邮箱
security@solarmanpv.com邮件中至少需要包括以下内容：
- - 您的组织信息和联系方式；
- - 受影响的产品和版本；
- - 漏洞的相关描述；
- - 漏洞的利用方式；
- - 漏洞披露计划；
- - 其他信息（如有）。
注意事项
虽然我们鼓励您调查和研究潜在的安全漏洞，但我们不能容忍任何可能干扰用户合法权益的，或可能违反与计算机滥用、网络安全和隐私保护相关法律法规的活动。因此，您不应进行下列活动：
- - 对数据进行修改或销毁的行为；
- - 导致服务中断或降级的活动，例如拒绝服务攻击；
- - 对个人数据、具有知识产权的数据和财务数据进行披露的活动。
- 在SOLARMAN发布正式的安全公告前，对外披露漏洞的行为。
响应时效
1）常规漏洞（协调披露）
您提交的漏洞，我们将在收到后 48 小时内予以首次响应。经内部确认属于安全漏洞的，原则上在 90 天内完成验证、修复或提供缓解措施并发布安全公告；实际周期可根据漏洞风险等级、复杂度和涉及产品范围调整。Critical/High 漏洞将优先处理，并可视情况先发布临时缓解方案。
2）CRA 强制监管报告（仅适用于在欧盟市场提供、且属于欧盟《网络韧性法案》范围内的产品）
如相关漏洞或事件满足以下情形之一，我们在达到“知悉”标准后，将通过 ENISA 单一报告平台（SRP）向主营业地所在成员国的协调 CSIRT 提交报告，并同时抄送 ENISA；产品在其它成员国提供的，由协调 CSIRT 按需分发：
有可靠证据表明该漏洞已被恶意行为者在真实系统中主动利用；
或发生对产品安全性（机密性、完整性、可用性、真实性）造成实际不利影响的严重安全事件。
时间：
早期预警：知悉后 24 小时内提交，包含产品、版本、初步影响、涉及成员国及已掌握利用信息；
主通知：知悉后 72 小时内提交，补充漏洞/事件性质、严重度初评、受影响范围、已采取或可提供的缓解措施；
最终报告：主动利用漏洞在补丁或缓解措施可用后 14 天内提交；严重安全事件在 72 小时主通知后 1 个月内提交，包含根因、严重度、影响、修复/安全更新细节及后续措施。
上述监管报告不替代我们向受影响用户/客户通报风险与缓解措施的义务，白帽子在授权测试范围内提交 PoC 不视为“主动利用”。