協調式揭露政策
這是我們在別人的產品裡找到缺陷時對自己的要求，也是別人向我們通報缺陷時我們遵循的規則。公開它，是為了讓雙方都不必猜。
九十天的時鐘
時鐘從我們聯絡上資安窗口、並取得收件確認的那一天開始走——不是從我們把第一封信寄進一個沒人看的信箱那天算起。
-
D+0
送出報告
以加密方式將報告送交廠商，內容包含：受影響的版本與組建編號、根因、可重現的 PoC、我們的 CVSS v3.1 評分與向量字串，以及建議的修補方向。
我們在第一封信裡就會寫明預計公開日期。不會有突然出現的期限。
-
D+7
預期取得確認
我們預期取得收件確認與具名聯絡窗口。若第 14 天仍無回覆，我們會升級處理——先透過廠商的 security.txt 或漏洞獎金管道，再透過 TWCERT/CC 或該廠商所在地的國家級 CERT，最後透過負責該產品的 CNA。
-
D+45
進度追蹤
共同檢視修補內容與影響範圍。我們最堅持追問的一點是：是否有其他產品線共用這段程式碼？旗艦機種修好、OEM 版本沒修，是修補最常見的失效方式。
-
D+90
公開
發佈通報，內容包含編號、受影響產品類型、缺陷類型、CVSS 評分與修補狀態。利用細節與 PoC 保留至修補版本普遍可用之後才釋出——那通常比通報本身更晚。
我們會在通報中致謝完成修補的廠商工程師，若他們願意就具名。在大型組織裡把修補推出去是件苦工，值得被看見。
什麼情況下我們會調整期限
九十天是預設值，不是教條。它可以往兩邊調整，而且我們會在調整前先說。
-
延長：修補明顯正在進行
若廠商能出示分支、組建或發佈日期，我們會延長——通常是 30 天，可再延一次。硬體召回或整批設備的韌體更新確實可能需要更久，我們寧可修對，而不是修快。
-
縮短：缺陷已遭實際利用
若我們發現缺陷已在實際攻擊中被使用，原定時程即不再適用。我們會與廠商及 TWCERT/CC 協調立即發佈，讓防守方當天就能取得緩解措施，即使還沒有修補版本。有緩解指引勝過沉默。
-
縮短：通報內容外流
若缺陷已從其他來源公開——一則 commit 訊息、一篇論壇貼文、另一位研究員——我們會選擇發佈，而不是讓不完整的資訊成為唯一可得的說法。
我們不會做的事
-
不販售、不居間買賣利用程式
不賣給仲介、不賣給政府採購方，也不作為委託案的一部分交付。發現先給廠商，然後進入公開紀錄。這就是我們全部的商業模式。
-
不向廠商收取「保持安靜」的費用
通報永遠免費。公開不是談判籌碼，也不會附帶任何帳單。若廠商事後想委託我們做別的事，那是另一回事，且必須由他們主動提起。
-
未取得書面授權不進行測試
研究我們購買或可合法取得的產品是一回事；碰觸他人營運中的系統，每一次都需要該營運者簽署的授權書，不會因為標的多有趣而有例外。
-
不保留超出必要的資料
PoC 素材僅在協調所需期間加密保存，之後銷毀。我們不會為行銷、作品集或模型訓練目的留存客戶或廠商資料。
在我們自己的系統裡發現問題？
這個網站是靜態的、沒有後端，所以攻擊面很小——但不是零，我們寧可聽到您的來信。
-
01
寄到 security@fpic.us
第一封信用純文字就好，我們也偏好這樣。請不要在未加密的信件中附上可運作的利用程式——先寄概述，我們會在一個工作日內回覆加密管道。
-
02
我們會做的事
一個工作日內確認收件，五個工作日內告知我們的評估，並告知修補日期。修補紀錄中會依您希望的姓名或代號致謝，若您偏好匿名也可以。
-
03
安全港
若您的測試限於本網站與其子網域、未影響其他人的服務品質、未存取或修改他人資料，並即時通報我們，我們不會對您採取法律行動。針對員工的社交工程、實體入侵、阻斷服務攻擊，以及大量自動化掃描，均不在範圍內。