> Domeniul, datele, constatările și remedierile testelor de securitate pe care EthicsPortal le efectuează asupra sa. Teste proprii, nu un audit independent.

Source: https://ethicsportal.eu/ro/security-testing/
Updated: 2026-09-23

---

# Teste de securitate efectuate intern

**Acestea sunt teste proprii.** Sunt efectuate de operator, nu de un evaluator independent, și nu înlocuiesc testul independent extern de penetrare consemnat ca neefectuat pe [Trust](/trust/#certification-status). Sunt publicate pentru că substanța lor este utilă unui evaluator din achiziții, chiar dacă independența lipsește.

Ultima actualizare: 2026-09-05.

---

## Teste efectuate {#testing-performed}

| Data | Tip | Domeniu | Rezultat |
|---|---|---|---|
| 2026-05-26 | Evaluare de securitate la nivel de cod | Analiză statică, audit al dependențelor și revizuire manuală a autentificării, autorizării și gestionării fișierelor | Gestionarea încărcărilor a fost identificată drept zona cu cel mai ridicat risc. Constatări urmărite în registrul de sarcini și remediate: limită pe server a numărului de atașamente, autorizarea încărcărilor directe și curățarea parametrilor și a adreselor IP din jurnale |
| 2026-05-26 | Test extern în producție, nedistructiv | Anteturi de răspuns, configurație TLS, pagini publice și interogări de metadate către gazda de producție | Lacune în acoperirea anteturilor de răspuns și lipsa metadatelor contactului de securitate; dependența de rețele CDN terțe pentru resurse statice a fost evaluată drept risc mediu. Remediat la 2026-05-27: metadatele contactului de securitate publicate, iar protecția împotriva deducerii tipului de conținut extinsă la resursele statice |
| 2026-06-09 | Revizuirea autentificării | Gestionarea cookie-urilor, ciclul de viață al sesiunii, fluxurile de link magic și de invitație | Două constatări de gravitate informativă. Remediate la 2026-06-14: cookie-ul de autentificare în așteptare a fost mutat într-un depozit criptat, astfel încât adresa nu mai este lizibilă pe partea clientului; expirarea declarată a cookie-ului de sesiune corespunde acum termenului de inactivitate de 14 zile de pe server |
| 2026-08-27 | Test graybox autentificat | Acces între organizații, escaladarea privilegiilor, mass assignment, accesul la raportări în cadrul aceleiași organizații, confidențialitatea atașamentelor, izolarea SCIM și încrederea în afirmațiile SAML | Nu au fost identificate defecte de autorizare. Limitele de organizație și de rol au rezistat în fiecare caz testat |
| 2026-08-27 | Revizuirea expunerii în producție | Expunerea în rețea, întărirea gazdei, tratarea anteturilor de proxy și gestionarea secretelor | Anteturile de redirecționare furnizate de client erau considerate de încredere pe o origine expusă direct la internet, ceea ce ar fi permis eludarea limitelor de frecvență pe adresă IP. Remediat în aceeași zi. A fost eliminat și un antet care dezvăluia timpul de procesare al serverului pentru fiecare cerere. Antetul depășit `Feature-Policy` a fost înlocuit cu `Permissions-Policy` la 2026-09-05 |

## Constatări deschise cunoscute {#known-open-findings}

| Constatare | Poziție |
|---|---|
| Nu există firewall pentru aplicații web și nici CDN în fața originii aplicației | Decizie deliberată. O rețea CDN din afara UE în fața canalului de raportare ar intra în conflict cu angajamentul de găzduire exclusiv în UE declarat pe [Trust](/trust/). Protecția anti-DDoS la nivel de rețea la furnizorul de găzduire, împreună cu limitarea frecvenței la nivel de aplicație, este compromisul acceptat. |

## Ce nu demonstrează acest lucru {#what-this-does-not-establish}

- Operatorul a ales domeniul, a rulat testele și a raportat rezultatele. Nimic din toate acestea nu a fost verificat independent.
- O trecere fără constatări este o dovadă despre cazurile testate, nu despre cele netestate.
- Controlul A.5.35 din [harta controalelor din Anexa A ISO/IEC 27001:2022](/iso-27001/), revizuirea independentă a securității informațiilor, rămâne deschis din acest motiv. Este singurul control de pe acea pagină consemnat ca fiind în tratare.