Ultimo aggiornamento: 24 ottobre 2026
Prendiamo sul serio la sicurezza del SOKEN Contract Review (il "Servizio") e della sua infrastruttura. La presente politica descrive come segnalarci vulnerabilità di sicurezza e cosa ci si può aspettare in cambio.
1. Ambito di applicazione
I seguenti sistemi e asset rientrano nell'ambito dei report di sicurezza:
- Il server MCP su
mcp.soken.dev - Le pagine dei Report ospitati su
soken.dev/r/* - Il punto di caricamento su
soken.dev/u/* - Le pagine di verifica e gestione su soken.dev
- I repository sorgente pubblici associati al Servizio
2. Fuori dall'ambito
I seguenti elementi sono fuori dall'ambito e non devono essere segnalati a noi:
- Vulnerabilità in smart contract di terze parti. Il Servizio revisiona il codice di smart contract. Le vulnerabilità trovate nei contratti stessi devono essere segnalate al proprietario o gestore del contratto, non a SOKEN LTD.
- Imprecisioni nei rilevamenti del Report. I Report sono il risultato automatizzato della sessione client IA del Richiedente, non dichiarazioni di SOKEN LTD. Se un Report contiene rilevamenti materialmente inesatti, consultare la nostra Politica di rimozione dei report.
- Servizi e infrastrutture di terze parti non gestiti da SOKEN LTD.
- Attacchi di ingegneria sociale contro il personale di SOKEN LTD.
- Attacchi di negazione del servizio (il test o la dimostrazione di tali attacchi è vietato).
3. Regole di ingaggio
Quando si conduce ricerca sulla sicurezza sui sistemi nell'ambito, è necessario:
- agire in buona fede e nel rispetto della normativa applicabile;
- non accedere, modificare, eliminare o esfiltrare dati appartenenti ad altri utenti del Servizio;
- non degradare la disponibilità o le prestazioni del Servizio per altri utenti;
- interrompere i test e segnalare tempestivamente il problema se si incontrano dati personali o informazioni sensibili appartenenti ad altri;
- non divulgare pubblicamente la vulnerabilità prima che abbiamo avuto una ragionevole opportunità di valutarla e risolverla;
- non utilizzare la vulnerabilità per alcuno scopo diverso dalla sua dimostrazione nel report; e
- segnalarci il problema prima di condividerlo con qualsiasi altra parte.
4. Come segnalare una vulnerabilità
Inviare il report per email a hello@soken.dev.
Il report dovrebbe includere, ove possibile:
- una descrizione chiara della vulnerabilità e del suo potenziale impatto;
- il componente interessato (ad esempio: il server MCP, le pagine ospitate, il punto di caricamento o un repository specifico);
- passaggi dettagliati per riprodurre la vulnerabilità, o una proof of concept;
- gli strumenti, gli script o le configurazioni utilizzati nei test; e
- i dati di contatto dell'utente affinché possiamo fare seguito con domande.
I nostri dati di contatto per i report di sicurezza sono pubblicati anche in forma leggibile da dispositivo automatico su mcp.soken.dev/.well-known/security.txt.
5. I nostri impegni
Quando si segnala una vulnerabilità in conformità alla presente politica, ci impegniamo a:
- accusare ricevuta del report entro 3 giorni lavorativi;
- fornire una valutazione di triage iniziale entro 7 giorni lavorativi;
- tenervi informati dei nostri progressi nella valutazione e risoluzione della vulnerabilità;
- riconoscervi come segnalante (se lo desiderate) quando divulghiamo la correzione, salvo che richiediate l'anonimato; e
- non intraprendere azioni legali contro di voi per ricerche condotte in conformità alla presente politica (vedere sezione 6).
I tempi indicati sopra sono obiettivi, non garanzie. I problemi complessi possono richiedere tempo aggiuntivo. Vi informeremo se avremo bisogno di più tempo e forniremo aggiornamenti man mano che la nostra indagine procede.
6. Safe harbour
Se si fa un buon tentativo in buona fede per scoprire e segnalare una vulnerabilità di sicurezza nei sistemi elencati nella sezione 1, e si rispettano le regole di ingaggio stabilite nella sezione 3, consideriamo la ricerca come:
- autorizzata rispetto a qualsiasi legge anti-hacking applicabile, e non avvieremo né sosterremo azioni legali contro di voi per la vostra ricerca;
- autorizzata rispetto a qualsiasi legge anti-elusione applicabile, e non presenteremo alcuna pretesa contro di voi per elusione di controlli tecnologici; e
- esente dalle restrizioni nei nostri Termini di utilizzo che altrimenti vieterebbero l'attività di test di sicurezza, a condizione che sia condotta esclusivamente ai fini della divulgazione responsabile.
Questo safe harbour non si estende ad azioni che causano danni agli utenti, compromettono la disponibilità del Servizio o comportano l'accesso a dati appartenenti ad altri utenti.
7. Programma di ricompense
SOKEN LTD non gestisce attualmente un programma di ricompense per bug a pagamento. Possiamo scegliere di offrire una ricompensa a nostra discrezione per report particolarmente significativi o ben documentati, ma non ci si dovrebbe aspettare alcuna ricompensa. Se in futuro verrà istituito un programma di ricompense, verrà annunciato su questa pagina.
8. Contatti
Report di sicurezza: hello@soken.dev