会社に直接連絡してください：会社のセキュリティチームまたは別の適切な連絡先（たとえば、セキュリティの脆弱性に関する指定された電子メールアドレス）に連絡し、必要な概念の証明コードまたは指示とともに、脆弱性の詳細なレポートを提供します。あなたのコミュニケーションを専門的で尊敬することを確認し、要求や脅威を避けないようにしてください。

明確にあなたの意図を述べてください：あなたのレポートでは、あなたが誠実に脆弱性を報告していること、そしてあなたの目標が会社のセキュリティを改善するのを助けることであることを明確にしてください。あなたは他の人と脆弱性を共有していないこと、そしてあなたが会社があなたのレポートを守秘義務と尊敬をもって扱うことを期待することを強調します。

締め切りを提供する：会社が行動を起こすことを奨励するために、あなたがあなたの調査結果を公開する前に彼らが脆弱性を修正するための合理的な締め切りを提供することをお勧めします。問題に適切に対処するのに十分な時間を与えてください。

中立の第三者を巻き込むことを検討してください。法的またはその他の影響を懸念している場合は、お客様と会社の間の仲介者として機能できるバグバウンティプログラムなどの中立的な第三者との作業を検討することをお勧めします。バグバウンティプログラムは、企業が研究者の利益を保護しながら、脆弱性を特定して修正するのに役立つように設計されています。

結果に備えてください。最善の意図があっても、会社がレポートに否定的に反応する可能性があるというリスクが常にあります。結果に備えていることを確認し、法的措置の場合に個人情報と調査結果を保護するための措置を講じてください。
Contact the company directly: Reach out to the company's security team or another appropriate point of contact (e.g., a designated email address for security vulnerabilities) and provide a detailed report of the vulnerability, along with any necessary proof of concept code or instructions. Make sure to be professional and respectful in your communication, and avoid making any demands or threats.

Clearly state your intentions: In your report, make it clear that you are reporting the vulnerability in good faith and that your goal is to help the company improve its security. Emphasize that you are not sharing the vulnerability with anyone else, and that you expect the company to treat your report with confidentiality and respect.

Provide a deadline: In order to encourage the company to take action, you may want to provide a reasonable deadline for them to fix the vulnerability before you go public with your findings. Make sure to give them enough time to properly address the issue, but also be firm in your expectation that they take action.

Consider involving a neutral third party: If you're concerned about legal or other repercussions, you may want to consider working with a neutral third party such as a bug bounty program, which can act as an intermediary between you and the company. Bug bounty programs are designed to help companies identify and fix vulnerabilities while protecting the interests of researchers.

Be prepared for any outcome: Even with the best intentions, there is always a risk that a company may react negatively to your report. Make sure you're prepared for any outcome, and take steps to protect your personal information and your findings in case of legal action.