Psaní zpráv z penetračních testů, které vývojáři skutečně opraví

Každý nález obsahuje tři věci: co bylo nalezeno, přesný postup reprodukce a jednu konkrétní opravu — ne obecnou větu typu "aplikujte validaci vstupů". Screenshoty a páry požadavek/odpověď jdou do zprávy vždy, když reprodukce vyžaduje víc než jeden krok.

Nálezy se řadí podle skutečného dopadu na byznys, ne jen podle CVSS, protože středně závažný problém na veřejně přístupné přihlašovací stránce klientovi obvykle vadí víc než vysoce závažný problém na interním nástroji, ke kterému nikdo zvenčí nemá přístup.