Seguridade

Versión 0.6 · 21 de outubro de 2026

1. Que se fai

• Conexión cifrada (HTTPS) obrigatoria: o que chega por http redirixese a https, o navegador lembra usar sempre https e a cookie de sesión só viaxa cifrada.
• Cabeceiras de seguridade en todas as páxinas: ninguén pode meter Aularium dentro doutra web, só se cargan arquivos do propio dominio e non se envía o enderezo a outras webs.
• Contrasinais con hash (bcrypt) e cambio obrigatorio no primeiro acceso.
• Límite de intentos de acceso por IP e por correo. A resposta tarda o mesmo exista ou non a conta, para non revelar que correos teñen conta.
• Ao cambiar ou recuperar o contrasinal péchanse as sesións abertas noutros dispositivos e anúlase «Manter a sesión neste dispositivo».
• Conta Evalum (opcional, só persoal docente): Aularium só a activa se a persoa marca «Usar esta conta tamén en Evalúat», e só liga unha conta con Evalúat, ou cambia alí o contrasinal, se a persoa demostra que é súa: coa ligazón «Confirma o teu correo» ou entrando co seu contrasinal de Evalúat. Se a conta está ligada e Evalúat rexeita o contrasinal, non vale o antigo de Aularium. A conta de administración da plataforma nunca entra coa Conta Evalum.
• Xustificantes cifrados nun cartafol privado que non é accesible desde internet. Só os ve e os descarga a xefatura do propio centro, e cada consulta ou descarga queda rexistrada. A exportación dun centro que fai a administración da plataforma non os inclúe.
• Permisos por rol (xefatura, profesorado, secretaría, conserxaría) que a xefatura axusta.
• Separación dos datos de cada centro.
• Ligazóns secretas (pantalla de sala, calendario) con límite de peticións e renovables.
• Código QR de gardas cun código secreto por aula, que a xefatura pode cambiar. Os QR antigos deixan de valer.
• Caixa anónima que non garda autor e arredonda a data ao día. Cada suxestión ten un identificador ao chou e o límite de envíos é por centro, non por persoa.
• Arquivos subidos gardados cun nome ao chou e coa extensión que corresponde ao seu contido, nunca a que manda o navegador.
• O ZIP de xustificantes créase no cartafol privado, só lexible pola aplicación, e bórrase en canto se descarga.
• Os avisos push só se envían aos servizos de notificacións coñecidos dos navegadores.
• A instalación inicial esixe un token secreto que só coñece quen ten acceso aos arquivos do servidor.
• Exportación e eliminación completas ao darse de baixa.
• O Panel de control do titular só garda cantidades por centro e erros sen a súa mensaxe (tipo, arquivo, liña e ruta), que se borran aos 30 días.
• As tarefas diarias (avisos, lembranzas e borrados por prazos) execútanse soas cada día co programador do servidor.
• A demostración (demo.aularium.es) é unha instalación á parte, coa súa propia base de datos de datos inventados: non ten acceso aos datos de ningún centro.

2. Límites

• A clave que cifra os xustificantes está no mesmo servidor: protexe fronte a unha fuga da base de datos, non fronte a un compromiso total do servidor.
• O resto de arquivos (tarefas, actas, fotocopias, fotos de incidencias) non se cifran.
• O ZIP de xustificantes que descarga a xefatura sae descifrado: debe gardarse en lugar seguro.
• A pantalla da sala amosa nomes sen iniciar sesión a quen teña a ligazón.
• Coa Conta Evalum, o contrasinal é o mesmo en Aularium e en Evalúat: quen o coñeza entra nas dúas.
• Aularium non garda a clave mestra (service_role) da base de datos de Evalúat. Para as Contas Evalum usa unha función intermedia, protexida cun segredo, con permisos limitados: crear a conta, cambiar o contrasinal (comprobando que o correo coincide), sincronizar o claustro do pack Evalum e volver protexer a clave de nomes de Evalúat ao cambiar o contrasinal. Quen se fixese co control do servidor de Aularium podería usar esas operacións e ver os contrasinais de quen entre mentres tanto, pero non ler nin cambiar a través dela as clases e notas de Evalúat.
• Ao cambiar desde Aularium o contrasinal dunha persoa con Conta Evalum, a clave que abre os nomes do seu alumnado en Evalúat pasa pola memoria do servidor de Aularium para protexela co novo contrasinal. Nunca se garda, pero durante ese momento o cifrado non depende só do navegador desa persoa.
• O rexistro técnico de erros da aplicación e os rexistros do aloxamento poden conter correos e IP; só os consulta o titular para resolver fallos.

3. Incidentes e vulnerabilidades

Ante unha brecha avisarase o centro sen dilación indebida, como máximo en 48 horas. Para informar dunha vulnerabilidade, escribe a contacto@evaluat.es co asunto «Seguridade».

Revisión de seguridade interna do código: 16 de outubro de 2026. Os seus achados están corrixidos.

Auditoría de seguridade externa antes do lanzamento: pendente.