Comment la plateforme répond à chacun des dix risques de sécurité les plus critiques pour les applications web.
01Contrôles par catégorie
| Risque OWASP | Contrôles Mentornity |
|---|---|
| A01 Broken Access Control | Autorisation côté serveur sur chaque route ; appartenance au programme vérifiée sur les routes d’administration ; visibilité champ par champ des réponses des membres ; vérification de la propriété des objets lors des mises à jour. |
| A02 Cryptographic Failures | TLS 1.2/1.3 uniquement avec HSTS ; disques, instantanés et sauvegardes chiffrés ; hachés de mots de passe bcrypt ; liens signés HMAC ; secrets dans un magasin de paramètres chiffré. |
| A03 Injection | Validation des entrées en base qui rejette l’injection d’opérateurs dans les champs protégés ; motifs de recherche bornés et échappés ; HTML échappé avant le rendu Markdown ; assainisseur à liste blanche pour le texte enrichi. |
| A04 Insecure Design | Analyse des menaces pour les fonctions qui touchent à l’identité ou aux données personnelles ; limites de débit sur la connexion et les points de terminaison publics ; quotas d’API par organisation. |
| A05 Security Misconfiguration | Infrastructure as code avec contrôle de vérification ; règles réseau en refus par défaut ; accès aux métadonnées d’instance durci ; en-têtes de sécurité dont une Content Security Policy à base de nonce. |
| A06 Vulnerable and Outdated Components | govulncheck et audits de paquets ; mises à jour de sécurité quotidiennes du système ; environnements d’exécution pris en charge. |
| A07 Identification and Authentication Failures | SSO SAML, connexion avec Google et Microsoft ; politique de mot de passe stricte ; verrouillage par compte et par IP ; réponses d’erreur uniformes ; révocation des jetons au changement de mot de passe et avec « se déconnecter de partout ». |
| A08 Software and Data Integrity Failures | Déploiements uniquement depuis des commits fusionnés et relus ; webhooks sortants signés ; intégrité des documents signés électroniquement vérifiable via un enregistrement QR. |
| A09 Security Logging and Monitoring Failures | Journaux centralisés conservés 30 jours ; CloudTrail ; alarmes et sonde externe de type dead man’s switch. |
| A10 Server-Side Request Forgery | Hôtes de rappel des intégrations vérifiés par liste blanche ; URL fournies par les utilisateurs validées en http(s) avant usage ; appels webhook sortants exigeant TLS. |
02Contact
Questions sur cette politique, questionnaires de sécurité et demandes d’accord de traitement des données : privacy@mentornity.com.