TLS partout, disques, instantanés et sauvegardes chiffrés, et secrets conservés dans un coffre géré.
01En transit
- Chaque adresse Mentornity est uniquement en HTTPS. TLS 1.2 et TLS 1.3 sont acceptés ; TLS 1.0 et 1.1 sont refusés.
- HTTP Strict Transport Security est envoyé avec un max-age de deux ans et includeSubDomains.
- Les certificats sont émis et renouvelés automatiquement pour mentornity.com et pour le domaine en marque blanche de chaque client, et leur expiration est surveillée.
- Les appels webhook sortants vers les points de terminaison des clients exigent TLS 1.2 ou plus.
- Les e-mails sortants sont authentifiés avec SPF et DKIM.
02Au repos
- Chaque disque de serveur, y compris les volumes de la base de données, est chiffré en AES-256 avec des clés gérées par AWS.
- Les instantanés quotidiens des volumes héritent de ce chiffrement.
- Les fichiers téléversés sont stockés dans la base de données chiffrée ; les sauvegardes de la base et les pièces jointes conservées dans Amazon S3 sont chiffrées côté serveur.
- Les mots de passe sont hachés avec bcrypt ; les graines de mots de passe à usage unique sont chiffrées dans la base de données.
03Secrets
- Les secrets applicatifs sont conservés dans un magasin de secrets chiffré à accès contrôlé et injectés au moment du déploiement ; ils ne sont jamais stockés dans le code source.
- Les outils de déploiement sont configurés pour ne jamais écrire de valeurs secrètes dans les journaux des serveurs, et la chaîne CI impose ce réglage dans chaque workflow.
- Chaque secret dispose d’une liste documentée de tous les systèmes qui le détiennent, afin de pouvoir le renouveler sans casser un consommateur.
04Contact
Questions sur cette politique, questionnaires de sécurité et demandes d’accord de traitement des données : privacy@mentornity.com.