Bezpieczenstwo

Tutor IDE zostalo zaprojektowane z mysla o bezpieczenstwie mlodych uzytkownikow. Platforma laczy automatyczna kontrole tresci, zaawansowane zabezpieczenia techniczne i nadzor nauczyciela, tworzac bezpieczne srodowisko do nauki.

Automatyczna moderacja tresci

Platforma wyposażona jest w zaawansowany skaner, który automatycznie sprawdza treści tworzone przez uczniów — zarówno w kodzie (nazwy plików, zawartość), jak i w wiadomościach czatu.

Jak działa skaner?

• Dwa języki — wykrywa nieodpowiednie słowa zarówno po polsku, jak i po angielsku
• Odporny na sztuczki — rozpoznaje próby obejścia filtra, takie jak zamiana liter na cyfry czy symbole (np. „@" zamiast „a", „$" zamiast „s"), rozdzielanie liter spacjami czy powtarzanie znaków
• Inteligentne filtrowanie — rozróżnia kontekst i nie blokuje normalnych słów programistycznych (np. „class", „display", „password"), które mogłyby zostać fałszywie wykryte
• Dwa poziomy alertów — poważne naruszenia i łagodne ostrzeżenia, co pomaga nauczycielowi priorytetyzować przegląd

Powiadomienia dla nauczyciela

Gdy skaner wykryje nieodpowiednią treść:

• Tworzony jest alert widoczny w panelu nauczyciela z informacją o uczniu, fragmencie tekstu i poziomie ważności
• Nauczyciel otrzymuje powiadomienie e-mail — nie musi ciągle sprawdzać panelu, informacja sama do niego trafi
• Nauczyciel może przejrzeć kontekst i oznaczyć alert jako rozwiązany

Moderację treści można wyłączyć w ustawieniach organizacji, jeśli nauczyciel uzna, że nie jest potrzebna.

Bezpieczeństwo sesji i uwierzytelnianie

Tutor IDE wykorzystuje wielowarstwowy system uwierzytelniania zaprojektowany z myślą o bezpieczeństwie:

• Sesje z krótkim czasem życia — sesje wygasają po 30 minutach nieaktywności (mechanizm sliding session). Każda interakcja z platformą automatycznie odnawia czas sesji, ale po 30 minutach bezczynności uczeń musi zalogować się ponownie.
• Token odświeżania — 8-godzinny token przechowywany jako ciasteczko httpOnly w Redis. Pozwala na bezproblemowe odnawianie sesji w ciągu dnia szkolnego bez konieczności wielokrotnego logowania.
• Ochrona CSRF — wszystkie operacje modyfikujące dane (tworzenie, edycja, usuwanie) chronione są tokenem CSRF, który zapobiega atakom polegającym na wykonywaniu nieautoryzowanych akcji.
• Logowanie przez Google — bezpieczna integracja z Google OAuth 2.0, która umożliwia logowanie jednym kliknięciem bez konieczności zapamiętywania oddzielnego hasła.

Kontrola treści AI

Asystent AI odpowiada wyłącznie na pytania związane z programowaniem. Nie podejmuje tematów niezwiązanych z nauką, nie generuje nieodpowiednich treści i nie prowadzi rozmów wykraczających poza HTML, CSS, JavaScript i Python.

Nauczyciel może przeglądać wszystkie rozmowy uczniów z asystentem AI, aby upewnić się, że nauka przebiega prawidłowo. W razie potrzeby może też tymczasowo wyłączyć asystenta AI dla całej organizacji (np. na czas sprawdzianu).

Separacja danych nauczycieli

W planie School platforma stosuje ścisłą separację danych pomiędzy nauczycielami:

• Grupy z przypisanym nauczycielem — każda grupa uczniów jest przypisana do konkretnego nauczyciela
• Ograniczony widok — nauczyciele widzą wyłącznie uczniów ze swoich grup, nigdy wszystkich uczniów w organizacji
• Zakres obejmuje wszystko — ograniczenie dotyczy projektów, rozmów z AI, alertów moderacji, statystyk i wyników wyzwań
• Właściciel widzi wszystko — właściciel organizacji ma pełny dostęp do danych wszystkich uczniów i nauczycieli

Ta architektura zapewnia, że nauczyciel matematyki nie widzi uczniów nauczyciela informatyki, nawet jeśli oboje pracują w tej samej organizacji.

Dwupoziomowe zarządzanie materiałami

Platforma stosuje dwupoziomowy system dostępu do materiałów dydaktycznych (wyzwań i konspektów):

• Właściciel tworzy i przypisuje — właściciel organizacji tworzy materiały i przypisuje je wybranym nauczycielom
• Nauczyciel widzi przypisane — każdy nauczyciel widzi tylko materiały, które sam stworzył lub które zostały mu przypisane
• Brak nieautoryzowanego dostępu — nauczyciel nie może przeglądać ani modyfikować materiałów innego nauczyciela

Dziennik audytu

Platforma prowadzi szczegółowy dziennik audytu rejestrujący 15 typów działań, w tym:

• Tworzenie i usuwanie kont uczniów
• Zmiany ról w organizacji
• Tworzenie i usuwanie projektów
• Tworzenie i usuwanie grup
• Zmiany w ustawieniach organizacji

Właściciel organizacji może przeglądać dziennik audytu w panelu administracyjnym, aby monitorować wszystkie istotne operacje.

Bezpieczeństwo panelu administracyjnego

Wszystkie punkty końcowe panelu administracyjnego stosują rygorystyczne zabezpieczenia:

• Walidacja przynależności do organizacji — każde zapytanie weryfikuje, czy dany zasób (wyzwanie, grupa, alert) należy do organizacji użytkownika
• Brak podatności TOCTOU — zapytania o zasoby i ich modyfikacja odbywają się w sposób atomowy, eliminujący luki czasowe
• Filtrowanie po organizacji — superużytkownicy mogą pominąć filtr, ale wszyscy inni użytkownicy zawsze widzą dane ograniczone do swojej organizacji

Limity aktywności

Platforma stosuje ograniczenia, które chronią przed nadużyciami:

• Limit prób logowania — maksymalnie 5 prób na minutę, co chroni konta przed próbami odgadnięcia hasła
• Limit wiadomości czatu — maksymalnie 20 wiadomości na minutę do asystenta AI
• Limit długości wiadomości — wiadomości mają ograniczoną długość
• Limit plików — projekty mają ograniczoną liczbę plików i ich rozmiar

Limity w zależności od planu

Każdy plan organizacji ma określone limity, które zapewniają stabilność platformy:

Zasób	Free	Hobby	Teacher	School
Uczniowie	1	1	100	1000
Nauczyciele	—	—	1	10
Projekty na ucznia	5	25	50	50
Przestrzeń dyskowa	25 MB	100 MB	100 MB	100 MB
Wiadomości AI dziennie	5	30	bez limitu	bez limitu

Nadzór nauczyciela

Nauczyciel ma pełny wgląd w aktywność uczniów:

• Rozmowy z AI — nauczyciel widzi historię wszystkich czatów, także tych usuniętych przez uczniów
• Projekty — dostęp do projektów uczniów i ich zawartości
• Alerty moderacji — przegląd wykrytych nieodpowiednich treści
• Dziennik aktywności — historia logowań, tworzenia projektów i innych działań
• Zarządzanie kontami — możliwość edycji i kontroli kont uczniów

W planie School właściciel może przypisać nauczycieli do grup — każdy nauczyciel widzi tylko uczniów ze swoich grup, co zapewnia odpowiednią separację danych.

Eksport i usuwanie danych (RODO)

Tutor IDE zapewnia pełną zgodność z wymogami RODO dotyczącymi danych osobowych:

• Eksport danych — każdy uczeń może samodzielnie pobrać wszystkie swoje dane (profil, projekty, rozmowy, osiągnięcia) w formacie JSON za pomocą jednego kliknięcia
• Eksport przez administratora — właściciel organizacji może wyeksportować dane dowolnego ucznia
• Usuwanie konta — uczeń może usunąć swoje konto w ustawieniach profilu. Proces wymaga potwierdzenia wpisaniem nazwy użytkownika, co zapobiega przypadkowemu usunięciu

Ochrona projektów uczniów

Projekty wyświetlane w portfolio są chronione nagłówkami bezpieczeństwa, które zapobiegają typowym zagrożeniom internetowym. Przeglądarki uczniów i odwiedzających są chronione przed złośliwym kodem.

Bezpieczeństwo transakcji

Wszystkie operacje na danych (tworzenie kont, zapisywanie projektów, przetwarzanie płatności) wykonywane są w sposób zapewniający spójność danych — nawet w przypadku awarii sieciowej żadne dane nie zostaną uszkodzone ani częściowo zapisane.

Ochrona danych osobowych

Tutor IDE dba o ochronę danych osobowych uczniów:

• Minimalizacja danych — platforma zbiera tylko te dane, które są niezbędne do działania (login, opcjonalny adres e-mail, projekty)
• Brak udostępniania — dane uczniów nie są udostępniane podmiotom trzecim
• Prywatność projektów — nieopublikowane projekty nie są widoczne dla innych uczniów
• Kontrola dostępu — uczniowie mają dostęp wyłącznie do swoich projektów i rozmów
• Bezpieczeństwo płatności — płatności obsługiwane są przez certyfikowany system Stripe — Tutor IDE nie przechowuje danych kart płatniczych

Platforma została zaprojektowana zgodnie z zasadami ochrony danych osobowych, ze szczególnym uwzględnieniem bezpieczeństwa danych dzieci i młodzieży.