Dernière mise à jour : 24 octobre 2026
Nous prenons au sérieux la sécurité du SOKEN Contract Review (le « Service ») et de son infrastructure. La présente politique décrit comment nous signaler des vulnérabilités de sécurité et ce que vous pouvez attendre en retour.
1. Champ d'application
Les systèmes et ressources suivants sont dans le champ d'application des rapports de sécurité :
- Le serveur MCP à
mcp.soken.dev - Les pages de Rapports hébergés à
soken.dev/r/* - Le point de téléversement à
soken.dev/u/* - Les pages de vérification et de gestion sur soken.dev
- Les dépôts sources publics associés au Service
2. Hors champ d'application
Les éléments suivants sont hors champ d'application et ne doivent pas nous être signalés :
- Vulnérabilités dans les contrats intelligents de tiers. Le Service examine le code de contrats intelligents. Les vulnérabilités trouvées dans les contrats eux-mêmes doivent être signalées au propriétaire ou à l'opérateur du contrat, et non à SOKEN LTD.
- Inexactitudes dans les constats du Rapport. Les Rapports sont le résultat automatisé de la session client IA propre au Demandeur, et non des déclarations de SOKEN LTD. Si un Rapport contient des constats matériellement inexacts, consultez notre Politique de suppression des rapports.
- Services et infrastructure de tiers non opérés par SOKEN LTD.
- Attaques d'ingénierie sociale contre le personnel de SOKEN LTD.
- Attaques par déni de service (les tests ou démonstrations de telles attaques sont interdits).
3. Règles d'engagement
Lors de la conduite de recherches en sécurité sur des systèmes dans le champ d'application, vous devez :
- agir de bonne foi et dans le respect de la législation applicable ;
- ne pas accéder, modifier, supprimer ou exfiltrer des données appartenant à d'autres utilisateurs du Service ;
- ne pas dégrader la disponibilité ou les performances du Service pour d'autres utilisateurs ;
- cesser les tests et signaler le problème rapidement si vous rencontrez des données personnelles ou des informations sensibles appartenant à des tiers ;
- ne pas divulguer publiquement la vulnérabilité avant que nous ayons eu une opportunité raisonnable de l'évaluer et d'y remédier ;
- ne pas utiliser la vulnérabilité à d'autres fins que sa démonstration dans votre rapport ; et
- nous signaler le problème avant de le partager avec toute autre partie.
4. Comment signaler une vulnérabilité
Veuillez envoyer votre rapport par courriel à hello@soken.dev.
Votre rapport doit inclure, dans la mesure du possible :
- une description claire de la vulnérabilité et de son impact potentiel ;
- le composant affecté (par exemple : le serveur MCP, les pages hébergées, le point de téléversement ou un dépôt spécifique) ;
- les étapes détaillées pour reproduire la vulnérabilité, ou une preuve de concept ;
- les outils, scripts ou configurations utilisés lors de vos tests ; et
- vos coordonnées pour que nous puissions effectuer un suivi avec des questions.
Nos coordonnées pour les rapports de sécurité sont également publiées sous forme lisible par machine à l'adresse mcp.soken.dev/.well-known/security.txt.
5. Nos engagements
Lorsque vous signalez une vulnérabilité conformément à la présente politique, nous nous engageons à :
- accuser réception de votre rapport dans un délai de 3 jours ouvrables ;
- fournir une évaluation de triage initiale dans un délai de 7 jours ouvrables ;
- vous tenir informé de nos progrès dans l'évaluation et la résolution de la vulnérabilité ;
- vous créditer comme rapporteur (si vous le souhaitez) lorsque nous divulguons le correctif, sauf si vous demandez l'anonymat ; et
- ne pas engager de poursuites judiciaires contre vous pour des recherches conduites conformément à la présente politique (voir article 6).
Les délais ci-dessus sont des objectifs, non des garanties. Les problèmes complexes peuvent nécessiter du temps supplémentaire. Nous vous informerons si nous avons besoin de plus de temps et vous fournirons des mises à jour au fur et à mesure de l'avancement de notre enquête.
6. Port sûr
Si vous faites un effort de bonne foi pour découvrir et signaler une vulnérabilité de sécurité dans les systèmes listés à l'article 1, et que vous respectez les règles d'engagement énoncées à l'article 3, nous considérons que votre recherche est :
- autorisée au regard de toute loi anti-piratage applicable, et nous n'initierons ni ne soutiendrons d'action en justice contre vous pour votre recherche ;
- autorisée au regard de toute loi anti-contournement applicable, et nous n'engagerons aucune action contre vous pour contournement de contrôles technologiques ; et
- exemptée des restrictions de nos Conditions d'utilisation qui interdiraient autrement l'activité de test de sécurité, à condition qu'elle soit conduite uniquement à des fins de divulgation responsable.
Ce port sûr ne s'étend pas aux actions qui causent un préjudice aux utilisateurs, compromettent la disponibilité du Service, ou impliquent l'accès à des données appartenant à d'autres utilisateurs.
7. Programme de récompenses
SOKEN LTD n'opère pas actuellement de programme de récompenses pour les bogues. Nous pouvons choisir, à notre discrétion, d'offrir une récompense pour des rapports particulièrement significatifs ou bien documentés, mais aucune récompense ne doit être attendue. Si un programme de récompenses est mis en place à l'avenir, il sera annoncé sur cette page.
8. Contact
Rapports de sécurité : hello@soken.dev