Hoe het platform elk van de tien meest kritieke beveiligingsrisico’s voor webapplicaties aanpakt.
01Maatregelen per categorie
| OWASP-risico | Maatregelen bij Mentornity |
|---|---|
| A01 Broken Access Control | Autorisatie aan de serverkant op elke route; programmalidmaatschap gecontroleerd op beheerroutes; zichtbaarheid per veld voor antwoorden van leden; eigendomscontrole van objecten bij wijzigingen. |
| A02 Cryptographic Failures | Alleen TLS 1.2/1.3 met HSTS; versleutelde schijven, snapshots en back-ups; bcrypt-wachtwoordhashes; met HMAC ondertekende links; geheimen in een versleutelde parameteropslag. |
| A03 Injection | Invoervalidatie in de database die operatorinjectie in beschermde velden weigert; begrensde, ge-escapete zoekpatronen; HTML ge-escapet vóór het renderen van Markdown; een sanitizer met allowlist voor opgemaakte tekst. |
| A04 Insecure Design | Dreigingsanalyse voor functies die identiteit of persoonsgegevens raken; rate limits op inloggen en publieke endpoints; API-quota per organisatie. |
| A05 Security Misconfiguration | Infrastructure as code met controle; netwerkregels met default-deny; geharde toegang tot instance-metadata; beveiligingsheaders, waaronder een Content Security Policy op basis van een nonce. |
| A06 Vulnerable and Outdated Components | govulncheck en pakketaudits; dagelijkse beveiligingsupdates van het besturingssysteem; ondersteunde runtimes. |
| A07 Identification and Authentication Failures | SAML SSO, inloggen met Google en Microsoft; streng wachtwoordbeleid; blokkering per account en per IP; uniforme foutmeldingen; tokens ingetrokken bij een wachtwoordwijziging en bij ‘overal uitloggen’. |
| A08 Software and Data Integrity Failures | Deployments alleen vanuit samengevoegde, gereviewde commits; ondertekende uitgaande webhooks; integriteit van elektronisch ondertekende documenten controleerbaar via een QR-registratie. |
| A09 Security Logging and Monitoring Failures | Centrale logs met 30 dagen bewaartermijn; CloudTrail; alarmen en een externe dead man’s switch-controle. |
| A10 Server-Side Request Forgery | Callbackhosts van koppelingen gecontroleerd tegen een allowlist; door gebruikers opgegeven URL’s vóór gebruik gevalideerd als http(s); uitgaande webhookaanroepen vereisen TLS. |
02Contact
Vragen over dit beleid, beveiligingsvragenlijsten en verzoeken om een verwerkersovereenkomst: privacy@mentornity.com.