Cómo aborda la plataforma cada uno de los diez riesgos de seguridad más críticos de las aplicaciones web.
01Controles por categoría
| Riesgo OWASP | Controles de Mentornity |
|---|---|
| A01 Broken Access Control | Autorización en el servidor en cada ruta; pertenencia al programa comprobada en las rutas de administración; visibilidad por campo de las respuestas de los miembros; comprobación de propiedad de los objetos en las actualizaciones. |
| A02 Cryptographic Failures | Solo TLS 1.2/1.3 con HSTS; discos, instantáneas y copias cifrados; hashes de contraseña bcrypt; enlaces firmados con HMAC; secretos en un almacén de parámetros cifrado. |
| A03 Injection | Validación de entradas en la base de datos que rechaza la inyección de operadores en campos protegidos; patrones de búsqueda acotados y escapados; HTML escapado antes de renderizar Markdown; un saneador con lista de permitidos para el texto enriquecido. |
| A04 Insecure Design | Análisis de amenazas para las funciones que afectan a la identidad o a datos personales; límites de uso en el acceso y en los endpoints públicos; cuotas de API por organización. |
| A05 Security Misconfiguration | Infraestructura como código con control de verificación; reglas de red con denegación por defecto; acceso reforzado a metadatos de instancia; cabeceras de seguridad, incluida una Content Security Policy basada en nonce. |
| A06 Vulnerable and Outdated Components | govulncheck y auditorías de paquetes; actualizaciones de seguridad diarias del sistema; entornos de ejecución con soporte. |
| A07 Identification and Authentication Failures | SSO SAML, acceso con Google y Microsoft; política de contraseñas estricta; bloqueo por cuenta y por IP; respuestas de error uniformes; revocación de tokens al cambiar la contraseña y con «cerrar sesión en todas partes». |
| A08 Software and Data Integrity Failures | Despliegues solo desde commits fusionados y revisados; webhooks salientes firmados; integridad de los documentos con firma electrónica verificable desde un registro QR. |
| A09 Security Logging and Monitoring Failures | Registros centrales con 30 días de retención; CloudTrail; alarmas y una sonda externa tipo dead man’s switch. |
| A10 Server-Side Request Forgery | Hosts de retorno de las integraciones comprobados con una lista de permitidos; URL aportadas por los usuarios validadas como http(s) antes de usarlas; las llamadas webhook salientes exigen TLS. |
02Contacto
Preguntas sobre esta política, cuestionarios de seguridad y solicitudes del Acuerdo de Tratamiento de Datos: privacy@mentornity.com.