מדיניות גילוי אחראי

עודכן לאחרונה: 24 באוקטובר 2026

אנו לוקחים ברצינות את אבטחת שירות SOKEN Contract Review ("השירות") ותשתיתו. מדיניות זו מתארת כיצד לדווח על פרצות אבטחה ומה אתה יכול לצפות בתמורה.

1. תחום

המערכות והנכסים הבאים נמצאים בתחום לדוחות אבטחה:

• שרת MCP בכתובת mcp.soken.dev
• דפי הדוח המתארחים בכתובת soken.dev/r/*
• נקודת קצה ההעלאה בכתובת soken.dev/u/*
• דפי האימות וניהול ב-soken.dev
• מאגרי המקור הציבוריים המשויכים לשירות

2. מחוץ לתחום

הדברים הבאים מחוץ לתחום ואין לדווח עליהם אלינו:

• פרצות בחוזים חכמים של צד שלישי. השירות סוקר קוד של חוזים חכמים. פרצות שנמצאות בחוזים עצמם צריכות להיות מדווחות לבעל החוזה או למפעיל, לא ל-SOKEN LTD.
• אי-דיוקים בממצאי הדוח. דוחות הם הפלט האוטומטי של סשן לקוח ה-AI של המבקש, לא הצהרות של SOKEN LTD. אם דוח מכיל ממצאים שגויים מהותית, ראה את מדיניות הסרת דוחות שלנו.
• שירותים ותשתיות של צד שלישי שאינן מופעלות על ידי SOKEN LTD.
• התקפות הנדסה חברתית נגד כוח האדם של SOKEN LTD.
• התקפות מניעת שירות (בדיקה או הדגמה של התקפות כאלה אסורה).

3. כללי מעורבות

בעת ביצוע מחקר אבטחה על מערכות בתחום, עליך:

1. לפעול בתום לב ובהתאם לחוק החל;
2. שלא לגשת, לשנות, למחוק, או לחלץ נתונים השייכים למשתמשים אחרים של השירות;
3. שלא לפגוע בזמינות או בביצועי השירות עבור משתמשים אחרים;
4. להפסיק בדיקות ולדווח על הבעיה מיידית אם נתקלת בנתונים אישיים או מידע רגיש השייכים לאחרים;
5. שלא לחשוף את הפרצה בפומבי לפני שניתנה לנו הזדמנות סבירה להעריך ולטפל בה;
6. שלא להשתמש בפרצה לכל מטרה אחרת מלבד הדגמתה לנו בדוח שלך; ו
7. לדווח על הבעיה אלינו לפני שיתופה עם כל גורם אחר.

4. כיצד לדווח על פרצה

אנא שלח את הדוח שלך בדוא"ל לhello@soken.dev.

הדוח שלך צריך לכלול, ככל האפשר:

• תיאור ברור של הפרצה והשפעתה הפוטנציאלית;
• הרכיב המושפע (לדוגמה: שרת MCP, דפים מתארחים, נקודת קצה העלאה, או מאגר ספציפי);
• שלבים מפורטים לשחזור הפרצה, או הוכחת ייתכנות;
• כלים, סקריפטים, או תצורות בהם השתמשת בבדיקה; ו
• פרטי ההתקשרות שלך כדי שנוכל לפנות אליך עם שאלות.

פרטי הקשר שלנו לדוחות אבטחה מפורסמים גם בצורה קריאה-על-ידי-מכונה בכתובת mcp.soken.dev/.well-known/security.txt.

5. התחייבויותינו

כאשר אתה מדווח על פרצה בהתאם למדיניות זו, אנו:

1. נאשר קבלת הדוח שלך תוך 3 ימי עסקים;
2. נספק הערכת מיון ראשונית תוך 7 ימי עסקים;
3. נשמור אותך מעודכן לגבי ההתקדמות שלנו בהערכת הפרצה וטיפול בה;
4. נחסה לך קרדיט כמדווח (אם תרצה) כאשר נגלה את התיקון, אלא אם תבקש אנונימיות; ו
5. לא ננקוט פעולה משפטית נגדך בגין מחקר שנערך בהתאם למדיניות זו (ראה סעיף 6).

לוחות הזמנים לעיל הם יעדים, לא ערובות. בעיות מורכבות עשויות לדרוש זמן נוסף. נודיע לך אם נזדקק ליותר זמן ונספק עדכונים כשחקירתנו מתקדמת.

6. נמל בטוח

אם אתה עושה מאמץ בתום לב לגלות ולדווח על פרצת אבטחה במערכות המפורטות בסעיף 1, ואתה עומד בכללי המעורבות המפורטים בסעיף 3, אנו רואים את המחקר שלך כ:

• מורשה ביחס לחוקים החלים לנגד פריצה, ולא ניזום או נתמוך בפעולה משפטית נגדך בגין המחקר שלך;
• מורשה ביחס לחוקים החלים לנגד עקיפה, ולא נגיש תביעה נגדך בגין עקיפת בקרות טכנולוגיות; ו
• פטור מהגבלות בתנאי השימוש שלנו שהיו אחרת אוסרות על פעילות בדיקת האבטחה, בתנאי שנערכת אך ורק למטרת גילוי אחראי.

נמל בטוח זה אינו משתרע על פעולות הגורמות נזק למשתמשים, פוגעות בזמינות השירות, או כוללות גישה לנתונים השייכים למשתמשים אחרים.

7. תוכנית פרסים

SOKEN LTD אינה מפעילה כרגע תוכנית פרסי באגים בתשלום. אנו עשויים לבחור להציע פרס לפי שיקול דעתנו עבור דוחות משמעותיים במיוחד או מתועדים היטב, אך לא צריך לצפות לשום פרס. אם תוכנית פרסים תוקם בעתיד, היא תוכרז בדף זה.

8. יצירת קשר

דוחות אבטחה: hello@soken.dev