Como usuários, administradores, engenheiros e máquinas são autenticados e o que cada um pode acessar.
01Login na Mentornity
- Login único: SAML 2.0 com o provedor de identidade da organização, além de login com Google e login com Microsoft.
- As senhas são guardadas só como hashes bcrypt. Senhas novas precisam ter pelo menos 8 caracteres com letra maiúscula, letra minúscula, um número e um caractere especial.
- Proteção contra força bruta: tentativas de login com falha repetidas bloqueiam temporariamente novas tentativas, por conta e por endereço de rede.
- Sem enumeração de contas: um e-mail errado e uma senha errada retornam a mesma resposta no mesmo tempo.
- Revogação de sessões: alterar ou redefinir a senha, ou escolher “sair de todos os dispositivos”, invalida todos os tokens emitidos antes, em todos os dispositivos.
- Links assinados: os links de convite e de ação por e-mail levam uma assinatura HMAC ligada à sua finalidade, então um link não pode ser reutilizado para outra conta.
02Papéis dentro de um programa
O acesso aos dados do programa é decidido no servidor em cada requisição. Os participantes veem os próprios dados, seus pareamentos e o que o programa deixa visível para eles. Os administradores de programa veem e gerenciam só os próprios programas; a participação no programa é verificada em cada rota administrativa, então o administrador de um programa não consegue ler os membros, as agendas nem as respostas de outro.
03Acesso à produção
- O acesso à produção é limitado à diretoria da Mentornity e aos engenheiros que operam a plataforma, e é revisado sempre que o papel de alguém muda.
- O acesso administrativo aos servidores é feito por chave e auditado; cada ação administrativa na conta de nuvem é registrada no AWS CloudTrail. O login por senha nos servidores está desativado.
- As permissões de nuvem são divididas em papéis de escopo restrito, cada um limitado aos recursos e à região de que sua tarefa precisa.
- O acesso ao banco de dados usa contas separadas de privilégio mínimo para cada finalidade; acesso elevado só é concedido por tempo limitado e quando necessário.
- As ferramentas internas de administração exigem autenticação multifator.
04Identidades de máquina
Os servidores acessam os serviços de nuvem com credenciais de papel de curta duração, e não com chaves armazenadas. Os clientes da API pública se autenticam com chaves de API por organização, cada uma ligada a uma organização e com limite de uso.
05Contato
Dúvidas sobre esta política, questionários de segurança e pedidos do Acordo de Processamento de Dados: privacy@mentornity.com.