Wie die Plattform jedem der zehn kritischsten Sicherheitsrisiken für Webanwendungen begegnet.
01Kontrollen nach Kategorie
| OWASP-Risiko | Kontrollen bei Mentornity |
|---|---|
| A01 Broken Access Control | Serverseitige Autorisierung auf jeder Route; Prüfung der Programmmitgliedschaft auf Admin-Routen; Sichtbarkeit von Mitgliederantworten pro Feld; Prüfung der Objektzugehörigkeit bei Änderungen. |
| A02 Cryptographic Failures | Nur TLS 1.2/1.3 mit HSTS; verschlüsselte Festplatten, Snapshots und Backups; bcrypt-Passwort-Hashes; HMAC-signierte Links; Secrets in einem verschlüsselten Parameter Store. |
| A03 Injection | Eingabeprüfung in der Datenbank, die Operator-Injection in geschützte Felder abweist; begrenzte, maskierte Suchmuster; HTML wird vor dem Markdown-Rendering maskiert; ein Allowlist-Sanitizer für Rich Text. |
| A04 Insecure Design | Bedrohungsanalyse für Funktionen, die Identität oder personenbezogene Daten betreffen; Rate Limits für Anmeldung und öffentliche Endpunkte; API-Kontingente pro Organisation. |
| A05 Security Misconfiguration | Infrastructure as Code mit Prüfung; Netzwerkregeln mit Default-Deny; gehärteter Zugriff auf Instanz-Metadaten; Sicherheits-Header einschließlich einer nonce-basierten Content Security Policy. |
| A06 Vulnerable and Outdated Components | govulncheck und Paket-Audits; tägliche Sicherheitsupdates des Betriebssystems; unterstützte Laufzeitumgebungen. |
| A07 Identification and Authentication Failures | SAML SSO, Anmeldung mit Google und Microsoft; strenge Passwortrichtlinie; Sperre pro Konto und IP; einheitliche Fehlerantworten; Widerruf von Tokens bei Passwortänderung und „Überall abmelden“. |
| A08 Software and Data Integrity Failures | Deployments nur aus gemergten, geprüften Commits; signierte ausgehende Webhooks; Integrität elektronisch signierter Dokumente über einen QR-Eintrag prüfbar. |
| A09 Security Logging and Monitoring Failures | Zentrale Logs mit 30 Tagen Aufbewahrung; CloudTrail; Alarme und eine externe Dead-Man’s-Switch-Prüfung. |
| A10 Server-Side Request Forgery | Callback-Hosts von Integrationen werden gegen eine Allowlist geprüft; von Nutzern angegebene URLs werden vor der Verwendung auf http(s) geprüft; ausgehende Webhook-Aufrufe verlangen TLS. |
02Kontakt
Fragen zu dieser Richtlinie, Sicherheitsfragebögen und Anfragen zum Auftragsverarbeitungsvertrag: privacy@mentornity.com.