Os canais do projeto apontam para um domínio que não existe #167

phpay.io não existe no DNS — NXDOMAIN na raiz e no subdomínio, sem MX. E é
onde estão todos os canais do projeto:

Numa biblioteca de pagamentos, um canal de segurança que promete e não entrega é
pior que não ter canal — ele desencoraja o relato responsável e manda quem
encontrou a falha para o vazio.

O que entra

Canais nativos do GitHub, que não dependem de domínio:

• segurança: o relato privado de vulnerabilidade do GitHub (já ligado no
  repositório). SECURITY.md, o config.yml e o bug_report.yml passam a
  apontar para o formulário em vez do e-mail morto;
• conduta: mesmo canal privado;
• suporte: Issues, que já existem;
• homepage: o índice de docs/, que é real, em vez do domínio morto. Vale
  para o GitHub e, por tabela, para o Packagist;
• composer.json: ganha homepage e o bloco support, que é o que o
  Packagist renderiza como "Issues", "Source" e "Docs". Hoje os dois estão
  ausentes.

O que NÃO entra, porque precisa de decisão

O licenciamento comercial do LICENSE.md. Ele convida a escrever para tratar
de termos alternativos, e isso precisa de um endereço que alguém leia — não de um
formulário de vulnerabilidade. Fica como está até ter um endereço definido.

Uma ressalva sobre a conduta

O formulário de relato privado do GitHub é rotulado para vulnerabilidade.
Usá-lo para denúncia de assédio funciona tecnicamente — é um canal privado para
os mantenedores —, mas para quem precisa denunciar não é óbvio nem acolhedor, e
quem tem acesso a advisories de segurança passa a ver o relato.

Um e-mail resolveria melhor. Enquanto não houver, o canal privado é melhor que
um endereço que não existe.