TLS en todas partes, discos, instantáneas y copias cifrados, y secretos guardados en una bóveda gestionada.
01En tránsito
- Todas las direcciones de Mentornity son solo HTTPS. Se aceptan TLS 1.2 y TLS 1.3; TLS 1.0 y 1.1 se rechazan.
- HTTP Strict Transport Security se envía con un max-age de dos años e includeSubDomains.
- Los certificados se emiten y renuevan automáticamente para mentornity.com y para el dominio de marca blanca de cada cliente, y se vigila su caducidad.
- Las llamadas webhook salientes a los endpoints de los clientes exigen TLS 1.2 o superior.
- El correo saliente se autentica con SPF y DKIM.
02En reposo
- Cada disco de servidor, incluidos los volúmenes de la base de datos, se cifra con AES-256 y claves gestionadas por AWS.
- Las instantáneas diarias de los volúmenes heredan ese cifrado.
- Los archivos subidos se guardan en la base de datos cifrada; las copias de la base de datos y los adjuntos guardados en Amazon S3 se cifran en el servidor.
- Las contraseñas se procesan con bcrypt; las semillas de contraseñas de un solo uso se cifran en la base de datos.
03Secretos
- Los secretos de la aplicación se guardan en un almacén de secretos cifrado y con acceso controlado, y se inyectan al desplegar; nunca se guardan en el código fuente.
- Las herramientas de despliegue están configuradas para no escribir nunca valores secretos en los registros del servidor, y la cadena de CI impone ese ajuste en cada flujo.
- Cada secreto tiene una lista documentada de todos los sistemas que lo guardan, para poder rotarlo sin romper a ningún consumidor.
04Contacto
Preguntas sobre esta política, cuestionarios de seguridad y solicitudes del Acuerdo de Tratamiento de Datos: privacy@mentornity.com.