由產品營運者確認並公布。來源程式沒有驗證過的安全聯絡管道時，編輯內容不能自行捏造客服電子郵件或承諾時限。