นโยบายการเปิดเผยอย่างมีความรับผิดชอบ

อัปเดตล่าสุด: 24 ตุลาคม 2026

เราให้ความสำคัญกับความปลอดภัยของบริการ SOKEN Contract Review ("บริการ") และโครงสร้างพื้นฐาน นโยบายนี้อธิบายวิธีการรายงานช่องโหว่ด้านความปลอดภัยต่อเราและสิ่งที่ท่านสามารถคาดหวังเป็นการตอบสนอง

1. ขอบเขต

ระบบและทรัพย์สินต่อไปนี้อยู่ในขอบเขตสำหรับรายงานความปลอดภัย:

• เซิร์ฟเวอร์ MCP ที่ mcp.soken.dev
• หน้ารายงานที่โฮสต์ที่ soken.dev/r/*
• จุดปลายทางการอัปโหลดที่ soken.dev/u/*
• หน้าการยืนยันและการจัดการบน soken.dev
• ที่เก็บโค้ดสาธารณะที่เกี่ยวข้องกับบริการ

2. นอกขอบเขต

สิ่งต่อไปนี้อยู่นอกขอบเขตและไม่ควรรายงานต่อเรา:

• ช่องโหว่ในสัญญาอัจฉริยะของบุคคลที่สาม. บริการตรวจสอบโค้ดสัญญาอัจฉริยะ ช่องโหว่ที่พบในตัวสัญญาเองควรรายงานต่อเจ้าของหรือผู้ดำเนินงานสัญญา ไม่ใช่ต่อ SOKEN LTD
• ความไม่ถูกต้องในข้อค้นพบของรายงาน. รายงานคือผลลัพธ์อัตโนมัติของเซสชัน AI ไคลเอนต์ของผู้ขอเอง ไม่ใช่คำแถลงของ SOKEN LTD หากรายงานมีข้อค้นพบที่ไม่ถูกต้องอย่างมีสาระสำคัญ ให้ดูนโยบายการลบรายงานของเรา
• บริการและโครงสร้างพื้นฐานของบุคคลที่สามที่ไม่ได้ดำเนินการโดย SOKEN LTD
• การโจมตีทางวิศวกรรมสังคมต่อบุคลากรของ SOKEN LTD
• การโจมตีแบบปฏิเสธการให้บริการ (การทดสอบหรือแสดงการโจมตีดังกล่าวเป็นสิ่งต้องห้าม)

3. กฎการมีส่วนร่วม

เมื่อทำการวิจัยด้านความปลอดภัยบนระบบที่อยู่ในขอบเขต ท่านต้อง:

1. ดำเนินการโดยสุจริตใจและเป็นไปตามกฎหมายที่บังคับใช้;
2. ไม่เข้าถึง แก้ไข ลบ หรือนำข้อมูลที่เป็นของผู้ใช้บริการรายอื่นออกไป;
3. ไม่ทำให้ความพร้อมใช้งานหรือประสิทธิภาพของบริการสำหรับผู้ใช้รายอื่นลดลง;
4. หยุดทดสอบและรายงานปัญหาทันทีหากพบข้อมูลส่วนบุคคลหรือข้อมูลที่ละเอียดอ่อนของผู้อื่น;
5. ไม่เปิดเผยช่องโหว่ต่อสาธารณะก่อนที่เราจะมีโอกาสที่สมเหตุสมผลในการประเมินและแก้ไข;
6. ไม่ใช้ช่องโหว่เพื่อวัตถุประสงค์อื่นนอกจากการแสดงให้เราเห็นในรายงานของท่าน; และ
7. รายงานปัญหาต่อเราก่อนที่จะแบ่งปันกับฝ่ายอื่นใด

4. วิธีการรายงานช่องโหว่

กรุณาส่งรายงานของท่านทางอีเมลไปที่ hello@soken.dev

รายงานของท่านควรรวมถึงสิ่งต่อไปนี้หากเป็นไปได้:

• คำอธิบายที่ชัดเจนเกี่ยวกับช่องโหว่และผลกระทบที่อาจเกิดขึ้น;
• องค์ประกอบที่ได้รับผลกระทบ (เช่น: เซิร์ฟเวอร์ MCP หน้าโฮสต์ จุดปลายทางการอัปโหลด หรือที่เก็บโค้ดที่เฉพาะเจาะจง);
• ขั้นตอนโดยละเอียดในการทำซ้ำช่องโหว่ หรือหลักฐานแนวคิด;
• เครื่องมือ สคริปต์ หรือการกำหนดค่าที่ใช้ในการทดสอบ; และ
• ข้อมูลติดต่อของท่านเพื่อให้เราสามารถติดตามด้วยคำถามได้

ข้อมูลติดต่อของเราสำหรับรายงานความปลอดภัยยังได้รับการเผยแพร่ในรูปแบบที่เครื่องอ่านได้ที่ mcp.soken.dev/.well-known/security.txt

5. ข้อผูกพันของเรา

เมื่อท่านรายงานช่องโหว่ตามนโยบายนี้ เราจะ:

1. แจ้งยืนยันการรับรายงานของท่านภายใน 3 วันทำการ;
2. ให้การประเมินการจัดประเภทเบื้องต้นภายใน 7 วันทำการ;
3. แจ้งให้ท่านทราบถึงความคืบหน้าในการประเมินและแก้ไขช่องโหว่;
4. ให้เครดิตแก่ท่านในฐานะผู้รายงาน (หากท่านต้องการ) เมื่อเราเปิดเผยการแก้ไข เว้นแต่ท่านจะขอให้ไม่เปิดเผยตัวตน; และ
5. ไม่ดำเนินคดีทางกฎหมายกับท่านสำหรับการวิจัยที่ดำเนินการตามนโยบายนี้ (ดูหมวด 6)

ระยะเวลาข้างต้นเป็นเป้าหมาย ไม่ใช่การรับประกัน ปัญหาที่ซับซ้อนอาจต้องใช้เวลาเพิ่มเติม เราจะแจ้งให้ท่านทราบหากเราต้องการเวลาเพิ่มเติมและให้ข้อมูลอัปเดตเมื่อการสอบสวนดำเนินไป

6. เขตปลอดภัย

หากท่านพยายามค้นหาและรายงานช่องโหว่ด้านความปลอดภัยในระบบที่ระบุในหมวด 1 โดยสุจริตใจ และท่านปฏิบัติตามกฎการมีส่วนร่วมที่กำหนดไว้ในหมวด 3 เราถือว่าการวิจัยของท่านเป็น:

• ได้รับอนุญาตในส่วนที่เกี่ยวกับกฎหมายต่อต้านการแฮ็กที่บังคับใช้ และเราจะไม่เริ่มหรือสนับสนุนการดำเนินคดีทางกฎหมายกับท่านสำหรับการวิจัยของท่าน;
• ได้รับอนุญาตในส่วนที่เกี่ยวกับกฎหมายต่อต้านการหลีกเลี่ยงที่บังคับใช้ และเราจะไม่ฟ้องร้องท่านสำหรับการหลีกเลี่ยงการควบคุมทางเทคโนโลยี; และ
• ได้รับการยกเว้นจากข้อจำกัดในข้อกำหนดการใช้งานของเราที่อาจห้ามกิจกรรมการทดสอบความปลอดภัย โดยมีเงื่อนไขว่าดำเนินการเพื่อวัตถุประสงค์ของการเปิดเผยอย่างมีความรับผิดชอบเท่านั้น

เขตปลอดภัยนี้ไม่ขยายไปถึงการกระทำที่ก่อให้เกิดความเสียหายต่อผู้ใช้ ทำให้ความพร้อมใช้งานของบริการลดลง หรือเกี่ยวข้องกับการเข้าถึงข้อมูลที่เป็นของผู้ใช้รายอื่น

7. โปรแกรมรางวัล

ขณะนี้ SOKEN LTD ยังไม่ดำเนินโปรแกรมรางวัลบั๊กแบบมีค่าตอบแทน เราอาจเลือกเสนอรางวัลตามดุลยพินิจของเราสำหรับรายงานที่สำคัญหรือมีเอกสารประกอบที่ดีเป็นพิเศษ แต่ไม่ควรคาดหวังรางวัล หากมีการจัดตั้งโปรแกรมรางวัลในอนาคต จะมีการประกาศในหน้านี้

8. ติดต่อ

รายงานความปลอดภัย: hello@soken.dev