Platformun en kritik on web uygulaması güvenlik riskinin her birini nasıl ele aldığı.
01Kategoriye göre kontroller
| OWASP riski | Mentornity kontrolleri |
|---|---|
| A01 Broken Access Control | Her rotada sunucu tarafı yetkilendirme; yönetim rotalarında program üyeliği denetimi; üye cevaplarında alan bazında görünürlük; güncellemelerde nesne sahipliği denetimi. |
| A02 Cryptographic Failures | HSTS ile yalnız TLS 1.2/1.3; şifreli diskler, anlık görüntüler ve yedekler; bcrypt parola özetleri; HMAC imzalı bağlantılar; şifreli bir parametre deposunda sırlar. |
| A03 Injection | Korunan alanlara operatör enjeksiyonunu reddeden veritabanı girdi doğrulaması; sınırlı ve kaçışlı arama kalıpları; Markdown oluşturmadan önce HTML kaçışı; zengin metin için izin listeli temizleyici. |
| A04 Insecure Design | Kimliğe ya da kişisel veriye dokunan özelliklerde tehdit incelemesi; giriş ve herkese açık uç noktalarda hız sınırları; kurum başına API kotaları. |
| A05 Security Misconfiguration | Doğrulama kapısıyla kod olarak altyapı; varsayılanı reddeden ağ kuralları; sağlamlaştırılmış sunucu üst veri erişimi; nonce tabanlı İçerik Güvenliği Politikası dahil güvenlik başlıkları. |
| A06 Vulnerable and Outdated Components | govulncheck ve paket denetimleri; günlük işletim sistemi güvenlik güncellemeleri; desteklenen çalışma ortamları. |
| A07 Identification and Authentication Failures | SAML SSO, Google ve Microsoft ile giriş; güçlü parola politikası; hesap ve IP kilitleme; tek tip hata cevapları; parola değişikliğinde ve “her yerden çıkış”ta token iptali. |
| A08 Software and Data Integrity Failures | Yalnız birleştirilmiş, incelenmiş commit’lerden dağıtım; imzalı giden webhook’lar; e-imzalı belgelerin bütünlüğü bir QR kaydından doğrulanabilir. |
| A09 Security Logging and Monitoring Failures | 30 gün saklamalı merkezi kayıtlar; CloudTrail; alarmlar ve dışarıdan ölü adam anahtarı yoklaması. |
| A10 Server-Side Request Forgery | Entegrasyon geri çağırma adresleri bir izin listesine göre denetlenir; kullanıcının verdiği URL’ler kullanılmadan önce http(s) olarak doğrulanır; giden webhook çağrıları TLS gerektirir. |
02İletişim
Bu politikayla ilgili sorular, güvenlik anketleri ve Veri İşleme Sözleşmesi talepleri için: privacy@mentornity.com.