Ответственное раскрытие (responsible disclosure)

Коротко: Тот, кто находит брешь в безопасности, сначала сообщает о ней оператору и даёт время на исправление, прежде чем подробности станут публичными.

Подробнее: Многие операторы предлагают адрес для сообщений (security@…, /.well-known/security.txt) и иногда вознаграждения (bug bounty). Типичный срок — 90 дней. Кто тестирует чужие системы без разрешения, может совершить уголовное преступление по закону о компьютерных преступлениях (компьютерное уголовное право).

Подробности

• security.txt: небольшой текстовый файл с контактом, ключом шифрования и политикой.
• Хороший отчёт: что, где, как воспроизвести.

См. также: OWASP Top 10, компьютерное уголовное право