Overal TLS, versleutelde schijven, snapshots en back-ups, en geheimen in een beheerde kluis.
01Onderweg
- Elk adres van Mentornity is alleen via HTTPS bereikbaar. TLS 1.2 en TLS 1.3 worden geaccepteerd; TLS 1.0 en 1.1 worden geweigerd.
- HTTP Strict Transport Security wordt meegestuurd met een max-age van twee jaar en includeSubDomains.
- Certificaten voor mentornity.com en voor het eigen white-labeldomein van elke klant worden automatisch uitgegeven en vernieuwd, en hun vervaldatum wordt bewaakt.
- Uitgaande webhookaanroepen naar endpoints van klanten vereisen TLS 1.2 of hoger.
- Uitgaande e-mail wordt geauthenticeerd met SPF en DKIM.
02In opslag
- Elke serverschijf, ook de databasevolumes, is versleuteld met AES-256 en sleutels die AWS beheert.
- Dagelijkse volumesnapshots nemen die versleuteling over.
- Geüploade bestanden staan in de versleutelde database; databaseback-ups en bijlagen in Amazon S3 zijn aan de serverkant versleuteld.
- Wachtwoorden worden gehasht met bcrypt; seeds voor eenmalige wachtwoorden staan versleuteld in de database.
03Geheimen
- Applicatiegeheimen staan in een versleutelde opslag voor geheimen met toegangscontrole en worden bij het deployen ingevoegd; ze staan nooit in de broncode.
- De deploymenttools zijn zo ingesteld dat geheime waarden nooit in serverlogs belanden, en de CI-pipeline dwingt die instelling af in elke workflow.
- Voor elk geheim is er een gedocumenteerde lijst van alle systemen die het bevatten, zodat het kan worden vervangen zonder een gebruiker ervan te breken.
04Contact
Vragen over dit beleid, beveiligingsvragenlijsten en verzoeken om een verwerkersovereenkomst: privacy@mentornity.com.