Политика за сигурност

Защо изобщо пишем това

В платформата стоят неща, които не са безразлични: снимки на работите ти, гласът ти в бележките, оценките ти, сумите, които си платила. Затова сигурността не е обещание с общи думи, а конкретни мерки, които можеш да прочетеш и да ни питаш за тях.

Този текст е написан за човек, който не е програмист. Той описва мерките по чл. 32 от Общия регламент и допълва „Лични данни“.

Защитата е на слоеве

Всяка заявка в платформата минава през няколко независими проверки. Ако една пропусне, следващата спира. Нито една не разчита на предишната.

• На входа. Сесията се проверява при всяко отваряне на страница. Който не е влязъл, отива на страницата за вход. Всяка страница получава правила кое може да се изпълнява в нея, за да не може чужд код да се вмъкне.
• В самото действие. Всяка страница и всяко действие проверяват наново кой си и имаш ли право. Всичко, което идва от браузъра, се проверява по форма и стойност; пренасочванията са ограничени, за да не могат да те отведат към чужд сайт.
• В базата. Правилата са записани в самата база, а не само в приложението. Всяка таблица знае кой ред кой има право да види и кое поле кой може да променя. Курсистка не може да си смени ролята, статуса на работата или оценката — дори ако някой опита да мине покрай интерфейса.
• При файловете. Домашните, сертификатите и учебните видеа стоят в затворено хранилище. Дават се само с адрес, подписан за конкретния файл и за кратко време; след това адресът не работи.

Ключът, с който сървърът има пълни права, се ползва само на сървъра. Той никога не стига до браузъра.

Кой какво вижда

Достъпът е по роля и всяка роля вижда толкова, колкото ѝ трябва.

Когато роля бъде отнета, правата падат веднага, не след време.

Двуфакторна защита за екипа

Платформата има вграден втори фактор за екипа. Включва го администраторът — за целия екип наведнъж. Когато е включен, открадната парола на член на екипа не е достатъчна, за да се стигне до данните на курсистките:

• След паролата членът на екипа получава шестцифрен код по имейл. Кодът важи 10 минути, за една сесия, с ограничен брой опити. Базата пази само отпечатък от него, не самия код.
• Потвърдената сесия важи 12 часа. Излизането я прекратява веднага.
• Проверката „потвърдена ли е сесията“ е в базата, не само в екрана. Сесия на член на екипа без код има правата на обикновена курсистка и нищо повече.

Понеже кодът пътува по имейл, пощите на екипа трябва да са със собствена двуфакторна защита.

Паролите: поне 8 знака за всички, без задължителни цифри и знаци. Опитите за вход са ограничени, а екипът влиза и с кода по имейл. Паролите се пазят като необратим отпечатък. Смяна на парола от връзка в имейл е възможна само в първия час след искането, а след смяната другите устройства излизат.

Шифроване при пренос

Целият сайт и цялата платформа работят по защитена връзка (HTTPS). Браузърът се инструктира да не опитва незащитена връзка. Бисквитките на сесията са недостъпни за скриптове в страницата и не пътуват към чужди сайтове. Платформата не може да бъде вградена в чужда страница, за да не бъде подлъган някой да натисне нещо, което не вижда.

Файловете ти

Снимките и видеата на работите ти, гласовите бележки и сертификатите не стоят на публичен адрес. Всеки път, когато трябва да бъдат показани, сървърът първо проверява имаш ли право и чак тогава издава адрес, подписан за този файл и валиден за кратко.

Качването върви направо от твоя браузър към хранилището, с адрес за точно определено място. Сървърът проверява, че файлът наистина е качен, преди да го свърже с работата ти. Всеки има своя папка; чужда не се вижда и не се пипа. Има таван на размера и на броя файлове, за да не може едно име да задръсти хранилището. Снимката на профила е единственото, което е публично четимо — тя се показва до името ти.

Учебните видеа се пускат с подписан адрес с кратък срок. Адрес, копиран и пратен на друг човек, престава да работи.

Ограничения на опитите

Броячите са в базата, за да важат навсякъде. Пазят се отпечатъци, не самите имейли и мрежови адреси.

Има таван и на въпросите, съобщенията и отзивите, за да не може платформата да бъде залята.

Дневник на промените

Всяка промяна по роля, записване, вноска, плащане, сертификат, правила на курс или оценка на домашно оставя ред в дневника: кой, кога, какво. Там влизат и грешните кодове при вход. Дневникът се вижда само от администратор и не може да бъде редактиран през платформата. Той е и твоята защита: оценка или плащане не могат да бъдат променени тихо.

Проверките, които сме правили

На 14 и на 18 септември 2026 г. платформата беше прегледана нарочно за слабости: правата в базата, входът, сървърните действия, хранилището. Намереното беше поправено и проверено с над 300 сценария върху копие на базата — включително проверки, че една курсистка не може да прочете чуждо домашно, да стане част от екипа или да види верните отговори на тест, преди да го е дала.

Обещание, че софтуер няма слабости, не може да се даде честно. Затова гледаме на прегледите като на редовна работа, не като на еднократно събитие.

Ако все пак изтекат данни

Ако настъпи нарушение на сигурността на личните данни, действаме по чл. 33 и 34 от Общия регламент:

• Спираме течението и записваме какво е станало, кога и кои данни са засегнати.
• Уведомяваме Комисията за защита на личните данни без ненужно забавяне и не по-късно от 72 часа, откакто сме узнали, освен ако няма вероятност нарушението да породи риск за правата ти.
• Когато има висок риск за теб, съобщаваме и на теб лично, на ясен език: какво е изтекло, какво може да означава за теб и какво да направиш.
• Водим вътрешен регистър на всички такива случаи, дори на тези, които не подлежат на уведомяване.

Ако си открила проблем

Ако намериш слабост в сайта или в платформата, ще ти бъдем благодарни да ни кажеш, преди да кажеш на света. Пиши ни на iveta_ivanova@hotmail.com с тема „Сигурност“ и опиши какво си намерила и как се възпроизвежда.

Какво обещаваме: потвърждаваме получаването в разумен срок, отговаряме с какво сме направили и не предприемаме действия срещу човек, който е съобщил добросъвестно.

Какво молим: не влизай в чужди профили и не тегли чужди данни; не променяй и не трий нищо; не натоварвай услугата с тестове за отказ; не публикувай намереното, преди да сме успели да го поправим. Ако попаднеш на чужди лични данни, спри веднага и ни кажи.

Какво зависи от теб

Част от сигурността е в твоите ръце и няма как да бъде свършена от нас: използвай парола, която не ползваш никъде другаде, пази пощата си със собствена двуфакторна защита, не давай достъпа си на друг човек и ни пиши веднага, ако усетиш, че някой е влизал в профила ти.