TLS überall, verschlüsselte Festplatten, Snapshots und Backups, und Secrets in einem verwalteten Tresor.
01Bei der Übertragung
- Jede Mentornity-Adresse ist nur über HTTPS erreichbar. TLS 1.2 und TLS 1.3 werden akzeptiert, TLS 1.0 und 1.1 abgelehnt.
- HTTP Strict Transport Security wird mit zwei Jahren max-age und includeSubDomains gesendet.
- Zertifikate für mentornity.com und für die eigene White-Label-Domain jedes Kunden werden automatisch ausgestellt und erneuert, und ihr Ablauf wird überwacht.
- Ausgehende Webhook-Aufrufe an Kunden-Endpunkte verlangen TLS 1.2 oder höher.
- Ausgehende E-Mails werden mit SPF und DKIM authentifiziert.
02Bei der Speicherung
- Jede Serverfestplatte, einschließlich der Datenbank-Volumes, ist mit AES-256 und von AWS verwalteten Schlüsseln verschlüsselt.
- Tägliche Volume-Snapshots übernehmen diese Verschlüsselung.
- Hochgeladene Dateien liegen in der verschlüsselten Datenbank; Datenbank-Backups und Anhänge in Amazon S3 sind serverseitig verschlüsselt.
- Passwörter werden mit bcrypt gehasht; Seeds für Einmalpasswörter sind in der Datenbank verschlüsselt.
03Secrets
- Anwendungs-Secrets liegen in einem verschlüsselten, zugriffsgeschützten Secret Store und werden beim Deployment eingespielt; sie stehen nie im Quellcode.
- Die Deployment-Werkzeuge sind so konfiguriert, dass Secret-Werte nie in Server-Logs geschrieben werden, und die CI-Pipeline erzwingt diese Einstellung in jedem Workflow.
- Für jedes Secret gibt es eine dokumentierte Liste aller Systeme, die es halten, sodass es rotiert werden kann, ohne einen Nutzer zu unterbrechen.
04Kontakt
Fragen zu dieser Richtlinie, Sicherheitsfragebögen und Anfragen zum Auftragsverarbeitungsvertrag: privacy@mentornity.com.