# Relatar uma vulnerabilidade

Relatos de segurança são bem-vindos. Use dados de exemplo e descreva impacto, versão/build, ambiente e passos delimitados. Não tente comprovar a falha em projetos ou sistemas de terceiros sem autorização.

Se o repositório oferecer **Security → Report a vulnerability**, use esse canal privado para detalhes que permitam exploração ou exponham segredos. O recurso depende de habilitação pelo mantenedor. Se não estiver disponível, solicite um canal privado em uma Issue sem incluir detalhes sensíveis.

Não publique chaves, tokens, dados pessoais, binários proprietários, relatórios de clientes ou meios de acesso a serviços. Uma Issue pública é adequada a documentação e problemas não sensíveis; uma vulnerabilidade ainda não corrigida pode exigir tratamento privado.

O projeto não oferece garantia de prazo de resposta, recompensa ou proteção absoluta. Correções devem preservar funcionamento, compatibilidade e recuperação; os testes do toolkit não substituem a validação do produto adotante.