Como a plataforma trata cada um dos dez riscos de segurança mais críticos para aplicações web.
01Controles por categoria
| Risco OWASP | Controles da Mentornity |
|---|---|
| A01 Broken Access Control | Autorização no servidor em cada rota; participação no programa verificada nas rotas administrativas; visibilidade por campo das respostas dos membros; verificação de propriedade dos objetos nas atualizações. |
| A02 Cryptographic Failures | Só TLS 1.2/1.3 com HSTS; discos, snapshots e backups criptografados; hashes de senha bcrypt; links assinados com HMAC; segredos em um repositório de parâmetros criptografado. |
| A03 Injection | Validação de entrada no banco de dados que rejeita injeção de operadores em campos protegidos; padrões de busca limitados e escapados; HTML escapado antes da renderização de Markdown; um higienizador com lista de permissões para texto formatado. |
| A04 Insecure Design | Análise de ameaças para funções que envolvem identidade ou dados pessoais; limites de uso no login e nos endpoints públicos; cotas de API por organização. |
| A05 Security Misconfiguration | Infraestrutura como código com verificação; regras de rede que negam por padrão; acesso reforçado aos metadados da instância; cabeçalhos de segurança, incluindo uma Content Security Policy baseada em nonce. |
| A06 Vulnerable and Outdated Components | govulncheck e auditorias de pacotes; atualizações de segurança diárias do sistema; ambientes de execução com suporte. |
| A07 Identification and Authentication Failures | SSO SAML, login com Google e Microsoft; política de senhas rígida; bloqueio por conta e por IP; respostas de erro uniformes; revogação de tokens na troca de senha e com “sair de todos os dispositivos”. |
| A08 Software and Data Integrity Failures | Deploys só a partir de commits incorporados e revisados; webhooks enviados com assinatura; integridade de documentos com assinatura eletrônica verificável por um registro QR. |
| A09 Security Logging and Monitoring Failures | Logs centrais com 30 dias de retenção; CloudTrail; alarmes e uma sonda externa do tipo dead man’s switch. |
| A10 Server-Side Request Forgery | Hosts de callback das integrações verificados contra uma lista de permissões; URLs informadas pelos usuários validadas como http(s) antes do uso; chamadas de webhook enviadas exigem TLS. |
02Contato
Dúvidas sobre esta política, questionários de segurança e pedidos do Acordo de Processamento de Dados: privacy@mentornity.com.