Minh họa chủ đề nguyên bản: Sơ đồ chủ đề nguyên bản của ChainView BTC866 · ChainView BTC866 Editorial · CC BY 4.0
Mức thưởng có điều kiện
Mức thưởng tối đa phụ thuộc mức độ nghiêm trọng và điều kiện của chương trình. Nó không phải quỹ bảo hiểm, cuộc kiểm toán toàn diện hoặc bằng chứng rằng sản phẩm đã hết lỗ hổng bảo mật.
Phạm vi chương trình
Phạm vi có thể chỉ gồm một số hợp đồng và loại trừ giao diện, dịch vụ ngoài hay phiên bản cũ. Đọc quy tắc báo cáo rồi so sánh mã nguồn thuộc phạm vi với bản đang được người dùng sử dụng.
Đóng báo cáo chưa là phát hành
Một báo cáo đóng có thể chỉ nghĩa là nhóm đã tiếp nhận hoặc xử lý nội bộ. Cần tìm ghi chú phát hành, phiên bản chịu ảnh hưởng và bằng chứng bản sửa thực sự xuất hiện trong môi trường sản xuất.
Thư viện còn bản cũ
Ví dụ, thư viện trong kho mã đã được vá nhưng ứng dụng vẫn đóng gói bản cũ thì người dùng chưa được bảo vệ. Phải đối chiếu phụ thuộc trong bản phát hành đang chạy, không chỉ đường dẫn sửa mã.
Công bố đúng thời điểm
Tôn trọng công bố phối hợp, tránh đăng hướng dẫn khai thác hay chi tiết riêng tư trước thời điểm phù hợp. Nếu chưa xác nhận triển khai, hãy ghi chưa xác minh thay vì khẳng định toàn bộ rủi ro đã được giải quyết.
Theo từng giai đoạn sửa lỗi
Theo dõi riêng phát hiện, xác nhận, sửa mã và phát hành tới người dùng; mỗi giai đoạn cần ngày cùng bằng chứng phù hợp. Khuyến nghị tắt tính năng không nhất thiết là bản vá, còn bản vá nguồn chưa chắc vào gói đã cài. Hỏi liệu bản cũ, thiết bị ngoại tuyến hay tích hợp bên thứ ba có cần hành động bổ sung. Nếu nhóm chưa công bố chi tiết để phối hợp an toàn, diễn tả giới hạn đó mà không xem im lặng là bằng chứng không hề có phơi nhiễm. Báo cáo có thể nói rõ điều đã biết và điều chưa biết mà không tiết lộ cách khai thác hoặc suy diễn thành sự cố lớn hơn. Cũng cần biết bản sửa có đòi người dùng cập nhật hay tự áp dụng ở máy chủ. Chỉ dẫn này quyết định hành động cần làm, còn số tiền thưởng không cho biết trạng thái cài đặt trên thiết bị của từng người.
