Inicio/SOKEN Contract Review/Divulgacion responsable

Política de divulgación responsable

Última actualización: 24 de octubre de 2026

Nos tomamos en serio la seguridad del SOKEN Contract Review (el "Servicio") y de su infraestructura. Esta política describe cómo notificarnos vulnerabilidades de seguridad y qué puede esperar a cambio.

1. Ámbito de aplicación

Los siguientes sistemas y activos están incluidos en el ámbito de los informes de seguridad:

  • El servidor MCP en mcp.soken.dev
  • Las páginas de Informes alojados en soken.dev/r/*
  • El punto de carga en soken.dev/u/*
  • Las páginas de verificación y gestión de soken.dev
  • Los repositorios de código fuente públicos asociados al Servicio

2. Fuera del ámbito

Lo siguiente queda fuera del ámbito y no debe notificársenos:

  • Vulnerabilidades en contratos inteligentes de terceros. El Servicio revisa código de contratos inteligentes. Las vulnerabilidades encontradas en los propios contratos deben notificarse al propietario u operador del contrato, no a SOKEN LTD.
  • Inexactitudes en los hallazgos del Informe. Los Informes son el resultado automatizado de la sesión de cliente de IA del propio Solicitante, no declaraciones de SOKEN LTD. Si un Informe contiene hallazgos materialmente inexactos, consulte nuestra Política de eliminación de informes.
  • Servicios e infraestructura de terceros no operados por SOKEN LTD.
  • Ataques de ingeniería social contra el personal de SOKEN LTD.
  • Ataques de denegación de servicio (está prohibido probar o demostrar dichos ataques).

3. Normas de actuación

Al realizar investigaciones de seguridad en sistemas dentro del ámbito, debe:

  1. actuar de buena fe y de conformidad con la legislación aplicable;
  2. no acceder, modificar, eliminar ni exfiltrar datos pertenecientes a otros usuarios del Servicio;
  3. no degradar la disponibilidad ni el rendimiento del Servicio para otros usuarios;
  4. detener las pruebas e informar del problema de inmediato si encuentra datos personales o información confidencial perteneciente a terceros;
  5. no divulgar públicamente la vulnerabilidad antes de que hayamos tenido una oportunidad razonable de evaluarla y remediarla;
  6. no utilizar la vulnerabilidad para ningún fin que no sea demostrarla en su informe; y
  7. notificarnos el problema antes de compartirlo con cualquier otra parte.

4. Cómo notificar una vulnerabilidad

Envíe su informe por correo electrónico a hello@soken.dev.

Su informe debe incluir, en la medida de lo posible:

  • una descripción clara de la vulnerabilidad y su impacto potencial;
  • el componente afectado (por ejemplo: el servidor MCP, páginas alojadas, punto de carga o un repositorio específico);
  • pasos detallados para reproducir la vulnerabilidad, o una prueba de concepto;
  • las herramientas, scripts o configuraciones utilizadas en sus pruebas; y
  • sus datos de contacto para que podamos realizar un seguimiento con preguntas.

Nuestros datos de contacto para informes de seguridad también se publican en forma legible por máquina en mcp.soken.dev/.well-known/security.txt.

5. Nuestros compromisos

Cuando notifique una vulnerabilidad de conformidad con esta política, nos comprometemos a:

  1. acusar recibo de su informe en un plazo de 3 días hábiles;
  2. proporcionar una evaluación de clasificación inicial en un plazo de 7 días hábiles;
  3. mantenerle informado de nuestros progresos en la evaluación y remediación de la vulnerabilidad;
  4. reconocerle como informante (si así lo desea) cuando divulguemos la corrección, salvo que solicite anonimato; y
  5. no emprender acciones legales contra usted por investigaciones realizadas de conformidad con esta política (véase el apartado 6).

Los plazos anteriores son objetivos, no garantías. Los problemas complejos pueden requerir tiempo adicional. Le informaremos si necesitamos más tiempo y le proporcionaremos actualizaciones a medida que progrese nuestra investigación.

6. Puerto seguro

Si realiza un esfuerzo de buena fe para descubrir y notificar una vulnerabilidad de seguridad en los sistemas enumerados en el apartado 1, y cumple las normas de actuación establecidas en el apartado 3, consideramos que su investigación es:

  • autorizada con respecto a cualquier legislación antihacking aplicable, y no iniciaremos ni apoyaremos acciones legales contra usted por su investigación;
  • autorizada con respecto a cualquier legislación anticircunvención aplicable, y no presentaremos ninguna reclamación contra usted por elusión de controles tecnológicos; y
  • exenta de las restricciones de nuestras Condiciones de uso que de otro modo prohibirían la actividad de pruebas de seguridad, siempre que se realice exclusivamente con el fin de la divulgación responsable.

Este puerto seguro no se extiende a las acciones que causen daño a los usuarios, comprometan la disponibilidad del Servicio o impliquen el acceso a datos pertenecientes a otros usuarios.

7. Programa de recompensas

SOKEN LTD no opera actualmente un programa de recompensas por errores remunerado. Podemos optar a nuestra discreción por ofrecer una recompensa por informes especialmente significativos o bien documentados, pero no se debe esperar ninguna recompensa. Si en el futuro se establece un programa de recompensas, se anunciará en esta página.

8. Contacto

Informes de seguridad: hello@soken.dev

Chat