提交漏洞前要确认哪些承诺?

前几天朋友问我，漏洞报告交上去之后多久会公开。我愣了一下——这问题我居然答不上来，因为我提交的时候压根没仔细看平台怎么写的。说起来有点丢人，我们研究漏洞，时间大多花在复现、写报告、跟厂商来回沟通上，唯独“提交”这个动作，常常点一下确认就结束了。直到18家已备案平台签了那份自律公约，我才回头翻自己常用的几个平台，发现该确认的承诺比想象中多。

先确认它有没有资格收

平台在不在已备案名单里，这一步别省。公约把合规备案放在最前面，逻辑很直白：没有备案资质，它能不能合法接收报送都是问题。我现在养成习惯，正式提交前先去官方公布的名单核对一眼，不凭印象，也不凭别人推荐。

我的信息会被怎么用

注册用户管理这块公约提了，但细则还没公开。落在我这边就是几个很具体的问题：实名信息存多久、报告里能不能匿名、平台内部谁看得到原始细节。这些不问清楚，我交出去的东西会流向哪里，其实是模糊的。

披露节奏到底谁说了算

这是我最在意的。公约强调信息发布与披露环节，翻成大白话就是：先报后公开的窗口期可能被更明确地约束。窗口多长、到期后是平台发还是我发、公开稿的措辞要不要经我过一遍、署名用ID还是真名——这些都该在提交前问明白，而不是等公开那天再来扯皮。

还有个容易漏掉的点：厂商不响应怎么办？是直接公布，还是继续压着？我一般会在报告里顺带问一句，看对方怎么答。

我现在的做法

提交前把平台规则页翻一遍，重点看处置和披露条款；把关键问题写进报告或邮件里，留个文字记录；多平台并行时自己也留台账，免得同一条漏洞报了两处，最后哪边都没闭环。

说到底，承诺这事，问在前面叫确认，问在后面就是扯皮。公约的具体细则还没出来，平台之间的差异也依然存在，那就更得自己多问一句。交漏洞是件严肃的事，别让一句“提交成功”把它变成碰运气。