content: say how to report HardenedPass security issuesrelease_09112026-1048

The Security reference page gets a "Reporting a vulnerability" section
with the email address, the OpenPGP fingerprint and the WKD lookup;
part 3 of "Your own password store" points to it under "When things go
wrong". Both languages.

Co-Authored-By: Claude Opus 5.5 <noreply@anthropic.com>

4 files changed, 30 insertions, 0 deletions

diff --git a/content/en/articles/your-own-password-store-part-3/index.md b/content/en/articles/your-own-password-store-part-3/index.md
index 62196ab..eca5a5c 100644
--- a/content/en/articles/your-own-password-store-part-3/index.md
+++ b/content/en/articles/your-own-password-store-part-3/index.md
@@ -122,6 +122,8 @@ Copy and paste works, but filling your logins directly is much nicer. Open **Set
 
 **Something else broke.** Have a look at the [troubleshooting page]({{< relref "/hardenedpass/reference/troubleshooting" >}}), and if it's a bug, [let me know](https://github.com/danixland/HardenedPass/issues).
 
+**You found a security problem in the app.** Please don't put it on the issue tracker, where everyone can read it before there's a fix. Email me instead, encrypted to my key if you can: the [security page]({{< relref "/hardenedpass/reference/security#reporting-a-vulnerability" >}}) has the address and the fingerprint.
+
 ## What's next
 
 You now have a password manager which you fully control, that doesn't depend on any company, and that works with any tool that speaks `pass`. If tomorrow I stop working on HardenedPass, your passwords are still right there, and that's the whole reason I like this setup.
diff --git a/content/en/hardenedpass/reference/security/index.md b/content/en/hardenedpass/reference/security/index.md
index 4efbb46..ca1d094 100644
--- a/content/en/hardenedpass/reference/security/index.md
+++ b/content/en/hardenedpass/reference/security/index.md
@@ -66,3 +66,15 @@ Caching is convenient, but while the passphrase is cached, anyone who gets into
 unlocked app can open every entry. It is experimental. If you use it, turn on
 **Automatically clear passphrase cache** as well.
 
+## Reporting a vulnerability
+
+If you find a security problem in the app, do not open a public issue. Email
+<danix@danix.xyz>, encrypted to the maintainer's OpenPGP key if you can:
+
+```
+110E 1B11 1BA2 C3C7 CCD1  27B8 F96B 36CA CC44 17AE
+```
+
+`gpg --locate-keys danix@danix.xyz` fetches it. Check that the fingerprint matches. The
+details are in the repository's
+[SECURITY.md](https://github.com/danixland/HardenedPass/blob/master/SECURITY.md).
diff --git a/content/it/articles/your-own-password-store-part-3/index.md b/content/it/articles/your-own-password-store-part-3/index.md
index b476829..efca2a4 100644
--- a/content/it/articles/your-own-password-store-part-3/index.md
+++ b/content/it/articles/your-own-password-store-part-3/index.md
@@ -122,6 +122,8 @@ Copia e incolla funziona, ma compilare direttamente i login è molto più comodo
 
 **Si è rotto qualcos'altro.** Dai un'occhiata alla [pagina di risoluzione dei problemi]({{< relref "/hardenedpass/reference/troubleshooting" >}}), e se è un bug [fammelo sapere](https://github.com/danixland/HardenedPass/issues).
 
+**Hai trovato un problema di sicurezza nell'app.** Per favore non scriverlo nel tracker, dove chiunque può leggerlo prima che ci sia una correzione. Scrivimi una mail, cifrata per la mia chiave se puoi: la [pagina sulla sicurezza]({{< relref "/hardenedpass/reference/security#segnalare-un-problema-di-sicurezza" >}}) ha l'indirizzo e il fingerprint.
+
 ## E adesso?
 
 Ora hai un gestore di password che controlli del tutto, che non dipende da nessuna azienda e che funziona con qualsiasi strumento parli `pass`. Se domani smetto di lavorare su HardenedPass, le tue password sono ancora lì, ed è proprio il motivo per cui mi piace questo sistema.
diff --git a/content/it/hardenedpass/reference/security/index.md b/content/it/hardenedpass/reference/security/index.md
index a19327f..7263e60 100644
--- a/content/it/hardenedpass/reference/security/index.md
+++ b/content/it/hardenedpass/reference/security/index.md
@@ -66,3 +66,17 @@ telefono, nemmeno dall'app che le usa.
 È comodo, ma finché la passphrase è memorizzata chiunque entri nell'app sbloccata può aprire
 ogni voce. La funzione è sperimentale. Se la usi, attiva anche **Cancella automaticamente le
 frasi segrete memorizzate**.
+
+## Segnalare un problema di sicurezza
+
+Se trovi un problema di sicurezza nell'app, non aprire una issue pubblica. Scrivi a
+<danix@danix.xyz>, cifrando per la chiave OpenPGP del maintainer se puoi:
+
+```
+110E 1B11 1BA2 C3C7 CCD1  27B8 F96B 36CA CC44 17AE
+```
+
+`gpg --locate-keys danix@danix.xyz` la scarica. Controlla che il fingerprint corrisponda. I
+dettagli sono nel
+[SECURITY.md](https://github.com/danixland/HardenedPass/blob/master/SECURITY.md) del
+repository.