Een eigen AWS-netwerk in Frankfurt, één gehard toegangspunt en een database die niemand vanaf internet bereikt.
01Hosting
Mentornity draait in een eigen Amazon VPC in eu-central-1 (Frankfurt), verdeeld over drie beschikbaarheidszones. AWS zorgt voor de fysieke beveiliging van zijn datacenters (ISO 27001, SOC 2, C5 geattesteerd); Mentornity is verantwoordelijk voor alles vanaf het besturingssysteem.
02Lagen
| Laag | Wat daar draait | Wie erbij kan |
|---|---|---|
| Cloudflare | DNS, CDN-cache, DDoS-bescherming | Internet |
| Edge-laag | TLS-afhandeling, HTTP/2 en HTTP/3, routering voor elke host en elk white-labeldomein | HTTPS vanaf internet |
| Applicatielaag | API, webapplicatie, geplande taken | Alleen de edge-laag |
| Database | Gerepliceerd databasecluster over drie beschikbaarheidszones | Alleen toegestane hosts; nooit het publieke internet |
| Mediaservers | Videogesprekken (WebRTC) met TURN via TLS | Deelnemers aan het gesprek |
03Hardening
- Security groups weigeren standaard al het verkeer; elke regel noemt poort en bron en staat in Terraform.
- Bij elke infrastructuur-pull-request draait een automatische controle, die de pull request laat falen als een database- of monitoringpoort voor de hele wereld open zou gaan.
- De webapplicatie stuurt een Content Security Policy met een nonce per verzoek, X-Content-Type-Options, een strikte Referrer-Policy en frame-ancestors-beperkingen mee.
- Publieke formulieren zijn beschermd met botcontroles van Cloudflare Turnstile.
- Servers worden gebouwd vanuit één sjabloon; datavolumes overleven de vervanging van een host, zodat een server opnieuw kan worden opgebouwd zonder aan de gegevens te komen.
04Contact
Vragen over dit beleid, beveiligingsvragenlijsten en verzoeken om een verwerkersovereenkomst: privacy@mentornity.com.