Sicurezza in Acatudy

Cifratura

• Tutto il traffico passa su HTTPS, e ai browser viene indicato di usare solo HTTPS (HTTP Strict Transport Security).
• Le sessioni sono cifrate e memorizzate lato server; i cookie di sessione sono HTTP-only e non accessibili agli script.
• Le impostazioni sensibili, come le credenziali di accesso con Google di ogni accademia e i segreti usati dagli strumenti di importazione, sono cifrate nel database.
• I pagamenti con carta sono gestiti da Stripe. Acatudy non vede né memorizza mai i numeri di carta completi.

Isolamento tra accademie

Ogni record in Acatudy appartiene a una sola accademia, e ogni query al database viene filtrata automaticamente per quell’accademia. Quando viene creato qualcosa, viene sempre assegnato all’accademia di chi lo crea, qualunque cosa indichi la richiesta. I file sono archiviati nella cartella di ciascuna accademia e la piattaforma si rifiuta di leggere o scrivere al di fuori di essa.

A ogni rilascio, test automatici cercano di leggere e modificare dati tra accademie diverse, compresi scenari di furto di account e da riga di comando.

Controllo degli accessi

• Ogni persona ha un ruolo in ogni accademia: proprietario, amministratore, staff, docente o studente.
• I docenti possono aprire solo le materie che sono state loro assegnate, e solo le parti del pannello consentite dal loro ruolo. La revoca dell’accesso di un docente ha effetto dal suo clic successivo.
• Gli studenti vedono solo i contenuti delle materie e dei corsi a cui sono iscritti.
• Quando l’assistenza di Acatudy deve vedere un’accademia come suo amministratore per aiutarla, quella sessione scade dopo 30 minuti e non può eliminare dati né modificare la fatturazione.

Accesso e account

• I tentativi di accesso falliti ripetuti sono limitati per account e per indirizzo di rete, e dopo diversi errori l’account viene bloccato temporaneamente.
• Gli studenti impostano la propria password da un link personale; le accademie non inviano mai password per email. Le password iniziali temporanee scadono dopo 7 giorni.
• Le password scelte durante la registrazione degli studenti e nel modulo di cambio password vengono confrontate con le violazioni di dati note.
• Le accademie possono consentire a studenti e staff di accedere con Google.

File e caricamenti

• Video e audio vengono distribuiti tramite link firmati temporanei che scadono; gli altri file vengono serviti tramite percorsi che verificano chi li richiede.
• Ogni caricamento viene verificato in base al contenuto reale, non solo al nome del file. Eseguibili, programmi di installazione e documenti Office con macro vengono rifiutati, anche all’interno di file zip.
• Le immagini SVG vengono ispezionate e rifiutate se contengono contenuti attivi.
• I file delle accademie sono archiviati in uno storage a oggetti negli Stati Uniti o nell’Unione europea, a seconda dell’accademia.

Protezioni della piattaforma

• Limiti di frequenza proteggono accesso, registrazione, consegna degli esami, download, pagamenti e API.
• Le intestazioni di sicurezza impediscono ad altri siti di incorporare il pannello in un frame, evitano che i browser indovinino il tipo di file e limitano l’accesso a fotocamera, microfono e posizione. È attiva una Content Security Policy di base ed è in corso l’introduzione di una più restrittiva.
• Le azioni sensibili, come modifiche alla fatturazione, domini personalizzati, importazioni ed esportazioni, cambi di ruolo dei docenti, pagamenti e accessi dell’assistenza, vengono registrate in un log di audit con ora, utente e indirizzo di rete.
• Eseguiamo backup regolari del database, incluso uno prima di ogni rilascio.

Proprietà ed eliminazione dei dati

• La tua accademia è proprietaria dei suoi contenuti e dei dati dei suoi studenti. Puoi esportare la banca domande, i registri dei voti e lo storico dei pagamenti.
• Gli studenti possono scaricare i propri dati personali ed eliminare da soli il proprio account dall’accademia.
• Quando un’accademia viene chiusa e ne viene richiesta l’eliminazione, i suoi dati, file, account utente esclusivi e domini vengono rimossi.
• I registri del consenso ai cookie vengono eliminati automaticamente quando non sono più necessari.

Trovi maggiori dettagli nella nostra informativa sulla privacy.

Domande e segnalazioni di vulnerabilità

Se la tua scuola o il tuo distretto scolastico ha un questionario di sicurezza, o se pensi di aver trovato una vulnerabilità, scrivi a [email protected]. Indica i passaggi per riprodurre il problema e non accedere ai dati di altre persone durante i test.