Come la piattaforma affronta ciascuno dei dieci rischi di sicurezza più critici per le applicazioni web.
01Controlli per categoria
| Rischio OWASP | Controlli Mentornity |
|---|---|
| A01 Broken Access Control | Autorizzazione lato server su ogni rotta; appartenenza al programma verificata sulle rotte di amministrazione; visibilità per campo delle risposte dei membri; verifica della proprietà degli oggetti negli aggiornamenti. |
| A02 Cryptographic Failures | Solo TLS 1.2/1.3 con HSTS; dischi, snapshot e backup cifrati; hash delle password con bcrypt; link firmati HMAC; segreti in un archivio di parametri cifrato. |
| A03 Injection | Validazione degli input nel database che respinge l’iniezione di operatori nei campi protetti; pattern di ricerca limitati e con escape; HTML con escape prima del rendering Markdown; un sanitizzatore ad allowlist per il testo formattato. |
| A04 Insecure Design | Analisi delle minacce per le funzioni che toccano identità o dati personali; rate limit su accesso ed endpoint pubblici; quote API per organizzazione. |
| A05 Security Misconfiguration | Infrastructure as code con controllo di verifica; regole di rete a negazione predefinita; accesso ai metadati delle istanze rinforzato; intestazioni di sicurezza tra cui una Content Security Policy basata su nonce. |
| A06 Vulnerable and Outdated Components | govulncheck e audit dei pacchetti; aggiornamenti di sicurezza quotidiani del sistema; runtime supportati. |
| A07 Identification and Authentication Failures | SSO SAML, accesso con Google e Microsoft; policy password rigorosa; blocco per account e per IP; risposte di errore uniformi; revoca dei token al cambio password e con «esci da tutti i dispositivi». |
| A08 Software and Data Integrity Failures | Deploy solo da commit uniti e revisionati; webhook in uscita firmati; integrità dei documenti firmati elettronicamente verificabile da un registro QR. |
| A09 Security Logging and Monitoring Failures | Log centrali conservati 30 giorni; CloudTrail; allarmi e una sonda esterna dead man’s switch. |
| A10 Server-Side Request Forgery | Host di callback delle integrazioni verificati con un’allowlist; URL fornite dagli utenti validate come http(s) prima dell’uso; le chiamate webhook in uscita richiedono TLS. |
02Contatti
Domande su questa policy, questionari di sicurezza e richieste dell’accordo sul trattamento dei dati: privacy@mentornity.com.