最終更新：2026年10月24日
当社はSOKEN Contract Reviewサービス（「サービス」）およびそのインフラのセキュリティを重視しています。本ポリシーは、セキュリティ脆弱性を当社に報告する方法と、その見返りとして期待できる対応を説明します。
1. 対象範囲
以下のシステムおよびアセットがセキュリティレポートの対象範囲です：
mcp.soken.devのMCPサーバーsoken.dev/r/*のホストされたレポートページsoken.dev/u/*のアップロードエンドポイント- soken.devの確認および管理ページ
- 本サービスに関連する公開ソースリポジトリ
2. 対象外
以下は対象外であり、当社に報告すべきではありません：
- 第三者スマートコントラクトの脆弱性。本サービスはスマートコントラクトコードをレビューします。コントラクト自体に見つかった脆弱性は、SOKEN LTDではなくコントラクトの所有者または運営者に報告してください。
- レポートファインディングの不正確さ。レポートはSOKEN LTDの声明ではなく、依頼者自身のAIクライアントセッションの自動出力です。レポートに重大に不正確なファインディングが含まれている場合は、当社のレポート削除ポリシーをご参照ください。
- SOKEN LTDが運営していない第三者サービスおよびインフラ。
- SOKEN LTD担当者に対するソーシャルエンジニアリング攻撃。
- サービス拒否攻撃（このような攻撃のテストまたは実証は禁止されています）。
3. エンゲージメントルール
対象範囲内のシステムでセキュリティリサーチを行う際は、以下を遵守してください：
- 誠実に、かつ適用法を遵守して行動すること；
- 本サービスの他のユーザーに属するデータにアクセス、変更、削除または流出させないこと；
- 他のユーザーに対して本サービスの可用性またはパフォーマンスを低下させないこと；
- 他者に属する個人データまたは機密情報に遭遇した場合は、直ちにテストを停止し問題を報告すること；
- 当社が脆弱性を評価し対処するための合理的な機会を得る前に、脆弱性を公開しないこと；
- 当社へのレポートにおいて実証する以外の目的で脆弱性を使用しないこと；および
- 他の当事者と共有する前に当社に問題を報告すること。
4. 脆弱性の報告方法
hello@soken.dev宛てにメールでレポートを送付してください。
レポートには、可能な限り以下を含めてください：
- 脆弱性とその潜在的な影響についての明確な説明；
- 影響を受けるコンポーネント（例：MCPサーバー、ホストされたページ、アップロードエンドポイント、または特定のリポジトリ）；
- 脆弱性を再現するための詳細な手順、または概念実証；
- テストで使用したツール、スクリプトまたは設定；および
- 追加質問のための当社との連絡に使用できる連絡先情報。
セキュリティレポートの連絡先は、機械可読形式でmcp.soken.dev/.well-known/security.txtにも公開されています。
5. 当社のコミットメント
本ポリシーに従って脆弱性を報告いただいた場合、当社は以下を行います：
- 3営業日以内にレポートの受領を確認する；
- 7営業日以内に初期トリアージ評価を提供する；
- 脆弱性の評価と対応の進捗状況をお知らせする；
- 修正を開示する際に（ご希望の場合）報告者としてお名前を記載する（匿名を希望する場合を除く）；および
- 本ポリシーに準拠して行われたリサーチについて法的措置を講じない（第6条参照）。
上記の期間は目標であり、保証ではありません。複雑な問題は追加時間が必要な場合があります。追加の時間が必要な場合はお知らせし、調査の進捗に応じて更新情報を提供します。
6. セーフハーバー
第1条に記載されたシステムのセキュリティ脆弱性を誠実に発見および報告しようとし、第3条に定めるエンゲージメントルールを遵守している場合、当社はお客様のリサーチを以下のとおりとみなします：
- 適用される不正アクセス禁止法に関して許可されており、当社はお客様のリサーチに対して法的措置を開始または支援しない；
- 適用される技術的保護手段回避禁止法に関して許可されており、当社は技術的管理の回避についてお客様に対する申立てを行わない；および
- 本ポリシーへの準拠のみを目的として行われる場合に限り、本来であればセキュリティテスト活動を禁止するであろう当社の利用規約の制限から免除される。
このセーフハーバーは、ユーザーに損害を与える行為、本サービスの可用性を侵害する行為、または他のユーザーに属するデータへのアクセスを含む行為には適用されません。
7. バウンティプログラム
SOKEN LTDは現在、有償のバグバウンティプログラムを運営していません。特に重要または充実したドキュメントを伴うレポートに対しては当社の裁量で報酬を提供する場合がありますが、報酬を期待すべきではありません。将来バウンティプログラムが設立された場合は、本ページで発表します。
8. お問い合わせ
セキュリティレポート：hello@soken.dev