TLS ovunque, dischi, snapshot e backup cifrati, e segreti custoditi in una cassaforte gestita.
01In transito
- Ogni indirizzo Mentornity è solo HTTPS. TLS 1.2 e TLS 1.3 sono accettati; TLS 1.0 e 1.1 sono rifiutati.
- HTTP Strict Transport Security viene inviato con max-age di due anni e includeSubDomains.
- I certificati sono emessi e rinnovati automaticamente per mentornity.com e per il dominio white label di ogni cliente, e la loro scadenza è monitorata.
- Le chiamate webhook in uscita verso gli endpoint dei clienti richiedono TLS 1.2 o superiore.
- La posta in uscita è autenticata con SPF e DKIM.
02A riposo
- Ogni disco dei server, compresi i volumi del database, è cifrato con AES-256 e chiavi gestite da AWS.
- Gli snapshot giornalieri dei volumi ereditano questa cifratura.
- I file caricati sono conservati nel database cifrato; i backup del database e gli allegati custoditi in Amazon S3 sono cifrati lato server.
- Le password sono sottoposte a hash con bcrypt; i seed delle password monouso sono cifrati nel database.
03Segreti
- I segreti applicativi sono custoditi in un archivio di segreti cifrato e ad accesso controllato e vengono iniettati al momento del deploy; non sono mai salvati nel codice sorgente.
- Gli strumenti di deploy sono configurati per non scrivere mai valori segreti nei log dei server, e la pipeline di CI impone questa impostazione in ogni workflow.
- Ogni segreto ha un elenco documentato di tutti i sistemi che lo custodiscono, così può essere ruotato senza rompere nessun consumatore.
04Contatti
Domande su questa policy, questionari di sicurezza e richieste dell’accordo sul trattamento dei dati: privacy@mentornity.com.