Головна/SOKEN Contract Review/Відповідальне розкриття

Політика відповідального розкриття

Останнє оновлення: 24 жовтня 2026 р.

Ми серйозно ставимося до безпеки сервісу SOKEN Contract Review ("Сервіс") та його інфраструктури. Ця політика описує, як повідомляти нам про вразливості безпеки та чого ви можете очікувати у відповідь.

1. Сфера застосування

Наступні системи та активи охоплюються звітами про безпеку:

  • MCP-сервер за адресою mcp.soken.dev
  • Розміщені сторінки Звітів за адресою soken.dev/r/*
  • Кінцева точка завантаження за адресою soken.dev/u/*
  • Сторінки верифікації та управління на soken.dev
  • Публічні репозиторії вихідного коду, пов'язані із Сервісом

2. Поза сферою застосування

Наступне перебуває поза сферою застосування і не повинно нам повідомлятися:

  • Вразливості у смарт-контрактах третіх сторін. Сервіс перевіряє код смарт-контрактів. Вразливості, виявлені в самих контрактах, слід повідомляти власнику або оператору контракту, а не SOKEN LTD.
  • Неточності у висновках Звіту. Звіти є автоматизованим результатом сесії ШІ-клієнта Замовника, а не заявами SOKEN LTD. Якщо Звіт містить суттєво неточні висновки, зверніться до нашої Політики видалення звітів.
  • Сторонні сервіси та інфраструктура, що не обслуговуються SOKEN LTD.
  • Атаки соціальної інженерії проти персоналу SOKEN LTD.
  • Атаки типу "відмова в обслуговуванні" (тестування або демонстрація таких атак заборонені).

3. Правила участі

Проводячи дослідження безпеки систем у сфері застосування, ви повинні:

  1. діяти добросовісно та відповідно до чинного законодавства;
  2. не отримувати доступ, не змінювати, не видаляти та не виводити дані, що належать іншим користувачам Сервісу;
  3. не знижувати доступність або продуктивність Сервісу для інших користувачів;
  4. припинити тестування та негайно повідомити про проблему, якщо ви наштовхнетесь на персональні дані або конфіденційну інформацію, що належить іншим особам;
  5. не розкривати вразливість публічно, доки ми не матимемо розумної можливості її оцінити та усунути;
  6. не використовувати вразливість з жодною іншою метою, крім її демонстрації нам у своєму звіті; та
  7. повідомити нам про проблему до її розповсюдження будь-якій іншій стороні.

4. Як повідомити про вразливість

Будь ласка, надішліть свій звіт електронною поштою на адресу hello@soken.dev.

Ваш звіт повинен містити, по можливості:

  • чіткий опис вразливості та її потенційного впливу;
  • уражений компонент (наприклад: MCP-сервер, розміщені сторінки, кінцева точка завантаження або конкретний репозиторій);
  • докладні кроки для відтворення вразливості або підтвердження концепції;
  • будь-які інструменти, скрипти або конфігурації, використані під час тестування; та
  • ваші контактні дані для зворотного зв'язку.

Наші контактні дані для звітів про безпеку також опубліковані у придатному для машинного читання форматі за адресою mcp.soken.dev/.well-known/security.txt.

5. Наші зобов'язання

Коли ви повідомляєте про вразливість відповідно до цієї політики, ми:

  1. підтвердимо отримання вашого звіту протягом 3 робочих днів;
  2. надамо початкову оцінку класифікації протягом 7 робочих днів;
  3. будемо інформувати вас про наш прогрес в оцінці та усуненні вразливості;
  4. зазначимо вас як автора звіту (якщо ви бажаєте) при розкритті виправлення, якщо ви не просите про анонімність; та
  5. не вживатимемо правових заходів проти вас за дослідження, проведені відповідно до цієї політики (див. розділ 6).

Наведені вище строки є цільовими показниками, а не гарантіями. Складні проблеми можуть потребувати додаткового часу. Ми повідомимо вас, якщо нам потрібно більше часу, та надаватимемо оновлення в міру просування нашого розслідування.

6. Безпечна гавань

Якщо ви добросовісно намагаєтеся виявити та повідомити про вразливість безпеки в системах, перелічених у розділі 1, і дотримуєтеся правил участі, викладених у розділі 3, ми вважаємо ваше дослідження таким, що:

  • авторизоване щодо будь-яких застосовних законів проти хакерства, і ми не ініціюємо та не підтримуємо правових дій проти вас за ваше дослідження;
  • авторизоване щодо будь-яких застосовних законів проти обходу захисту, і ми не висуватимемо претензій проти вас за обхід технологічних засобів контролю; та
  • звільнене від обмежень у наших Умовах використання, що в іншому випадку забороняли б діяльність із тестування безпеки, за умови, що воно здійснюється виключно з метою відповідального розкриття.

Ця безпечна гавань не поширюється на дії, що завдають шкоди користувачам, компрометують доступність Сервісу або передбачають доступ до даних, що належать іншим користувачам.

7. Програма винагород

SOKEN LTD наразі не провадить платну програму винагород за виявлення вразливостей. Ми можемо на свій розсуд запропонувати винагороду за особливо значущі або добре задокументовані звіти, але очікувати винагороди не слід. Якщо в майбутньому буде запроваджено програму винагород, про це буде оголошено на цій сторінці.

8. Контакти

Звіти про безпеку: hello@soken.dev

Чат