23 DE ABRIL DE 2015 33 6 - Todos os serviços das plataformas eletrónicas devem estar sincronizados com o NTP definido a partir do UTC, devendo ser utilizadas duas fontes de tempo diferentes, em que uma delas é obrigatoriamente a Hora Legal Portuguesa. 7 - Em caso de desastre, as plataformas eletrónicas devem disponibilizar meios capazes de continuar as operações usando sistemas alternativos e assegurar o backup para garantir a integridade e a possibilidade de recuperação da informação. 8 - A empresa gestora deve especificar na sua política qual o tempo máximo aceitável, na reposição dos serviços. Artigo 42.o Segurança aplicacional 1 - A empresa gestora deve garantir que o sistema se encontra devidamente protegido contra vulnerabilidades e ataques, impedindo, designadamente: a) Falhas de injeção, nomeadamente, interrogações SQL (Structured Query Language), LDAP (Lightweight Directory Access Protocol) ou XPath (XML Path Language), comandos do sistema operativo (SO) e alteração de argumentos de programa; b) XSS (Cross-Site Scripting). 2 - O sistema deve assegurar a autenticação forte e a gestão das sessões, o que exige, no mínimo, que: a) As credenciais sejam sempre protegidas quando armazenadas com recurso a técnicas de controlo da integridade dos dados (hashing) ou de cifragem dos dados; b) As credenciais não possam ser adivinhadas nem alteradas através de funções de gestão da conta pouco sólidas, nomeadamente, através da criação de conta, alteração da senha, recuperação da senha ou identificadores de sessão frágeis; c) Os identificadores de sessão e os dados da sessão não se encontrem expostos no localizador uniforme de recursos (URL); d) Os identificadores de sessão não sejam vulneráveis a ataques de fixação de sessão;  e) Os identificadores de sessão tenham um tempo-limite de operação, o que assegura que o utilizador sai do sistema; f) As senhas, os identificadores de sessão e outras credenciais sejam enviados apenas através do protocolo TLS (Transport Layer Security). 3 - O sistema deve possuir uma configuração de segurança adequada, o que exige, no mínimo, que: a) Todos os elementos de software sejam atualizados, na medida do necessário para mitigar eventuais vulnerabilidades, nomeadamente o SO, o servidor web e o servidor de aplicações, o sistema de gestão de bases de dados (DBMS), as aplicações, e todas as bibliotecas de códigos; b) Os serviços e processos desnecessários do SO, servidor web e servidor de aplicações, sejam desativados, retirados ou não sejam instalados; c) As senhas da conta por defeito sejam alteradas ou desativadas. 4 - O sistema deve limitar o acesso ao URL com base nos níveis e autorizações de acesso do utilizador, exigindo-se, no mínimo, que: a) Se forem utilizados mecanismos de segurança externos, para fins de autenticação e verificação das autorizações de acesso às páginas, os mesmos devem estar devidamente configurados para cada página; b) Se for utilizada proteção ao nível dos códigos, a mesma deve existir para cada página pretendida. 5 - O sistema deve utilizar o protocolo TLS (Transport Layer Security) de modo a garantir uma proteção suficiente, devendo estar criadas todas as medidas que se seguem ou outras de eficácia equivalente: a) O sistema deve exigir a versão mais atualizada do protocolo HTTPS (Hypertext Transfer Protocol Secure) para aceder a quaisquer recursos sensíveis utilizando certificados que sejam válidos, não caducados, não